Databeskyttelse gennem design og gennem standardindstillinger, på engelsk privacy by design og privacy by default, står i art. 25. Bestemmelsen retter sig mod den dataansvarlige og databehandleren. Producenten af et standardsystem har ingen tilsvarende pligt, for betragtning 78 opfordrer alene producenter. Det betyder, at køberen står med ansvaret for et produkt, som andre har bygget. Kravet slår igennem to steder: ved valget af system, hvor I fastlægger hjælpemidlerne, og i opsætningen, hvor standardindstillingerne skal stå på det mindst nødvendige. Vinklen på købet er vores læsning af reglen. Softwarehuse, der bygger selv, finder udviklerens side under persondata i produktet.
Hvad art. 25 kræver af jer
Stk. 1 siger, at den dataansvarlige gennemfører passende foranstaltninger både på tidspunktet for fastlæggelse af midlerne til behandlingen og under selve behandlingen. Foranstaltningerne skal effektivt gennemføre principperne i art. 5, fx dataminimering. Der tages hensyn til det tekniske niveau, omkostningerne, behandlingens art og risikoen.
Stk. 2 handler om standardindstillinger. De skal sikre, at kun de oplysninger, der er nødvendige til hvert specifikt formål, behandles. Det gælder mængden, omfanget af behandlingen, opbevaringsperioden og tilgængeligheden, og oplysningerne må ikke uden personens medvirken gøres tilgængelige for en ubegrænset kreds.
Datatilsynets vejledning fra 2018 siger, at kravet indebærer en generel overvejelses- og håndteringsforpligtelse allerede i forberedelsesfasen. Om eksisterende systemer står der, at et system, hvor standardindstillingerne ikke kan ændres, ikke rammes af de nye krav, så længe det ikke forhindrer overholdelse af bl.a. art. 5 og 32. Kan indstillingerne ændres, skal I tilpasse dem, og ved ændringer af systemet skal de opfylde kravene. Det er en vejledning fra 2018, og den beskriver overgangen dengang. Læs den med det i baghovedet.
Fem områder at stille krav på
Listen er vores. Den bygger på art. 5 og 25 og på Datatilsynets katalog.
Standardindstillinger. Hvad er slået til, når systemet leveres? Datatilsynets vejledning siger kort, at konfigurerbare muligheder skal stå på det minimalt nødvendige. Spørg, om deling, profiler, analysefunktioner og lignende står fra, indtil nogen slår dem til, og om I selv kan bestemme det. Tilsynets eksempler omfatter aktivt tilvalg og automatisk sletning af mail.
Roller og adgange. Kan adgange opdeles efter arbejdsbetinget behov? Standardroller med for meget adgang er en klassisk fælde. Spørg, om rollerne kan tilpasses, om adgange kan begrænses til egne sager, og om rettighederne kan trækkes ud til en kontrol. Læs også alle kan se alt.
Sletning. Kan oplysninger slettes pr. person og efter frist, også i tilknyttede moduler og eksport? Kan sletning automatiseres? Mange problemer begynder her, og de er dyre bagefter. Se slettepolitik og systemet kan ikke slette.
Logning. Datatilsynet skriver, at funktionaliteten skal være indbygget i systemet, for at anvendelser af personoplysninger kan logges, og at logning hører med ved udvikling eller erhvervelse af nye systemer. Spørg, hvad der logges, hvor længe, og om I kan få loggen udleveret.
Rettigheder og udtræk. Kan I finde alt om en person, rette det og udlevere det i et brugbart format? Et system, der ikke kan det, gør hver eneste indsigtsanmodning til manuelt arbejde.
Sådan stiller I kravene
En kort liste med ja, nej og forklaring gør mere end et stort spørgeskema. Bed leverandøren om at vise funktionen på en demonstration. Skriv svarene ind i aftalen eller i et bilag, så salgsløftet holder efter underskriften. Tag kravene med tidligt, som beskrevet i DPIA før kontrakten og under valg af nyt system.
Også driften skal med. Når leverandøren kommer med en opdatering, kan nye funktioner blive slået til som standard. Kravet skal derfor gælde varsel om ændringer, og nogen hos jer skal læse meddelelserne. Datatilsynets side om risikovurdering peger i den sammenhæng på ændringsstyring.
Når systemet ikke kan det, I kræver
Der er sjældent et system, der kan alt. Det afgørende er, at I ved, hvad der mangler, og tager stilling. Tre spørgsmål hjælper:
- Kan manglen løses i opsætningen eller med en procedure?
- Kan leverandøren forpligte sig til en dato?
- Er restrisikoen acceptabel, set fra personerne?
Svarene skrives ned, så beslutningen kan forklares senere. Art. 25 tager hensyn til det tekniske niveau og omkostningerne, men I skal stadig kunne forklare valget.
Art. 25, stk. 3, nævner, at en godkendt certificeringsmekanisme kan bruges som et element til at påvise overholdelse. Det er et element, og det erstatter ikke jeres vurdering af opsætningen.
DPO’ens rolle
DPO’en rådgiver om kravene og læser svarene, men vælger ikke systemet. Efter Datatilsynets vejledning er inddragelse før indkøb rettidig, og efter købet er det for sent. En DPO, der forstår systemerne, kan se forskel på en funktion og en lovet funktion. Opsætningen er IT’s og leverandørens opgave, og DPO’en kontrollerer bagefter, at den svarer til det besluttede.
Det skal I lade være med
- At antage, at standarden er sat til det mindst nødvendige · spørg, og se det i systemet.
- At nøjes med “GDPR-compliant” i brochuren · ordet siger intet om jeres opsætning.
- At glemme opdateringerne · nye funktioner kan ændre standardindstillingerne.
Det skal I kræve af den eksterne
- ☐ En kort kravliste om persondata til indkøb af systemer.
- ☐ Læsning af leverandørens svar før beslutningen.
- ☐ Kontrol af standardindstillingerne, når systemet er sat op.
- ☐ En liste over de mangler, ledelsen har taget stilling til.
Kilder
- Databeskyttelsesforordningen: art. 5, art. 25 og betragtning 78.
- Datatilsynet: Vejledning om behandlingssikkerhed og databeskyttelse gennem design og standardindstillinger (2018).
- Datatilsynet: Logning af brugernes anvendelser af personoplysninger, opdateret 20. oktober 2025.
- Datatilsynet: Risikovurdering: art. 25 og ændringsstyring.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: rettidig inddragelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Passende sikkerhed efter artikel 32 · Gamle systemer med persondata
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
