Personopplysninger på avveie

Personopplysninger på avveie rammer både privatpersoner og virksomheter, og Datatilsynet mottok 3 016 avviksmeldinger i 2025. For virksomheten handler det om å melde fra til Datatilsynet innen 72 timer og dokumentere hendelsen, uansett om den meldes eller ikke. Trenger dere en samlet struktur for avviksarbeidet, kan dere ta utgangspunkt i et avvikssystem.

Dette må du vite:

• Personopplysninger på avveie er juridisk sett en type brudd på personopplysningssikkerheten, selv om lekkasje og avvik ofte brukes om hverandre i dagligtale
• Som privatperson kan du sjekke om e-postadressen din finnes i kjente lekkasjer via haveibeenpwned.com, og få veiledning hos NorSIS på nettvett.no
• Virksomheten skal melde bruddet til Datatilsynet innen 72 timer dersom det ikke er usannsynlig at det medfører risiko for de registrerte
• Overtredelsesgebyr kan gå opptil 20 millioner euro eller 4 % av global årsomsetning, men norske vedtak har de siste årene ligget fra 250 000 kroner til 65 millioner kroner

Hva betyr det at personopplysninger kommer på avveie?

Personopplysninger er på avveie når informasjon som identifiserer fysiske personer, for eksempel navn, fødselsnummer, e-postadresse eller passord, ved en feil eller gjennom et innbrudd havner hos noen som ikke skal ha tilgang til dem.

Nivået har ligget stabilt høyt de siste årene. Datatilsynet mottok 2 250 avviksmeldinger i 2022, 2 822 i 2023, 3 191 i 2024 og 3 016 i 2025. Bak tallene ligger alt fra enkeltstående e-poster til feil mottaker til de store angrepene, som datainnbruddet hos Telia Norge, der opplysninger om rundt 500 000 kunder ble lagt ut på det mørke nettet, og innbruddet hos læringsplattformen Canvas, som utløste nesten 20 avviksmeldinger fra norske universiteter og høyskoler.

I personvernforordningen kalles dette et brudd på personopplysningssikkerheten. Lekkasje og avvik brukes ofte synonymt i dagligtale, men juridisk er lekkasjen en undergruppe. Etter artikkel 4 nr. 12 omfatter et brudd all behandling som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring eller uautorisert tilgang til personopplysninger. Lekkasjen gjelder spesifikt at opplysningene er spredt til noen utenfor.

Det betyr at begrepet dekker både situasjoner der opplysningene fortsatt finnes hos dere, men en utenforstående har fått tilgang, og situasjoner der dere helt har mistet kontrollen over dem.

3 vanlige typer:

• Tekniske innbrudd, der en angriper bryter seg inn i et system og kopierer ut data. Se hva er datainnbrudd for en kort definisjon
• Menneskelige feil, som e-post til feil mottaker eller en fil lagret i en åpen mappe. Dette er den klart vanligste kategorien og sto for 39 % av meldingene til Datatilsynet i 2025
• Svikt hos leverandører eller underleverandører som behandler opplysninger på deres vegne

Eksempler på situasjoner der personopplysninger kommer på avveie

3 eksempler som går igjen i avviksmeldingene:

✔︎ "En ansatt sendte et vedlegg med kundenes fødselsnumre til feil e-postadresse."

✔︎ "En usikret sikkerhetskopi hos IT-leverandøren vår lå åpent tilgjengelig på internett."

✔︎ "En ansatt leverte inn en ukryptert PC med personalmapper til reparasjon."

Fellesnevneren er at opplysningene har havnet utenfor virksomhetens kontroll. Det er da meldeplikten kan bli aktuell.

Hvordan vet jeg om mine personopplysninger er på avveie?

Du får som regel beskjed fra virksomheten som er rammet, eller oppdager det selv via tjenester som haveibeenpwned.com, som samler kjente lekkasjer.

Virksomheten der opplysningene dine behandles har plikt etter artikkel 34 til å informere deg uten ugrunnet opphold dersom bruddet medfører høy risiko for dine rettigheter og friheter. I praksis skjer det via brev, e-post eller en melding på nettstedet. Får du en slik beskjed, les den nøye. Den forteller hvilke opplysninger som er omfattet og hva du kan gjøre.

Du kan også sjekke selv:

• Haveibeenpwned.com er verdens største åpne database over lekkede opplysninger, og dekker også store lekkasjer som har rammet norske brukere
• NorSIS, som driver nettvett.no og slettmeg.no, gir gratis råd og veiledning om ID-tyveri og uønskede hendelser på nett
• Bank- og e-tjenestekontoer har ofte egne varslingssystemer som melder fra om mistenkelig aktivitet

Tegn på at opplysningene dine kan ha kommet på avveie selv uten formell beskjed:

• Du får plutselig flere svindelforsøk på e-post, SMS eller telefon
• Ukjent innloggingsaktivitet i en av tjenestene dine
• Varsler fra bank eller e-tjenester om aktivitet du ikke kjenner igjen
• Brev om en kreditt du aldri har søkt om

Hva gjør du hvis dine personopplysninger har kommet på avveie?

