Fortegnelser og dokumentation

Efter ansvarlighedsprincippet i art. 5, stk. 2, skal I selv kunne dokumentere, at I følger reglerne, og derfor fylder papirarbejdet meget i GDPR. De fleste virksomheder har også en mappe med politikker, men værdien afhænger af, om indholdet stemmer med det, der sker i systemerne. Siden her samler artiklerne om de dokumenter, der tæller, og om arbejdet under dem. Vinklen er den samme hele vejen: begynd med at se, hvor oplysningerne faktisk ligger, og skriv derefter ned, hvad I gør med dem.

Det, der går igen

En fortegnelse, en privatlivspolitik og en slettepolitik beskriver den samme virkelighed fra tre sider. Står der noget forskelligt i de tre, er mindst ét af dokumenterne forkert. Derfor giver det mening at bygge dem i rækkefølge: kortlæg systemerne, led fortegnelsen ud af kortlægningen, og skriv resten ud fra fortegnelsen. Hvert dokument skal have en navngiven ejer og en dato. Datatilsynets vejledning og skabeloner er samlet under tjeklister og skabeloner.

Fortegnelsen og kortlægningen

• Fortegnelse over behandlingsaktiviteter: sådan får I den til at passe Felterne efter art. 30, opdeling efter formål og en ejer, der holder indholdet ajour.
• Fortegnelsen som databehandler: det, kunderne forventer Art. 30, stk. 2, med kategorier pr. kunde, standardtjenester og underdatabehandlere.
• Hvor ligger jeres persondata? Sådan kortlægger I det fra IT-siden Delte drev, postkasser og regneark, som et interview med afdelingerne sjældent får med.

Undtagelsen i art. 30, stk. 5, for virksomheder under 250 personer gælder stadig, og den er smal. Den falder væk, når behandlingen sandsynligvis medfører en risiko, ikke er lejlighedsvis eller omfatter art. 9 eller 10, og Datatilsynets vejledning bruger løn som eksempel på det sidste, fordi den kører hver måned. Omnibus IV foreslår en ny grænse. Den foreløbige aftale fra 26. juni 2026 er ikke vedtaget.

Dokumenterne og sletningen

• De dokumenter, I skal kunne lægge frem Vores korte liste over, hvad der skal findes, hvem der ejer det, og hvad der kan undværes.
• Slettepolitik: sådan skriver I en, der kan følges Kategorier, frister og begrundelser, skrevet så IT rent faktisk kan udføre dem.
• Systemet kan ikke slette: hvad gør I så? Mellemløsninger og dokumentation for gamle systemer og for kopier i rapporter og arkiver.

GDPR har ingen fast slettefrist. Reglen i art. 5, stk. 1, litra e, er, at I gemmer oplysninger så længe, det er nødvendigt, og andre love sætter frister for bestemte kategorier. Fristerne skal derfor slås op for hver kategori. Hvem der beslutter, er en ledelsessag, som er beskrevet under sletning som ledelsesbeslutning.

Grundlaget og det, I fortæller

• Behandlingsgrundlag: sådan vælger og dokumenterer I det Art. 6 og 9, valgt før behandlingen, og interesseafvejningen stillet op som tre spørgsmål.
• Samtykke: hvornår er det det forkerte grundlag? Kravene til et gyldigt samtykke, og hvorfor det sjældent passer til ansatte og kunder.
• Oplysningspligten: hvad I skal fortælle, til hvem og hvornår Art. 13 og 14 for kunder, ansatte og ansøgere og ved oplysninger, I får fra andre.
• Privatlivspolitik eller persondatapolitik: er der forskel? Ordene er ikke lovens, så det afgørende er, hvad teksten oplyser, og hvor den står.

Oplysningspligten er et aktuelt emne. EDPB’s fælles kontrol i 2026 handler om gennemsigtighed, Datatilsynet deltager, og emnet indgår i tilsynets fokus for året.

Risikoen for personerne

• Risikovurdering for de registrerede: forskellen fra jeres IT-risikovurdering Målet er skaden på mennesker, som en vurdering af driften let overser.

Risikovurderingen binder dokumenterne sammen med de tekniske foranstaltninger og med konsekvensanalyser. Om den kan samles med vurderingen efter NIS2, er behandlet i GDPR og NIS2 i samme risikovurdering.

Dokumenterne er jeres. Hvem der kontrollerer, at de passer, og hvad I får ud af den kontrol, står under Det får I.

Det skal I lade være med

• At købe en mappe med færdige politikker · en tekst, der ikke beskriver jeres systemer, kan ikke bruges som dokumentation.
• At love sletning, der ikke sker · en frist, som ingen udfører, er værre end en, I endnu ikke har sat.
• At lade fortegnelsen ligge hos én person · den bliver forældet, så snart personen får travlt.
• At vælge samtykke af vane · grundlaget skal passe til behandlingen.

Det skal I kræve af den eksterne

• ☐ En gennemgang af dokumenterne holdt op mod det, systemerne viser.
• ☐ Rådgivning om fortegnelsen, mens ansvaret og vedligeholdet bliver hos jer.
• ☐ En prioriteret liste over de afvigelser, der betyder mest for personerne.
• ☐ En fast dato for, hvornår hvert dokument bliver set igennem igen.

Kilder

• Databeskyttelsesforordningen (EU) 2016/679: art. 5, 6, 9, 13, 14 og 30.
• Datatilsynet: Vejledning om fortegnelse, august 2020.
• Europa-Parlamentet: procedurefil 2025/0130(COD), læst 5/11 2026.
• EDPB: fælles kontrol 2026 om gennemsigtighed.

Senest gennemgået: november 2026.

Næste skridt

• Hvor ligger jeres persondata?
• Fortegnelse over behandlingsaktiviteter

Læs også: De dokumenter, I skal kunne lægge frem · Politikken siger ét, systemet gør noget andet

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT