Kort sagt: Krænkes beskyttelsen af personoplysninger ved et angreb, kræver art. 33 GDPR en anmeldelse til tilsynsmyndigheden, om muligt inden for 72 timer fra kendskabet, forudsat at der er en risiko for de registrerede. Ved høj risiko kommer efter art. 34 underretning af de registrerede til. Uafhængigt heraf skal I dokumentere ethvert brud. Denne side er generel information og ingen juridisk rådgivning.
Ingen juridisk rådgivning: Om og hvornår der i det enkelte tilfælde består en anmeldelsespligt, vurderer jeres databeskyttelsesrådgiver eller en advokat. Vi leverer de tekniske fakta, som denne vurdering støtter sig på.
Databrud og anmeldelsespligt inden for 72 timer: hvad art. 33 regulerer
Art. 33 GDPR vedrører „brud på persondatasikkerheden“. Dermed menes ethvert sikkerhedsbrud, der fører til tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller uautoriseret adgang til personoplysninger. En kompromitteret webserver med kundedatabase, kontaktformularer eller ansøgerdata kan falde ind herunder.
Anmeldelsen til tilsynsmyndigheden skal ske uden unødig forsinkelse og om muligt inden for 72 timer, efter at den dataansvarlige er blevet bekendt med bruddet. Den bortfalder, hvis bruddet sandsynligvis ikke indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder. Den, der anmelder senere end efter 72 timer, skal begrunde forsinkelsen. Oplysninger må eftersendes trinvis.
Hvad en anmeldelse skal indeholde
Art. 33, stk. 3, GDPR angiver mindsteindhold. I bør forberede disse punkter, selv om ikke alt endnu er fastlagt:
- bruddets karakter, om muligt med kategorier og omtrentligt antal berørte personer og registreringer
- navn og kontaktoplysninger på databeskyttelsesrådgiveren eller et andet kontaktpunkt
- bruddets sandsynlige konsekvenser
- foranstaltninger, der er truffet eller foreslået for at håndtere bruddet og afbøde dets mulige skadevirkninger
Netop ved angreb på webservere er omfanget i begyndelsen ofte uklart. Så hjælper en ærlig førstegangsanmeldelse med den kendte status og en meddelelse om, at yderligere erkendelser eftersendes.
Hvornår begynder fristen efter et serverangreb?
Fristen knytter sig til kendskabet, ikke til tidspunktet for angrebet. I praksis er afgrænsningen ofte vanskelig: En meddelelse om en sårbarhed som PHP2Shell begrunder alene endnu ikke kendskab til et brud på databeskyttelsen. Finder I derimod konkrete tegn på et indbrud, f.eks. en webshell eller mistænkelige databaseforespørgsler, kan situationen se anderledes ud.
Dokumentér derfor fra begyndelsen med klokkeslæt, hvem der hvornår har modtaget hvilke oplysninger, og hvilke trin der fulgte. Denne tidslinje hjælper ved den juridiske vurdering og ved myndighedens opfølgende spørgsmål. En omhyggelig teknisk undersøgelse, f.eks. ved IT-forensik, afklarer, om og hvilke data der faktisk er berørt.
Underretning af de registrerede efter art. 34
Indebærer bruddet sandsynligvis en høj risiko for de personlige rettigheder og frihedsrettigheder, skal også de berørte personer underrettes uden unødig forsinkelse. Det kan f.eks. være tilfældet ved adgangsdata, bankforbindelser eller helbredsoplysninger. Underretningen skal i et klart og enkelt sprog beskrive, hvad der er sket, og som minimum angive kontaktpunktet, de sandsynlige konsekvenser og de trufne foranstaltninger.
Art. 34 indeholder undtagelser, f.eks. hvis dataene er gjort uforståelige for uvedkommende, for eksempel ved kryptering. Ville en underretning af hver enkelt person kræve en uforholdsmæssig indsats, kan der i stedet komme en offentlig meddelelse eller en tilsvarende effektiv foranstaltning på tale. Om en undtagelse finder anvendelse, hører til den juridiske vurdering. Hvordan I informerer kunder forståeligt, beskriver Krisekommunikation efter et angreb.
Dokumentationspligt efter art. 33, stk. 5
Uafhængigt af anmeldelsespligten kræver art. 33, stk. 5, GDPR, at ethvert brud dokumenteres: fakta, virkninger og de trufne afhjælpende foranstaltninger. Denne dokumentation skal sætte tilsynsmyndigheden i stand til at kontrollere. Det gælder også, hvis I efter prøvelse kommer til, at ingen anmeldelse er nødvendig.
For webservere betyder det i praksis: sikr logs, før de roteres, notér fund med tidspunkt, noter beslutninger og deres begrundelse. Ved PHP2Shell anbefaler fagpressen at gemme serverlogs fra og med 20.10.2026. En patch fjerner desuden ikke skadelig software, der allerede er smuglet ind, og beviser ikke, at intet er sket før.
Praktisk forløb i de første timer
- Meld mistanken internt til et fast sted, og inddrag databeskyttelsesrådgiveren.
- Sikr beviser: logs, fillister, databaseudtræk, før noget slettes eller sættes op på ny.
- Afklar teknisk, om personoplysninger kan være berørt.
- Juridisk vurdering af anmeldelses- og underretningspligten, eventuelt med advokat og forsikringsselskab.
- Anmeldelse via formularen hos den kompetente tilsynsmyndighed, tillæg ved nye erkendelser.
En forberedt IT-nødplan forkorter disse trin betydeligt.
Hvordan hjælper PHP SOS konkret?
- Vi sikrer logs og systemtilstande, så de forbliver anvendelige til vurderingen og en senere kontrol.
- Vi afklarer teknisk, om og hvilke data der var tilgængelige, og leverer et forståeligt resumé til databeskyttelsesrådgivere og advokater.
- Vi fører en tidslinje over de tekniske erkendelser, som I kan bruge til anmeldelse og dokumentation.
- Ved et bekræftet indbrud overtager vi incident response og oprydning.
Ofte stillede spørgsmål
Fra hvornår løber de 72 timer?
Efter art. 33 GDPR fra det tidspunkt, hvor den dataansvarlige fik kendskab til bruddet. Hvornår det skal antages i det enkelte tilfælde, er en juridisk vurdering. Dokumentér derfor nøje, hvornår hvem havde hvilke oplysninger.
Skal enhver sikkerhedssårbarhed anmeldes?
Nej. En sårbarhed alene er endnu ikke et brud på beskyttelsen af personoplysninger. Anmeldelsespligt kan opstå, hvis der er tegn på, at uvedkommende havde eller kunne have adgang til sådanne data, og at der deraf opstår en risiko for de registrerede.
Hvad hvis jeg efter 72 timer endnu ikke ved alt?
Art. 33, stk. 4, GDPR tillader at eftersende oplysninger trinvis, hvis de ikke kan gives på samme tid. En forsinket anmeldelse skal begrundes. At vente på fuld klarhed er derfor som regel ingen grund til at lade fristen udløbe.
Hvem anmelder, hvis hostingudbyderen var berørt?
Anmeldelsespligtig er den dataansvarlige, altså som regel den virksomhed, der driver websitet. En databehandler som hostingudbyderen skal efter art. 33, stk. 2, GDPR underrette den dataansvarlige uden unødig forsinkelse.
Hvor anmelder jeg et databrud?
Til den kompetente tilsynsmyndighed for databeskyttelse; for virksomheder i Tyskland er det som regel myndigheden i den delstat, hvor de har hjemsted. De fleste myndigheder tilbyder onlineformularer hertil.