GDPR-compliance betyder, at virksomheden overholder GDPR og kan dokumentere det, for art. 5, stk. 2, kræver, at den dataansvarlige kan påvise, at reglerne overholdes. På dansk siger man også GDPR-efterlevelse. Mange virksomheder lavede et stort stykke arbejde omkring 2018 og har siden gået ud fra, at det stadig holder. Syv tegn viser, at arbejdet er gået i stå: gamle datoer, ingen ejer, en fortegnelse, der ikke passer med systemerne, aftaler uden opfølgning, sletning kun på papir, en tom brudlog og nye systemer uden vurdering. Tre eller flere af dem er nok til at tage det op i ledelsen. Listen er vores egen og ingen officiel prøve.
1. Dokumenterne har gamle datoer
Åbn fortegnelsen, privatlivspolitikken og de interne retningslinjer, og se på den seneste dato. Står der 2018, er der grund til at spørge, hvad der er sket siden. Virksomheden har med stor sandsynlighed skiftet systemer, leverandører og måske medarbejdere. En politik, der beskriver en virkelighed, der er væk, er en dårligere dokumentation end en kort, der passer.
Tjekket er hurtigt og kræver ingen fagperson. En ledelse, der gerne vil have et hurtigt billede, kan begynde her.
2. Ingen kan sige, hvem der ejer det
Spørg tre personer i virksomheden, hvem der svarer for databeskyttelse. Får I tre svar eller ingen, har arbejdet ingen ejer. Ofte blev opgaven løst af en projektgruppe eller en konsulent, som er gået, og opgaven er aldrig blevet overdraget.
Virksomheder uden pligt til en DPO behøver ingen DPO for at løse det. De har brug for en navngiven person. Se uden DPO: hvem ejer så databeskyttelsen?. Har I en DPO, der ikke når det, er det et andet problem, se den interne DPO har ikke tid.
3. Fortegnelsen passer ikke med systemerne
Tag fortegnelsen over behandlinger, og læg den ved siden af listen over de systemer, IT faktisk driver. Mangler der noget? Regneark, delte drev og de SaaS-tjenester, afdelingerne selv har købt, står sjældent i den. Omvendt kan der stå systemer, som er lukket for år tilbage.
Den afvigelse fortæller også, at I ikke ved, hvor oplysningerne ligger. Så bliver alt det andet sværere: indsigt, sletning og vurderingen af et brud. Sådan bygges overblikket op fra IT-siden i hvor ligger jeres persondata?.
4. Databehandleraftalerne ligger i en mappe
Aftalerne blev underskrevet, og siden er ingen vendt tilbage til dem. Art. 28, stk. 1, kræver, at I kun bruger databehandlere, der stiller de fornødne garantier, og det er et krav, der gælder, så længe samarbejdet varer. Spørg, hvornår I sidst fulgte op på en leverandør, hvem der har læst den seneste ændring i listen over underdatabehandlere, og om alle nye leverandører har fået en aftale.
Datatilsynets vejledning om tilsyn med databehandlere beskriver, hvordan omfanget af tilsynet følger risikoen. Metoden står i tilsyn med databehandlere.
5. Slettepolitikken bliver ikke fulgt
Art. 5, stk. 1, litra e, siger, at oplysninger ikke må opbevares længere, end formålet kræver. Mange har en politik med fornuftige frister og ingen job, der gennemfører dem. Bed IT om at vise den ældste kundepost eller den ældste ansøgning i systemerne. Er den ti år gammel, mens politikken siger noget andet, er det tegnet. Se slettepolitik og, hvis systemet ikke kan, systemet kan ikke slette.
6. Brudloggen er tom
Art. 33, stk. 5, kræver dokumentation af hvert brud, uanset om det bliver anmeldt. Fejlforsendelser alene giver Datatilsynet flere tusinde anmeldelser om året, og i 2025 blev der i alt anmeldt 9.849 brud. En virksomhed af en vis størrelse, der aldrig har skrevet et brud ned i sin log, har sjældent været fejlfri. Det er mere sandsynligt, at ingen genkender et brud, eller at ingen ved, hvor det skal skrives ned. Se brudloggen.
7. Nye systemer kommer ind uden vurdering
Det sidste tegn er det, der gør de seks andre værre med tiden. Hvis indkøb af et nyt system, et AI-værktøj eller en ny leverandør sker uden, at nogen stiller spørgsmål om persondata, vokser afstanden mellem papir og virkelighed hver måned. Spørg, hvad der sidst blev købt, og hvem der vurderede det. Blev der overvejet en konsekvensanalyse efter art. 35? Fik leverandøren en databehandleraftale? Blev privatlivspolitikken opdateret?
Hvorfor det betyder noget nu
Datatilsynet har for 2026 peget på gennemsigtighed og oplysningspligt, kontrol af ansatte, sikker brug af auto-complete, sporing på hjemmesider og store databehandlere som fokusområder (læst 5. november 2026). Det gælder for i år. Pointen rækker længere, for de færreste dokumenter fra 2018 kan svare på det, et tilsyn eller en kunde spørger om i dag.
Der er grund til at tage det roligt. Art. 39, stk. 2, og forordningen som helhed bygger på risiko, og I skal hverken lave alt om eller gøre det på én gang.
Sådan kommer I i gang igen
- Giv det en ejer. En navngiven person med ledelsens opbakning og en dato for første status.
- Sammenhold papir og systemer. Begynd med de behandlinger, der vedrører flest personer eller følsomme oplysninger.
- Prioritér efter risiko. Hvad kan skade personerne mest, hvis det går galt?
- Få en rytme. Et fast punkt på ledelsesmødet, så arbejdet ikke går i stå igen.
Er det svært at se, hvor I står, kan et udefrakommende blik hjælpe. Hvad en gennemgang giver, står i GDPR-gennemgangen. Forskellen på papir og systemer er beskrevet i politik og virkelighed.
Det skal I lade være med
- At starte forfra med en ny dokumentpakke · skabeloner uden systemerne bag gentager problemet.
- At gøre det til et projekt med en slutdato · det var sådan, det gik i stå i 2018.
- At lade IT eller jura eje det alene · spørgsmålene går på tværs af begge.
Det skal I kræve af den eksterne
- ☐ En vurdering, der bygger på både systemerne og dokumenterne.
- ☐ En liste over fund, prioriteret efter risikoen for personerne.
- ☐ En navngiven ejer hos jer for hvert punkt.
- ☐ Besked om, hvad der kan vente, så I ikke laver alt på én gang.
Kilder
- Forordning (EU) 2016/679 på dansk: art. 5, art. 24, art. 28, stk. 1, art. 33, stk. 5, art. 35 og art. 39, stk. 2.
- Datatilsynet: Særlige fokusområder for tilsynsaktiviteter i 2026.
- Datatilsynet: Årsberetning 2025.
- Datatilsynet: Vejledning om tilsyn med databehandlere, oktober 2021.
Senest gennemgået: november 2026.
Næste skridt
Læs også: De dokumenter, I skal kunne lægge frem · Ekstern DPO i en mindre virksomhed
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
