De grundlæggende principper i GDPR står i art. 5 i det, mange stadig kalder persondataforordningen. Seks står i stk. 1, og det syvende, ansvarlighed, står i stk. 2. Resten af reglerne bygger på dem, og overtrædelser er omfattet af straffebestemmelsen i databeskyttelseslovens § 41. På papiret lyder de almene, og derfor taber IT-afdelingen ofte tråden. Her får hvert princip en opgave, der kan løses i et system. Lovteksten er art. 5, og IT-eksemplerne er vores, så de skal tilpasses jeres systemer.
- Lovlighed, rimelighed og gennemsigtighed · Art. 5: stk. 1, litra a · Spørgsmål til IT: Er alt, systemet gør, fortalt og begrundet?
- Formålsbegrænsning · Art. 5: litra b · Spørgsmål til IT: Bruges data til andet end det, de kom ind for?
- Dataminimering · Art. 5: litra c · Spørgsmål til IT: Er hvert felt nødvendigt?
- Rigtighed · Art. 5: litra d · Spørgsmål til IT: Slår en rettelse igennem overalt?
- Opbevaringsbegrænsning · Art. 5: litra e · Spørgsmål til IT: Hvad sletter, og hvornår?
- Integritet og fortrolighed · Art. 5: litra f · Spørgsmål til IT: Hvem kommer til, og kan det genskabes?
- Ansvarlighed · Art. 5: stk. 2 · Spørgsmål til IT: Kan I vise det?
Lovlighed, rimelighed og gennemsigtighed
Hver behandling skal have et grundlag, og personen skal kunne se, hvad der sker. IT-opgaven er at sammenholde virkeligheden med teksterne. Tag scripts på hjemmesiden og integrationer mellem systemer. Sender en af dem oplysninger til en modtager, som privatlivspolitikken ikke nævner, er teksten forkert, eller også er integrationen det. Grundlaget for hvert formål står i behandlingsgrundlag.
Formålsbegrænsning
Oplysninger indsamles til udtrykkeligt angivne formål og må ikke viderebehandles på en uforenelig måde. Det klassiske IT-eksempel er kopien af produktionsdatabasen, der lægges i et testmiljø. Kundernes oplysninger kom ind for at levere en ordre, og test er en ny anvendelse, som skal vurderes efter art. 6, stk. 4. Opgaven er at lave en regel for testdata og tjekke, hvad der faktisk ligger i test. Det samme spørgsmål gælder udtræk til statistik og oplæring af AI-værktøjer.
Dataminimering
Hvad er dataminimering? Oplysningerne skal være tilstrækkelige, relevante og begrænset til det nødvendige i forhold til formålet. Princippet bliver konkret i det enkelte felt. Er fødselsdato et obligatorisk felt i kundeoprettelsen, skal nogen kunne sige hvorfor. Opgaven er at gå formularer og fritekstfelter igennem og fjerne dem, ingen bruger. Fritekst er særligt lumsk, for dér skriver folk det, ingen har planlagt. Det samme gælder rapporter, der eksporterer alle kolonner, og logs med mere indhold end nødvendigt. Art. 25, stk. 2, trækker i samme retning, for standardindstillingen skal være, at kun det nødvendige behandles.
Rigtighed
Oplysninger skal være korrekte og om nødvendigt ajourførte, og urigtige oplysninger skal slettes eller rettes straks. Problemet opstår, når samme person findes i flere systemer. HR retter en adresse, og lønsystemet beholder den gamle, fordi integrationen kun kører den ene vej. Opgaven er at udpege det system, der er kilden for hver oplysning, og teste, at en rettelse når frem til de øvrige. Personer kan desuden kræve berigtigelse efter art. 16, og det er lettere at efterkomme, når I ved, hvor rettelsen skal laves.
Opbevaringsbegrænsning
Oplysninger må ikke opbevares i identificerbar form længere end nødvendigt. GDPR sætter ingen fast frist, så den skal komme fra jeres egen slettepolitik og anden lovgivning. IT-opgaven er at få fristerne ind i systemerne som sletjob og at se, at jobbene kører.
Backup er det svære sted. Rettighedsvejledningen fra Datatilsynet kræver, at det, I har pligt til at slette, også fjernes fra backuppen, når teknikken tillader det. Lader det sig ikke gøre, skal det, der er væk i driften, fjernes på ny, når I genetablerer. Opgaven er derfor to ting. Kend backuppens levetid, og læg et trin ind i genetableringsproceduren, der kører sletningerne igen. Kan systemet slet ikke slette, så læs systemet kan ikke slette.
Integritet og fortrolighed
Oplysninger skal behandles med tilstrækkelig sikkerhed, også mod hændeligt tab og beskadigelse. Dette princip er det, IT kender bedst, og art. 32 uddyber det. Datatilsynets katalog nævner bl.a. periodisk kontrol af, om adgangsrettigheder stadig er aktuelle, og at hyppigheden justeres efter de fejl, kontrollen finder. Opgaven er at holde brugerlisten op mod HR’s liste over ansatte og lukke det, der ikke passer. Art. 32, stk. 1, litra c, kræver evne til at genoprette adgangen til oplysningerne rettidigt, så en backup bør prøves ved en faktisk genskabelse. Se passende sikkerhed efter artikel 32.
Ansvarlighed
Ansvarlighedsprincippet siger, at den dataansvarlige skal kunne påvise, at de seks andre overholdes. Det er her, IT kan spare mest arbejde. Et sletjob, der skriver i en log, er et bevis. En adgangskontrol med dato og resultat er et bevis. En mundtlig forsikring om, at det kører, er det ikke. Opgaven er at beslutte, hvor beviserne ligger, og hvem der kan hente dem. Hvad der hører med, står i GDPR-dokumentation.
Sådan bruger I listen
Vælg det system, der rummer flest personer. Sæt systemejeren og en fra IT sammen i en time, og stil de syv spørgsmål fra tabellen. Skriv svaret, beviset og det, der mangler. Gentag med det næste system. Fund, der kræver en beslutning, går til ledelsen.
Art. 39 giver en DPO til opgave at overvåge, at reglerne overholdes, så DPO’en kan bede om at se beviserne. Rettelserne ligger hos jer. Vil I have hele billedet på én gang, beskriver GDPR-gennemgangen, hvad I står med bagefter.
Det skal I lade være med
- At behandle principperne som indledning til de rigtige regler · de er selv regler.
- At kopiere produktionsdata til test af vane · test er et nyt formål.
- At stole på et sletjob, ingen ser på · ansvarlighed kræver et spor.
Det skal I kræve af den eksterne
- ☐ En gennemgang af principperne i jeres vigtigste systemer.
- ☐ Kontrol af sletning, backup og testdata i praksis.
- ☐ Spørgsmål, IT kan svare på, frem for juridiske skemaer.
- ☐ En prioriteret liste over fund, som ledelsen kan beslutte ud fra.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, art. 6, stk. 4, art. 16, art. 25, stk. 2, art. 32, stk. 1, og art. 39. Læst 6. november 2026.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: § 41.
- Datatilsynet: Vejledning om de registreredes rettigheder, juli 2018: afsnittet om sletning og backup.
- Datatilsynet: Periodisk kontrol af adgangsrettigheders aktualitet: opdateret 7. november 2023, læst 6. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Databeskyttelse gennem design ved køb · Politik og virkelighed
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
