# Persondatabrud som udlejer: Det skal du gøre inden for 72 timer, hvis data lækker

> Lækker lejernes data, har du som udlejer 72 timer til at anmelde bruddet til Datatilsynet. Se, hvornår fristen gælder, og hvad du skal gøre trin for trin.

Kilde: https://boliginvestoren.dk/artikel/persondatabrud-udlejer
Kategori: Udlejning

Som udlejer behandler du persondata hver eneste dag, lejekontrakter, opkrævninger, mails og måske CPR-numre. Derfor gælder databeskyttelsesforordningens brudregler også for dig. Lækker data, har du som udgangspunkt 72 timer til at anmelde bruddet til Datatilsynet. Her er hele beredskabet med henvisning til forordningen og Datatilsynet. Hvad et brud overhovedet er, hvornår 72-timers-fristen gælder, hvornår lejerne selv skal underrettes, og dokumentationspligten, der gælder hvert eneste brud, også de små. For i en brudsituation er det forberedelsen, der afgør, om du når fristen.

## Kort fortalt

- Et persondatabrud er ethvert sikkerhedsbrud, der fører til tab, ændring eller uautoriseret adgang til personoplysninger.
- Efter forordningens artikel 33 skal brud anmeldes til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer.
- Undtagelsen er brud, hvor det er usandsynligt, at der er risiko for de berørte personer.
- Ved sandsynlig høj risiko skal du efter artikel 34 også underrette de berørte lejere direkte.
- Alle brud skal dokumenteres internt, også dem, du ikke anmelder.

## Hvad et brud er, og hvorfor det rammer udlejere

Et brud på persondatasikkerheden er efter databeskyttelsesforordningen ethvert sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysninger. Oversat til udlejerens hverdag. Mailen med lejeopgørelsen, der sendes til den forkerte lejer, den stjålne bærbare uden kryptering med lejemappen på, den hackede mailkonto, det forkerte bilag i en fremsendelse, eller papirmappen med gamle lejekontrakter, der ender i en container. Det afgørende er ikke, om nogen har ondt i sinde, men om personoplysninger er kommet uden for din kontrol. GDPR for udlejere, det skal du have styr på

Som udlejer er du dataansvarlig for lejernes oplysninger, navne, kontaktdata, betalingshistorik, korrespondance og i nogle tilfælde CPR-numre og oplysninger om sociale eller helbredsmæssige forhold fra sagsforløb, og jo mere følsomme oplysninger et brud rammer, jo større er risikoen for de berørte, og jo strengere er dine pligter. Bruger du en administrator eller digitale systemer, er de typisk databehandlere for dig. De har pligt til at underrette dig om brud uden unødig forsinkelse. Ansvaret for anmeldelsen til Datatilsynet ligger dog stadig hos dig som dataansvarlig. digital drift af din udlejning

## 72-timers-fristen: hvornår, hvordan og med hvilket indhold

Hovedreglen står i forordningens artikel 33. Den dataansvarlige skal anmelde et brud til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, at du er blevet bekendt med det. Fristen løber altså fra kendskabstidspunktet, ikke fra bruddets opståen. Men du har samtidig pligt til at have sikkerhed og procedurer, der gør, at brud opdages. Når du fristen ikke, skal anmeldelsen ledsages af en begrundelse for forsinkelsen. Undtagelsen er vigtig at kende. Anmeldelse kan undlades, hvis det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettigheder, fx når en krypteret computer mistes, uden at nøglen er kompromitteret. Vurderingen af risikoen er din, og den skal kunne forsvares. udlejerens juridiske håndbog

Anmeldelsen indgives digitalt via Datatilsynets løsning. Efter artikel 33 skal den mindst beskrive bruddets karakter, herunder kategorierne og det omtrentlige antal berørte personer og registreringer, kontaktoplysninger, de sandsynlige konsekvenser og de foranstaltninger, du har truffet eller foreslår for at håndtere bruddet og begrænse skaden. Ved du ikke alt inden for 72 timer, må du anmelde trinvist og eftersende oplysninger, det er bedre end at vente. Og uanset om bruddet anmeldes eller ej, gælder dokumentationspligten i artikel 33, stk. 5: alle brud skal registreres internt med de faktiske omstændigheder, virkningerne og de trufne foranstaltninger, så Datatilsynet kan efterprøve, at reglerne er overholdt. Før en simpel brudlog fra det første brud, det er den, der beviser din efterlevelse. system i din udlejningsadministration

## Underretning af lejerne, og beredskabet der redder fristen

Nogle brud kræver mere end anmeldelsen. Indebærer bruddet sandsynligvis en høj risiko for de berørte, skal du efter forordningens artikel 34 også underrette de registrerede, dine lejere, uden unødig forsinkelse. Det gælder typisk, hvor følsomme oplysninger, CPR-numre eller økonomiske data er kompromitteret på en måde, der kan misbruges. Underretningen skal i et klart og forståeligt sprog beskrive, hvad der er sket, de sandsynlige konsekvenser, hvad du har gjort, og hvad lejerne selv kan gøre, fx at være på vagt over for phishing eller spærre kort. Underretningen kan undlades, bl.a. hvis oplysningerne var beskyttet, fx krypteret, eller hvis du senere har fjernet den høje risiko. Er du i tvivl, så vælg åbenheden. Et brud, lejerne først hører om fra anden side, koster mere tillid end selve fejlen. konflikt med lejeren, sådan trapper du ned

Det bedste våben er beredskabet, du laver, før noget sker. Hold datamængden nede, for data, du ikke har, kan ikke lække. Opbevar kun det nødvendige, og slet efter dine slettefrister. Sikr det, du har. Kryptering, totrinslogin på mail og systemer og låste arkiver. Og skriv en simpel brudprocedure på én side. Hvem opdager og melder internt, hvem vurderer risikoen, hvem anmelder til Datatilsynet, og hvor brudloggen ligger. Med den plan i skuffen er 72 timer rigeligt. Uden den er fristen kort. Husk til sidst, at Datatilsynet kan udtale kritik og indstille til bøde ved manglende anmeldelse eller mangelfuld sikkerhed, så både bruddet og håndteringen tæller. GDPR for udlejere, det skal du have styr på

> Når skaden er sket, trin for trin: 1) stands og begræns bruddet med det samme, skift koder, tilbagekald mails, spær adgange; 2) notér kendskabstidspunktet, for 72-timers-fristen løber fra nu; 3) vurdér risikoen for de berørte, og dokumentér vurderingen; 4) anmeld til Datatilsynet inden 72 timer, medmindre risikoen er usandsynlig, og eftersend gerne oplysninger trinvist; 5) underret lejerne direkte ved sandsynlig høj risiko, klart og konkret; 6) og før alt ind i din brudlog, også de brud, du ikke anmelder.

## Overblik: brud, frist og beredskab

| Element | Kernen |
| --- | --- |
| Bruddet | Når personoplysninger lækker, mistes eller tilgås uberettiget |
| 72-timers-fristen | Et brud skal ofte anmeldes til Datatilsynet inden 72 timer |
| Underretningen | Lejerne skal underrettes ved høj risiko for dem |
| Dokumentationen | Også små brud skal registreres internt |
| Beredskabet | En plan på forhånd redder fristen, når det brænder på |

Tabellen er emnet i fem rækker. Gennemgangen ovenfor folder den ud. Kernen er, at et persondatabrud sker, når personoplysninger lækker, mistes eller tilgås uberettiget. Som udlejer håndterer du mange oplysninger om dine lejere. Et brud skal ofte anmeldes til Datatilsynet inden for 72 timer. Er der høj risiko for de berørte, skal lejerne også underrettes. Selv små brud skal registreres internt. Og det, der redder fristen, er et beredskab lagt på forhånd. For 72 timer er kort tid at improvisere i.

## Taleksempel: forberedt eller uforberedt

Lad os se forskellen. Alle tal er kun illustration.

Sig, at to udlejere begge oplever, at en liste med lejeroplysninger lækker.

Den første har et beredskab. Han ved, hvad et brud er, og hvad han skal gøre. Han vurderer risikoen, anmelder til Datatilsynet inden fristen og underretter de berørte lejere. Han dokumenterer forløbet. Fristen holdt, fordi planen lå klar.

