Kunskap · GDPR · Artikel 33
72 timmar på er att berätta för myndigheten.
En personuppgiftsincident ska anmälas till tillsynsmyndigheten utan onödigt dröjsmål och om möjligt inom 72 timmar från att ni fått kännedom om den – om det inte är osannolikt att den medför en risk för människor.
GDPR art. 33Anmälan av en personuppgiftsincident
Vad den kräver
På vanlig svenska.
- Anmäl till tillsynsmyndigheten inom 72 timmar om det är möjligt
- Förklara varje dröjsmål utöver 72 timmar
- Biträden underrättar den personuppgiftsansvarige utan onödigt dröjsmål
- Beskriv incidenten, berörda personer och uppgifter, följder och åtgärder
- Dokumentera varje incident, även de som inte anmäls
Sammanfattning av GDPR artikel 33 (förordning (EU) 2016/679). Inte juridisk rådgivning – läs den officiella texten på EUR-Lex.
I praktiken
Vad som krävs.
Samma incident kan utlösa rapportering både enligt GDPR och NIS2. Ett flöde som ställer båda frågorna sparar tid när varje timme räknas.
- ProcessEtt incidentflöde som bedömer GDPR och NIS2 tillsammans
- FormulärUppgifter om incidenten fångas en gång och återanvänds i båda rapporterna
- RegisterEn incidentlogg, även för incidenter som inte anmäls
- BevisAnmälningar och beslut loggade med vem och när
Så går det till i Paragraf – på samma grund som era avtal och processer.
Nästa steg
Se GDPR artikel 33
med era egna krav.
Boka en genomgång. Vi visar tråden från den här artikeln till kontrollen, ägaren och beviset – i er egen miljö.