Datatilsynet fører tilsyn med databeskyttelsesreglerne i Danmark. For en virksomhed er den vigtigste praktiske opgave at forstå, hvad en konkret henvendelse vedrører, bevare det relevante materiale og svare præcist inden den angivne frist. En klage, en vejledningsforespørgsel, et sikkerhedsbrud og et planlagt tilsyn er forskellige forløb og skal ikke håndteres som den samme sag.
Denne guide forklarer myndighedens rolle og giver en arbejdsmetode fra modtagelse til opfølgning. Den skelner mellem Datatilsynets administrative afgørelser, en indstilling til bøde og en straffesags afslutning. Den er ikke en rangliste over sanktioner eller et løfte om, at en bestemt dokumentpakke sikrer et gunstigt resultat. Retskilder og myndighedsoplysninger er kontrolleret den 27. september 2026.
Hvad er Datatilsynets rolle?
Datatilsynet er en uafhængig tilsynsmyndighed efter databeskyttelsesforordningens kapitel VI. Opgaverne omfatter blandt andet behandling af klager, kontrol af efterlevelse, vejledning og samarbejde med andre europæiske tilsyn. Myndigheden fører tilsyn med behandling af personoplysninger hos både private aktører og offentlige myndigheder inden for sit kompetenceområde.
Den danske databeskyttelseslov supplerer forordningen med nationale regler. Ved en konkret behandling kan anden lovgivning også have betydning, eksempelvis regler om opbevaring, offentlighed eller særlige opgaver. Virksomheden skal derfor kunne forklare både databeskyttelsesgrundlaget og den relevante faglige sammenhæng. En generel henvisning til GDPR besvarer ikke nødvendigvis myndighedens spørgsmål.
Datatilsynet er ikke virksomhedens rådgiver i alle enkeltbeslutninger og godkender ikke automatisk en behandling, fordi myndigheden har offentliggjort en vejledning om emnet. Den dataansvarlige skal selv kunne stå på mål for løsningen. Brug oversigten over databeskyttelse i Danmark til at placere sagen i den bredere ramme, og arbejd derefter med den konkrete behandling.
Hvilke beføjelser har Datatilsynet?
Artikel 58 omfatter undersøgelsesbeføjelser og korrigerende beføjelser. Datatilsynet kan blandt andet indhente oplysninger, undersøge behandlinger og give påbud om at bringe forhold i orden. I relevante tilfælde kan behandlinger begrænses eller forbydes, og overførsler kan suspenderes. Den præcise afgørelse afhænger af faktum, hjemmel og den proces, der er gennemført.
Det betyder, at en sag kan have væsentlige driftsmæssige følger, selv om der ikke kommer en bøde. Et påbud om at ændre en behandling kan kræve ændringer i systemer, kontrakter eller arbejdsgange. Virksomheden bør derfor ikke begrænse sin vurdering til spørgsmålet om et muligt beløb.
Datatilsynets side om tilsyn beskriver forskellige typer sager og reaktioner. Den giver ikke grundlag for at hævde, at alle tilsyn begynder med fortegnelsen, eller at én standardmappe afgør udfaldet. Myndighedens konkrete spørgsmål og den relevante periode skal styre virksomhedens svar.
Den danske model: hvorfor indstiller Datatilsynet i stedet for at bøde?
I Danmark skal en bødeindstilling holdes adskilt fra den endelige sanktion. Datatilsynet kan politianmelde en sag og indstille til bøde. Politi og anklagemyndighed behandler herefter straffesagen, som kan afsluttes ved et vedtaget bødeforelæg eller ved domstolsbehandling. Et anbefalet beløb er ikke i sig selv en endeligt pålagt bøde.
Myndighedens oversigt over bødesager skelner mellem afgjorte og verserende sager. Når virksomheden læser en pressemeddelelse, bør den derfor først identificere stadiet: undersøgelse, administrativ afgørelse, politianmeldelse, bødeindstilling, forelæg, dom eller appel. Offentliggørelsesdatoen kan ligge langt fra den behandling, sagen handler om.
Der kan være flere parallelle spor. Et administrativt påbud om at rette en behandling kan have betydning, mens bødespørgsmålet behandles et andet sted. Lad ikke diskussionen om en indstilling overskygge en gældende frist i en afgørelse. Juridisk bistand bør inddrages ved strafferetlige spørgsmål, så samarbejdet med tilsynet tilrettelægges under hensyn til de relevante processuelle rettigheder.
