GDPR-træning virker, når medarbejderne kan genkende fem situationer og ved, hvad de gør. De skal kende en indsigtsanmodning, et brud, en følsom oplysning, en forkert modtager og en ny behandling, der skal forbi DPO’en. Reglerne kræver ikke et bestemt kursus eller en bestemt rytme. Art. 39, stk. 1, litra b, i databeskyttelsesforordningen nævner oplysningskampagner og uddannelse af personale som en del af det, DPO’en overvåger. Her ser vi kun på indholdet om persondata. Det samlede program med målgrupper og rytme hører under ledelsens awareness-program.
Hvem der ejer hvad
Den dataansvarlige skal kunne vise, at reglerne følges (art. 5, stk. 2, og art. 24), og EDPB, det europæiske samarbejdsorgan for tilsynsmyndighederne, skriver i sine retningslinjer 01/2022, at det hører under arbejdsgiverens ansvar at bruge passende foranstaltninger, lige fra uddannelse til disciplinære procedurer. Art. 32, stk. 4, siger desuden, at personer under jeres myndighed kun behandler oplysninger efter instruks, og en instruks kræver, at folk kender den.
DPO’en kontrollerer, om det sker, og Datatilsynets side om DPO’er nævner regelmæssig træning som et sted, hvor DPO’en kan rådgive om, hvordan det gøres bedst muligt. DPO’en kan godt undervise, men virksomheden beslutter og betaler for tiden. Datatilsynets katalog over foranstaltninger kalder awareness et normalt supplement til trusler, der ikke kan håndteres nok ved tekniske foranstaltninger. Træning kan altså aldrig stå alene, når en teknisk løsning er mulig.
Det, alle skal kunne
Hold grundindholdet kort. Der er fem ting, der gør en forskel for alle:
- Hvad en personoplysning er. Også en mail, et foto eller et kundenummer, der kan føres tilbage til en person. Hvad der er følsomt, og hvorfor personnummeret har sin egen regel.
- Melde straks. Den dataansvarlige er som udgangspunkt bekendt med et brud, når en medarbejder er. Fristen på 72 timer kan derfor starte hos den, der ser fejlen. Derfor skal alle vide, hvem de ringer til, og at en fejl må meldes.
- Kende en anmodning. Der er ingen formkrav, så en sætning i en mail om at se eller slette sine oplysninger er en anmodning, og fristen løber.
- Tjekke modtageren. Auto-complete og forkert modtager er blandt de almindelige fejl. Datatilsynet har skærpet praksis og har auto-complete på listen over fokusområder i 2026.
- Spørge, før det nye tages i brug. En ny app, et nyt AI-værktøj eller en ny leverandør skal forbi den ansvarlige, før data lægges ind. Ved AI kan de fem spørgsmål bruges i selve træningen.
Det, de særlige funktioner skal kunne
Rollespecifik træning er EDPB’s anbefaling i rapporten om retten til sletning fra februar 2026. Rapporten så manglende eller utilstrækkelig træning som et tilbagevendende problem. En opdeling kunne se sådan ud.
HR og ledere. Hvad der må stå i en personalesag, hvordan en indsigt fra en tidligere medarbejder håndteres, og hvor længe ansøgninger må gemmes.
Kundeservice. Anmodninger om indsigt og sletning, identitetskontrol uden CPR i telefonen, og hvad der må skrives i et notatfelt. Se er det den rigtige, der spørger?.
Økonomi og løn. Personnumre, forsendelse af lønsedler og regneark, se CPR-numre i virksomheden.
Salg og marketing. Samtykke, indsigelse og sletning fra lister.
IT og administratorer. Adgang til andres data, søgninger efter anmodning, logning og sletning i backup. Det er her, teknik og regler mødes, og hvor en fejl har størst rækkevidde.
Ledelsen. Hvad den selv beslutter, og hvornår DPO’en skal inddrages. Se hvornår skal DPO’en inddrages?.
Gør træningen konkret
Brug jeres egne dokumenter og systemer. En mail fra jeres egen kundeservice, sløret og tænkt, siger mere end et standardeksempel. Lad HR øve et svar på en tænkt anmodning, og lad kundeservice øve opkaldet. Kort og ofte er en rytme, de fleste kan holde, men kilderne fastsætter ingen rytme, så beslut en selv og skriv den ned.
Brug også jeres egen brudlog. Fejlene fra sidste kvartal er det bedste undervisningsmateriale, når de er anonymiseret, og de viser, at en melding fører til en forbedring. Sammenhængen med brudloggen gør træningen levende.
Sådan dokumenterer I det
Hvis Datatilsynet spørger, skal I kunne vise, at medarbejderne er instrueret. Der findes ingen officiel liste, så dette er vores anbefaling:
- en plan med målgrupper og indhold,
- materialet og den version, der blev brugt,
- dato og deltagere for hver gennemførelse,
- nye medarbejdere, og hvornår de blev trænet,
- ændringer efter en hændelse eller en ny regel.
Læg det sammen med den øvrige GDPR-dokumentation. Kontrollér også virkningen. Spørg om et par sager fra hverdagen, se om anmodninger bliver sendt videre samme dag, og om brud bliver meldt hurtigt.
Sådan går I videre
Vælg de to funktioner med størst risiko, og lav en kort session med deres egne eksempler. Skriv de fem punkter ind i introduktionen af nye medarbejdere. Aftal med DPO’en, hvad der kontrolleres hvert år. Ledelsen beslutter tiden, og uden tid sker der intet.
Det skal I lade være med
- At købe et generelt kursus og stoppe dér · det rammer ikke jeres systemer.
- At straffe den, der melder en fejl · så kommer næste melding for sent.
- At træne i stedet for at rette teknikken · træning supplerer, den erstatter ikke.
Det skal I kræve af den eksterne
- ☐ Rådgivning om indhold for hver funktion, bygget på jeres egne sager.
- ☐ Kontrol af dokumentationen og af nye medarbejdere.
- ☐ Eksempler, der følger jeres brud og anmodninger.
- ☐ En klar deling mellem GDPR-indholdet og det samlede awareness-program.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 2, art. 24, art. 32, stk. 4, og art. 39, stk. 1, litra b.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): læst 5/11 2026, inddragelse ved træning.
- Datatilsynet: Awareness: læst 5/11 2026.
- Datatilsynet: fokusområder 2026: auto-complete.
- Datatilsynet: Vejledning om håndtering af brud: afsnit 3.3.1 om, hvornår I er bekendt med bruddet.
- EDPB: retningslinjer 01/2022 om indsigt, dansk tekst: punkt 108.
- EDPB: rapport om retten til sletning, vedtaget 10/2 2026: afsnittet om træning.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Politik og virkelighed · Mail til forkert modtager
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
