GDPR
EU's databeskyttelsesforordning, der regulerer, hvordan virksomheder og myndigheder må indsamle, bruge, opbevare og slette oplysninger om personer.
Kort svar
GDPR er EU’s databeskyttelsesforordning. Den gælder, når virksomheder behandler personoplysninger – oplysninger om nulevende personer som kunder, patienter, klienter og medarbejdere – og stiller krav om, at oplysningerne behandles lovligt, til bestemte formål, ikke opbevares længere end nødvendigt og beskyttes mod uautoriseret adgang og tab. En stor del af det praktiske arbejde handler om IT: hvem der har adgang, hvordan data er sikret, hvornår de slettes, og hvilke leverandører der behandler dem.
- OpdageFx en mail sendt til forkert modtager, en stjålet pc eller et hackerangreb.
- BegrænseLuk adgange, skift adgangskoder, få mailen slettet hos modtageren.
- Vurdere risikoenHvilke oplysninger og personer er berørt, og hvad kan følgerne være?
- AnmeldeTil Datatilsynet via virk.dk uden unødig forsinkelse, om muligt inden 72 timer.
- DokumentereBeskriv hændelsen, vurderingen og hvad der er gjort.
Hvem og hvad reglerne omfatter
Ifølge Datatilsynet gælder forordningen for virksomheder, myndigheder og foreninger, der behandler oplysninger om fysiske personer helt eller delvist automatisk – eller i et register. Det betyder i praksis, at næsten alle virksomheder er omfattet, fordi de har oplysninger om medarbejdere og kunder i mail, økonomisystem, journal- eller sagssystem.
Oplysninger om virksomheder er som udgangspunkt ikke beskyttet – men oplysninger om enkeltmandsvirksomheder er, fordi ejer og virksomhed ikke kan adskilles. Kontaktpersonen hos en erhvervskunde er også en person, og hans navn og mailadresse er personoplysninger.
Principperne – og hvad de betyder for IT
Derudover skal den dataansvarlige kunne påvise, at reglerne overholdes. Datatilsynet nævner blandt andet, at man skal have et lovligt grundlag for behandlingen, føre fortegnelse over sine behandlingsaktiviteter, kunne opfylde de registreredes rettigheder (fx indsigt), have databehandleraftaler og kunne dokumentere passende tekniske og organisatoriske foranstaltninger.
| Princip | Hvad det kan betyde i IT |
|---|---|
| Lovlighed, rimelighed og gennemsigtighed | Kend jeres behandlinger og oplys om dem |
| Formålsbegrænsning | Data bruges ikke til nye formål uden vurdering |
| Dataminimering | Indsaml og gem kun det nødvendige |
| Rigtighed | Ret eller slet forkerte oplysninger |
| Opbevaringsbegrænsning | Faste regler for sletning, også i mail og backup |
| Integritet og fortrolighed | Adgangsstyring, MFA, kryptering og backup |
Dataansvarlig og databehandler
Den dataansvarlige afgør, hvorfor og hvordan personoplysninger behandles – typisk jeres virksomhed. En databehandler behandler oplysningerne på jeres vegne og efter jeres instruks, fx en IT-leverandør med adgang til jeres systemer eller en cloudtjeneste som Microsoft 365. Til hver databehandler skal der være en databehandleraftale, og ansvaret for at føre tilsyn med den ligger hos jer.
Sikkerhedsbrud og de 72 timer
Et brud på persondatasikkerheden er fx en mail med patientoplysninger sendt til forkert modtager, en ukrypteret bærbar, der bliver stjålet, eller et ransomwareangreb. Den dataansvarlige skal anmelde bruddet til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer efter at have fået kendskab til det – medmindre det er usandsynligt, at bruddet indebærer en risiko for de berørte personers rettigheder. Anmeldelsen sker via en formular på virk.dk.
Er risikoen høj, kan der også være pligt til at underrette de berørte personer. Alle brud bør dokumenteres internt, også dem, der ikke anmeldes.
Eksempel: En medarbejder stopper. Hendes postkasse gennemgås efter faste regler: Det, der skal gemmes, flyttes til den rette sag, og resten slettes efter den aftalte frist. Adgangen til mail, filer og fagsystem lukkes samme dag. Det er både god IT-praksis og en del af at overholde GDPR.
Det, IT kan – og ikke kan – løse
Mange GDPR-krav løses i praksis med IT: adgangsstyring, MFA, kryptering af bærbare, sikker mail, logning, backup og automatiske slettepolitikker. Men IT kan ikke afgøre, om I har lov til at behandle en oplysning, hvor længe den skal gemmes, eller hvad I skal oplyse kunderne om. Det er juridiske og ledelsesmæssige beslutninger, som IT så kan understøtte.
En typisk misforståelse er, at en bestemt licens eller et bestemt produkt gør virksomheden »GDPR-klar«. Ingen licens opfylder i sig selv kravene; det er opsætningen, procedurerne og dokumentationen, der tæller.
Spørgsmål I kan stille
- Ved vi, hvilke personoplysninger vi har, og i hvilke systemer de ligger?
- Har vi databehandleraftaler med alle leverandører, der behandler personoplysninger for os?
- Hvem har adgang til følsomme oplysninger, og er adgangen begrænset til dem, der har brug for den?
- Har vi regler for sletning – også af mails og data hos fratrådte medarbejdere?
- Ved medarbejderne, hvad de skal gøre, hvis de sender en mail til forkert modtager?
Hvornår giver det mening at få hjælp?
Det giver mening at få hjælp til IT-delen, når I vil have adgange, kryptering, sikker mail, backup og sletning sat op, så det understøtter jeres GDPR-arbejde – eller når der er sket et brud, og I skal finde ud af, hvad der er berørt. Furesø Data hjælper med det tekniske; de juridiske vurderinger hører hjemme hos jer eller jeres rådgiver.
Spørgsmål og svar
Er GDPR kun et juridisk spørgsmål?
Nej. Grundlaget for behandlingen og oplysningspligten er juridiske spørgsmål, men meget af det praktiske arbejde handler om IT: adgange, sikkerhed, sletning og aftaler med leverandører.
Gælder GDPR også for små virksomheder?
Ja. Reglerne gælder uanset størrelse, når der behandles personoplysninger. Datatilsynet har et særligt vejledningsforløb for små virksomheder, og nogle krav – fx omfanget af dokumentation – tilpasses i praksis risikoen ved behandlingen.
Skal vi anmelde det, hvis en mail er sendt til forkert modtager?
Det afhænger af, hvilke oplysninger mailen indeholdt, og hvor stor risikoen er for de berørte. Hændelsen skal vurderes hurtigt og dokumenteres; er der en risiko, skal den anmeldes til Datatilsynet, om muligt inden 72 timer.
Forbehold: Opslaget er en generel forklaring, ikke juridisk rådgivning. Reglerne står i databeskyttelsesforordningen (forordning (EU) 2016/679) og den danske databeskyttelseslov; Datatilsynets vejledninger på datatilsynet.dk uddyber, hvordan de skal forstås.
Kilder (tjekket 31. oktober 2026)