Beräkna 72-timmarsfristen för anmälan av personuppgiftsincidenter enligt GDPR

Ange när ert lärosäte fick vetskap om en personuppgiftsincident och få tidsfristen enligt artikel 33 GDPR med en nedräkning, tidsfristerna enligt NIS2 om de gäller och leverantörens tidsgräns enligt ert personuppgiftsbiträdesavtal. Gå sedan igenom en kort bedömning som bygger på EDPB:s riktlinjer, öppna tillsynsmyndighetens sida för anmälan och kopiera en post till incidentloggen enligt artikel 33.5. Allt körs i din webbläsare.

Publicerad 9 oktober 2026 · Källor kontrollerade 9 oktober 2026

Finns även på: English · Nederlands · Norsk · Suomi · Dansk · Français · Español · Português

Hur beräknas 72-timmarsfristen?

De 72 timmarna i artikel 33.1 GDPR löper från den tidpunkt då lärosätet fick vetskap om incidenten, och de är kalendertimmar: nätter, helger och helgdagar räknas. EDPB:s riktlinjer om anmälan av personuppgiftsincidenter hänvisar till förordning 1182/71 om tidsfrister, enligt vilken lördagar, söndagar och helgdagar ingår i varje period som inte anges i arbetsdagar.

Artikel 33.1 kräver anmälan ”utan onödigt dröjsmål och, om så är möjligt, inte senare än 72 timmar” efter vetskapen. De 72 timmarna är en yttre gräns, inte ett mål. En senare anmälan ska åtföljas av en motivering till förseningen, och om uppgifter saknas kan ni anmäla i omgångar (art. 33.4).

Klockan börjar vid vetskapen, inte vid själva incidenten. EDPB anser att en personuppgiftsansvarig har fått vetskap när den har ”a reasonable degree of certainty” (en rimlig grad av säkerhet) om att en säkerhetsincident har påverkat personuppgifter (riktlinjer 9/2022, punkt 31). En kort utredning får göras innan dess, men den bör påbörjas så snart som möjligt (punkt 34).

Vad förordning 1182/71 tillför

I punkt 40 i riktlinjerna 9/2022 lägger EDPB till en fotnot om de 72 timmarna som hänvisar till förordning (EEG, Euratom) nr 1182/71, EU:s allmänna regler om perioder, datum och tidsfrister. Tre av dess regler har betydelse här:

• Perioder omfattar helgdagar, söndagar och lördagar, om dessa inte uttryckligen undantas eller perioden anges i arbetsdagar (art. 3.3).
• Förlängningen till nästa arbetsdag när en period slutar på en helg eller helgdag gäller bara perioder som inte anges i timmar (art. 3.4). Den förlänger inte de 72 timmarna.
• För en period i timmar räknas inte den timme då händelsen inträffar (art. 3.1). Strikt läst börjar perioden vid vetskap kl. 10.20 alltså kl. 11.00 och slutar kl. 11.00 tre dagar senare.

Validemics analys Verktyget visar de 72 timmarna räknat från minuten för vetskapen som tidsfrist och den strikta läsningen enligt artikel 3.1 som en anmärkning. Planera efter den tidigare tidpunkten. De extra minuterna är inte värda en diskussion med tillsynsmyndigheten, och skyldigheten är ändå att anmäla ”utan onödigt dröjsmål”.

Tidszoner och omställning till sommar- eller vintertid

Verktyget omvandlar den tid du anger till en exakt tidpunkt, så att tidsfristen blir rätt i alla tidszoner. Om klockan ställs om under de 72 timmarna räknar verktyget 72 förflutna timmar, vilket innebär att tidsfristen på väggklockan infaller en timme tidigare eller senare än klockslaget för vetskapen. Verktyget talar om när detta händer och vilken tidpunkt som är tidigast.

När börjar klockan om incidenten har inträffat hos en leverantör?

