GDPR.
Behandl personoplysninger lovligt, beskyt rettigheder, og dokumenter implementeringen sporbart.
- Forordning (EU) 2016/679 · BDSG
- Af Derya Altinay
- Status: 22.10.2026
- Læsetid: 7 min.
Kort svar.
GDPR regulerer behandling af personoplysninger inden for det europæiske anvendelsesområde. Virksomheder har brug for passende behandlingsgrundlag, gennemsigtige oplysninger, procedurer for registreredes rettigheder og risikotilpassede beskyttelsesforanstaltninger. Efter art. 5 GDPR har dataansvarlige ansvarlighedspligt: De skal kunne dokumentere overholdelsen af principperne. Databehandlere har egne pligter og understøtter den dataansvarliges opfyldelse.
GDPR: databeskyttelse ud over IT-sikkerhed.
Databeskyttelsesforordningen er direkte gældende EU-ret til beskyttelse af fysiske personer ved behandling af deres personoplysninger. Forordning (EU) 2016/679 gælder siden den 25. maj 2018; GDPR er dens engelske forkortelse. I Tyskland supplerer navnlig Bundesdatenschutzgesetz og områdespecifikke regler den europæiske ramme.
GDPR spørger først, om og til hvilket formål en behandling er lovlig. En sikker database besvarer endnu ikke, om de indsamlede oplysninger er nødvendige, eller hvor længe de må opbevares. Art. 5 og 6 GDPR forbinder principper og behandlingsgrundlag; art. 32 vedrører behandlingssikkerhed inden for denne ramme.
Databeskyttelse er fortsat en løbende opgave, fordi formål, datastrømme og anvendte tjenester ændres. Den dataansvarlige skal efter art. 24 GDPR træffe passende foranstaltninger, kontrollere deres egnethed og opdatere dem om nødvendigt. Et dokument, som er udfyldt én gang, erstatter ikke denne løbende vurdering.
Hvilke virksomheder GDPR gælder for.
GDPR gælder efter art. 2 for den deri omfattede behandling af personoplysninger, uanset om virksomheden er stor eller lille. Det omfatter eksempelvis kundedata, ansøgningsmateriale eller personhenførbart supportindhold. Pseudonymiserede data forbliver også personoplysninger, hvis en person kan identificeres med yderligere oplysninger; reelt anonyme oplysninger skal klassificeres anderledes.
Det geografiske anvendelsesområde følger af art. 3 GDPR. Ud over behandling som led i en EU-etablering kan visse tilbud til personer i EU eller overvågning af deres adfærd foretaget af virksomheder uden for EU være omfattet. Serverens placering eller en hjemmesides tilgængelighed afgør ikke dette alene.
Rollen fastlægges for den konkrete aktivitet: Dataansvarlige bestemmer formål og hjælpemidler, mens databehandlere behandler oplysninger på vegne af andre. En organisation kan have forskellige roller alt efter aktiviteten. Art. 26 og 28 GDPR kræver passende ordninger ved henholdsvis fælles dataansvar og databehandling; en kontraktoverskrift alene afklarer ikke den faktiske rolle.
GDPR-krav til virksomheder.
GDPR-kravene forbinder juridiske beslutninger med den faktiske drift af behandlingen. Syv arbejdsområder giver orientering; hvilke særlige pligter der kommer til, afhænger af rolle, data, aktivitet og risici for de berørte personer.
Fastlæg principper og behandlingsgrundlag.
Art. 5 og 6 GDPR kræver lovlig, formålsbegrænset og sporbar behandling. Begræns data og opbevaring til det nødvendige, og hold oplysninger korrekte. Samtykke er et muligt behandlingsgrundlag; dets forudsætninger må lige så lidt springes over som andre behandlingsgrundlags forudsætninger.
Muliggør gennemsigtighed og registreredes rettigheder.
Art. 12 til 22 GDPR vedrører forståelige oplysninger og rettigheder såsom indsigt, berigtigelse og sletning. Rettighederne har forskellige forudsætninger og undtagelser. Ansvar, datasøgning, identitetskontrol og sikkert svar skal passe sammen; en privatlivspolitik alene behandler endnu ikke en anmodning.
Organiser ansvar og leverandører.
Art. 24 til 30 GDPR fastlægger organisatoriske pligter, databeskyttelse gennem design, roller og fortegnelser. Databehandling efter art. 28 kræver ud over et passende kontraktgrundlag tilstrækkelige garantier fra leverandøren. Faktisk anvendte underdatabehandlere og datastrømme skal indgå i vurderingen og ikke kun de generelle kontraktvilkår.
