GDPR gælder også for små virksomheder, og kravene følger risikoen, så en virksomhed med få og almindelige oplysninger har mindre at gøre end en med mange og følsomme. Datatilsynet vejleder i sit GDPR-univers for små virksomheder ud fra syv trin. De fem punkter her er sitets egen prioritering: overblik, aftaler, sikkerhed, sletning og en procedure ved brud. De fleste mindre virksomheder skal ikke have en DPO, så opgaven ligger hos ledelsen, og den kan løses uden et stort projekt. Teksten er skrevet til den virksomhed, der vil have styr på det vigtigste først.
Overblik: en kort liste over behandlingerne
Begynd med en liste over, hvad I gør med personoplysninger. Skriv for hvert formål, hvem oplysningerne handler om, hvilke typer det er, hvilket system de ligger i, hvem der kan se dem, og hvor længe de gemmes. Løn, kunder, ansøgere og markedsføring dækker meget i de fleste virksomheder.
Listen er i praksis jeres fortegnelse over behandlingsaktiviteter. Art. 30, stk. 5, undtager virksomheder med under 250 personer, men undtagelsen falder væk i tre tilfælde: når en risiko er sandsynlig, når behandlingen sker mere end lejlighedsvis, og når art. 9 eller 10 er i spil. Ifølge Datatilsynets vejledning er løn et eksempel på en behandling, der ikke er lejlighedsvis. Derfor bør de fleste virksomheder regne med at skulle have en fortegnelse, uanset størrelsen.
Reglen kan ændre sig. Pr. 5. november 2026 ligger der en foreløbig aftale i Omnibus IV, som vil hæve grænsen til 1000 personer, kun bevare pligten ved sandsynlig høj risiko og altid bevare den, hvor kerneaktiviteten kræver en DPO. Aftalen er ikke vedtaget, og afstemningen i Europa-Parlamentet er vejledende sat til 23. november 2026. Indtil andet er vedtaget, gælder art. 30, stk. 5, som den står. Listen er efter vores vurdering nyttig under alle omstændigheder, for I skal stadig kunne påvise, at reglerne overholdes (art. 24).
Aftaler: hvem behandler oplysninger for jer?
Gå listen igennem, og marker de leverandører, der behandler oplysninger på jeres vegne. Det er typisk lønsystem, regnskab, mail, cloud, hjemmeside og IT-drift. Art. 28 kræver en skriftlig aftale, og den må gerne være elektronisk. Hos de store leverandører er den ofte en del af vilkårene, så opgaven er at finde den og læse den. Datatilsynet har en skabelon, I kan bruge, når leverandøren ikke selv har en. Se hvornår skal I have en databehandleraftale?.
Tjek også, om oplysningerne forlader EU. Support fra et land uden for EU kan være en overførsel, også når data ligger i Europa. Det står i support fra tredjeland.
Sikkerhed: de foranstaltninger, risikoen kræver
Art. 32 giver ingen fast liste, og Datatilsynets katalog er hverken udtømmende eller absolut. I en mindre virksomhed er det samme punkter, der går igen:
- personlige brugerkonti og adgange efter behov,
- flerfaktorlogin på mail og fjernadgang,
- kryptering af bærbare og af mails med fortrolige eller følsomme oplysninger,
- opdateringer og backup,
- lukning af adgange, når en medarbejder stopper.
Læg det ikke fra jer som en IT-opgave alene. Ledelsen beslutter, hvad der er passende, og IT-leverandøren udfører det. Har I en ekstern IT-chef, er opfølgningen på leverandøren en naturlig del af det arbejde, og det hjælper, når opgaven står beskrevet. Hvad bestemmelsen kræver, står i passende sikkerhed efter artikel 32.
Sletning: en regel for de vigtigste oplysninger
Oplysninger må ikke ligge længere end nødvendigt, jf. art. 5, stk. 1, litra e. GDPR sætter ingen faste frister, så det skal I selv gøre for hver kategori. Andre love kan have frister, fx bogføringsloven. Start med ansøgninger, tidligere ansatte og gamle kunder, og skriv reglen ned. Se slettepolitik.
Brud: hvad gør I den dag, det sker?
Art. 33 kræver anmeldelse om muligt inden for 72 timer, fra I kender til et brud, medmindre en risiko er usandsynlig. Fristen løber også uden for kontortid. Skriv derfor en side om, hvem medarbejderne siger til, hvem der vurderer bruddet, og hvor det logges. Også brud, I ikke anmelder, skal i loggen. En fejlsendt mail er et typisk eksempel. Se procedure ved brud og brudlog.
Rækkefølgen, når tiden er knap
Tag punkterne i den rækkefølge, de står her, og giv dem en navngiven ejer. Hav også en privatlivspolitik og et svar klar, når nogen beder om indsigt. Se hvem der ejer opgaven, når I ikke har en DPO. Datatilsynets skabeloner og sitets egne tjeklister er samlet under tjeklister og skabeloner. Tag det hele op én gang om året, og når I skifter system eller leverandør. Vil I have en udefra til at se, hvor I står, kan en GDPR-gennemgang stå alene.
Det skal I lade være med
- At købe en stor GDPR-mappe · dokumenter, ingen bruger, hjælper hverken jer eller personerne.
- At regne med 250-grænsen · løn og HR gør den sjældent brugbar i dag.
- At vente på EU-forslag · de gældende regler følges, til andet er vedtaget.
Det skal I kræve af den, der hjælper jer
- ☐ En prioritering efter risiko, der passer til jeres størrelse.
- ☐ Konkrete skridt, I selv kan føre ud i livet.
- ☐ Klar besked, når en løsning er større, end I har brug for.
- ☐ Dato på alt om forslag til nye regler.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679 på dansk: art. 5, 24, 28, 30, 32 og 33.
- Datatilsynet: Vejledning om fortegnelse, august 2020: undtagelsen under 250 personer.
- Datatilsynet: Katalog over foranstaltninger.
- Datatilsynet: GDPR-univers for små virksomheder: læst 6. november 2026.
- Omnibus IV, 2025/0130(COD), procedurefil: status læst 5. november 2026.
- Foreløbig aftale, PE790.249: art. 30, stk. 5, forslag, ikke vedtaget.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ekstern DPO i en mindre virksomhed · Hvad er GDPR?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
