Indebærer et brud på persondatasikkerheden sandsynligvis en høj risiko for de berørte personers rettigheder og frihedsrettigheder, skal virksomheden underrette dem direkte. Det følger af databeskyttelsesforordningens artikel 34 og er en pligt ved siden af anmeldelsen til Datatilsynet. Der er ingen fast frist, men underretningen skal ske uden unødig forsinkelse, og ved hackerangreb skal den ifølge Datatilsynet som klart udgangspunkt ske næsten straks. For ledelsen er de afgørende spørgsmål, hvem der vurderer den høje risiko, hvem der skriver brevet, og hvem der godkender det. Teksten bygger på Datatilsynets vejledning om håndtering af brud fra maj 2025 og er ikke juridisk rådgivning.
Høj risiko er tærsklen
Der er to trin. Datatilsynet skal have en anmeldelse, medmindre en risiko er usandsynlig, mens de registrerede, dvs. de personer, der står i oplysningerne, først skal have besked, når risikoen sandsynligvis er høj. Forordningen definerer ikke høj risiko. Datatilsynet forklarer, at risiko består af sandsynlighed og konsekvens, og at der kan være høj risiko, selv om sandsynligheden er lav, hvis konsekvensen er meget alvorlig.
Vurderingen skal tage alle nuværende og fremtidige konsekvenser med, også de afledte. Tilsynet nævner som eksempel brugernavne og adgangskoder, som personerne kan have genbrugt andre steder. Er risikoen kun høj for en del af de berørte, skal den del underrettes.
Den vurdering ligger hos virksomheden som dataansvarlig. Har virksomheden en databeskyttelsesrådgiver, bør vedkommende være med. Hvordan vurderingen hænger sammen med en NIS2-underretning af samme hændelse, er beskrevet i én hændelse, to underretninger.
Hvornår brevet skal ud
Datatilsynet skriver, at der ikke er en bestemt frist, men at underretningen skal ske uden unødig forsinkelse efter, at bruddet er konstateret. Formålet er, at personerne kan beskytte sig selv, og nogle oplysninger kan misbruges meget hurtigt. Har ondsindede aktører fået fat i oplysningerne, er udgangspunktet en underretning tilnærmelsesvis straks.
Samarbejder virksomheden med politiet eller Styrelsen for Samfundssikkerhed om bruddet, kan den lægge vægt på myndighedernes vejledning om tidspunktet. Underretningen afhænger ikke af, hvornår der anmeldes til Datatilsynet. Den kan altså komme før.
Hvad brevet skal indeholde
Ifølge Datatilsynet skal underretningen i et klart og forståeligt sprog beskrive bruddets karakter og som minimum indeholde:
- navn og kontaktoplysninger på databeskyttelsesrådgiveren eller et andet kontaktpunkt
- en beskrivelse af de sandsynlige konsekvenser, og tilsynet fremhæver, at alle sandsynlige konsekvenser skal med
- en beskrivelse af de foranstaltninger, der er truffet eller foreslås, herunder for at begrænse skadevirkningerne
Tilsynet tilføjer, at brevet i relevant omfang skal indeholde konkrete råd til modtageren, fx om at skifte adgangskode, og at det skal kunne stå alene, selv om der vedlægges dokumenter. Det bør beskrive, hvordan oplysningerne er kommet ud, hvilke typer oplysninger det drejer sig om, og eventuelt hvem der har modtaget dem, uden at navngive en privatperson. Brevet må gerne fortælle, hvad virksomheden har gjort for at undgå gentagelse, men det må ikke afsløre åbne sårbarheder.
Klart sprog skal ses i forhold til modtageren. Tilsynet nævner modersmål, sprogkundskaber og alder.
Form og kanal
Underretningen skal som klart udgangspunkt ske direkte og skriftligt, fx med e-mail, brev eller sms. En pressemeddelelse eller et blogindlæg er typisk ikke nok, og meddelelsen må ikke sendes sammen med nyhedsbreve eller andre standardmeddelelser. Mundtlig underretning kan bruges i særlige tilfælde, gerne fulgt op skriftligt. Får virksomheden senere nye oplysninger, der ændrer risikoen, kan en opfølgende underretning være på sin plads.
