De fleste kortlægninger af persondata, på engelsk data mapping, begynder med et spørgeskema eller en runde samtaler. Afdelingerne fortæller, hvilke systemer de bruger, og svarene bliver til en fortegnelse. Det giver et rigtigt billede af det, folk ved, de gør. Det giver sjældent et billede af de oplysninger, der ligger i kopier, gamle mapper og tjenester, ingen længere tænker over. Derfor vender vi rækkefølgen om og begynder i systemerne. Interviewene kommer bagefter som kontrol af det, I har fundet. Metoden er vores egen arbejdsform. Hverken forordningen eller Datatilsynet foreskriver en bestemt måde at kortlægge på.
Hvorfor kortlægningen er forudsætningen
Art. 30 kræver en fortegnelse, og ansvarlighedsprincippet i art. 5, stk. 2, betyder, at det er jer, der skal vise, at reglerne følges. Datatilsynet kalder overblikket en nødvendig forudsætning for at håndtere indsigtsanmodninger og brud på persondatasikkerheden. Det mærkes, når det gælder. En indsigtsanmodning kan kun besvares, hvis I ved, hvor I skal søge. Et brud kan kun vurderes, hvis I ved, hvad der lå på den stjålne konto. Og en slettefrist kan kun følges, hvis I ved, hvor kopierne er.
Begynd med listen over systemer
Det første skridt er en liste over alt, der kan rumme personoplysninger. Det meste findes allerede et sted hos jer, selvom ingen har samlet det:
- brugerkataloget, som viser konti, grupper og hvilke tjenester der er koblet på,
- licensoversigterne fra jeres leverandører,
- fakturaer og kreditkortbilag, som afslører abonnementer, IT aldrig har hørt om,
- listen over tilladte apps og single sign-on,
- IT-leverandørens dokumentation og aftaler.
Har I allerede en oversigt over aktiver til sikkerhedsarbejdet, kan den bruges som udgangspunkt. Hvordan den bygges, står under forvaltning af aktiver. Forskellen er, at sikkerhedsoversigten spørger, hvad der skal beskyttes, mens jeres kortlægning spørger, om hvem oplysningerne handler, og hvad de bruges til.
Stederne, som interviewene overser
Når listen findes, skal I ned i det, der ikke står på nogen liste. Følgende er tænkte eksempler, men de går igen i mange virksomheder.
Delte drev. Mapper med navne som “Diverse” eller “Gammel HR” overlever flere omorganiseringer. Søg efter filtyper og datoer, og se efter ansøgninger, lønsedler og lægeerklæringer. Personnumre kan findes med mønstersøgning, se CPR-numre i virksomheden.
Postkasser. Fælles postkasser som job@ eller info@ er ofte de største samlinger af oplysninger hos en mindre virksomhed, og de har sjældent en slettefrist. Det samme gælder postkasser fra tidligere medarbejdere, der er holdt åbne. Se mailboks efter fratrædelse.
Gamle eksporter. Når nogen trækker kundelisten ud til en kampagne eller en rapport, opstår der en kopi, som lever sit eget liv. Den kopi er sjældent med, når originalen ryddes op.
Regneark. Fraværsoversigter, medarbejderlister og kursuslister bor ofte i et regneark på en persons drev. De bærer tit de samme oplysninger som HR-systemet, men uden adgangsstyring.
SaaS købt af afdelingerne. Marketing har et værktøj til nyhedsbreve, salg har et til møder, og HR har et til rekruttering. Hver af dem kan være en databehandler uden databehandleraftale og uden plads i fortegnelsen. Fakturaerne afslører dem bedre end samtaler. Det samme gælder AI-værktøjer, og før de kommer på listen, bør I kunne svare på fem spørgsmål om AI og persondata.
Testdata og logs. Kopier af produktionsdata i testmiljøer og logfiler med brugernavne er behandlinger som alle andre.
Backup. Alt det ovenstående findes også i sikkerhedskopierne. Kortlægningen behøver ikke gå fil for fil. Det vigtige er at vide, hvor længe kopierne lever.
Følg oplysningerne, hvor de bevæger sig
En liste over systemer viser, hvor oplysningerne ligger. Den viser ikke, hvor de bevæger sig hen. Et enkelt dataflow pr. proces rækker langt. Tag ansættelsen af en medarbejder som eksempel: ansøgningen kommer ind via mail eller et rekrutteringssystem, kontrakten lægges i et underskriftssystem, løn går til lønsystemet og videre til pengeinstitut, myndigheder og pensionsselskab, og adgang oprettes i mail og fællesdrev.
Tegn det på én side. Hver pil er en mulig videregivelse eller en leverandør, og hver boks er et sted, hvor en slettefrist skal virke. Pilene viser også, om oplysningerne forlader EU, for support fra et tredjeland kan være en overførsel, selvom data ligger i Danmark. Se support fra tredjeland.
Interviewene som kontrol
Nu er samtalerne med afdelingerne langt mere værd. I kommer med et udkast og spørger om noget konkret: Vi kan se dette værktøj på jeres faktura, hvad bruges det til? Der ligger denne mappe med ansøgninger fra for fire år siden, hvad er grunden? Svarene giver formålet, som systemerne ikke kan fortælle, og det er netop det, art. 30 bygger på. Først når I kender formålet, kan I udfylde fortegnelsen over behandlingsaktiviteter og vælge behandlingsgrundlag.
Kortlægningen giver også en oprydningsliste. Mange fund kræver ingen dokumentation, fordi de bare skal slettes. Det er ledelsen og de enkelte afdelinger, der beslutter det, og det er virksomheden, der udfører det. DPO’en rådgiver og kontrollerer bagefter, om det skete.
Sådan holder I billedet aktuelt
En engangskortlægning forældes hurtigt. Tre vaner holder den i live: Nye tjenester passerer et fast punkt ved indkøb, herunder kreditkortkøb. Opsigelser af medarbejdere og leverandører udløser en oprydning. Og en gang om året gentages søgningen efter de samme typer filer, så I kan se, om bunken vokser. Vanerne er vores anbefaling og intet krav i reglerne.
Det skal I lade være med
- At basere kortlægningen på spørgeskemaer alene · de viser det, folk husker.
- At overlade søgningen til en enkelt medarbejder uden aftale · søgning i postkasser er selv en behandling, der skal have en ramme.
- At dokumentere gamle kopier, der bare skal væk · slet dem i stedet for at beskrive dem.
- At se bort fra betalingsbilag · de viser de tjenester, IT ikke kender.
Det skal I kræve af den eksterne
- ☐ En metode, der tager udgangspunkt i systemerne og bruger interviews som kontrol.
- ☐ Evnen til at læse et brugerkatalog, en licensoversigt og en leverandørliste.
- ☐ Stikprøver i delte drev og fælles postkasser, udført af jeres folk og med en aftalt ramme.
- ☐ En prioriteret liste med fund, hvor det, der kan slettes, står først.
- ☐ Klar opdeling, så virksomheden selv ejer resultatet og opdateringen.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 2, og art. 30.
- Datatilsynet: Vejledning om fortegnelse, august 2020: forordet om overblikket som forudsætning.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Når DPO’en går ned i systemerne · Systemet kan ikke slette
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