Hvad viser praksis om indstilling versus dom?
Netcompany er et nyttigt eksempel på terminologien. Datatilsynet offentliggjorde i januar 2024 en indstilling til bøde på mindst 15 millioner kroner. Ved gennemgangen den 27. september 2026 stod sagen fortsat under verserende sager i tilsynets oversigt. Det er derfor forkert at beskrive denne kilde som dokumentation for en endelig bøde på beløbet.
Eksemplet siger heller ikke, hvad en anden virksomhed vil få i bøde. Overtrædelsens karakter, faktiske omstændigheder, ansvar og øvrige relevante forhold skal vurderes særskilt. Der kan ikke udledes en generel udvikling i domstolenes bødeniveau af enkelte løsrevne omtaler. Den særskilte gennemgang af danske bødesager skal læses med samme skelnen mellem indstilling og afgørelse.
For intern rapportering bør sanktionsoplysninger derfor forsynes med kilde, processtadium og kontroldato. Hvis ledelsen ønsker et risikoscenarie, skal antagelserne beskrives som antagelser. Brug ikke et udokumenteret mediebeløb som facit for virksomhedens egen økonomiske eksponering eller som begrundelse for at købe et bestemt produkt.
Når en henvendelse modtages
Registrér sagsnummer, afsender, dato, svarfrist, kontaktvej og de spørgsmål, der faktisk stilles. Kontroller henvendelsens ægthed gennem en kendt kanal, hvis der er tvivl. Udpeg en sagsansvarlig og en stedfortræder. Den interne fordeling bør ske hurtigt nok til, at faktuelle undersøgelser og juridisk vurdering kan gennemføres inden fristen.
Bevar samtidig den dokumentation, der viser forholdene i den relevante periode. Hvis en sletteprocedure ændres i dag, skal virksomheden stadig kunne forklare den tidligere praksis, som myndigheden undersøger. Det kræver ikke, at alle personoplysninger opbevares uden grænse. Bevar relevant materiale med et defineret formål, passende adgang og en vurdering af opbevaringen.
Lav en kort oversigt over, hvad der er kendt, hvad der er usikkert, og hvem der kan fremskaffe de manglende oplysninger. Undgå at lade et første internt gæt blive til en ubetinget oplysning i svaret. Hvis omfanget eller fristen er uklart, bør den ansvarlige søge konkret afklaring; en anmodning om udsættelse ændrer ikke i sig selv den gældende frist.
Hvordan foregår et tilsyn?
Et tilsyn kan være planlagt ud fra et tema eller udspringe af en klage, en hændelse eller anden information. Myndigheden kan stille skriftlige spørgsmål og indhente bilag, og der kan være andre undersøgelsesskridt. Virksomhedens opgave er at svare på det, der bliver spurgt om, og forklare eventuelle begrænsninger i materialet.
En fortegnelse over behandlingsaktiviteter kan skabe overblik, men er ikke et register over hver enkelt persons oplysninger. Hvis tilsynet spørger til en konkret kundes adgang eller sletning, er procesbeskrivelsen normalt ikke tilstrækkelig alene. Der kan også være behov for sagsforløb, logoplysninger og dokumentation for den faktiske udførelse.
Brug en sagsindeks, hvor hvert spørgsmål forbindes med et svar, relevante bilag og den person, der har kontrolleret faktum. Materiale, der ikke bidrager til besvarelsen, skal ikke automatisk vedlægges. En stor usorteret dokumentpakke kan både gøre svaret mindre forståeligt og medføre unødvendig videregivelse af oplysninger om ansatte eller kunder.
Et hypotetisk eksempel: klage over manglende sletning
En kunde klager over, at en webshop stadig viser en gammel konto efter en sletteanmodning. Før virksomheden svarer, undersøger den, hvilke oplysninger anmodningen vedrørte, hvornår den blev modtaget, hvordan identiteten blev håndteret, og hvilke handlinger der faktisk blev udført. Det er ikke nok at fremlægge en generel slettepolitik.
Måske er kontoen slettet fra kundesystemet, mens en faktura skal opbevares af en anden grund. Måske er anmodningen kun lukket i supportsystemet uden teknisk sletning. Disse situationer kræver forskellige svar. Dokumentér forskellen mellem en retlig begrundelse for fortsat opbevaring og en manglende gennemførelse af en besluttet sletning.
Knyt undersøgelsen til retten til sletning og opbevaringsbegrænsning. Hvis der opdages en fejl, kan virksomheden rette den og forklare ændringen uden at påstå, at den oprindelige behandling dermed var lovlig. Angiv både tidspunktet for rettelsen og hvilken kontrol der viser, at den virker.
Dokumentér faktisk praksis og historiske versioner
En politik viser den besluttede fremgangsmåde; en log eller en konkret sag kan vise, hvad der skete. De to slags materiale skal kunne sammenholdes. Hvis politikken siger, at adgang gennemgås ved fratrædelse, men en tidligere medarbejder beholdt en konto, bør svaret forklare afvigelsen og den efterfølgende håndtering.
Notér dokumenters dato, gyldighed og ejer. En fortegnelse, der er opdateret efter henvendelsen, kan stadig være nyttig, men den skal ikke præsenteres som den historiske version. Det samme gælder aftaler, privatlivsinformation og risikovurderinger. Åbenhed om ændringer gør det lettere at forstå forløbet og undgår modstrid mellem bilag.
Ansvarlighed og dokumentation handler netop om at kunne forklare beslutninger og gennemførelse. Et værktøj til fortegnelsen kan understøtte versionsstyring, men fritager ikke organisationen for at kontrollere indholdet. Der er intet generelt krav om at købe en bestemt softwaretype for at kunne samarbejde med Datatilsynet.
Databehandlere og andre modtagere
Når oplysninger eller systemer ligger hos en leverandør, skal virksomheden afklare rollen og indhente den relevante dokumentation. En databehandler skal bistå inden for rammerne af artikel 28 og den konkrete aftale, men en leverandør er ikke databehandler for alle sine aktiviteter. Et kontraktnavn kan ikke erstatte vurderingen af, hvem der bestemmer formål og væsentlige hjælpemidler.
Brug databehandleraftalen til at finde kontaktvej, bistandsforpligtelser og dokumentation. Bed om præcise svar på den konkrete behandling frem for en generel erklæring om compliance. Hvis der er underdatabehandlere eller supportadgang fra andre lande, bør oplysninger om disse forhold være konsistente med virksomhedens egne beskrivelser.
Den særskilte guide til rollefordeling er nyttig, når flere organisationer deltager. Det kan være nødvendigt at forklare, hvorfor en modtager er selvstændigt dataansvarlig, og hvilket grundlag der anvendes til videregivelsen. En manglende databehandleraftale er ikke automatisk en fejl, hvis forholdet slet ikke er et databehandlerforhold.
Sikkerhedsbrud og rettighedsanmodninger har egne frister
En henvendelse fra Datatilsynet erstatter ikke pligterne i en igangværende hændelse. Artikel 33 kræver anmeldelse uden unødig forsinkelse og om muligt inden 72 timer efter kendskab, medmindre bruddet sandsynligvis ikke indebærer risiko for personers rettigheder og frihedsrettigheder. Alle brud skal dokumenteres efter bestemmelsens regler, også når anmeldelse ikke sker.
Underretning af de berørte efter artikel 34 har en anden tærskel og skal vurderes særskilt. Brug vejledningen om brudanmeldelse til det konkrete hændelsesforløb. Et svar i en tilsynssag bør angive, hvad der allerede er anmeldt, og hvordan senere oplysninger ændrer vurderingen.
Rettighedsanmodninger skal også håndteres selvstændigt. For eksempel gælder der efter artikel 12 som udgangspunkt en måneds svarfrist med mulighed for forlængelse på de fastsatte betingelser. Indsigtsretten og værktøjer til anmodninger kan hjælpe med arbejdsgangen. En klage sætter ikke automatisk den oprindelige pligt på pause.
DPO, ledelse og fortrolige sager
Den databeskyttelsesrådgiver, som er udpeget, kan rådgive, overvåge efterlevelse og fungere som kontaktpunkt. Ledelsen og den dataansvarlige beholder deres ansvar. En god intern arbejdsdeling skelner mellem faktuelle oplysninger fra driften, juridisk vurdering, DPO-rådgivning og godkendelse af det endelige svar.
Fortrolige personalesager og whistleblowersager kræver særlig opmærksomhed på adgang og nødvendighed. Den interne sagsgruppe skal ikke have adgang til hele materialet blot for at koordinere et svar. Brug afgrænsede bilag, sikre kanaler og en tydelig oversigt over, hvem der kan se hvad.
Hvis flere selskaber deler administration, skal svaret stadig angive, hvilken juridisk enhed og behandling oplysningerne vedrører. En fælles koncernpolitik dokumenterer ikke automatisk, at den er indført ens i alle selskaber. Afklar også, hvem der har fuldmagt eller kompetence til at afgive oplysninger på den relevante enheds vegne.
Datatilsynets vejledninger og bødevejledning
Vejledninger er nyttige, fordi de forklarer myndighedens forståelse og forventninger. De skal læses sammen med lovgivningen og den relevante praksis. Kontroller udgave, dato og målgruppe; en vejledning til en bestemt sektor eller en særlig behandling kan ikke uden videre overføres til en anden situation.
Ved grænseoverskridende behandling kan flere myndigheder være involveret efter reglerne om samarbejde og den ledende tilsynsmyndighed. En dansk registrering eller et dansk kontor er ikke alene tilstrækkeligt til at fastslå hovedetablering og kompetence. Dokumentér, hvor de relevante beslutninger træffes, og hvordan de kan gennemføres, hvis kompetencespørgsmålet er vigtigt i sagen.
Bødevejledninger kan forklare hensyn ved indstilling og udmåling, men de udgør ikke et tilbud om et fast beløb ved en bestemt fejl. Brug dem til juridisk analyse, ikke til et simpelt regnestykke, hvor anskaffelse af software sammenlignes med en maksimal bøde uden hensyn til sandsynlighed og faktiske forhold.
Partens rettigheder indgår i sagsarbejdet
Datatilsynets vejledning om rettigheder og pligter ved tilsyn beskriver blandt andet partsaktindsigt og begrænsninger i oplysningspligten ved konkret mistanke om en strafbar overtrædelse. En generel instruktion om altid at sende alt materiale er derfor for unuanceret. Afklar det konkrete grundlag for henvendelsen og inddrag relevant rådgivning, hvis sagen skifter karakter.
Læs også en eventuel partshøring som en mulighed for at korrigere faktuelle fejl og forklare væsentlige forhold før afgørelsen. Sammenhold myndighedens beskrivelse med kilderne i sagsindeksen. Besvar uenigheder præcist med henvisning til dokumentation, og skeln mellem uenighed om faktum og uenighed om den juridiske vurdering. Det hjælper både den interne kvalitetssikring og forståelsen af virksomhedens position.
Efter en afgørelse: omsæt pligter til handling
Læs konklusion, begrundelse, hjemmel, frister og eventuelle krav til tilbagemelding hver for sig. Fordel konkrete opgaver og aftal, hvordan gennemførelsen skal verificeres. En ændret procedure bør eksempelvis følges af en kontrol af relevante sager eller adgangsrettigheder, så organisationen kan se, om praksis faktisk er ændret.
Bevar forbindelsen mellem afgørelsen og opfølgningen. Hvis der er flere punkter, skal en samlet status ikke skjule et uafklaret krav. Ledelsen bør kunne se, hvilke forhold der er rettet, hvilke der fortsat er åbne, og hvilke beslutninger der er nødvendige. Afslut først internt, når de relevante leverancer og kontroller foreligger.
Ofte stillede spørgsmål
Kan man klage over Datatilsynets afgørelser?
Afgørelserne kan som udgangspunkt ikke indbringes for en anden administrativ myndighed, men der er adgang til domstolsprøvelse efter de relevante regler. Læs afgørelsens vejledning og få afklaret det konkrete procesforløb. En indsigelse eller retssag betyder ikke uden videre, at et påbud er sat ud af kraft.
Skal vi sende hele vores dokumentation?
Svar fyldestgørende på de konkrete spørgsmål og fremlæg relevant materiale. Forklar udeladelser eller usikkerheder. En uafgrænset eksport af alle medarbejder- og kundesager kan skabe nye problemer og gøre svaret vanskeligt at forstå. Dokumentér udvælgelsen og brug den kanal, myndigheden anviser.
Garanterer en ajourført fortegnelse et godt resultat?
Nej. Fortegnelsen er et vigtigt redskab, men lovlighed, sikkerhed, rettigheder og faktisk praksis skal også kunne forklares. Den mest brugbare forberedelse er en organisation, som ved, hvem der ejer behandlingerne, kan finde dokumentation og retter konstaterede fejl med efterprøvbar opfølgning.