Har din virksomhed medarbejdere eller kunder, behandler du persondata og er omfattet af GDPR – uanset virksomhedens størrelse. De fleste virksomheder skal føre en artikel 30-fortegnelse over deres databehandlingsaktiviteter, indgå skriftlige databehandleraftaler med eksterne leverandører og kunne dokumentere over for Datatilsynet, at persondata behandles lovligt og sikkert.
Gælder GDPR for min lille virksomhed?
Ja, i langt de fleste tilfælde. GDPR indeholder ganske vist en snæver undtagelse for virksomheder med under 250 ansatte, hvis behandlingerne er rent lejlighedsvise, uden følsomme oplysninger og uden risiko for de registreredes rettigheder. I praksis rammer denne undtagelse dog meget få virksomheder, fordi næsten alle håndterer persondata jævnligt – for eksempel medarbejderdata i lønadministrationen eller kundedata i et CRM-system – og dermed falder uden for undtagelsen og er fuldt omfattet af reglerne.
Artikel 30-fortegnelsen: din vigtigste dokumentation
Som dataansvarlig har din virksomhed pligt til at udarbejde og løbende opdatere en fortegnelse over alle databehandlingsaktiviteter. Fortegnelsen skal foreligge skriftligt, gerne elektronisk, så den kan udleveres til Datatilsynet på anmodning. Det er ledelsens ansvar at sikre, at fortegnelsen udarbejdes og vedligeholdes, selvom opgaven i praksis ofte varetages af en GDPR-ansvarlig, en compliance-medarbejder eller en databeskyttelsesrådgiver (DPO).
- Formålet med hver databehandling (fx lønudbetaling, kundeservice, markedsføring)
- Kategorier af registrerede (medarbejdere, kunder, jobansøgere)
- Kategorier af personoplysninger, der behandles
- Hvem oplysningerne eventuelt videregives til
- Hvor længe oplysningerne opbevares, før de slettes
- Overordnet beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger
Databehandleraftaler med eksterne leverandører
Bruger din virksomhed eksterne leverandører, der behandler persondata på dine vegne – for eksempel et lønbureau, et CRM-system eller en cloud-udbyder – kræver GDPR, at I indgår en skriftlig databehandleraftale. Aftalen skal sikre, at leverandøren (databehandleren) overholder GDPR-kravene på din virksomheds vegne og kun behandler oplysningerne efter din dokumenterede instruks. Mange leverandører har en standard databehandleraftale klar, men det er stadig dit ansvar som dataansvarlig at gennemgå og godkende indholdet, ikke bare underskrive uden at læse den.
Skal din virksomhed have en databeskyttelsesrådgiver (DPO)?
| Type virksomhed | DPO-pligt? |
| Offentlige myndigheder | Ja, altid |
| Virksomheder med systematisk, omfattende overvågning som kerneaktivitet | Ja |
| Virksomheder der i stor skala behandler følsomme oplysninger som kerneaktivitet | Ja |
| Almindelig lille eller mellemstor virksomhed uden ovenstående | Nej, men frivilligt tilladt |
De fleste små og mellemstore danske virksomheder er ikke DPO-pligtige, men skal stadig have en person internt, der har det overordnede ansvar for GDPR-compliance, selvom vedkommende ikke formelt bærer titlen databeskyttelsesrådgiver.
Hvad sker der ved et databrud?
Opdager din virksomhed et brud på persondatasikkerheden – for eksempel at en medarbejders laptop med kundedata bliver stjålet, eller at en fejl sender persondata til den forkerte modtager – skal bruddet som udgangspunkt anmeldes til Datatilsynet senest 72 timer efter, at virksomheden er blevet opmærksom på det, medmindre bruddet vurderes usandsynligt at udgøre en risiko for de registreredes rettigheder. Indebærer bruddet en høj risiko for de berørte personer, skal de desuden underrettes direkte og uden unødig forsinkelse.