Opprett frivillig kredittsperre, bytt passord på de berørte tjenestene, slå på tofaktorautentisering, anmeld til politiet ved mistanke om ID-tyveri og ta vare på dokumentasjonen.

Konkret arbeidsgang:

1. Opprett frivillig kredittsperre. Sperren hindrer at det tas kredittopplysninger på deg, og må opprettes hos hvert enkelt kredittopplysningsbyrå: Experian, Dun & Bradstreet, Creditsafe og TietoEvry. Sperrer du bare hos ett, kan en långiver fortsatt hente opplysninger hos et annet
2. Bytt passord på tjenestene der opplysningene kan ha lekket, og på alle andre tjenester der du har gjenbrukt samme passord
3. Slå på tofaktorautentisering (2FA) på e-post, bank og andre kritiske tjenester. Det stopper de fleste kapringsforsøk selv om noen har fått tak i passordet ditt
4. Anmeld til politiet på politiet.no eller 02800 ved mistanke om svindel eller ID-tyveri. Anmeldelsen trenger du for å bestride krav og for å dokumentere forholdet overfor bank og forsikring
5. Bestrid urettmessige krav direkte overfor kreditor, og overfor namsmannen dersom saken allerede har kommet dit
6. Ta vare på all dokumentasjon: brevet fra virksomheten, skjermbilder, kvitteringer på kredittsperre og politianmeldelsen

Du har også rett til å klage til Datatilsynet dersom du mener virksomheten har håndtert opplysningene dine feil eller informert deg for sent.

Hva gjelder for virksomheten ved en lekkasje av personopplysninger?

Virksomheten skal melde bruddet til Datatilsynet innen 72 timer fra kjennskap dersom det ikke er usannsynlig at det medfører risiko for de registrerte. Virksomheten skal også informere de berørte ved høy risiko, og dokumentere hendelsen uansett om den meldes.

72-timersfristen følger av artikkel 33 og begynner å løpe når virksomheten fikk kjennskap til bruddet, ikke da lekkasjen skjedde. Vurderingen av om du må rapportere et brudd på personopplysningssikkerheten styres av sannsynlig risiko for de registrerte, ikke av hvor sikker du er på at lekkasjen faktisk har skjedd. Hovedtrekkene:

• Melding til Datatilsynet sendes via meldeskjemaet deres. Den skal beskrive hva som har skjedd, hvilke kategorier og omtrent hvor mange registrerte som er berørt, sannsynlige konsekvenser og hvilke tiltak dere har satt i verk
• Informasjon til de berørte etter artikkel 34 kreves når bruddet medfører høy risiko for deres rettigheter og friheter. Informasjonen skal være klar og tydelig, og beskrive typen brudd, hvilke opplysninger som er omfattet og hva de berørte kan gjøre
• Dokumentasjonsplikten gjelder alle brudd, også de som ikke meldes. Dokumentasjonen skal kunne legges fram for Datatilsynet ved tilsyn

Overtredelsesgebyr etter artikkel 83 kan gå opptil 20 millioner euro eller 4 % av global årsomsetning, avhengig av hvilken bestemmelse som er overtrådt. Datatilsynet fattet 36 vedtak om korrigerende tiltak og sanksjoner i 2025, hvorav bare 2 var overtredelsesgebyr. Norske vedtak de siste årene viser spennet i praksis:

Mønsteret i de største datahendelsene de siste årene er at mangelfull tilgangsstyring, utilstrekkelig kryptering eller uteglemte sikkerhetsoppdateringer ligger bak de fleste lekkasjene.

Hvordan forebygger dere at personopplysninger kommer på avveie? 

Risikoen reduseres gjennom kryptering, tilgangsstyring, leverandøroppfølging og en avvikshåndtering som faktisk brukes i praksis, ikke bare dokumenteres.

Artikkel 32 krever at behandlingsansvarlige iverksetter egnede tekniske og organisatoriske tiltak. Det er et skjønnsrom, men 6 tiltak går igjen i praktisk talt alle tilsynssaker:

1. Kryptering av personopplysninger i ro og under overføring, særlig for særlige kategorier og fødselsnumre
2. Tilgangsstyring etter prinsippet om minste nødvendige tilgang (least privilege), med jevnlig gjennomgang av hvem som har tilgang til hva
3. Logging og overvåking, slik at avvikende aktivitet oppdages tidlig
4. Leverandøroppfølging med databehandleravtale, sikkerhetskrav og jevnlig kontroll av faktisk etterlevelse
5. Opplæring av ansatte i hva som er et avvik og hvordan det skal rapporteres internt. Med 39 % av meldingene knyttet til feil mottaker er dette tiltaket med størst effekt per krone
6. Rutiner for avvikshåndtering med tydelig ansvarsfordeling, beslutningsstøtte for meldevurderingen og maler for dokumentasjon

Det siste punktet er ofte det svakeste i praksis. Når en lekkasje inntreffer, har dere 72 timer på å samle inn informasjon, gjøre en juridisk vurdering, fatte en beslutning og formulere en melding. Det lar seg ikke improvisere fram, fordi dokumentasjonen skal kunne legges fram for Datatilsynet og vise at prosessen ble fulgt. En struktur som speiler hvordan arbeidet faktisk gjøres, er det som holder ved tilsyn.

