En fortegnelse over behandlingsaktiviteter er virksomhedens interne oversigt over, hvilke personoplysninger I behandler, om hvem, til hvilke formål og med hvilke modtagere. Kravet står i databeskyttelsesforordningens art. 30. Reglerne siger meget lidt om formen og en del om indholdet. Skemaet er hurtigt udfyldt første gang, og arbejdet ligger i at holde det i overensstemmelse med det, systemerne faktisk gør. Her gennemgår vi felterne, formkravet, opdelingen, ejerskabet og den foreløbige aftale om undtagelsen i art. 30, stk. 5, som den står den 5. november 2026.
Felterne i fortegnelsen
For den dataansvarlige opregner art. 30, stk. 1, syv punkter:
- navn og kontaktoplysninger på virksomheden og, hvis det er relevant, fælles dataansvarlige, repræsentant og databeskyttelsesrådgiver,
- formålene med behandlingen,
- kategorierne af registrerede og kategorierne af personoplysninger,
- kategorierne af modtagere, også i tredjelande,
- overførsler til tredjelande, hvor det er relevant,
- forventede frister for sletning, hvis det er muligt,
- en generel beskrivelse af de tekniske og organisatoriske foranstaltninger, hvis det er muligt.
Datatilsynets vejledning fra august 2020 stiller tre præciseringer, som ofte overses. For det første vil tilsynet se en klar kobling mellem de enkelte grupper af personer og de oplysninger, der behandles om netop dem. Et skema med en samlet liste over personer og en samlet liste over oplysninger rammer ved siden af. For det andet er det for løst at skrive, at der behandles følsomme oplysninger. I skal kunne sige hvilke, fx helbredsoplysninger om ansatte. For det tredje skal slettefristerne angives for de forskellige kategorier af oplysninger, så én samlet frist for hele behandlingen rækker ikke.
Vejledningen hjælper til gengæld på ét punkt. Kun regelmæssige videregivelser skal stå i fortegnelsen, og I må gerne tilføje mere, end reglen kræver. Vi anbefaler at tilføje behandlingsgrundlag og systemnavn, fordi de to felter gør dokumentet brugbart i hverdagen. Det er et råd og intet krav. Hvordan grundlaget vælges, står i behandlingsgrundlag.
Formkravet
Art. 30, stk. 3, kræver, at fortegnelsen foreligger skriftligt, herunder elektronisk. Datatilsynet læser det sådan, at den skal foreligge skriftligt og elektronisk, og at en mappe med papir alene derfor ikke er nok. Ud over det er formatet frit. Et regneark eller et almindeligt tekstdokument kan bruges, og vejledningen nævner begge dele.
Fortegnelsen er intern. Den sendes ikke til Datatilsynet på eget initiativ og udleveres kun, hvis tilsynet beder om den (art. 30, stk. 4). Den behøver derfor ingen pæn opsætning, men den skal kunne findes frem og være til at forstå for en udenforstående.
Opdeling efter formål
En typisk fejl i opstarten er at lave en fortegnelse pr. system. Reglen tager udgangspunkt i formålet. Datatilsynet åbner for at samle flere behandlinger i én fortegnelse, når de kan beskrives under et samlet, logisk og sammenhængende formål. Vejledningens eksempel er, at barsel, ferie og løn kan samles under personaleadministration. En privat virksomhed vil typisk have fortegnelser for personale, kunder, leverandører, markedsføring og eventuelt en whistleblowerordning.
Datatilsynets eksempel for HR, der ligger som bilag til vejledningen og under blanketter og skabeloner, er det bedste sted at begynde. Eksemplet er skrevet for en kommune, så modtagere og oplysninger skal rettes til jeres virkelighed. Brugt ukritisk giver det en fortegnelse, der beskriver en anden organisation.
Hvem der holder den ajour
Pligten ligger hos den dataansvarlige, altså virksomheden, og det gælder også, når I har en DPO. DPO’en rådgiver om fortegnelsen og kontrollerer den som en del af sin overvågning (art. 39, stk. 1, litra b). Ansvaret for indholdet bliver hos jer. Hvad en DPO gennemgår, og hvad I står tilbage med, er samlet under Det får I.