De grundlæggende principper i GDPR
Al databehandling i din virksomhed skal overholde en række grundprincipper, uanset hvilken konkret behandling der er tale om. Persondata skal behandles lovligt, rimeligt og gennemsigtigt over for de registrerede, og du må kun indsamle data til udtrykkeligt angivne, legitime formål – princippet om formålsbegrænsning. Dataminimering betyder, at du kun må indsamle de oplysninger, der reelt er nødvendige til formålet, mens princippet om opbevaringsbegrænsning kræver, at data ikke opbevares længere end nødvendigt. Endelig skal data behandles med passende sikkerhed, der beskytter mod uautoriseret adgang, tab eller ødelæggelse.
Behandlingsgrundlag: hvornår må du behandle persondata?
Enhver behandling af persondata kræver et lovligt grundlag efter GDPR. De mest almindelige grundlag for virksomheder er samtykke fra den registrerede, at behandlingen er nødvendig for at opfylde en kontrakt (fx en ansættelseskontrakt eller en kundeordre), at behandlingen er nødvendig for at overholde en retlig forpligtelse (fx bogføringsloven), eller at virksomheden har en legitim interesse, der ikke tilsidesaættes af den registreredes grundlæggende rettigheder. Det er vigtigt at identificere og dokumentere det konkrete grundlag for hver enkelt behandling, da det har betydning for, hvilke rettigheder de registrerede har, og hvordan du kan forsvare behandlingen over for Datatilsynet.
Persondata om medarbejdere: særlige opmærksomhedspunkter
Som arbejdsgiver behandler du løbende persondata om dine medarbejdere – lønoplysninger, CPR-numre, sygefravær og i visse tilfælde helbredsoplysninger, som er en særlig kategori af følsomme data med skærpede krav til behandlingsgrundlaget. Overvågning af medarbejdere, for eksempel via GPS i firmabiler eller logning af internetbrug, kræver et klart, sagligt formål og skal stå i et rimeligt forhold til formålet, ligesom medarbejderne som udgangspunkt skal informeres om overvågningen på forhånd.
Regneeksempel: Konsulentfirmaet der glemmer en databehandleraftale
Et lille konsulentfirma med fem ansatte begynder at bruge et nyt CRM-system til at gemme kundeoplysninger, men glemmer at indgå en databehandleraftale med leverandøren. Et halvt år senere bliver virksomheden udtaget til en stikprøvekontrol af Datatilsynet, som konstaterer den manglende aftale. Fordi virksomheden hurtigt retter fejlen og kan dokumentere, at ingen persondata reelt er kommet uvedkommende i hænde, ender sagen med en påtale i stedet for en bøde – men havde konsekvenserne været alvorligere, kunne virksomheden i princippet være blevet mødt med en administrativ bøde på op til 4% af den globale årsomsætning.
Tekniske og organisatoriske sikkerhedsforanstaltninger
GDPR kræver, at din virksomhed implementerer passende sikkerhedsforanstaltninger, der står i forhold til risikoen ved den konkrete databehandling. I praksis betyder det typisk adgangsbegrænsning, så kun medarbejdere med et reelt behov kan tilgå persondata, kryptering af følsomme oplysninger, regelmæssig backup og en klar procedure for, hvad der skal ske, hvis en medarbejder stopper eller skifter rolle. Der findes ingen facitliste for, hvor omfattende sikkerheden skal være – kravet er proportionalt, så en virksomhed, der behandler store mængder følsomme sundhedsdata, skal have et markant højere sikkerhedsniveau end en, der kun behandler almindelige kontaktoplysninger.
GDPR ved overførsel af data til lande uden for EU
Bruger din virksomhed en cloud-leverandør eller et system, hvor persondata opbevares eller behandles uden for EU/EØS, gælder der skærpede krav til overførslen. Som udgangspunkt skal modtagerlandet være godkendt af EU-Kommissionen som havende et tilstrækkeligt beskyttelsesniveau, eller også skal I have indgået EU-Kommissionens standardkontraktbestemmelser med leverandøren som et supplerende værn. Mange amerikanske techleverandører er i dag omfattet af særlige rammeaftaler mellem EU og USA, men det er stadig dit ansvar som dataansvarlig at undersøge og dokumentere, at overførslen sker på et lovligt grundlag.
Hvad hvis en medarbejder eller kunde vil have slettet sine data?
