GDPR er den engelske forkortelse for EU’s databeskyttelsesforordning, forordning (EU) 2016/679, som mange også kalder persondataforordningen. Reglerne bestemmer, hvordan virksomheder og andre organisationer må behandle oplysninger om enkeltpersoner, og hvilke rettigheder personerne har. Forordningen gælder direkte i Danmark, og databeskyttelsesloven supplerer den. For en privat virksomhed kan kravene samles i én sætning: I skal vide, hvilke oplysninger I har og hvorfor, I skal beskytte dem, og I skal kunne vise det. Ansvaret ligger hos virksomheden, også når en leverandør eller en rådgiver løser en del af opgaven.
Hvad reglerne dækker
Reglerne handler om personoplysninger, som er enhver form for information om en identificeret eller identificerbar fysisk person. Det er en bred definition, og personoplysninger og følsomme oplysninger gennemgår den med eksempler. Oplysninger om selve virksomheden som juridisk person er uden for reglerne.
Ordet behandling er lige så bredt. Indsamling, opbevaring, søgning, videregivelse og sletning tæller alle med. En kundemail i en indbakke er altså en behandling, selv om ingen rører den. Reglerne gælder for al automatisk behandling og for papir, der ligger i et register. Rent private aktiviteter hos en fysisk person er undtaget, så undtagelsen hjælper ikke en virksomhed.
To roller går igen. Den dataansvarlige bestemmer, hvorfor og hvordan oplysninger behandles. Databehandleren behandler oplysninger på den dataansvarliges vegne, fx en leverandør af lønsystem eller cloud. En virksomhed er typisk dataansvarlig for sine kunder og ansatte og kan samtidig være databehandler for andre.
Hvem gælder GDPR for?
GDPR gælder for virksomheder, myndigheder og foreninger, når de behandler oplysninger om fysiske personer. Forordningen har gældt siden 25. maj 2018 (art. 99), og virksomhedens størrelse spiller ingen rolle for, om den gælder.
Private. Behandling som led i rent personlige eller familiemæssige aktiviteter er undtaget (art. 2, stk. 2, litra c). Ifølge Datatilsynet forudsætter undtagelsen, at behandlingen ikke har forbindelse med en erhvervsmæssig eller kommerciel aktivitet.
Enkeltmandsvirksomheder. Datatilsynet regner dem med under fysiske personer, fordi oplysninger om ejeren og om virksomheden i praksis ikke kan skilles ad. Oplysninger om en enkeltmandsvirksomhed er derfor beskyttet, og ejeren skal selv følge reglerne for sine kunder og ansatte.
B2B. Sælger I kun til andre virksomheder, gælder reglerne stadig. Oplysninger om selve selskabet er uden for, mens navn, mail og telefon på kontaktpersonen er personoplysninger.
Principperne bag det hele
Art. 5 opstiller principperne, og resten af forordningen bygger på dem:
- lovlighed, rimelighed og gennemsigtighed,
- formålsbegrænsning, så oplysninger bruges til det, de blev indsamlet til,
- dataminimering, så I kun har det nødvendige,
- rigtighed,
- opbevaringsbegrænsning, så oplysninger ikke ligger længere end nødvendigt,
- integritet og fortrolighed, altså sikkerhed.
Art. 5, stk. 2, tilføjer ansvarlighed: den dataansvarlige skal kunne påvise, at principperne overholdes. Det er den bestemmelse, ledelsen mærker mest. Gode rutiner tæller kun, hvis de kan dokumenteres.
Det kræver reglerne af en privat virksomhed
Kravene varierer med risikoen, og en lille virksomhed med få oplysninger har mindre at gøre end en stor. Disse opgaver findes i de fleste virksomheder:
- Grundlag · hver behandling skal have et lovligt behandlingsgrundlag. Art. 6 gælder altid, og art. 9 lægger sig oven i ved følsomme oplysninger.
- Information · personerne skal have besked om behandlingen efter oplysningspligten i art. 13 og 14.
- Rettigheder · en indsigtsanmodning skal besvares senest en måned efter modtagelsen, og fristen kan forlænges i særlige tilfælde.
- Overblik · en fortegnelse over behandlingsaktiviteter efter art. 30, med en undtagelse for virksomheder under 250 personer, som ofte ikke holder i praksis.
- Leverandører · en databehandleraftale med dem, der behandler oplysninger for jer, jf. art. 28.
- Sikkerhed · passende foranstaltninger efter art. 32. Forordningen giver ingen fast liste.
- Brud · et brud meldes til Datatilsynet hurtigt og som udgangspunkt inden for 72 timer, regnet fra I kendte til det. Er en risiko usandsynlig, er anmeldelse ikke nødvendig.
- Konsekvensanalyse · ved behandlinger med høj risiko, jf. art. 35.
Forordningen gælder uændret pr. 5. november 2026. Der ligger forslag til ændringer i EU, og de er forklaret i Digital Omnibus og GDPR.
Hvem står til ansvar
Virksomheden som dataansvarlig har ansvaret, jf. art. 24 og art. 5, stk. 2. Det kan ikke flyttes med en kontrakt. En databehandler har sine egne pligter og kan selv blive mødt med krav, men den dataansvarlige skal stadig have valgt leverandøren med omhu og kunne vise det. En DPO, altså en databeskyttelsesrådgiver, har heller ikke ansvaret. Rådgiveren rådgiver og kontrollerer, og ledelsen beslutter.
Datatilsynet fører tilsyn og kan bl.a. udtale kritik, give påbud og indgive politianmeldelse med indstilling om bøde. Efter databeskyttelseslovens § 41 kan overtrædelser straffes med bøde eller fængsel, og juridiske personer kan straffes. En person, der har lidt skade, kan desuden kræve erstatning efter art. 82 og lovens § 40.
Skal I have en DPO?
Det skal de færreste private virksomheder. Kravet rammer dem, hvor behandling af personoplysninger er kerneaktivitet i stort omfang og samtidig enten er overvågning eller angår følsomme oplysninger eller strafbare forhold. Alle betingelser skal være opfyldt. Svaret står under skal vi have en DPO?, og GDPR-reglerne gælder fuldt ud, uanset hvad svaret bliver.
Sådan begynder ledelsen
Start med tre spørgsmål, som kan besvares på et møde. Hvilke oplysninger har vi om kunder og ansatte, og i hvilke systemer? Hvilke leverandører kan se dem? Hvem i virksomheden ejer opgaven, når der kommer en anmodning eller sker et brud?
Kan ingen svare, er det næste skridt at samle overblikket og give én person ansvaret. Mange mindre virksomheder kan komme langt med det mindste sæt. Teksten her er en forklaring og ingen juridisk rådgivning. Konkrete tvivlsspørgsmål er et spørgsmål til advokat.
Det skal I lade være med
- At se GDPR som et dokument · en privatlivspolitik på hjemmesiden løser kun en lille del af opgaven.
- At flytte ansvaret i tanken · hverken leverandøren eller rådgiveren overtager virksomhedens ansvar.
- At vente på et bestemt antal ansatte · reglerne gælder fra første kundeoplysning.
Det skal I kræve af den eksterne
- ☐ En forklaring, ledelsen kan følge uden en jurist ved bordet.
- ☐ Klar markering af, hvad der er lovkrav, og hvad der er et råd.
- ☐ Prioritering efter risiko for de personer, oplysningerne handler om.
- ☐ Henvisning til den bestemmelse, hvert krav bygger på.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679 på dansk: art. 2, 4, 5, 12, 24, 28, 30, 32, 33, 35, 37, 82 og 99.
- Datatilsynet: Hvornår gælder databeskyttelsesforordningen?: private og enkeltmandsvirksomheder, læst 6. november 2026.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: §§ 1, 40 og 41.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): betingelserne og ansvaret.
- Datatilsynet: Årsberetning 2025: tilsynets reaktioner.
Senest gennemgået: november 2026.
Næste skridt
Læs også: GDPR og databeskyttelsesloven · Personoplysninger og følsomme oplysninger
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
