Tjeklister og skabeloner

Her er de skabeloner, der er brug for i det daglige arbejde med databeskyttelse. Fire står direkte på siden, for de bruges tit og kan kopieres ind i et dokument. Resten ligger hos Datatilsynet eller i artiklerne, hvor begrundelsen står ved siden af. De fire lister er sat op af os, og en officiel form findes ikke, medmindre andet står ved listen.

Sådan bruger I dem

Tag den liste, jeres næste opgave kalder på. Skriv en ejer og en dato på, og slet det, der ikke passer. Et dokument, der bliver læst, er kort. Det er også jeres dokument, og det skal beskrive jeres forhold, så en udfyldt skabelon kan stå som dokumentation.

Notat om DPO-vurderingen

Brug notatet, når vurderingen er endt med et nej til en DPO. Hold det på en til to sider. Artiklen om notatet giver baggrunden.

• ☐ Virksomhedens navn, CVR, dato og en kort beskrivelse af forretningen.
• ☐ Om I er dataansvarlig, databehandler eller begge.
• ☐ De vigtigste behandlinger, og hvem de handler om.
• ☐ Kerneaktivitet: hovedaktivitet eller støttefunktion, med begrundelse.
• ☐ Stort omfang: jeres tal for personer, typer af oplysninger, varighed og geografi.
• ☐ Overvågning: følges adfærd eller placering regelmæssigt og systematisk?
• ☐ Oplysninger efter art. 9 og 10, og hvor de findes.
• ☐ Konklusion: den eller de betingelser, der ikke er opfyldt, og eventuel tvivl.
• ☐ Godkendt af hvem og hvornår, og dato for næste vurdering.

Beslutningsnotat, når et råd ikke følges

Ledelsen må vælge noget andet, end DPO’en anbefaler. WP243 kalder det god praksis at dokumentere hvorfor. Forløbet er beskrevet i artiklen om uenighed.

• ☐ Hvad sagen drejer sig om, og datoen.
• ☐ Rådet, med henvisning til DPO’ens skriftlige vurdering.
• ☐ Det, ledelsen har besluttet.
• ☐ Hvorfor valget efter ledelsens opfattelse er lovligt eller forsvarligt.
• ☐ Den risiko, der accepteres, og det, der gøres for at mindske den.
• ☐ Navn på beslutningstageren, og hvornår sagen tages op igen.

Felter til brudloggen

Art. 33, stk. 5, kræver, at alle brud skrives ned. Punkterne fra dato til underretning bygger på forslaget i afsnit 5 i Datatilsynets vejledning, og de tre sidste er vores tilføjelser. Baggrunden står i Brudloggen.

• ☐ Dato og tidspunkt for bruddet.
• ☐ Forløbet, og hvad årsagen var.
• ☐ De typer af oplysninger, bruddet angår.
• ☐ Følgerne for dem, det er gået ud over.
• ☐ Det, der er gjort for at rette op.
• ☐ Anmeldt til Datatilsynet: dato, eller begrundelsen for at lade være.
• ☐ Underretning af de berørte: dato, eller begrundelsen for at lade være.
• ☐ Tidspunktet, hvor I blev bekendt med bruddet.
• ☐ Den, der traf beslutningen.
• ☐ Et løbenummer.

Kontrol af adgange

Brug listen til jeres egen kontrol, eller når en ekstern DPO skal have adgang. Listen følger logikken i Hvilke adgange skal en ekstern DPO have? og vejledningen om rettighedsstyring, som er gennemgået i Alle kan se alt på drevet.

• ☐ Aktive brugere er sammenlignet med HR’s liste over fratrådte.
• ☐ Hver bruger har en personlig konto, og fælleskonti er begrundet.
• ☐ Administratorer er talt op, og hver af dem har et formål.
• ☐ Delte mapper med persondata har en ejer.
• ☐ Eksterne, leverandører og konsulenter har tidsbegrænset adgang.
• ☐ Der er MFA på adgang udefra.
• ☐ Logs kan vise, hvem der har haft fat i oplysningerne.
• ☐ Der er en dato for næste gennemgang.

Hos Datatilsynet

• Blanketter og skabeloner: skabelon til databehandleraftale, fortegnelse og fælles dataansvar.
• DPIA-skabeloner: den generelle og AI-udgaven.
• Skabeloner til oplysningspligt og indsigtsret: tekstbilag i Word.
• Oplysningsskema fra tilsynet med DPO’er: spørgsmålene fra 2019-tilsynet, nyttige til en egen kontrol.

Skabeloner i artiklerne

• Fortegnelse over behandlingsaktiviteter: sådan får I den til at passe Felterne, og hvordan Datatilsynets eksempel for HR bruges som udgangspunkt.
• DPIA trin for trin med Datatilsynets skabelon Arket gennemgået fane for fane.
• Datatilsynets skabelon til databehandleraftale læst med IT-øjne Det, der skal udfyldes i bilagene for at aftalen passer.
• Procedure ved brud på én side: hvor DPO’en kommer ind Et forslag i tolv punkter, som I kan tilpasse.

Tjeklister i artiklerne

• GDPR i en mindre virksomhed: det, der reelt skal være på plads Det korte minimum i den rækkefølge, vi ville tage det.
• Syv tegn på, at GDPR-arbejdet er gået i stå En hurtig selvvurdering for ledelsen.
• Sådan vurderer I en ekstern DPO før underskriften Spørgsmål til faglighed, metode og konflikter.
• Aftalen med en ekstern DPO: punkterne, der afgør, om den holder Det, aftalen skal sige om opgaver, tid, adgang og uenighed.

Det skal I lade være med

• At lade krydset stå i stedet for svaret · et afkrydset punkt uden dokumentation bag viser ingenting.
• At skrive navne på berørte i brudloggen, når antal og kategori er nok · loggen må ikke selv blive et problem.
• At bruge en skabelon uden at slette det, der ikke gælder · så ved læseren ikke, hvad der er sandt.

Det skal I kræve af den eksterne

• ☐ Dokumenter, som I selv kan redigere og tage med videre.
• ☐ En ejer på hvert dokument, så ansvaret bliver hos jer.
• ☐ Kontrol af, at listerne bliver brugt i praksis.
• ☐ Besked, når en skabelon eller en regel ændrer sig.

Kilder

• Databeskyttelsesforordningen (EU) 2016/679: art. 33 og 37.
• Datatilsynet: Håndtering af brud på persondatasikkerheden, opdateret 14/5 2025: afsnit 5.
• Datatilsynet: Styr på rettighedsstyring, december 2023.
• WP243 på dansk: afsnit 3.1.

Senest gennemgået: november 2026.

Næste skridt

• Skal vi have en DPO?
• De dokumenter, I skal kunne lægge frem

Læs også: Ordliste · Sådan foregår det

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT