TL;DR
Den 5. oktober 2026 publiserte presidenten for UODO veiledning om meldeterskelen i artikkel 33 nr. 1, etter en rekke hendelser med uautorisert tilgang til databaser over avtaleparter og faktureringssystemer. Er det bare eksponert opplysninger om næringsdrivende som allerede er offentlige i registeret CEIDG (navn, foretaksnavn, NIP, offisiell adresse), er risiko normalt lite sannsynlig, og melding er kanskje ikke nødvendig. Har PESEL-nummer, kjøpsdetaljer som avslører helse eller andre særlige kategorier, eller økonomiske opplysninger lekket i tillegg, skal det meldes; ved høy risiko skal også de registrerte varsles (artikkel 34). Alltid: en dokumentert risikovurdering og begrunnelsen for ikke å melde i den interne protokollen.
Bakgrunnen
I de siste hendelsene i Polen rammet den uautoriserte tilgangen ikke kunderegistre med forbrukere, men databaser over avtaleparter og faktureringssystemer: lister over virksomheter og selvstendig næringsdrivende man samarbeider med. UODO ber hver behandlingsansvarlig om en grundig risikovurdering i hvert enkelt tilfelle, og resultatet avgjør om det er meldeplikt.
Når melding kan være unødvendig
Det typiske tilfellet er enkeltpersonforetak der de eksponerte opplysningene tilsvarer det alle kan slå opp i det offentlige registeret CEIDG: for- og etternavn, foretaksnavn, NIP, offisiell forretningsadresse. Ifølge tilsynet gir tap av konfidensialitet for slike opplysninger normalt ikke uvedkommende nye muligheter til å skade den registrerte. Andre land har tilsvarende foretaksregistre, men vurderingen må alltid gjøres for det konkrete tilfellet.
Når melding er påkrevd
- PESEL, det polske nasjonale identifikasjonsnummeret: risiko for identitetstyveri, svindel og gjeld tatt opp i den registrertes navn.
- DETALJER OM KJØP ELLER TJENESTER som avslører helse eller andre særlige kategorier: risiko for privatlivet, diskriminering og uautorisert profilering.
- ØKONOMISKE OPPLYSNINGER: risiko for svindel og falske fakturaer eller betalinger.
Ikke melde er ikke det samme som ikke dokumentere
Selv når den behandlingsansvarlige konkluderer med at melding ikke er nødvendig, må den gjennomføre og dokumentere risikovurderingen og føre begrunnelsen for ikke å melde inn i den interne avviksprotokollen. GDPR krever at alle brudd dokumenteres, meldt eller ikke (artikkel 33 nr. 5). En beslutning om ikke å melde uten skriftlig spor kan ikke forsvares i et tilsyn.
Hva det betyr for personvernombudet
Fem grep ved en hendelse i faktureringssystemet
Én: rekonstruer nøyaktig hvilke felt som ble eksponert, post for post, i stedet for å resonnere abstrakt om «databasen». To: skill opplysninger som allerede er offentlige, fra alt annet (IBAN, beløp, beskrivelser av tjenester, private kontaktopplysninger, notater). Tre: skriv ned vurderingen med dato, forfatter, kriterier og konklusjon, og åpne den igjen hvis nye fakta dukker opp. Fire: hold øye med de 72 timene, som løper fra man ble kjent med bruddet, ikke fra analysen er ferdig. Fem: skjedde hendelsen hos en databehandler, kontroller at den varslet den behandlingsansvarlige uten ugrunnet opphold (artikkel 33 nr. 2), og at avtalen krever det.
UODOs lesning er i tråd med EDPBs retningslinjer 9/2022 om melding av brudd: terskelen er ikke hvor alvorlig hendelsen føles, men risikoen for menneskene. Den praktiske verdien av den polske veiledningen ligger i eksemplene, som viser hva som gjør en liste over avtaleparter til et meldepliktig problem.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
