När ska en personuppgiftsincident anmälas, och till vem?
Enligt förordningen anmäler den personuppgiftsansvarige till tillsynsmyndigheten inom 72 timmar från att incidenten upptäckts, om det inte är osannolikt att den medför en risk, och underrättar de drabbade utan onödigt dröjsmål när risken är hög. I USA styrs plikten av delstatens lag och går till de boende som drabbats och ofta till delstatens justitieminister.
Svaret skiljer sig åt mellan jurisdiktioner, se EU, USA, Sverige, Norge och Tyskland nedan.
Svaret per jurisdiktion
EU
Artikel 33: 72 timmar till tillsynsmyndigheten från upptäckt, med skäl vid försening. Artikel 34: underrättelse till de enskilda utan onödigt dröjsmål när risken för deras rättigheter är hög.
Regulation (EU) 2016/679 · Europeiska unionens publikationsbyråUSA
Kalifornien kräver underrättelse till drabbade boende så skyndsamt som möjligt utan oskäligt dröjsmål, och besked till delstatens justitieminister över 500 drabbade.
Cal. Civ. Code § 1798.82 · California Legislative CounselSverige
Anmälan görs till Integritetsskyddsmyndigheten via myndighetens formulär, och det interna incidentregistret förväntas vid granskning.
IMY, anmälan av personuppgiftsincident · IntegritetsskyddsmyndighetenNorge
Anmälan görs till Datatilsynet inom samma 72 timmar, via myndighetens anmälningsväg.
Datatilsynet, avviksmelding · DatatilsynetTyskland
Anmälan görs till behörig delstatsmyndighet, eller till den federala myndigheten för federala organ och telekom.
BfDI, Meldung nach Art. 33 DSGVO · Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
Källrader
- Artikel 33.1: anmälan utan onödigt dröjsmål och, när det är möjligt, inom 72 timmar från upptäckt.
- Artikel 33.5: den ansvarige dokumenterar varje incident, med omständigheter, effekter och vidtagna åtgärder.
- Artikel 34.3: ingen underrättelse till de enskilda när uppgifterna var krypterade eller risken har undanröjts efteråt.
Vad det betyder för företaget
Fastställ tidpunkten för upptäckt skriftligt, för klockan startar där och inte vid själva händelsen, och håll det interna registret även för incidenter som inte anmäls.
| Jurisdiktion | Krav | Källa |
|---|---|---|
| EU | 72 timmar till myndigheten, vid hög risk även till de enskilda | Regulation (EU) 2016/679 |
| USA | Delstatslag, skyndsam underrättelse och besked till justitieministern | Cal. Civ. Code § 1798.82 |
| Sverige | Anmälan till Integritetsskyddsmyndigheten, internt register | IMY, anmälan av personuppgiftsincident |
| Norge | Anmälan till Datatilsynet inom 72 timmar | Datatilsynet, avviksmelding |
| Tyskland | Anmälan till behörig delstats- eller federal myndighet | BfDI, Meldung nach Art. 33 DSGVO |
Vad det betyder för den enskilde
En underrättelse ska beskriva incidenten i klarspråk, ange en kontaktpunkt och redovisa sannolika följder och vidtagna åtgärder.
Källrader
- DataskyddsförordningenRegulation (EU) 2016/679 · Europeiska unionens publikationsbyrå · läst 2026-08-24 · bevis d868d41762dea567Officiell källa
- Kaliforniens anmälningsplikt vid dataintrångCal. Civ. Code § 1798.82 · California Legislative Counsel · läst 2026-08-24 · bevis d868d41762dea567Officiell källa
- NIS2-direktivetDirective (EU) 2022/2555 · Europeiska unionens publikationsbyrå · läst 2026-08-24 · bevis d868d41762dea567Officiell källa
- Integritetsskyddsmyndighetens anmälningsvägIMY, anmälan av personuppgiftsincident · Integritetsskyddsmyndigheten · läst 2026-08-24 · bevis d868d41762dea567Officiell källa
- Datatilsynets anmälningsvägDatatilsynet, avviksmelding · Datatilsynet · läst 2026-08-24 · bevis d868d41762dea567Officiell källa
- Federala dataskyddsmyndighetens anmälningsvägBfDI, Meldung nach Art. 33 DSGVO · Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit · läst 2026-08-24 · bevis d868d41762dea567Officiell källa
Nästa steg
Läs 72-timmarsplikten tillsammans med den tidiga varningen inom 24 timmar enligt NIS2, för en verksamhet som omfattas av båda anmäler två gånger, på två klockor.
Sidan återger vad källorna säger, med beteckning och adress till utgivaren. Det är inte juridisk rådgivning och prövar inte ett enskilt ärende.
Nästa steg
Vill ni använda registret i eget arbete finns tre vägar in.
Börja med din uppgift
Advokat, tvist
Hitta stöd i avgörande
Sök i vägledande domar, se vad som vunnit laga kraft och följ ändringar i rättsläget.
Bolagsjurist, transaktion
Kartlägg regelverket i affären
Gå från tema till rättsakt och vidare till artikeln som bär kravet.
Compliance
Bedöm risken i en behandling
Riskklassning per rättsområde, med källorna bakom varje poäng.