GDPR for ledelsen

GDPR bliver tit lagt hos IT eller hos en enkelt medarbejder, og pligterne ligger alligevel hos virksomheden. Art. 5, stk. 2, og art. 24 lægger bevisbyrden hos den dataansvarlige, så det er jer, der må vise, at I følger reglerne. Det kræver beslutninger om prioritering, ressourcer og risiko, som kun en ledelse kan træffe. Siden her samler artiklerne om grundbegreberne, så I kan tale om emnet på et oplyst grundlag og vide, hvor I skal begynde. Sprogbrugen er ledelsens, og juristen kan følge henvisningerne til bestemmelserne.

Det, en ledelse skal kunne svare på

Fire spørgsmål rækker langt. Hvilke oplysninger har vi om hvem, og hvorfor har vi dem? Hvem har ansvaret for hver behandling? Kan vi vise det på skrift, hvis Datatilsynet eller en kunde spørger? Og ved vi, at det, der står i dokumenterne, også sker i systemerne? Er svaret uklart på et af dem, er det dér, arbejdet skal starte. Hvad der skal kunne lægges frem, står i De dokumenter, I skal kunne lægge frem.

Reglerne og begreberne

• Hvad er GDPR? Forklaret for en ledelse Hvad forordningen forlanger af en privat virksomhed, og hvem der hæfter for den.
• Personoplysninger og følsomme oplysninger: hvad tæller med? Grænsen mellem almindelige og følsomme oplysninger, vist med eksempler fra en hverdag.

To regelsæt og en mindre virksomhed

• GDPR og databeskyttelsesloven: hvad står hvor? Forordningen gælder direkte, og loven lægger danske regler om ansættelse, CPR og straf oven i.
• GDPR i en mindre virksomhed: det, der reelt skal være på plads Kravene følger risikoen, så få ansatte giver en kortere liste og ingen fritagelse.

Det, der kan ændre sig

• Digital Omnibus og GDPR: hvad kan ændre sig, og hvad gælder i dag? Forslagets indhold om brud, DPIA og AI, adskilt fra de regler, I skal følge nu.

Pr. 5. november 2026 gælder forordningen uændret. To forslag er undervejs, og ingen af dem er vedtaget. Digital Omnibus ligger i Parlamentets udvalg, og Rådet fik sit mandat 22. oktober 2026, mens Parlamentet endnu ikke har en stilling. Omnibus IV foreslår at ændre undtagelsen for fortegnelser i art. 30, stk. 5. Parterne nåede 26. juni 2026 frem til en foreløbig tekst, og Parlamentet stemmer efter planen 23. november 2026. Reglerne om DPO’en i art. 37 til 39 ændres ikke i Rådets mandat. Planlæg efter det gældende, og hold øje med datoerne.

Hvem gør hvad

Ansvaret er virksomhedens. Det gælder, hvad enten I har en DPO eller ej. Ledelsen beslutter, organisationen udfører arbejdet, og en DPO står for råd og kontrol. Grænsen er beskrevet i artiklen om, hvad rollen holder sig fra. Pligten til en DPO er smal for private, og vurderingen kan laves på et enkelt møde med Skal vi have en DPO?. Har I ingen, skal opgaven alligevel have en ejer, som det fremgår af Uden DPO: hvem ejer så databeskyttelsen?.

Bag grundbegreberne ligger selve opgaverne: fortegnelser og dokumentation, tekniske foranstaltninger og brud på persondatasikkerheden. Mærker I, at dokumenterne er fra 2018, og at ingen rigtig ejer dem, så begynd med Syv tegn på, at GDPR-arbejdet er gået i stå. Ved I allerede, at noget mangler, er næste skridt en GDPR-gennemgang.

Spørgsmål, der ofte kommer

• Er det en personoplysning? Navn, mail, billede og de andre opslag
• Hvor længe må I gemme personoplysninger? Kunder, ansatte og regnskab
• Må I give personoplysninger videre? Kunder, samarbejdspartnere og politi
• Legitim interesse: sådan laver I afvejningen
• GDPR’s syv principper oversat til IT-opgaver
• GDPR-årshjul: et eksempel fra januar til december
• Rapporten fra DPO’en: sådan læser ledelsen den
• I har styr på GDPR: det kan I genbruge til NIS2

Det skal I lade være med

• At lægge hele emnet hos IT · formål, grundlag og risikovillighed er forretningens valg.
• At behandle GDPR som et projekt, der blev færdigt i 2018 · nye systemer og leverandører ændrer billedet hele tiden.
• At vente på EU’s forslag · de regler, der står i dag, er dem, I bliver målt på.

Det skal I kræve af den eksterne

• ☐ Forklaringer, som ledelsen kan handle på, med henvisning til bestemmelsen.
• ☐ En klar adskillelse af gældende regler, forslag og egne vurderinger.
• ☐ Prioritering efter risikoen for de personer, oplysningerne handler om.
• ☐ En rapport direkte til det øverste ledelsesniveau, som art. 38, stk. 3, forudsætter.

Kilder

• Databeskyttelsesforordningen (EU) 2016/679: art. 5, 24, 30 og 37 til 39.
• Databeskyttelsesloven, LBK nr. 289 af 8/3 2024.
• Europa-Parlamentet: procedurefil 2025/0360(COD) og 2025/0130(COD), læst 5/11 2026.
• Rådets mandat, ST 14756/26.

Senest gennemgået: november 2026.

Næste skridt

• Hvad er GDPR? Forklaret for en ledelse
• Skal vi have en DPO?

Læs også: GDPR i en mindre virksomhed · Ordliste

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT