Agent · gdpr-2016-679-33

GDPR artikel 33: Anmälan av en personuppgiftsincident till tillsynsmyndigheten

Operativt träd, handskrivet ur artikelns rekvisit.

CELEX 32016R0679 · 2026-08-18 · Vikt 106 · minimal-risk

PremiumHandskrivet eller högviktat regelträd. Mäts per anrop i kanten när mätningen slås på, med samma adress och samma svar som i dag.

GDPROfficiell källa

Indata

• breachEn personuppgiftsincident har inträffatboolean
• risk_to_rightsIncidenten kan medföra en risk för rättigheter och friheterboolean
• hours_since_awareTimmar sedan incidenten upptäcktesnumber

Regelträd

1. Om: breach = false

   Ingen incident

   Anmälningsplikten aktualiseras inte.

   Punkt 1

2. Om: risk_to_rights = false

   Anmälan krävs inte, dokumentation krävs

   Är det osannolikt att incidenten medför en risk behöver den inte anmälas, men den ska dokumenteras enligt artikel 33.5.

   Punkt 1, 5

3. Om: hours_since_aware >= 72

   72-timmarsfristen är passerad

   Anmälan ska ändå göras, med en motivering till förseningen enligt artikel 33.1.

   Punkt 1

4. Om: risk_to_rights = true

   Anmälan till tillsynsmyndigheten krävs

   Anmälan ska göras utan onödigt dröjsmål och senast 72 timmar efter upptäckten, med innehållet i artikel 33.3.

   Punkt 1, 3

Om ingen regel matchar: Ingen av artikelns rekvisit är uppfyllda med de uppgifter som lämnats. Lämna fler uppgifter eller läs artikeltexten i sin helhet.

Artikeltexten som lästes

1. 11. Vid en personuppgiftsincident ska den personuppgiftsansvarige utan onödigt dröjsmål och, om så är möjligt, inte senare än 72 timmar efter att ha fått vetskap om den, anmäla personuppgiftsincidenten till den tillsynsmyndighet som är behörig i enlighet med artikel 55, såvida det inte är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter. Om anmälan till tillsynsmyndigheten inte görs inom 72 timmar ska den åtföljas av en motivering till förseningen.
2. 22. Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident.
3. 33. Den anmälan som avses i punkt 1 ska åtminstone
4. 4a)
5. 5beskriva personuppgiftsincidentens art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs,
6. 6b)
7. 7förmedla namnet på och kontaktuppgifterna för dataskyddsombudet eller andra kontaktpunkter där mer information kan erhållas,
8. 8c)
9. 9beskriva de sannolika konsekvenserna av personuppgiftsincidenten, och
10. 10d)
11. 11beskriva de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.
12. 124. Om och i den utsträckning det inte är möjligt att tillhandahålla informationen samtidigt, får informationen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål.
13. 135. Den personuppgiftsansvarige ska dokumentera alla personuppgiftsincidenter, inbegripet omständigheterna kring personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidtagits. Dokumentationen ska göra det möjligt för tillsynsmyndigheten att kontrollera efterlevnaden av denna artikel.

Ingen rådgivning. Deterministisk regeluppslagning. Ingen juridisk rådgivning, inget efterlevnadsbeslut, ingen bedömning av ett enskilt ärende.

Citering: 32016R0679 art. 33, Anmälan av en personuppgiftsincident till tillsynsmyndigheten. ExploreWorld Legal, https://legal.exploreworldai.com/agent/gdpr-2016-679/artikel-33 (hämtad 2026-08-18, bevis sha256:5ce3ad09af292544, bygge legal-2026-08-25).