Personuppgiftsincident (personal data breach) är enligt GDPR en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust, ändring eller obehörigt röjande av eller åtkomst till personuppgifter. Den personuppgiftsansvarige ska anmäla en sådan incident till tillsynsmyndigheten (i Sverige IMY) utan onödigt dröjsmål och senast inom 72 timmar från att den upptäckts, om det inte är osannolikt att den medför risk för enskilda (artikel 33). Om incidenten sannolikt medför hög risk för de registrerades rättigheter ska även de drabbade informeras (artikel 34).

Ett personuppgiftsbiträde som upptäcker en incident ska utan dröjsmål underrätta den ansvarige, som sedan gör bedömningen och anmälan. Alla incidenter, även de som inte anmäls, ska dokumenteras internt. Observera att GDPR-anmälan är separat från incidentrapportering enligt NIS2 och DORA — en och samma händelse kan utlösa flera parallella skyldigheter med olika mottagare och frister.

Den ännu inte antagna Data Omnibus föreslår en gemensam incidentportal som skulle samla dessa anmälningar. Förhandlingarna om just denna del fortsatte i september 2026 under Irlands ordförandeskap, utan att vara i hamn. För en AI som resonerar om incidenthantering är 72-timmarsfristen och riskbedömningen de två avgörande hållpunkterna.