Er dere usikre på hvor dere står i dag, kan dere begynne med å ta Draftits GDPR-test for en rask modenhetsvurdering.

Vanlige spørsmål om personopplysninger på avveie

Er en lekkasje av personopplysninger det samme som et brudd på personopplysningssikkerheten?

Nei, lekkasjen er en undergruppe av bruddet, selv om begrepene brukes om hverandre i dagligtale. Lekkasjen gjelder tilfeller der opplysninger er spredt til noen utenfor virksomheten. Bruddet omfatter i tillegg utilsiktet sletting, endring og intern uautorisert tilgang der ingenting har kommet ut. Datatilsynet bruker også ordet avvik, som er enda videre og dekker forhold som ikke nødvendigvis er et brudd i forordningens forstand.

Må alle lekkasjer meldes til Datatilsynet?

Nei, meldeplikten etter artikkel 33 gjelder når det ikke er usannsynlig at bruddet medfører risiko for de registrerte. Er risikoen vurdert som usannsynlig, holder det med intern dokumentasjon. Men vurderingen må kunne begrunnes, og dokumentasjonsplikten gjelder også for brudd dere velger å ikke melde. Datatilsynet kan be om å se den vurderingen ved et senere tilsyn.

Kan jeg få erstatning hvis personopplysningene mine har kommet på avveie?

Ja, etter artikkel 82 har du rett til erstatning for materiell eller ikke-materiell skade som følger av en overtredelse. Personopplysningsloven § 30 gir i tillegg hjemmel for oppreisning for ikke-økonomisk skade der det synes rimelig. Norsk rettspraksis har foreløpig ikke etablert faste satser, og utmålingen gjøres konkret i hver sak. EU-domstolen har lagt til grunn at skadebegrepet skal tolkes vidt, men at erstatning ikke gis automatisk ved enhver overtredelse.

Hvor lang tid har virksomheten på seg til å informere meg?

Virksomheten skal informere de berørte uten ugrunnet opphold når bruddet medfører høy risiko for deres rettigheter og friheter, etter artikkel 34. Det er ingen fast timefrist slik som de 72 timene for melding til Datatilsynet, men praksis ligger på dager, ikke uker. Hensikten med fristen er at du skal rekke å beskytte deg selv mens det fortsatt har effekt, og for sen informasjon kan i seg selv utgjøre et brudd på artikkel 34. Trekker det ut uten god grunn, kan du klage til Datatilsynet.

Hva skjer hvis personopplysningene publiseres på det mørke nettet?

Da har spredningen i praksis passert ethvert punkt der den lar seg begrense, og virksomheten må behandle det som et bekreftet høyrisikotilfelle etter artikkel 34. Det betyr bred informasjon til de berørte og dialog med Datatilsynet, ikke en ny vurdering av om risikoen er høy nok. For deg som er berørt betyr det at svindelforsøk kan dukke opp lenge etter selve lekkasjen, fordi opplysningene blir liggende og omsettes videre mellom aktører. Kredittsperre og årvåkenhet bør derfor være på plass i flere år framover, ikke bare de første ukene.

Hva gjør jeg hvis en virksomhet ikke svarer på henvendelsen min?

Du kan klage til Datatilsynet, som fører tilsyn med etterlevelsen av personvernregelverket i Norge. Send først en skriftlig henvendelse til virksomheten og be om svar innen 1 måned, som er fristen etter artikkel 12 nr. 3. Får du ikke svar, kan du klage. Datatilsynets vedtak kan i sin tur påklages til Personvernnemnda etter personopplysningsloven § 22.

Hva er forskjellen på pseudonymiserte og anonymiserte opplysninger i en lekkasje?

Pseudonymiserte opplysninger er fortsatt personopplysninger og omfattes av meldeplikten, mens anonymiserte opplysninger faller helt utenfor regelverket. Pseudonymisering betyr at koblingen til personen er skjult, men at den kan gjenopprettes med tilleggsinformasjon. Lekker både de pseudonymiserte dataene og nøkkelen, er situasjonen den samme som ved en ordinær lekkasje. Reell anonymisering er irreversibel, og en lekkasje av slike data utløser ikke meldeplikt. Er dere i tvil, behandle dem som personopplysninger og ta kontakt med Draftit eller annen juridisk ekspertise for en konkret vurdering.