Databrudd hos leverandør: hvem melder, og når løper 72-timersfristen?

Datatilsynet opplyste 9. november 2026 at tilsynet har mottatt meldinger om brudd på personopplysningssikkerheten fra blant andre Berg-Hansen Reisebureau AS og Norwegian-konsernet. Bakgrunnen er et brudd hos Amadeus IT Group, som leverer bestillingsløsninger for fly, hotell og leiebil til de fleste aktørene i norsk reiseliv. Ifølge Nasjonal sikkerhetsmyndighet har en trusselaktør hatt tilgang til Amadeus’ systemer i minst tre år, og sårbarheten ble lukket 23. september 2026. Saken reiser spørsmålene om hvem som skal melde et databrudd hos leverandør, når fristen for melding begynner å løpe, og hvem som bærer tapet.

Hva er kjent om Amadeus-bruddet?

NSM opplyser at Amadeus har varslet om en sikkerhetshendelse, og at NSM 27. oktober 2026 mottok en bekymringsmelding fra Berg-Hansen om reisebestillinger knyttet til leverandøren. Avhengig av bestillingstypen kan trusselaktøren ha fått tilgang til den reisendes identitet og reiserute, passnummer og nasjonalitet, kontaktinformasjon, billett- og flynummer, seteinformasjon, spesialtjenester, opplysninger om reisebyrået og innholdet i fritekstfelt. Ifølge Amadeus har trusselaktøren ikke lenger tilgang.

Datatilsynet arbeider fortsatt med å kartlegge omfanget og alvorligheten. Tilsynet advarer særlig mot oppfølgingsangrep i form av svindelmeldinger som bruker opplysninger om reisebestillinger for å framstå som troverdige, og peker på sårbarheten i leverandørkjeden. Antallet berørte i Norge er ikke offentliggjort, og det er heller ikke kjent når Amadeus varslet de enkelte kundene.

Hvem har meldeplikten ved databrudd hos leverandør?

Meldeplikten til Datatilsynet påhviler den behandlingsansvarlige. Etter GDPR art. 33 nr. 1 skal den behandlingsansvarlige melde bruddet uten ugrunnet opphold og om mulig innen 72 timer etter å ha fått kjennskap til det, med mindre det er lite sannsynlig at bruddet medfører en risiko for de registrertes rettigheter og friheter. Forordningen gjelder som norsk lov etter personopplysningsloven § 1. Den som har bestemt formålet med behandlingen, i denne saken reisebyrået eller flyselskapet som registrerer bestillingen, kan derfor ikke overlate meldeplikten til leverandøren.

Leverandøren har en egen og mer begrenset plikt. Er leverandøren databehandler, skal den etter GDPR art. 33 nr. 2 varsle den behandlingsansvarlige uten ugrunnet opphold etter å ha fått kjennskap til bruddet. Etter GDPR art. 28 nr. 3 bokstav f skal databehandleravtalen også pålegge leverandøren å bistå den behandlingsansvarlige med å oppfylle pliktene etter artikkel 32 til 36, blant annet ved å gi de opplysningene som trengs for meldingen.

Hvilken rolle Amadeus har, må vurderes konkret for hver tjeneste. En global distribusjonstjeneste som formidler bestillinger mellom reisebyråer, flyselskaper og hoteller, kan for noen behandlinger være databehandler og for andre selvstendig behandlingsansvarlig. Etter vår vurdering endrer dette ikke kundens stilling, fordi reisebyrået eller flyselskapet uansett er behandlingsansvarlig for sine egne kunderegistre og bestillinger og derfor har en selvstendig meldeplikt.

Når begynner 72-timersfristen å løpe?

Fristen løper fra den behandlingsansvarlige har fått kjennskap til bruddet, og ikke fra tidspunktet da bruddet skjedde eller ble oppdaget hos leverandøren. EDPB legger i retningslinjer 9/2022 til grunn at den behandlingsansvarlige har fått kjennskap til bruddet når den med rimelig grad av sikkerhet vet at en sikkerhetshendelse har rammet personopplysninger. Når bruddet skjer hos en databehandler, anses den behandlingsansvarlige i utgangspunktet å ha fått kjennskap til det når databehandleren har varslet.

Utgangspunktet innebærer at forsinkelse hos leverandøren ikke går ut over kundens frist overfor Datatilsynet. Det gjelder likevel bare så lenge kunden ikke har hatt andre holdepunkter for bruddet. Har kunden fått indikasjoner fra egne systemer, fra kunder eller fra offentlige varsler, kan fristen etter vår vurdering begynne å løpe før det formelle varselet fra leverandøren foreligger. Etter GDPR art. 33 nr. 4 kan meldingen gis trinnvis, slik at manglende opplysninger fra leverandøren ikke er grunn til å vente med første melding.

