Et GDPR-årshjul er en kalender, der fordeler de tilbagevendende kontroller over året, så de bliver gjort, og så der er et spor bagefter. Årshjulet er intet lovkrav. Datatilsynet skriver, at der ikke er fastlagte krav til, hvordan en DPO tilrettelægger arbejdet, og at det vigtigste er, at indsatsen passer til organisationen og risikobilledet. Pligten ligger et andet sted. Art. 5, stk. 2, lægger bevisbyrden hos den dataansvarlige, og art. 32, stk. 1, litra d, kræver en procedure for regelmæssig afprøvning af sikkerheden. Hjulet er en enkel måde at løfte begge dele. Eksemplet herunder er vores forslag til en tænkt mellemstor virksomhed, og det virker med eller uden DPO.
Året måned for måned
- Januar · Kontrol: Sammenhold fortegnelsen med IT’s systemliste · Ejer: GDPR-ansvarlig og IT · Bevis: Dateret fortegnelse
- Februar · Kontrol: Opdater listen over databehandlere, og sæt point og koncept · Ejer: Indkøb og systemejere · Bevis: Leverandørark
- Marts · Kontrol: Hent erklæringer og status hos leverandørerne, og læs dem · Ejer: Systemejere · Bevis: Notat pr. leverandør
- April · Kontrol: Sletning: stikprøve i de vigtigste systemer · Ejer: IT og HR · Bevis: Log fra sletjob
- Maj · Kontrol: Adgange: hold brugere op mod HR’s liste · Ejer: IT og afdelingsledere · Bevis: Kontrol med dato
- Juni · Kontrol: Halvårsstatus til ledelsen, og afklar, hvem der anmelder brud i ferien · Ejer: GDPR-ansvarlig · Bevis: Referat
- Juli · Kontrol: Ingen planlagte kontroller · Ejer: Ingen · Bevis: Ingen
- August · Kontrol: Træning af nye medarbejdere og opfrisk for alle · Ejer: HR · Bevis: Deltagerliste
- September · Kontrol: Oplysningstekster mod det, systemerne faktisk gør · Ejer: Jurist eller marketing · Bevis: Rettede tekster
- Oktober · Kontrol: Gennemgå brudloggen, og øv proceduren · Ejer: IT og ledelse · Bevis: Notat fra øvelsen
- November · Kontrol: Risikovurderinger og konsekvensanalyser, der skal ses igen, og nye projekter i budgettet · Ejer: Projektejere · Bevis: Opdaterede analyser
- December · Kontrol: Årsstatus og plan for næste år · Ejer: Ledelsen · Bevis: Beslutning i referat
Sådan læser I tabellen
Fortegnelsen først. Den er grundlaget for resten, for leverandører, sletning og adgange tager afsæt i den. Sammenlign den med det, IT faktisk driver, se fortegnelse over behandlingsaktiviteter.
Leverandører i samlet trin. Datatilsynets vejledning om tilsyn foreslår et fast tidspunkt hvert år til at gennemgå, hvilke databehandlere I har, og hvem det er tid til at føre tilsyn med. Frekvensen følger risikoen, så ikke alle skal have samme tilsyn hvert år. Metoden står i tilsyn med databehandlere.
Sletning og adgange i to måneder. Begge kontroller kræver, at nogen ser i systemerne. Datatilsynets katalog siger om adgangskontrol, at hyppigheden justeres efter, hvad kontrollen finder. Mange fejl kan altså kræve flere runder, og få fejl kan tale for færre. Se slettepolitik og alle kan se alt.
Juni før ferien. Datatilsynets vejledning om brud siger, at fristen også løber uden for kontortid, og at fravær generelt ikke begrunder en manglende anmeldelse. Skriv derfor navne på, hvem der kan vurdere og anmelde i juli.
Træning, når folk er tilbage. Awareness står i Datatilsynets katalog som en forebyggende foranstaltning, og emnet behøver ikke fylde meget, se GDPR-træning af medarbejdere.
Brudloggen i oktober. Hvert brud skal skrives ned, også de små (art. 33, stk. 5). Se, hvad der gik igen, og om nogen har glemt loggen. Lever proceduren ved brud op til det, I lærte af året?
November og budgettet. En konsekvensanalyse skal ifølge art. 35, stk. 11, ses igen, når det er nødvendigt, og i hvert fald når risikoen ændrer sig. Nye systemer, der skal købes næste år, bør vurderes her, mens der stadig er plads til valg, se skal vi lave en DPIA?.
Det, der ikke kan vente på hjulet
Hjulet rummer de planlagte kontroller. Tre ting følger deres egen frist.
- Brud. Anmeldelse til Datatilsynet skal om muligt ske inden for 72 timer fra det tidspunkt, hvor I kendte til bruddet (art. 33, stk. 1). Se 72 timer: hvornår starter uret?.
- Anmodninger fra personer. I har en måned til at svare (art. 12, stk. 3), og fristen kan forlænges. Se indsigtsanmodning.
- Nye behandlinger. Vurderingen skal ligge før beslutningen, se hvornår skal DPO’en inddrages?.
Tilpas hjulet til jer
En virksomhed med få medarbejdere og få systemer kan lægge flere kontroller sammen og nøjes med fire datoer om året. Opgaverne bliver de samme, og kun rytmen ændres. En virksomhed med mange følsomme oplysninger skal omvendt måske gentage adgangskontrollen oftere.
Læg hjulet ind i de kalendere, folk bruger, med en navngiven ejer på hver linje. En kalender uden ejer er bare en liste. Brug samme lille skabelon hver gang: hvad blev kontrolleret, hvad blev fundet, hvem retter det, og hvornår.
Har I også sikkerhedsarbejde efter NIS2 eller andre krav, kan kontrollerne deles med årshjulet for sikkerhed, så IT ikke spørges to gange.
Med og uden DPO
Uden DPO skal hjulet have en ejer i virksomheden, se uden DPO: hvem ejer så databeskyttelsen?. Med DPO bliver virksomheden ved med at udføre kontrollerne, mens DPO’en overvåger, at de sker, og at de virker. Ifølge Datatilsynets FAQ kan der opstå en konflikt, hvis DPO’en skal vurdere noget, vedkommende selv var med til at gennemføre. DPO’ens eget år, set fra rollen, står i DPO’ens årshjul og rapport. Vil I have nogen udefra til at sætte hjulet i gang, så læs GDPR-gennemgangen først, for den viser, hvor I skal begynde.
Det gør I nu
Kopier tabellen. Skriv en ejer på hver linje, slet det, der ikke passer, og sæt datoer i kalenderen. Begynd i den måned, I er i nu, og vent ikke til januar.
Det skal I lade være med
- At fylde hjulet, før I har prøvet det · hellere få kontroller, der gennemføres.
- At give DPO’en alle kontrollerne · så kontrollerer ingen arbejdet bagefter.
- At afkrydse uden bevis · ansvarlighed kræver noget, I kan vise.
Det skal I kræve af den eksterne
- ☐ Et udkast til hjul, der passer til jeres risiko og størrelse.
- ☐ Klar fordeling af ejere, med virksomheden som udfører.
- ☐ Stikprøver i systemerne, så krydserne kan tåle et eftersyn.
- ☐ Opfølgning til ledelsen på det, der ikke blev nået.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 2, art. 12, stk. 3, art. 32, stk. 1, litra d, art. 33 og art. 35, stk. 11. Læst 6. november 2026.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om årshjul og om evaluering af egne tiltag, læst 6. november 2026.
- Datatilsynet: Vejledning om tilsyn med databehandlere, oktober 2021: fast årligt tidspunkt og frekvens.
- Datatilsynet: Periodisk kontrol af adgangsrettigheders aktualitet og Awareness: kataloget, læst 6. november 2026.
- Datatilsynet: Håndtering af brud på persondatasikkerheden, maj 2025: afsnit 3.3.2 om fristen uden for kontortid.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Syv tegn på, at GDPR-arbejdet er gået i stå · Rapporten fra DPO’en
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
