GDPR-dokumentation handler om én sætning i databeskyttelsesforordningen. Den dataansvarlige er ansvarlig for at overholde principperne og skal kunne påvise det (art. 5, stk. 2). Art. 24 gentager kravet og knytter det til passende foranstaltninger. Der findes ingen officiel liste over dokumenter, så enhver liste, også vores, er en oversættelse af kravet. Her er den korte version, opdelt efter hvor reglerne selv stiller krav om dokumentation, hvad vi anbefaler, og hvad I ofte kan undvære. Ledelsen skal kunne læse listen på få minutter. Hvis den fylder en hel hylde, er det sjældent et tegn på kontrol.
Det, reglerne selv kræver på skrift
Nogle dokumenter følger direkte af bestemte artikler. De er det faste gulv.
- Fortegnelsen efter art. 30, medmindre undtagelsen i stk. 5 gælder. Se fortegnelse over behandlingsaktiviteter.
- Databehandleraftaler efter art. 28, stk. 3 og 9, med de leverandører, der behandler på jeres vegne.
- Brudlog efter art. 33, stk. 5. Alle brud skal dokumenteres, også dem, der ikke anmeldes. Se brudlog.
- Konsekvensanalyser efter art. 35, når behandlingen kræver en. Se skal vi lave en DPIA?
- Dokumentation for samtykke, hvis I bruger samtykke. Art. 7, stk. 1, lægger bevisbyrden hos jer.
- Oplysninger til de registrerede efter art. 13 og 14, typisk privatlivspolitik, tekst til medarbejdere og tekst i formularer.
- Fælles dataansvar, hvis det er relevant, hvor art. 26 kræver en ordning mellem parterne.
Listen er kort, fordi den kun tæller de steder, hvor forordningen peger på et bestemt dokument.
Det, I skal kunne vise uden et navngivet krav
Andre krav nævner intet dokument og kan alligevel i praksis kun påvises på skrift. Det er her, art. 5, stk. 2, gør sit arbejde.
- Behandlingsgrundlag for hver behandling. Art. 6 kræver grundlaget, og hviler det på legitim interesse, skal afvejningen kunne ses. Se behandlingsgrundlag.
- Slettepolitik, som viser, hvordan I overholder art. 5, stk. 1, litra e. Se slettepolitik.
- Risikovurdering for de registrerede og valget af sikkerhedsforanstaltninger efter art. 32. Se risikovurdering for de registrerede.
- Tilsyn med databehandlere, som viser, at I følger op efter art. 28.
- Kontroller med overførsler til tredjelande, når data forlader EU. Se overførsel til tredjelande.
- Procedurer for rettighedsanmodninger og brud, så medarbejderne ved, hvad de skal gøre.
- DPO-vurderingen. Har I en DPO, skal udpegelsen og vurderingen af interessekonflikter kunne vises. Har I ikke en, kan I med fordel dokumentere vurderingen, som Datatilsynet skriver i sin vejledning. Se vi skal ikke have en DPO.
Hvem der ejer hvad
Dokumenter uden ejer dør. Vi anbefaler at placere dem hos den, der kender behandlingen.
- Fortegnelser · Ejer i virksomheden: Afdelingen bag behandlingen · DPO’ens rolle: Gennemgår og rådgiver
- Databehandleraftaler · Ejer i virksomheden: Den, der køber ydelsen, med hjælp fra jurist · DPO’ens rolle: Rådgiver om krav
- Risikovurdering og foranstaltninger · Ejer i virksomheden: IT og ledelsen · DPO’ens rolle: Rådgiver og kontrollerer
- Konsekvensanalyser · Ejer i virksomheden: Den, der ejer projektet · DPO’ens rolle: Rådgiver efter art. 35, stk. 2
- Slettepolitik · Ejer i virksomheden: Ledelsen, udført af afdelinger og IT · DPO’ens rolle: Kontrollerer
- Brudlog · Ejer i virksomheden: Den ansvarlige for databeskyttelse internt · DPO’ens rolle: Orienteres efter procedure
- Oplysningstekster · Ejer i virksomheden: HR, marketing og jura · DPO’ens rolle: Rådgiver
Tabellen er vores forslag og kan fordeles anderledes. Det vigtige er, at DPO’en ikke står som ejer af de dokumenter, DPO’en skal kontrollere. Datatilsynet peger på, at der kan opstå en konflikt, hvis DPO’en både skal rådgive om og evaluere tiltag, som vedkommende selv har hjulpet med at indføre. Har I ingen DPO, skal nogen stadig eje helheden, se uden DPO: hvem ejer GDPR?.
Det, I ofte kan undvære
GDPR-pakker og skabeloner giver let en mængde politikker, som ingen læser. Forordningen kræver ikke en samlet “GDPR-politik” som sådan. Art. 24, stk. 2, nævner databeskyttelsespolitikker, hvor det står i rimeligt forhold til behandlingsaktiviteterne. En kort intern retningslinje kan være en fin ramme, men et dokument på mange sider, der gentager forordningen, påviser ikke noget.
Et årshjul er nyttigt for mange, men Datatilsynet oplyser, at det ikke er et krav. Det samme gælder oversigter, der gentager fortegnelsens indhold i et andet format. Hver gentagelse er et ekstra sted, der skal rettes.
Spørg om hvert dokument: Hvilket krav påviser det, og hvem bruger det? Har det intet svar, kan det slettes.
Prøven: kan det lægges frem i morgen?
Fortegnelsen skal stilles til rådighed for Datatilsynet efter anmodning (art. 30, stk. 4), og tilsynet kan kræve enhver oplysning af betydning (databeskyttelseslovens § 29, stk. 1). En god prøve er at forestille sig et brev fra tilsynet med et konkret spørgsmål, fx hvilket grundlag I har for at gemme ansøgninger, og hvor længe de ligger. Kan svaret findes, og passer det med systemerne?
Den sidste del af spørgsmålet er afgørende. Papir, der ikke svarer til virkeligheden, er ingen påvisning. Afstanden mellem dokument og drift står i politik og virkelighed. Gem desuden gamle versioner, så I kan vise, hvad der gjaldt på et givet tidspunkt. Viser prøven huller, giver en GDPR-gennemgang overblikket, før I retter dem.
Det skal I lade være med
- At købe en pakke med politikker uden at tilpasse dem · dokumenter, der beskriver en anden virksomhed, påviser ingenting.
- At lade DPO’en stå som ejer af alt · så kontrollerer DPO’en sit eget arbejde.
- At gemme dokumenterne hos en enkelt person · de skal kunne findes, når vedkommende har ferie.
- At se en færdig mappe som slutpunktet · dokumenterne skal vedligeholdes, når behandlingerne ændrer sig.
Det skal I kræve af den eksterne
- ☐ En gennemgang af jeres dokumenter med en vurdering af, hvad der mangler, og hvad der er overflødigt.
- ☐ Stikprøver, der viser, om dokumenterne passer med systemerne.
- ☐ Rådgivning om, hvem der skal eje de enkelte dokumenter.
- ☐ En kort status til ledelsen, prioriteret efter risiko.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 2, art. 7, art. 24, art. 26, art. 28, art. 30, art. 33, stk. 5, og art. 35.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: § 29.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om årshjul og om evaluering af egne tiltag.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 3.1 om dokumentation af vurderingen.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Fortegnelse over behandlingsaktiviteter · Sådan fører Datatilsynet tilsyn
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