I praksis virker det bedst, når hver fortegnelse har en navngiven ejer i den afdeling, der kender behandlingen: HR for personale, salg for kunder og IT for logs og systemovervågning. Ejeren opdaterer, når der sker noget, der ændrer billedet. Det kan være et nyt system, en ny leverandør, et nyt formål eller en ny type oplysninger. Knyt opdateringen til det sted, hvor ændringen alligevel passerer, fx indkøb af nye systemer. Det er mere pålideligt end en årlig runde alene.
Kontrollen består i at holde dokumentet op mod systemerne. Tag ét system, og spørg, om alle dets oplysninger, modtagere og overførsler kan genfindes. Tag derefter én linje i fortegnelsen, og spørg, om den stadig er sand. Metoden står i hvor ligger jeres persondata og politik og virkelighed.
Undtagelsen i stk. 5 og den foreløbige aftale
Efter art. 30, stk. 5, gælder pligten ikke for virksomheder med under 250 personer, medmindre behandlingen sandsynligvis vil medføre en risiko, ikke er lejlighedsvis eller omfatter oplysninger efter art. 9 eller 10. Datatilsynet kalder undtagelsen snæver, og vejledningen bruger sædvanlig personaleadministration som eksempel på en behandling, der typisk ikke er lejlighedsvis. Det er den regel, der gælder i dag.
Reglen kan blive ændret. EU-Parlamentet og Rådet nåede den 26. juni 2026 en foreløbig aftale i sagen Omnibus IV. Efter den foreslåede tekst gælder pligten ikke for virksomheder og organisationer med under 1000 personer, medmindre og i det omfang en bestemt behandling sandsynligvis vil medføre høj risiko. Pligten skal efter forslaget under alle omstændigheder gælde, hvor behandlingen er en kerneaktivitet, der kræver en DPO efter art. 37, stk. 1, litra b eller c. Pr. 5. november 2026 er teksten ikke vedtaget. Parlamentets førstebehandling er vejledende sat til plenarmødet den 23. november 2026.
Vores vurdering er, at fortegnelsen bevarer sin nytte, uanset hvordan afstemningen falder. Aftalen ændrer ikke art. 5, stk. 2, og art. 24, så I skal fortsat kunne påvise, at reglerne overholdes. Datatilsynet peger desuden på, at overblikket er forudsætningen for at håndtere indsigtsanmodninger og brud. Vent derfor ikke med at rydde op, fordi reglen måske bliver ændret.
Det skal I lade være med
- At lave en fortegnelse pr. system · reglen tager udgangspunkt i formålet.
- At skrive “følsomme oplysninger” uden at sige hvilke · det lever ikke op til vejledningen.
- At overlade hele dokumentet til DPO’en · ansvaret for indholdet ligger hos virksomheden.
- At stoppe arbejdet på grund af et forslag · art. 30 gælder, som den står, til andet er vedtaget.
Det skal I kræve af den eksterne
- ☐ En gennemgang af fortegnelsen op mod jeres systemer med skriftlige bemærkninger.
- ☐ Rådgivning om opdeling efter formål, så dokumentet kan vedligeholdes.
- ☐ Et forslag til, hvem der ejer hver fortegnelse, og hvad der udløser en opdatering.
- ☐ Besked, når reglerne i art. 30, stk. 5, ændrer sig, med en vurdering af, hvad det betyder for jer.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 2, art. 24, art. 30 og art. 39.
- Datatilsynet: Vejledning om fortegnelse, august 2020: afsnit 1.4, 2.1 og 3 og bilaget med HR-eksemplet.
- Datatilsynet: Blanketter og skabeloner: eksempel på en fortegnelse for HR.
- Europa-Parlamentet: procedurefil 2025/0130(COD): status læst 5. november 2026.
- Foreløbig aftale, PE790.249, 26. juni 2026: foreslået art. 30, stk. 5.
Senest gennemgået: november 2026.
Næste skridt
Læs også: De dokumenter, I skal kunne lægge frem · Fortegnelsen som databehandler
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