Den anden har intet beredskab. Han er i tvivl om, hvorvidt det tæller som et brud, og hvad han skal gøre. Mens han finder ud af det, løber timerne. Han risikerer at overskride fristen. Samme brud, to forskellige udfald, alt efter om der var et beredskab. Få styr på reglerne, se GDPR for udlejere, det skal du have styr på, og på din administration, se system i din udlejningsadministration.

## Sådan opbygger du et beredskab mod databrud

Fire principper redder fristen.

Vid, hvad et brud er. Et brud er, når personoplysninger lækker, mistes eller tilgås uberettiget. Kend definitionen på forhånd, så du hurtigt kan afgøre, om noget tæller, se GDPR for udlejere, det skal du have styr på.

Kend 72-timers-fristen. Et brud skal ofte anmeldes til Datatilsynet inden 72 timer. Hav en plan for, hvem der gør hvad, så fristen ikke løber fra dig i forvirring, se udlejerens juridiske håndbog.

Forbered underretning af lejerne. Ved høj risiko for de berørte skal lejerne underrettes. Hav en skabelon klar, så du kan handle hurtigt, når det gælder, se konflikt med lejeren, sådan trapper du ned.

Og dokumentér alt. Også små brud skal registreres internt. Før en log over brud og handlinger, så du kan dokumentere, at du gjorde det rigtige, se digital drift af din udlejning. Et databrud kan ramme enhver udlejer. Forskellen ligger i beredskabet, for 72 timer er for kort tid til at begynde at tænke fra bunden.

## Faldgruber

- **At tro, reglerne kun gælder store selskaber.** Som udlejer er du dataansvarlig, og brudreglerne gælder uanset din størrelse.
- **At lade fristen løbe, mens du undersøger.** Anmeld trinvist inden 72 timer, og eftersend det, du ikke ved endnu.
- **At glemme dokumentationen af små brud.** Alle brud skal i brudloggen efter artikel 33, stk. 5, også dem, der ikke anmeldes.
- **At overse databehandlerne.** Administrator og systemleverandører skal underrette dig om brud, men anmeldelsespligten er din.
- **At tie over for lejerne ved høj risiko.** Manglende underretning efter artikel 34 forværrer både sagen og tilliden.

## Ofte stillede spørgsmål

### Hvad tæller som et persondatabrud for en udlejer?

Ethvert sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysninger. I udlejerens hverdag er de typiske eksempler en mail med lejeroplysninger sendt til forkert modtager, en mistet computer eller papirmappe med lejesager, en hacket mailkonto eller et forkert bilag i en fremsendelse. Det afgørende er, om oplysninger er kommet uden for din kontrol, ikke om nogen har haft ondt i sinde.

### Hvornår skal et brud anmeldes til Datatilsynet?

Efter databeskyttelsesforordningens artikel 33 skal du anmelde bruddet uden unødig forsinkelse og om muligt senest 72 timer efter, at du er blevet bekendt med det. Anmeldelse kan kun undlades, hvis det er usandsynligt, at bruddet indebærer en risiko for de berørte personers rettigheder. Overskrider du fristen, skal anmeldelsen ledsages af en begrundelse, og kender du ikke alle detaljer endnu, kan du anmelde trinvist og eftersende oplysninger. Det er bedre end at vente.

### Hvornår skal jeg underrette lejerne om et brud?

Når bruddet sandsynligvis indebærer en høj risiko for de berørte, skal du efter forordningens artikel 34 underrette dem uden unødig forsinkelse, typisk hvor CPR-numre, økonomiske oplysninger eller følsomme data er kompromitteret på en måde, der kan misbruges. Underretningen skal klart beskrive, hvad der er sket, konsekvenserne, dine tiltag, og hvad lejerne selv kan gøre. Den kan undlades, hvis oplysningerne var beskyttet, fx krypteret, eller hvis den høje risiko senere er fjernet.

## Kilder

Kilder: Retsinformation, Datatilsynet og Tinglysningsretten. Senest opdateret: juli 2026.

_Denne artikel er generel information og udgør ikke juridisk rådgivning. Reglerne er valideret mod databeskyttelsesforordningens artikel 33 og 34 samt Datatilsynets vejledning ved skrivning. En konkret brudvurdering bør ske hurtigt og om nødvendigt med rådgiver. Kilde: databeskyttelsesforordningen (artikel 33 og 34) og Datatilsynet._