72-timers fristen for databrud

Hvad siger loven?

GDPR Artikel 33 kræver at den dataansvarlige anmelder databrud til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med bruddet.

Bruddet skal anmeldes, medmindre det er usandsynligt, at det medfører en risiko for personers rettigheder og frihedsrettigheder. Brud uden risiko behøver ikke anmeldes - men de skal stadig dokumenteres internt.

Bliver fristen 96 timer?

Nej, ikke endnu. Fristen er 72 timer, og den gælder fuldt ud i dag.

EU-Kommissionen fremsatte i november 2025 forslaget Digital Omnibus. Det vil blandt andet ændre artikel 33 på tre punkter:

• Fristen forlænges fra 72 til 96 timer.
• Kun brud, der sandsynligvis medfører en høj risiko for de berørte, skal anmeldes. I dag skal alle brud anmeldes, medmindre det er usandsynligt, at de medfører en risiko.
• Anmeldelser skal på sigt sendes gennem ét fælles EU-indgangspunkt.

Men forslaget er ikke vedtaget. Pr. september 2026 har hverken Rådet eller Europa-Parlamentet vedtaget en forhandlingsposition. Ændringerne gælder først, når forordningen er vedtaget og trådt i kraft.

To ting ændrer forslaget ikke:

• Du skal stadig dokumentere alle brud internt efter artikel 33, stk. 5 – også dem, du ikke anmelder.
• Du skal stadig kunne begrunde din risikovurdering. Med en tærskel på "høj risiko" bliver vurderingen faktisk vigtigere, fordi det er den, der afgør, om du skal anmelde.

Indtil videre er reglen den samme som altid: Anmeld inden 72 timer, medmindre det er usandsynligt, at bruddet medfører en risiko.

Hvornår starter fristen?

Fristen starter fra det tidspunkt, hvor du som dataansvarlig bliver bekendt med bruddet. Det er ikke nødvendigvis det tidspunkt hvor bruddet skete.

Hvad hvis jeg overskrider fristen?

Hvis du ikke kan anmelde inden 72 timer, skal du stadig anmelde - bare med en begrundelse for forsinkelsen. Datatilsynet forstår at komplekse brud kan tage tid at undersøge.

Gentagen overskridelse eller manglende anmeldelse kan dog føre til sanktioner fra Datatilsynet.

Skal alle brud anmeldes?

Hvad skal anmeldelsen indeholde?

Din anmeldelse til Datatilsynet skal som minimum indeholde:

1. Beskrivelse af bruddet - hvad skete der?
2. Kategorier og antal berørte - hvem og hvor mange?
3. Kontaktoplysninger - hvem kan Datatilsynet kontakte?
4. Sandsynlige konsekvenser - hvad kan ske for de berørte?
5. Afhjælpende foranstaltninger - hvad har I gjort og vil gøre?