BEK 2019/2021 Art. 11

Digitaliseringsstyrelsen underretter uden unødig forsinkelse den dataansvarlige offentlige afsender efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden.

Stk. 2. Digitaliseringsstyrelsens underretning til den dataansvarlige offentlige afsender skal ske uden unødig forsinkelse og senest 48 timer efter, at denne er blevet bekendt med bruddet, sådan at den dataansvarlige offentlige afsender kan overholde sin forpligtelse til at anmelde bruddet på persondatasikkerheden til Datatilsynet, jf. databeskyttelsesforordningens artikel 33 og retshåndhævelseslovens § 28. Den offentlige afsender underretter de registrerede om bruddet på persondatasikkerheden i overensstemmelse med kravene herom i databeskyttelsesforordningens artikel 34 og retshåndhævelseslovens § 29.

Stk. 3. Digitaliseringsstyrelsen kan på vegne af samtlige dataansvarlige offentlige afsendere omfattet af denne bekendtgørelse, under hensyn til sagens karakter, bruddets omfang og såfremt bruddet omfatter Digital Post-løsningen, foretage en samlet anmeldelse til Datatilsynet i overensstemmelse med databeskyttelsesforordningens artikel 33, stk. 1 og retshåndhævelseslovens § 28, stk. 1 og stk. 2. Digitaliseringsstyrelsen underretter uden unødig forsinkelse den dataansvarlige offentlige afsender efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden, og inden en samlet anmeldelse sendes til Datatilsynet.

Stk. 4. I overensstemmelse med stk. 1 skal Digitaliseringsstyrelsen bistå den offentlige afsender med at foretage anmeldelse af bruddet til Datatilsynet. Det betyder, at databehandleren skal bistå med at tilvejebringe nedenstående information, som i medfør af databeskyttelsesforordningens artikel 33, stk. 3 og retshåndhævelseslovens § 28, stk. 3, skal fremgå af den dataansvarlige offentlige afsenders anmeldelse af bruddet til Datatilsynet: 1) Karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger. 2) De sandsynlige konsekvenser af bruddet på persondatasikkerheden. 3) De foranstaltninger, som Digitaliseringsstyrelsen har udført som databehandler, og de foranstaltninger som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger.