GDPR‑gennemgangen: det, I står med bagefter

En GDPR-gennemgang er en afgrænset undersøgelse af fire ting: hvilke behandlinger af persondata I har, hvilke politikker der gælder, hvilke databehandleraftaler der findes, og om de tekniske foranstaltninger passer til risikoen. Resultatet er konkrete anbefalinger i prioriteret rækkefølge efter risiko, som ledelsen kan tage stilling til. Gennemgangen viser, hvor jeres GDPR-compliance står i dag. Den gør jer ikke compliant, og den erstatter hverken jeres eget arbejde eller en DPO. Den giver det grundlag, som alle de næste skridt bygger på, også beslutningen om, hvorvidt I overhovedet skal have en løbende aftale. Om gennemgang som første skridt i et forløb med ekstern IT-ledelse generelt står i gennemgangen alene. Her står det, der er særligt for GDPR.

Hvad der bliver undersøgt

Behandlingerne. Hvilke oplysninger, om hvem, til hvilke formål og på hvilket grundlag? Fortegnelsen, hvis I har en, er et udgangspunkt, som holdes op mod de systemer, IT faktisk driver. Afvigelsen er ofte det vigtigste fund. Regneark, delte drev og tjenester købt af afdelingerne er typiske steder at se efter.

Politikkerne. Privatlivspolitik, oplysninger til ansatte, slettepolitik, procedure ved brud og procedure for henvendelser fra registrerede. Findes de, passer de, og ved medarbejderne, hvor de er? Det gælder især de dokumenter, I skal kunne fremvise efter art. 5, stk. 2.

Aftalerne. Hvilke leverandører behandler oplysninger for jer, er der en databehandleraftale med hver af dem, og følger nogen op? Hvor ligger oplysningerne, og er der overførsler til lande uden for EU?

De tekniske foranstaltninger. Art. 32 bygger på risiko og har ingen fast liste. Derfor vurderes adgange, logning, kryptering, backup og opdateringer op imod de oplysninger, der behandles. Datatilsynets katalog over foranstaltninger er et nyttigt holdepunkt, men kataloget er hverken udtømmende eller absolut.

Hvordan det foregår

En gennemgang består af samtaler, dokumenter og et kig ind i systemerne. Den begynder med ledelsen og den, der kender virksomhedens behandlinger bedst, og fortsætter med IT, HR, salg og de leverandører, der er vigtigst. Dokumenterne læses, og derefter vælges nogle stikprøver: en adgangsliste, en sletning, en aftale.

Det er stikprøverne, der gør forskellen på en gennemgang og en tjekliste. Tjeklister findes mange steder, og de er nyttige til at få øje på, hvad der mangler. De kan bare ikke fortælle, om det, der står i politikken, faktisk sker. Hvad I kan lægge klar på forhånd, svarer i store træk til det, der står i forberedelsen af gennemgangen, med tillæg af fortegnelse, databehandleraftaler og eventuelle konsekvensanalyser.

Det, I står med bagefter

1. Et billede af jeres behandlinger, som kan sammenholdes med fortegnelsen.
2. En status for dokumenterne: hvad der findes, hvad der passer, og hvad der mangler.
3. En liste over leverandører og aftaler med de huller, der er fundet.
4. En vurdering af de tekniske foranstaltninger set i forhold til risikoen for de registrerede.
5. Anbefalinger prioriteret efter risiko, så det er tydeligt, hvad der skal ske først, og hvad der kan vente.
6. Et svar på, om I skal have en DPO, eller i hvert fald grundlaget for at vurdere det.

Punkt 5 er det vigtigste. Art. 39, stk. 2, bygger DPO’ens arbejde på risiko, og det samme bør en gennemgang gøre. En liste med tres ligeværdige punkter hjælper ingen. En kort liste med ti punkter, hvor de første tre står øverst af en grund, kan ledelsen handle på.

Hvad gennemgangen ikke er

Resultatet er rådgivning. Ansvaret for at rette det, der er fundet, bliver hos jer som dataansvarlig (art. 24). Det er heller ingen erklæring, I kan sende videre til en kunde som bevis, og ingen godkendelse fra Datatilsynet. Den, der har gennemgået, har set et udsnit, og det skal fremgå, hvad der ikke blev set.

Det er også værd at holde arbejdsdelingen klar, hvis gennemgangen fører til et samarbejde. Den, der bliver jeres DPO, må gerne pege på, hvad der skal ske. Selve opgaverne bør ligge hos jer eller jeres leverandører. Ellers skal DPO’en senere vurdere sit eget arbejde, hvilket Datatilsynets FAQ netop advarer om.

Sådan bruger I resultatet

Tag det op i ledelsen, og giv hvert punkt en ejer og en dato. Tag også stilling til det, der ikke skal gøres noget ved, og notér grunden. Notatet dokumenterer, at I har forholdt jer til risikoen.

Herefter deler vejen sig. Viser gennemgangen, at I ikke skal have en DPO, så skriv vurderingen ned, se vi skal ikke have en DPO. Viser den, at behovet er nogle få rutiner og en årlig opfølgning, kan I måske klare jer uden en fast funktion, se ekstern DPO i en mindre virksomhed. Viser den, at der skal en løbende rolle til, er resultatet også det bedste grundlag for at fastsætte omfanget, se DPO’ens tid.

Et tænkt eksempel: en grossistvirksomhed med knap 60 medarbejdere beder om en gennemgang, fordi en kunde har stillet spørgsmål. Den viser en forældet fortegnelse, tre leverandører uden aftale og en bred adgang til et drev med HR-data. Direktøren giver punkterne ejere, og ledelsen beslutter, at en navngiven medarbejder bærer opgaven, og at der følges op om et år. Der er ikke pligt til en DPO, og det er nu skrevet ned.

Hos Nielco IT kan gennemgangen købes alene som første skridt. I får anbefalingerne ordnet efter risiko og beslutter derefter, om der skal mere til. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Det skal I lade være med

• At gemme rapporten i en mappe · uden ejere og datoer sker der intet.
• At bruge rapporten som bevis over for kunder · den viser jeres status på et tidspunkt og er ingen erklæring.
• At pynte på forholdene før gennemgangen · så betaler I for at få bekræftet noget, der ikke findes.

Det skal I kræve af den eksterne

• ☐ En klar afgrænsning af, hvad der undersøges, og hvad der ikke gør.
• ☐ Stikprøver i systemerne ud over læsning af dokumenter.
• ☐ Anbefalinger prioriteret efter risikoen for de registrerede.
• ☐ En rapport, ledelsen kan læse uden juridisk eller teknisk baggrund.
• ☐ Fortrolighed om alt, der ses, og sletning eller aflevering af det indsamlede efter aftale.

Kilder

• Forordning (EU) 2016/679 på dansk: art. 5, stk. 2, art. 24, art. 32 og art. 39, stk. 2.
• Datatilsynet: Katalog over foranstaltninger.
• Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om evaluering af egne tiltag.

Senest gennemgået: november 2026.

Næste skridt

• Sådan foregår det
• De første 90 dage med en ekstern DPO

Læs også: Syv tegn på, at GDPR-arbejdet er gået i stå · Hvor ligger jeres persondata?

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT