Den dataansvarlige kommunalbestyrelse er ansvarlig for efterlevelsen af databeskyttelsesforordningens artikel 33 om anmeldelse af brud på persondatasikkerheden til Datatilsynet, hvis et brud på persondatasikkerheden skyldes den dataansvarliges egen anvendelse af det fælles datagrundlag for unges uddannelse og beskæftigelse. Den dataansvarlige underretter i dette tilfælde de registrerede om bruddet på datasikkerheden i overensstemmelse med kravene herom i databeskyttelsesforordningens artikel 34.
Stk. 2 Hvis den dataansvarlige efter stk. 1 er ansvarlig for at foretage anmeldelse til Datatilsynet, men den dataansvarlige ikke selv har opdaget bruddet på persondatasikkerheden, underretter Styrelsen for It og Læring den dataansvarlige om sikkerhedsbruddet uden unødig forsinkelse og senest 48 timer efter, at hændelsen er kommet til styrelsens kendskab, sådan at den dataansvarlige har mulighed for at efterleve sin eventuelle forpligtelse til at anmelde bruddet til Datatilsynet indenfor 72 timer.
Stk. 3 Hvis den dataansvarlige efter stk. 1 er ansvarlig for at foretage anmeldelse af brud på persondatasikkerheden til Datatilsynet, bistår Styrelsen for It og Læring under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for styrelsen, den dataansvarlige med at foretage anmeldelsen af bruddet uden unødig forsinkelse og om muligt senest inden for 72 timer. Styrelsen yder vejledning og bistand i forbindelse med tilvejebringelse af de oplysninger, som efter databeskyttelsesforordningens artikel 33, stk. 3, skal fremgå af den dataansvarliges anmeldelse til Datatilsynet. Styrelsen yder vejledning og bistand i forbindelse med tilvejebringelse af de oplysninger, som efter databeskyttelsesforordningens artikel 34, stk. 2, skal fremgå af den dataansvarliges underretning til den registrerede i de tilfælde, hvor den dataansvarlige har underretningspligt til Datatilsynet ved et sikkerhedsbrud.
Stk. 4 Styrelsen for It og Læring kan anmelde brud på persondatasikkerheden til Datatilsynet senest 72 timer efter hændelsen er kommet til styrelsens kendskab i overensstemmelse med databeskyttelsesforordningens artikel 33, stk. 1, hvis bruddet på persondatasikkerheden ikke skyldes den dataansvarliges egen anvendelse af systemet. Styrelsen underretter den dataansvarlige om anmeldelse til Datatilsynet senest samtidig med anmeldelsen til Datatilsynet.