GDPR giver registrerede personer flere rettigheder, herunder retten til indsigt i egne oplysninger, retten til berigtigelse af forkerte oplysninger og under visse betingelser retten til at få sine oplysninger slettet («retten til at blive glemt»). Din virksomhed skal som udgangspunkt besvare en sådan anmodning inden for en måned og kan kun afvise sletning, hvis der er en anden lovlig grund til at beholde oplysningerne, for eksempel bogføringslovens opbevaringspligt på 5 år for regnskabsmateriale.
Konsekvensanalyse (DPIA): hvornår er den påkrævet?
Indebærer en ny databehandling sandsynligvis en høj risiko for de registreredes rettigheder – for eksempel systematisk og omfattende overvågning, storskala-behandling af følsomme oplysninger, eller brug af ny teknologi som ansigtsgenkendelse – skal du gennemføre en konsekvensanalyse vedrørende databeskyttelse (DPIA), før behandlingen påbegyndes. Analysen skal beskrive behandlingens formål, vurdere nødvendigheden og proportionaliteten, identificere risici for de registrerede og beskrive, hvilke foranstaltninger der skal mindske disse risici. Er du i tvivl om, hvorvidt en konkret behandling kræver en DPIA, kan Datatilsynets vejledninger og lister over typiske højrisikobehandlinger være et godt udgangspunkt.
Samtykke fra børn og unge
Tilbyder din virksomhed digitale tjenester direkte til børn, gælder der skærpede regler for samtykke. I Danmark er den digitale samtykkealder fastsat til 13 år, hvilket betyder, at børn under 13 år kræver samtykke fra en forælder eller værge, før virksomheden må behandle deres persondata i forbindelse med informationssamfundstjenester som apps, spil eller sociale medier. Er din målgruppe børn og unge, bør du derfor indbygge en alderskontrol og en klar proces for forældresamtykke i din løsning fra starten, i stedet for at tilføje det som en eftertanke.
Persondata i markedsføring og retten til indsigelse
Bruger din virksomhed kundedata til målrettet markedsføring, skal du kunne identificere det rette behandlingsgrundlag – typisk samtykke eller legitim interesse – og kunderne har til enhver tid ret til at gøre indsigelse mod, at deres data bruges til direkte markedsføring. Modtager du en indsigelse, skal du straks stoppe den pågældende markedsføringsbehandling uden yderligere betingelser, i modsætning til andre typer indsigelser, hvor du kan afveje dine egne legitime interesser over for den registreredes. Denne særligt strenge regel gælder specifikt for markedsføringsformål og er en af de rettigheder, Datatilsynet oftest ser klager over.
Fejl at undgå som GDPR-ansvarlig
- At tro, at virksomheden er for lille til at være omfattet af GDPR
- At bruge en ekstern leverandør uden at indgå en databehandleraftale først
- At opbevare persondata længere end nødvendigt uden en klar slettepolitik
- At overse pligten til at anmelde et databrud inden for 72 timer
- At lade fortegnelsen efter artikel 30 blive forældet, når nye systemer eller leverandører tages i brug
Datatilsynets tilsyn og stikprøvekontroller
Datatilsynet fører løbende tilsyn med, at danske virksomheder overholder GDPR, både ved konkrete klager fra registrerede og gennem egne stikprøvekontroller inden for udvalgte brancher eller temaer. Bliver din virksomhed udtaget til kontrol, vil Datatilsynet typisk anmode om at se din artikel 30-fortegnelse, dine databehandleraftaler og dokumentation for de tekniske sikkerhedsforanstaltninger. Kan du fremvise ordentlig, opdateret dokumentation, ender de fleste kontrolsager uden sanktion, mens manglende eller mangelfuld dokumentation ofte er det, der i praksis udløser en påtale eller bøde, selv i sager uden konkret skade på registrerede.
Ofte stillede spørgsmål om GDPR for virksomheder
Er min enkeltmandsvirksomhed omfattet af GDPR?
Ja, i langt de fleste tilfælde. Så snart du behandler persondata om kunder eller medarbejdere – hvilket næsten alle virksomheder gør, uanset branche – er du omfattet af reglerne, uanset virksomhedens størrelse eller antal ansatte.
Hvad skal en artikel 30-fortegnelse indeholde?
