Lekker personopplysninger, har du som hovedregel 72 timer på å melde fra til Datatilsynet.
Et avvik, eller brudd på personopplysningssikkerheten, er når personopplysninger kommer på avveie, blir endret eller går tapt. Etter personvernforordningen (GDPR) artikkel 33 skal slike brudd meldes til Datatilsynet uten ugrunnet opphold, og som hovedregel innen 72 timer etter at du ble klar over det.
72 timer er sammenhengende timer, ikke virkedager, og klokken starter når virksomheten blir klar over bruddet. Å bryte fristen kan i seg selv gi overtredelsesgebyr, på toppen av det selve hendelsen allerede har kostet.
Et norsk selskap fikk 2,5 millioner kroner i gebyr nettopp for å ha meldt et avvik for sent.