Når skal man varsle Datatilsynet?

Risiko og meldeplikt for avvik

Forståelse av regelverket rundt når skal man varsle datatilsynet bidrar til å avklare når meldeplikt utløses ved personvernbrudd. Riktig håndtering sikrer at virksomheter oppfyller sine forpliktelser og beskytter enkeltpersoners rettigheter i tråd med gjeldende bestemmelser.

Hovedregelen for meldeplikt til Datatilsynet

Når skal man varsle Datatilsynet? Svaret er at et brudd på personopplysningssikkerheten alltid skal meldes til Datatilsynet uten ugrunnet opphold og om mulig innen 72 timer etter at virksomheten har fått kjennskap til det. Unntaket gjelder kun dersom det er usannsynlig at bruddet medfører en risiko for fysiske personers rettigheter og friheter. Hendelsen kan berøre mange eller få, men risikoen for enkeltmennesket bestemmer meldeplikten.

Forståelsen av meldeplikten kan variere betydelig basert på den konkrete situasjonen. Mange ledere og sikkerhetsansvarlige opplever panikk når de oppdager et potensielt databrudd. Den første innskytelsen er ofte å utsette meldingen til man har full oversikt over hendelsen. Dette er en kritisk feilvurdering. Regelverket krever ikke en ferdig etterforsket sak, men en rask og proaktiv håndtering. Tiden løper ubønnhørlig fra sekundet dere blir oppmerksomme på svakheten eller feilsendingen.

I min tid som IT-sikkerhetsrådgiver har jeg sett ledere kaste bort dyrebar tid på å krangle internt om en hendelse er «alvorlig nok» til å rapporteres. En virksomhet jeg bisto, ventet i fem dager for å beskytte omdømmet sitt. Konsekvensen? Da Datatilsynet til slutt mottok meldingen, ble forsinkelsen vurdert som et uavhengig brudd på regelverket. Det lærte meg en lekse: Det er langt bedre å sende en ufullstendig melding i tide enn å sitte på informasjonen. Åpenhet overfor tilsynet er alltid det tryggeste valget.

Hvilke avvik skal meldes til Datatilsynet?

Kriteriet for meldeplikt handler utelukkende om risikoen for enkeltpersonenes rettigheter og friheter. Antallet innmeldte personvernbrudd i Norge har økt jevnt de siste årene, fra 2225 meldinger i 2021 til 3191 i 2024. Denne markante økningen reflekterer en lavere terskel for innsending og økt bevissthet i næringslivet, snarere enn en eksplosjon i ondsinnede cyberangrep. Samtidig blir rundt 80 % av alle innmeldte avvikssaker avsluttet av tilsynet uten videre sanksjoner. Dette betyr at risikoen ofte vurderes som lav etter nærmere undersøkelse, men meldeplikten var likevel reell.

Et personvernbrudd kan oppstå på mange måter. Det kan skyldes uautorisert tilgang, utilsiktet endring, ulovlig sletting eller fysisk tap av personopplysninger. For å avgjøre om du skal sende en formell avviksmelding, må du vurdere faren for identitetstyveri, økonomisk tap, diskriminering eller tap av konfidensialitet for de berørte.

Typiske eksempler som utløser meldeplikt

Følgende hendelser krever normalt rapportering innen 72 timer: Ransomware-angrep: Serverne krypteres og kriminelle får potensielt innsyn i sensitive data. Feilsendt sensitiv e-post: Pasientopplysninger eller lønnsslipper sendes til uvedkommende eksterne mottakere. Mistet utstyr: En ukryptert bærbar datamaskin eller minnepenn med kundelister blir stjålet på toget. Snoking i systemer: Ansatte slår opp i personopplysninger uten et tjenestemessig behov.

Hvordan beregnes 72-timersfristen under tidspress?

Tidsfristen starter i det øyeblikket virksomheten får kjennskap til at et brudd har funnet sted. Det betyr ikke når hele omfanget er kartlagt, men når dere har en rimelig grad av sikkerhet for at personopplysninger er berørt. Hvis en ekstern databehandler oppdager bruddet, plikter de å varsle den behandlingsansvarlige umiddelbart. Fristen for å meldeplikt til datatilsynet frist begynner å løpe med en gang den behandlingsansvarlige mottar dette varselet.

Det er en utbredt misforståelse at man må vente på en fullstendig IT-teknisk rapport før man logger seg inn i Altinn. Hvis klokken tikker og detaljene fortsatt er uklare, må du benytte deg av en trinnvis avviksmelding. Dere sender da et foreløpig varsling om brudd på personopplysningssikkerheten med den informasjonen dere har tilgjengelig, og oppdaterer meldingen etter hvert som fakta kommer på bordet.

Husk på dokumentasjonen. Dersom dere etter en grundig risikovurdering konkluderer med at et avvik har usannsynlig risiko og derfor ikke skal meldes, må denne beslutningen protokolleres grundig internt. Datatilsynet kan kreve å se denne dokumentasjonen ved et fremtidig tilsyn for å etterprøve vurderingene deres. Manglende dokumentasjon av uinnmeldte avvik er i seg selv et brudd på personopplysningsloven.

Forskjellen på intern dokumentasjon og melding til tilsynet

Intern avviksprotokoll

• Forblir internt i virksomhetens eget ledelsessystem for personvern og internkontroll
• Gjelder absolutt alle brudd på personopplysningssikkerheten, uavhengig av risiko
• Beskrivelse av hendelsen, konsekvenser, risikovurdering og iverksatte tiltak

Melding til Datatilsynet

• Sendes digitalt via Altinn til Datatilsynet som tilsynsmyndighet
• Utløses så snart hendelsen medfører en potensiell risiko for enkeltpersoner
• Standardisert informasjon om bruddets art, kategorier av data og skadebegrensning

Varsling til berørte personer

• Direkte kommunikasjon til hver enkelt berørt fysisk person
• Kreves kun når bruddet sannsynligvis vil medføre en høy risiko for de berørte
• Klar beskrivelse av bruddet, sannsynlige følger og råd om hva de selv kan gjøre

Avvikshåndtering i praksis: Da LogiNor sendte sensitive data på avveie

LogiNor, et logistikkfirma i Bergen med 45 ansatte, opplevde i august 2026 at en personalkonsulent feilsendte en e-post med detaljerte helseopplysninger og fagforeningsmedlemskap for 12 ansatte til en ekstern jobbsøker. Teamet ble lammet av usikkerhet rundt meldeplikten.

Første forsøk på løsning var preget av intern uenighet. Daglig leder ønsket å avvente situasjonen og håpet at mottakeren bare ville slette e-posten uten å lese den. To dager gikk med til interne diskusjoner og venting på svar fra mottakeren, noe som skapte stor frustrasjon og tidsnød.

Sikkerhetsansvarlig innså at 72-timersfristen var i ferd med å utløpe. Hun tok kontroll, avbrøt ventingen og innså at konfidensialitetsbruddet medførte en reell risiko for de ansatte. Hun valgte å sende inn en foreløpig avviksmelding via Altinn umiddelbart.

Kort tid etter ble mottakeren kontaktet på telefon, og vedkommende bekreftet skriftlig at e-posten var slettet ulest. Dette skadebegrensende tiltaket ble ettersendt som en oppdatering til Datatilsynet. Saken ble avsluttet uten gebyrer fordi firmaet handlet innenfor fristen.