Denne veiviseren hjelper deg å vurdere om et personvernbrudd må meldes til Datatilsynet og/eller de registrerte etter GDPR artikkel 33 og 34.
Den erstatter ikke en konkret vurdering — meldeplikten må alltid vurderes opp mot det aktuelle bruddet.
Ingen data lagres på serveren — verktøyet kjører kun i nettleseren din.
Hva har skjedd?
Velg én eller flere typer som beskriver hendelsen. Mange personvernbrudd omfatter flere typer samtidig.
Hvilke personopplysninger er berørt?
Velg alle kategorier av personopplysninger som er eller kan være berørt av hendelsen.
Er du usikker, velg heller de kategoriene som kan være berørt.
Valg av datakategori påvirker vurderingen av risiko og om det kan være plikt til å varsle.
Omstendigheter og risikofaktorer
Velg de forholdene som passer for hendelsen. Opplysningene brukes til å vurdere risikoen for de berørte.
Er du usikker, velg heller de forholdene som kan være relevante.
Identifiserbarhet
Kan de berørte personene identifiseres ut fra de berørte opplysningene?
Ikke et personvernbrudd etter GDPR
Dersom opplysningene verken direkte eller indirekte kan knyttes til enkeltpersoner, er de anonyme. GDPR gjelder ikke for anonyme opplysninger (jf. fortalepunkt 26), og hendelsen utløser ikke meldeplikt etter artikkel 33 eller 34.
Det kan likevel være fornuftig å dokumentere hendelsen internt.
Antall berørte
Omtrent hvor mange personer er berørt av hendelsen?
Vurderingen er veiledende. Den konkrete risikovurderingen er den behandlingsansvarliges ansvar.