Omsæt art. 32 GDPR til effektive sikkerhedstiltag.
Tekniske og organisatoriske foranstaltninger skal skabe et sikkerhedsniveau, der passer til risikoen. Art. 32 GDPR tager højde for behandlingskontekst, aktuelt teknisk niveau, omkostninger samt sandsynlighed og alvor af mulige følger for personer. Afhængigt af risikoen omfatter dette adgangsbeskyttelse, kryptering, genoprettelighed og regelmæssig effektivitetskontrol; en fast universalliste er ikke tilstrækkelig.
Undersøg særlige risici og rådgivning.
En konsekvensanalyse vedrørende databeskyttelse efter art. 35 GDPR er nødvendig før en behandling, som sandsynligvis medfører høj risiko for rettigheder og frihedsrettigheder. Undersøg desuden betingelserne for databeskyttelsesrådgivere efter art. 37 og supplerende § 38 BDSG. Den rådgivende funktion erstatter ikke ansvaret for behandlingen.
Vurder og anmeld brud på persondatasikkerheden.
Art. 33 GDPR kræver som udgangspunkt anmeldelse til den kompetente tilsynsmyndighed, medmindre bruddet sandsynligvis ikke medfører risiko for rettigheder og frihedsrettigheder. Art. 34 regulerer særskilt underretning af registrerede ved sandsynlig høj risiko. Databehandlere informerer den dataansvarlige uden unødig forsinkelse; hændelsesdokumentation forbliver en selvstændig pligt.
Beskyt tredjelandsoverførsler særskilt.
Kapitel V GDPR stiller yderligere krav til overførsler til tredjelande. Undersøg faktiske modtagere, adgange og den relevante overførselsmekanisme. En lovlig overførsel erstatter hverken behandlingsgrundlaget eller de øvrige databeskyttelsespligter; hosting i EU besvarer heller ikke alle spørgsmål om eksterne adgange.
GDPR-implementering som løbende proces.
Afgræns behandlinger og roller.
Registrer som praktisk begyndelse formål, registrerede, data, systemer og modtagere i en konkret aktivitet, og afklar, hvem der har ansvar for hvilke beslutninger.
Undersøg lovlighed og information.
Vurder behandlingsgrundlag, nødvendighed og opbevaring, og sammenhold den faktiske behandling med oplysningerne til de registrerede.
Vurder risici og særlige pligter.
Undersøg risici for personer samt betingelser for konsekvensanalyse, databeskyttelsesrådgiver, databehandling og tredjelandsoverførsler, før behandlingen indføres eller ændres væsentligt.
Implementer og kontroller foranstaltninger.
Forbind juridiske og organisatoriske beslutninger med passende tekniske foranstaltninger, og kontroller, om eksempelvis adgangsregler, sletning og genopretning fungerer i den betragtede tjeneste.
Forbered rettigheder og hændelser i praksis.
Afprøv, hvordan anmodninger og brud på persondatasikkerheden opdages, eskaleres, vurderes og behandles rettidigt, herunder overdragelser mellem virksomheder og leverandører.
Opdater dokumentation ved ændringer.
Opdater beslutninger og dokumentation ved ændrede formål, modtagere eller risici, og fastlæg, hvem der følger op på åbne foranstaltninger og igangsætter næste gennemgang.
GDPR-dokumentation og frivillig certificering.
Ansvarlighed betyder efter art. 5, stk. 2, GDPR, at overholdelsen af principperne kan forklares og dokumenteres. Passende dokumenter kan omfatte behandlingsfortegnelser, begrundede behandlingsgrundlag, kontrakter, databeskyttelsesoplysninger, konsekvensanalyser og kontrol af beskyttelsesforanstaltninger. Det afgørende er, om de afspejler den reelle behandling og viser, hvilken beslutning der blev truffet på hvilket grundlag.
Databeskyttelsestilsynet har undersøgelsesbeføjelser og korrigerende beføjelser efter art. 58 GDPR. Dokumentation bør derfor være tilgængelig, forståelig og aktuel. Forordningen indfører ikke en generel certificeringspligt, hvormed en virksomhed endeligt kan afslutte hele sit databeskyttelsesarbejde; ansvaret forbliver hos den dataansvarlige og de øvrige forpligtede parter.