Formålet med hver behandling, kategorier af registrerede og oplysninger, eventuelle modtagere, opbevaringsperioder og en overordnet beskrivelse af sikkerhedsforanstaltningerne. Den skal foreligge skriftligt, gerne elektronisk, og kunne udleveres til Datatilsynet på anmodning.
Skal jeg have en databeskyttelsesrådgiver (DPO)?
Kun hvis din kerneaktivitet er systematisk overvågning i stort omfang, eller du i stor skala behandler følsomme oplysninger som kerneaktivitet. De fleste små og mellemstore virksomheder er ikke DPO-pligtige.
Hvor hurtigt skal jeg anmelde et databrud?
Senest 72 timer efter, at virksomheden er blevet opmærksom på bruddet, medmindre det vurderes usandsynligt at udgøre en risiko for de registreredes rettigheder.
Hvad koster det, hvis min virksomhed overtræder GDPR?
Bøderne kan i alvorlige tilfælde udgøre op til 4% af virksomhedens globale årsomsætning eller 20 millioner euro, alt efter hvad der er højest. I praksis afhænger bødens størrelse af overtrædelsens alvor og virksomhedens vilje til at samarbejde med Datatilsynet.
Skal jeg altid indgå en databehandleraftale med mine leverandører?
Ja, hvis leverandøren behandler persondata på dine vegne, for eksempel et lønbureau eller et cloud-system. Det gælder uanset leverandørens størrelse eller hvor længe samarbejdet har varet.
Hvad er et lovligt behandlingsgrundlag?
Det mest almindelige er samtykke, kontraktopfyldelse, en retlig forpligtelse eller virksomhedens legitime interesse. Du skal kunne identificere og dokumentere det konkrete grundlag for hver enkelt databehandling.
Må jeg overvåge mine medarbejdere?
Kun med et klart, sagligt formål, der står i rimeligt forhold til overvågningens omfang, og medarbejderne skal som udgangspunkt informeres om overvågningen på forhånd.
Hvilke sikkerhedsforanstaltninger kræver GDPR?
Der findes ingen facitliste – kravet er proportionalt med risikoen. Typisk indebærer det adgangsbegrænsning, kryptering af følsomme data, regelmæssig backup og klare procedurer for medarbejdere, der stopper eller skifter rolle.
Må jeg bruge en amerikansk cloud-leverandør til persondata?
Det kræver, at overførslen sker på et lovligt grundlag, for eksempel via en EU-godkendt rammeaftale eller EU-Kommissionens standardkontraktbestemmelser. Det er dit ansvar som dataansvarlig at undersøge og dokumentere grundlaget.
Hvornår skal jeg lave en konsekvensanalyse (DPIA)?
Når en ny behandling sandsynligvis indebærer høj risiko for de registrerede, for eksempel systematisk overvågning eller storskala-behandling af følsomme oplysninger. Analysen skal gennemføres, før behandlingen påbegyndes.
Hvad er den digitale samtykkealder i Danmark?
13 år. Børn under 13 år kræver samtykke fra en forælder eller værge, før en virksomhed må behandle deres persondata i forbindelse med digitale tjenester som apps eller sociale medier.
Kan kunder sige nej til at modtage markedsføring baseret på deres data?
Ja, kunder har altid ret til at gøre indsigelse mod, at deres persondata bruges til direkte markedsføring, og du skal stoppe behandlingen med det samme uden yderligere betingelser.
Skal jeg udpege en fast kontaktperson for GDPR internt i virksomheden?
Det er ikke et lovkrav for de fleste virksomheder, men det anbefales på det kraftigste. En fast intern kontaktperson sikrer, at fortegnelsen holdes opdateret, og at anmodninger fra registrerede og eventuelle databrud håndteres rettidigt og konsistent, i stedet for at ansvaret spredes uklart mellem flere medarbejdere, når en konkret sag opstår.
Markedsfører du dine produkter samtidig med, at du behandler kundedata, bør du også kende reglerne i markedsføringsloven 2026. Se også datatilsynet.dk om GDPR for virksomheder, hvor du finder skabeloner til artikel 30-fortegnelsen og konkret vejledning om, hvornår en DPIA er påkrævet for netop din type virksomhed.