GDPR er en EU-forordning og gælder direkte i Danmark, uden at den skal omsættes til dansk lov. Databeskyttelsesloven supplerer forordningen på de områder, hvor EU-reglerne giver plads til nationale regler. Hovedreglerne om principper, roller, rettigheder, sikkerhed og brud står altså i forordningen. Danske særregler om ansættelsesforhold, CPR-numre, tavshedspligt for rådgivere, straf og Datatilsynets beføjelser står i loven. Har I et spørgsmål, skal I derfor som regel læse begge. Den gældende lov er lovbekendtgørelse nr. 289 af 8. marts 2024, som retsinformation.dk viste som gældende den 5. november 2026.
Sådan hænger de to sammen
Lovens § 1 siger, at loven supplerer og gennemfører forordningen, og forordningen er optaget som bilag 1 til loven. Persondataforordningen er et andet ord for GDPR, mens persondataloven var den tidligere danske lov, lov nr. 429 af 31. maj 2000. Den blev ophævet, da databeskyttelsesloven trådte i kraft den 25. maj 2018 (§ 46).
Rækkefølgen ved et opslag er derfor enkel. Find først kravet i forordningen. Se derefter, om loven har en dansk regel om det samme emne. Læg til sidst Datatilsynets vejledninger oven i, for de viser, hvordan reglerne forstås. Vejledningerne er ingen lov, men de fortæller, hvad tilsynet lægger vægt på.
Forordningen står uændret pr. 5. november 2026. Forslag til ændringer er beskrevet i Digital Omnibus og GDPR.
Det, forordningen selv regulerer
Disse emner slås op i forordningen:
- definitionerne i art. 4 og principperne i art. 5,
- behandlingsgrundlag i art. 6 og følsomme oplysninger i art. 9,
- oplysningspligt og rettigheder i art. 12 til 22,
- databeskyttelse gennem design i art. 25,
- databehandlere i art. 28 og fortegnelser i art. 30,
- sikkerhed i art. 32 og brud i art. 33 og 34,
- konsekvensanalyser i art. 35,
- DPO’en i art. 37 til 39,
- overførsel til tredjelande i art. 44 til 49,
- erstatning i art. 82 og bøder i art. 83.
Det, den danske lov lægger oven i
Disse bestemmelser møder en privat virksomhed oftest.
§§ 7 og 8: følsomme oplysninger og strafbare forhold. De supplerer art. 9 og 10 med danske regler.
§ 11: personnummeret. Personnummeret står ikke i forordningens art. 9 og har sin egen danske regel. Private må behandle personnummer, når det følger af lovgivningen, når personen har givet samtykke, eller i de øvrige tilfælde, bestemmelsen nævner. Det gælder fx, når der er tale om videregivelse som naturligt led i den normale drift, og det har afgørende betydning for entydig identifikation. Offentliggørelse kræver samtykke. Se CPR-numre i virksomheden.
§ 12: ansættelsesforhold. Bestemmelsen tillader behandling, der er nødvendig for at overholde arbejdsretlige forpligtelser eller rettigheder, som følger af anden lovgivning eller kollektive overenskomster. Stk. 2 handler om legitim interesse, der udspringer af samme kilder, og stk. 3 om samtykke. For en HR-afdeling er det her den første paragraf at slå op. Se kontrol af medarbejdere.
§ 13: direkte markedsføring. Før en virksomhed videregiver oplysninger om en forbruger til direkte markedsføring, skal CPR undersøges for frabedelse.
§ 22: undtagelser. Oplysningspligt, indsigt og underretning kan undtages, når andre interesser vejer tungere.
§ 24: tavshedspligt. Reglen gælder rådgivere, der er udpeget, fordi litra b eller c i art. 37, stk. 1, rammer virksomheden. De må ikke uberettiget videregive eller udnytte oplysninger fra hvervet. Bestemmelsen nævner ikke rådgivere, der er udpeget frivilligt. Læs mere i tavshedspligt hos den eksterne DPO.
Datatilsynet og sanktionerne
Tilsynet er også dansk regulering. § 27 handler om Datatilsynet. Efter § 29 kan tilsynet kræve enhver oplysning af betydning og har adgang til lokaler uden retskendelse mod legitimation. Efter § 30 kan afgørelser ikke indbringes for anden administrativ myndighed, og § 33 giver adgang til at offentliggøre udtalelser og afgørelser. Forordningens art. 58 giver de grundlæggende beføjelser. Se sådan fører Datatilsynet tilsyn.
Reglerne om straf står i § 41. Overtrædelser af en række af forordningens bestemmelser kan straffes med bøde eller fængsel indtil 6 måneder, juridiske personer kan straffes, og forældelsesfristen er 5 år. § 42 giver mulighed for bødeforelæg, når sagen kan afgøres uden retssag, og § 40 slår retten til erstatning fast. Konsekvenserne er gennemgået i kritik, påbud og politianmeldelse.
Andre regler ved siden af
Nogle spørgsmål ligger i andre love. TV-overvågning har sin egen lov, og sporing på hjemmesider reguleres også af cookiebekendtgørelsen, hvor Digitaliseringsstyrelsen fører tilsyn. Bogføring og arbejdstid har egne opbevaringsfrister, som har betydning for en slettepolitik. De emner står i TV-overvågning i virksomheden, sporing på hjemmesiden og slettepolitik.
Det gør I nu
Henvis til paragraf eller artikel i jeres interne dokumenter, så den næste læser kan finde kilden. Gennemgå især jeres HR-regler og brugen af CPR-numre, for dér er det den danske lov, der afgør svaret. Er I i tvivl om, hvordan to regler spiller sammen i en konkret sag, er det et spørgsmål til advokat.
Det skal I lade være med
- At læse loven alene · hovedkravene står i forordningen.
- At bruge en gammel lovtekst · slå altid den gældende bekendtgørelse op på retsinformation.dk.
- At antage, at CPR-numre er følsomme efter art. 9 · de har deres egen regel i § 11.
Det skal I kræve af den eksterne
- ☐ Præcise henvisninger til artikel og paragraf.
- ☐ Oplysning om, hvilken lovbekendtgørelse teksten bygger på.
- ☐ Adskillelse af lov, vejledning og egen vurdering.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679 på dansk: de nævnte artikler.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: §§ 1, 7, 8, 11 til 13, 22, 24, 27, 29, 30, 33, 40 til 42 og 46.
- Lov om TV-overvågning, LBK nr. 182 af 24. februar 2023.
- Cookiebekendtgørelsen, BEK nr. 1148 af 9. december 2011.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Personoplysninger og følsomme oplysninger · GDPR i en mindre virksomhed
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