I princip när leverantören berättar det för er. Ett personuppgiftsbiträde ska underrätta den personuppgiftsansvarige ”utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident” (art. 33.2), och EDPB anger att den personuppgiftsansvarige i princip bör anses ha fått vetskap när biträdet har informerat den (riktlinjer 9/2022, punkt 44). GDPR anger inget antal timmar för leverantören.

EDPB rekommenderar därför att personuppgiftsbiträden underrättar snabbt och kompletterar uppgifterna i omgångar, och att avtalet anger hur artikel 33.2 ska uppfyllas, vilket ”can include requirements for early notification” (kan omfatta krav på tidig underrättelse) (punkterna 45 och 46). Biträdet behöver inte bedöma risken innan det underrättar er: det är lärosätets uppgift (punkt 44). Avtalet ska också förplikta biträdet att bistå lärosätet med artiklarna 32–36 (art. 28.3 f).

Validemics analys Om ett personuppgiftsbiträdesavtal ger leverantören 72 timmar eller mer kan leverantören använda hela perioden innan lärosätet får veta något. Er egen klocka börjar senare, men tillsynsmyndigheten kommer ändå att fråga varför anmälan tog så lång tid. Ange avtalets tidsgräns i steg 1 för att se om leverantören höll den, och dokumentera svaret. Vår guide om incidenthantering (på engelska) listar vad en incidentklausul i ett personuppgiftsbiträdesavtal bör innehålla, och PUB-avtalskontrollen stämmer av ett avtal mot artikel 28.3.

Granskar ni en leverantör just nu? Validemic stämmer av leverantörens dokument mot GDPR och AI-förordningen och anger källa för varje bedömning. Testa demomiljön

Behöver vi anmäla en personuppgiftsincident?

Det finns tre möjliga utfall. Om det är osannolikt att incidenten medför en risk för de berörda dokumenterar ni den men anmäler den inte. Om den sannolikt medför en risk anmäler ni den till tillsynsmyndigheten. Om den sannolikt medför en hög risk informerar ni också de berörda (art. 34), om inte ett villkor i artikel 34.3 är uppfyllt. Alla incidenter dokumenteras enligt artikel 33.5.

Beslutsstödet i steg 2 följer de faktorer som EDPB anger i avsnitt IV i riktlinjerna 9/2022: typen av incident, uppgifternas art, känslighet och mängd, hur lätt personerna kan identifieras, hur allvarliga och långvariga följderna kan bli, särskilda egenskaper hos de berörda, till exempel barn, och antalet berörda. Flera punkter i riktlinjerna styr resultatet:

• När känsliga personuppgifter eller uppgifter om lagöverträdelser berörs ”should be considered likely to occur” (bör skada anses sannolik) (punkt 102).
• Korrekt krypterade uppgifter med en nyckel som inte har röjts är i princip obegripliga, så en konfidentialitetsincident behöver kanske inte anmälas, förutsatt att det finns en säkerhetskopia. Utan tillräckliga säkerhetskopior kan information till de berörda ändå krävas (punkterna 76–79).
• En betrodd mottagare, till exempel en annan enhet eller en känd leverantör som återlämnar eller raderar uppgifterna, kan undanröja sannolikheten för risk (punkt 114).
• När ni inte vet om uppgifter har kopierats, bedöm ”the worse scenario” (det värre scenariot) (riktlinjer 01/2021, punkt 30).
• ”If in doubt, the controller should err on the side of caution and notify” (Vid tvivel bör den personuppgiftsansvarige hellre vara försiktig och anmäla) (riktlinjer 9/2022, punkt 119).

EDPB:s exempel i riktlinjerna 01/2021 visar hur faktorerna samverkar:

Artikel 34.3 tar bort skyldigheten att informera de berörda om uppgifterna var oläsbara (till exempel krypterade), om senare åtgärder gör att den höga risken sannolikt inte längre kommer att uppstå, eller om kontakt med varje person skulle innebära en oproportionell ansträngning. I det sista fallet ska allmänheten i stället informeras. Vår guide om incidenthantering (på engelska) tillämpar faktorerna på fyra scenarier från lärosäten.

Vilka är NIS2:s tidsfrister på 24 timmar, 72 timmar och en månad?

Om ert lärosäte är en väsentlig eller viktig entitet enligt den nationella NIS2-lagen kräver en betydande incident en tidig varning inom 24 timmar efter att ni fått kännedom om den, en incidentanmälan inom 72 timmar och en slutrapport senast en månad efter incidentanmälan (direktiv (EU) 2022/2555, art. 23.4). Dessa lämnas till CSIRT-enheten eller den behöriga myndigheten, inte till dataskyddsmyndigheten.

En incident är betydande om den har orsakat eller kan orsaka allvarliga driftsstörningar eller ekonomiska förluster, eller betydande skada för andra (art. 23.3). Om incidenten fortfarande pågår när slutrapporten ska lämnas, ska en lägesrapport lämnas då och slutrapporten inom en månad efter att incidenten hanterats (art. 23.4 e). En och samma ransomwareattack kan utlösa båda regelverken, och de två klockorna kan börja vid olika tidpunkter: NIS2-klockan när ni känner till en betydande incident, GDPR-klockan när ni vet att personuppgifter berörs.

Nationella lagar tillför detaljer. Nationellt cybersäkerhetscenter, som tar emot rapporter enligt cybersäkerhetslagen via sin Cyberportal, räknar de 24 timmarna från det att verksamheten har identifierat incidenten som rapporteringspliktig. Tyska BSI förklarar vetskap som den tidpunkt då en anställd får kännedom om incidenten ”(innerhalb der Arbeitszeit)” (under arbetstid). Om ett lärosäte alls omfattas skiljer sig mellan länderna, se NIS2-direktivet förklarat och NIS2 och lärosäten: omfattas ni? (på engelska).

Hur organiserar lärosäten anmälan av incidenter?

Lärosäten som tillförlitligt klarar 72 timmar gör det första steget enkelt: en adress eller ett formulär, rapportering direkt, utan att vänta på alla fakta. Fyra exempel:

• Trinity College Dublin ber medarbetarna rapportera alla incidenter eller misstänkta incidenter till dataskyddsenheten ”without delay for assessment” (utan dröjsmål för bedömning) och anger att ”a data protection breach is not a disciplinary issue” (en personuppgiftsincident är inte en disciplinfråga).
• University of Edinburgh ber medarbetarna rapportera en incident ”immediately” (omedelbart) med e-post till dataskyddsombudet och att fylla i del A av universitetets utvärderingsformulär för incidenter inom 24 timmar efter upptäckten.
• Universitetet i Oslo ber alla som behandlar personuppgifter för universitetets räkning att genast informera sin närmaste chef, som sedan rapporterar till UiO-CERT via ett formulär. Alla fakta behöver inte vara kända först.
• Universiteit Utrecht ber anställda och studenter att så snart som möjligt rapportera misstänkta personuppgiftsincidenter till universitetets IT-servicedesk, via en särskild e-postadress eller per telefon i brådskande fall.

Validemics analys Den gemensamma nämnaren är att det är enkelt för den som upptäcker något att rapportera, och att bedömningen görs centralt. En rapporteringsväg som är öppen utanför kontorstid är viktig, eftersom de 72 timmarna inte pausas under helger.

Kommer 72-timmarsfristen att ändras?

På gång: kommissionens förslag till digital omnibus (COM(2025) 837, förfarande 2025/0360(COD), 19 november 2025) skulle förlänga fristen för anmälan till tillsynsmyndigheten enligt GDPR till 96 timmar, inrikta den på incidenter med högre risk och skapa en gemensam kontaktpunkt för incidentrapportering enligt flera lagar. Den 9 oktober 2026 anger Europaparlamentets lagstiftningsobservatorium status ”Awaiting committee decision” (väntar på utskottsbeslut). Tills förslaget har antagits och börjat tillämpas, planera för 72 timmar. Artikel 33 förklaras på vår sida om dataskyddsförordningen.