Når der ikke skal underrettes
Datatilsynet beskriver situationer, hvor direkte underretning ikke er nødvendig. Det gælder, hvis oplysningerne var beskyttet, fx krypteret, så de er uforståelige for uvedkommende. Det gælder, hvis tiltag efter bruddet har fjernet den høje risiko. Og det gælder, hvis direkte underretning kræver en uforholdsmæssig indsats, men så skal der i stedet ske en offentlig meddelelse eller noget, der virker lige så godt. Endelig kan databeskyttelseslovens § 22 i særlige tilfælde begrunde, at underretning undlades.
I alle tilfælde skal virksomheden kunne begrunde valget, og Datatilsynet anbefaler, at vurderingen altid dokumenteres. Tilsynet kan efter artikel 34, stk. 4, kræve, at underretningen sker. Kryptering som beskyttelse er et emne for kryptografipolitikken, og den beslutning træffes længe før et brud. Hvilke oplysninger der skal beskyttes stærkest, afgøres i dataklassifikationen.
Hvem gør hvad i ledelsen
Ansvaret for underretningen ligger hos den dataansvarlige. Opgaven kan overlades til en leverandør eller en anden tredjemand med fuldmagt, men ansvaret bliver hos virksomheden. En brugbar fordeling er, at den persondataansvarlige eller DPO’en vurderer risikoen, at CISO leverer fakta om bruddet og tiltagene, at den kommunikationsansvarlige skriver brevet, og at en direktør godkender det. Brevet skal passe med det, der i øvrigt siges udadtil, se krisekommunikation ved cyberangreb.
Tag tandlægeklinikken med 25 ansatte, hvor en medarbejder ved en fejl sender en fil med patienters navne, personnumre og behandlinger til en forkert modtager. Modtageren kan ikke nås, og filen var ikke krypteret. Den persondataansvarlige vurderer, at risikoen er høj. Direktøren godkender samme dag et brev, der forklarer, hvad der er sket, hvilke oplysninger det drejer sig om, hvad patienterne bør være opmærksomme på, og hvem de kan ringe til. Vurderingen og brevet gemmes sammen med anmeldelsen.
Det skal I lade være med
- At vente på Datatilsynet, før de berørte får besked · underretningen kan og bør ofte komme først.
- At nøjes med et opslag på hjemmesiden · udgangspunktet er direkte og skriftligt.
- At beskrive bruddet i fagsprog · modtageren skal kunne handle på brevet.
- At beskrive kun en del af konsekvenserne · alle sandsynlige konsekvenser skal med.
- At undlade at underrette uden skriftlig begrundelse · tilsynet kan bede om den.
Det skal I kræve af den eksterne
- ☐ En skabelon til brevet med de punkter, Datatilsynet kræver, i almindeligt dansk.
- ☐ En metode til at vurdere høj risiko, som den persondataansvarlige kan bruge.
- ☐ Klare roller for vurdering, fakta, tekst og godkendelse.
- ☐ Dokumentation af hver beslutning om at underrette eller lade være.
- ☐ Et overblik over, hvilke oplysninger der er krypteret, og hvilke der ikke er.
Hvad gør I nu? Vælg den person, der skal skrive brevet til kunder eller medarbejdere efter et brud, og lad vedkommende lave skabelonen nu.
Kilder
- Datatilsynet, Håndtering af brud (vejledning, 2025): kapitel 4 om underretning af den registrerede, herunder 4.1 om høj risiko, 4.2 om tidspunkt, 4.3 om indhold, 4.4 om form, 4.5 om ansvar, 4.6 om undtagelser og 4.8 om tilsynets krav.
- Databeskyttelsesforordningen, (EU) 2016/679 på EUR-Lex: artikel 34 om underretning af den registrerede.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Beredskabsplan: ledelsens del af planen · Krisekommunikation ved cyberangreb
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