Må de registrerte varsles?

De registrerte skal varsles uten ugrunnet opphold når bruddet sannsynligvis vil medføre høy risiko for deres rettigheter og friheter, jf. GDPR art. 34 nr. 1. Ved Amadeus-bruddet taler kombinasjonen av passnummer, reiserute, kontaktinformasjon og fritekstfelt for at terskelen ofte vil være nådd. Opplysningene gir grunnlag for identitetstyveri og for målrettet svindel, og Datatilsynet har selv pekt på risikoen for svindelmeldinger. Fritekstfelt kan i tillegg inneholde opplysninger om helse eller andre særlige kategorier, for eksempel ved bestilling av assistanse.

Varselet skal være klart og forståelig og beskrive de sannsynlige konsekvensene og de tiltakene den registrerte selv kan treffe. Etter GDPR art. 34 nr. 3 bokstav c kan individuell varsling erstattes av offentlig kunngjøring dersom den vil kreve en uforholdsmessig innsats, forutsatt at de registrerte informeres på en like effektiv måte. Unntaket må vurderes konkret og dokumenteres. Den generelle framstillingen av meldeplikt og varsling står i artikkelen om brudd på personopplysningssikkerheten.

Hvem bærer tapet etter et databrudd hos leverandør?

Overfor de registrerte er den behandlingsansvarlige ansvarlig for skade som følge av en behandling i strid med forordningen, jf. GDPR art. 82 nr. 2. Databehandleren er bare ansvarlig dersom den har brutt plikter som særlig gjelder databehandlere, eller har handlet utenfor eller i strid med lovlige instrukser. Er flere ansvarlige for samme skade, hefter de solidarisk etter GDPR art. 82 nr. 4, og den som har betalt full erstatning, kan kreve regress for den andres andel etter GDPR art. 82 nr. 5. Benytter databehandleren en underdatabehandler, er databehandleren fullt ansvarlig overfor den behandlingsansvarlige for underdatabehandlerens oppfyllelse, jf. GDPR art. 28 nr. 4.

Kundens egne kostnader reguleres av kontrakten. Det gjelder utgifter til hendelseshåndtering, varsling av kunder, kundeservice, juridisk bistand og eventuelt overtredelsesgebyr. Standardvilkår i leverandøravtaler har ofte en generell ansvarsbegrensning knyttet til årlig vederlag og et unntak for indirekte tap. Etter vår vurdering bør kunden forhandle et eget og høyere tak for brudd på personvernforpliktelsene og sørge for at varslingskostnader ikke defineres som indirekte tap. Mer om dette står i artiklene om ansvarsbegrensning i SaaS-avtaler og databehandleravtale ved kjøp av SaaS.

Hva bør virksomheter som bruker Amadeus gjøre nå?

Virksomheter som har bestilt reiser gjennom tjenester basert på Amadeus, bør behandle saken som et mulig brudd i egen behandling og ikke vente på en endelig redegjørelse fra leverandøren. NSM anbefaler å vurdere risikoen for reiser bestilt før 23. september 2026 og å endre innloggingsdetaljer hos reisebyråenes tjenester. Flere artikler om personvern finnes på pilarsiden om personvern.

1. Fastslå hvilke tjenester og avtaler som involverer Amadeus, og hvilken rolle leverandøren har i hver av dem.
2. Dokumenter når virksomheten fikk kjennskap til bruddet, og vurder om fristen etter GDPR art. 33 nr. 1 allerede løper.
3. Send en foreløpig melding til Datatilsynet dersom risikoen ikke kan utelukkes, og etterfølg den med supplerende opplysninger.
4. Vurder om de registrerte må varsles, og advar dem særskilt mot svindelmeldinger om reisebestillinger.
5. Krev skriftlig redegjørelse fra leverandøren om tidsrom, opplysningskategorier, berørte bestillinger og iverksatte tiltak, med henvisning til bistandsplikten i databehandleravtalen.
6. Gå gjennom varslingsfrister, revisjonsrett og ansvarsbegrensninger i avtalene med leverandører som behandler kundedata, og sett en konkret frist for leverandørens varsel, for eksempel 24 eller 48 timer.

Spørsmål og svar

Neste faglige kontroll: 31. januar 2027