Källor

Alla källor hämtades den 9 oktober 2026. Citat ur EU-rättsakter återges i den officiella svenska lydelsen. Övriga citat återges på originalspråket med en svensk översättning inom parentes.

1. Förordning (EU) 2016/679 (dataskyddsförordningen), artiklarna 4.12, 28.3 f, 33 och 34, EUR-Lex: eur-lex.europa.eu/eli/reg/2016/679/oj/swe (texten i EUT läst via EU:s publikationsbyrå)
2. Direktiv (EU) 2022/2555 (NIS2), artikel 23 och skäl 102, EUR-Lex: eur-lex.europa.eu/eli/dir/2022/2555/oj/swe
3. EDPB, riktlinjer 9/2022 om anmälan av personuppgiftsincidenter enligt GDPR, version 2.0, antagna den 28 mars 2023: edpb.europa.eu, Guidelines 9/2022
4. EDPB, riktlinjer 01/2021 med exempel på anmälan av personuppgiftsincidenter, version 2.0, antagna den 14 december 2021: edpb.europa.eu, Guidelines 01/2021
5. Förordning (EEG, Euratom) nr 1182/71 om regler för bestämning av perioder, datum och frister, artiklarna 1 och 3: EUR-Lex, CELEX 31971R1182 (originaltexten läst via legislation.gov.uk, i den lydelse EU antog)
6. Europaparlamentets lagstiftningsobservatorium, förfarande 2025/0360(COD), digital omnibus: oeil.europarl.europa.eu
7. Tillsynsmyndigheternas sidor för anmälan av personuppgiftsincidenter: IMY, Datatilsynet (Danmark), Tietosuojavaltuutetun toimisto, Autoriteit Persoonsgegevens, CNIL, AEPD, CNPD, APD/GBA, Data Protection Commission, ICO och Datenschutzkonferenz förteckning över tyska tillsynsmyndigheter. Vi kunde inte nå datatilsynet.no på kontrolldagen.
8. Rapporteringsställen enligt NIS2: Sverige, Nationellt cybersäkerhetscenter, Danmark, Styrelsen for Samfundssikkerhed, Finland, Kyberturvallisuuskeskus vid Traficom, Nederländerna, NCSC, Tyskland, BSI: NIS-2-Meldepflicht, Irland, NCSC incident reporting, Europeiska kommissionen, genomförandet av NIS2
9. Trinity College Dublin, Data Breach Notification: tcd.ie/dataprotection/databreach
10. University of Edinburgh, Data protection breach and complaints procedure: data-protection.ed.ac.uk/breach-procedure
11. Universitetet i Oslo, Avvik ved behandling av personopplysninger: uio.no, personvern, avvik
12. Universiteit Utrecht, Report data breach: uu.nl, report data breach

Om den här sidan

Källorna kontrollerades den 9 oktober 2026. Vi har läst GDPR och NIS2 i de versioner av Europeiska unionens officiella tidning som publiceras av EU:s publikationsbyrå, båda EDPB-riktlinjerna i sin helhet, artikel 3 i förordning 1182/71, varje myndighets- och lärosätessida som länkas ovan samt Europaparlamentets ärendeakt. Beslutsstödet är vår egen förenkling av EDPB:s faktorer och exempel. Det är ett stöd för bedömningen och inte juridisk rådgivning. Den personuppgiftsansvarige och dess dataskyddsombud ansvarar för bedömningen, och nationell rätt eller myndighetens praxis kan innehålla ytterligare krav. Datumlogiken har testats över omställningar till sommar- och vintertid. Om en länk har flyttats eller du hittar ett fel, kontakta oss så rättar vi det.