En certificering efter art. 42 GDPR er frivillig og vedrører behandlingsaktiviteter ud fra godkendte kriterier. Efter stk. 4 mindsker den ikke det lovbestemte ansvar; stk. 7 begrænser gyldigheden til højst tre år med mulighed for forlængelse. Et informationssikkerhedscertifikat er ikke automatisk en sådan databeskyttelsesretlig certificering.
Beslutningen om at anmelde et brud på persondatasikkerheden skal dokumenteres særskilt. Art. 33 foreskriver anmeldelse uden unødig forsinkelse og om muligt inden 72 timer efter kendskab, medmindre risikoundtagelsen gælder. Dokumentationen efter stk. 5 omfatter også ikkeanmeldte brud; underretning efter art. 34 følger sin egen risikotærskel og de deri fastsatte undtagelser.
Læs videre på bloggen.
- GDPR og sikkerhedForbind behandlinger, juridisk vurdering og beskyttelsesforanstaltninger i driften.
- Undersøg databehandlingSammenhold kontraktlige tilsagn med leverandørens faktiske datastrømme.
- Anmeld brud på persondatasikkerhedenForbered hændelsesvurdering, anmeldelsesbeslutning og dokumentation mere indgående.
- Behandl indsigtsanmodningerOrganiser søgning, vurdering og sikker fremsendelse af et indsigtsvar.
GDPR og andre rammeværker.
ISO 27001 understøtter organiseringen af informationssikkerhed, men erstatter ikke undersøgelse af behandlingsgrundlag og registreredes rettigheder. NIS2 har egne adressater og indberetningspligter; en hændelse kan kræve særskilte vurderinger efter begge retsrammer. EU AI Act supplerer kravene til bestemte AI-systemer uden at erstatte databeskyttelsesundersøgelsen af behandling af personoplysninger.
I Secani.
Secani tilbyder en databeskyttelsesprofil for roller, behandlingskontekst og overførsler samt et redaktionelt GDPR-kontrolkatalog. Profilen dokumenterer virksomhedsoplysninger og understøtter struktureret kortlægning. Den faglige vurdering af den faktiske behandling og dens lovlighed forbliver en selvstændig opgave; profilen er hverken en myndighedsgodkendelse eller en automatisk juridisk undersøgelse.
Næste skridt.
Begynd med en klart afgrænset behandling, eksempelvis håndtering af supportanmodninger. Beskriv formål, data, registrerede, involverede tjenester og modtagere, og undersøg sammen med de ansvarlige fagpersoner det passende behandlingsgrundlag. Dokumenter derefter, hvilke beskyttelsesforanstaltninger og procedurer for rettigheder og hændelser der faktisk er nødvendige.
Kilder.
- Forordning (EU) 2016/679: databeskyttelsesforordningen
- BfDI: GDPR – BDSG, Info 1, status marts 2026
- Europa-Kommissionen: GDPR’s anvendelsesområde og roller
- Europa-Kommissionen: principper for behandling
- Europa-Kommissionen: virksomheders pligter
- EDPB: sikkerhed for personoplysninger
- EDPB: brud på persondatasikkerheden
- EDPB: registreredes rettigheder
- § 38 BDSG: databeskyttelsesrådgivere i ikkeoffentlige organer
Ofte stillede spørgsmål.
Nej. Art. 6 GDPR indeholder forskellige behandlingsgrundlag med egne forudsætninger. Hvilket der kan anvendes, afhænger af det konkrete formål og de faktiske forhold; yderligere krav, eksempelvis for særlige kategorier af oplysninger, skal undersøges særskilt.
Nej. Anmeldelse til tilsynet kan efter art. 33 GDPR undlades, hvis bruddet sandsynligvis ikke medfører risiko for rettigheder og frihedsrettigheder. Bruddet skal stadig dokumenteres; underretning af registrerede efter art. 34 skal vurderes særskilt.
Nej. Et ISMS kan understøtte behandlingssikkerheden, men besvarer ikke automatisk spørgsmål om behandlingsgrundlag, gennemsigtighed eller registreredes rettigheder. Dets anvendelsesområde og den faktiske behandling skal undersøges særskilt.
Ja, hvis deres behandling falder inden for det materielle og geografiske anvendelsesområde. Virksomhedsstørrelsen alene skaber ikke en generel undtagelse; enkelte pligter afhænger af yderligere forudsætninger.
Organiser databeskyttelsesarbejdet sporbart.
Lær databeskyttelsesprofilen og det redaktionelle GDPR-katalog i Secani at kende.
Denne side giver generel orientering og erstatter ikke en juridisk undersøgelse af det enkelte tilfælde. De gældende retsregler og den konkrete behandling er afgørende.