En fortegnelse over behandlingsaktiviteter er den skriftlige oversigt over alle de behandlinger af personoplysninger, som din organisation foretager. Den er lovpligtig efter artikel 30 i databeskyttelsesforordningen (GDPR), og den skal kunne stilles til rådighed for Datatilsynet på anmodning. En dataansvarlig skal for hver behandling notere formål, kategorier af registrerede og oplysninger, modtagere, overførsler til tredjelande, slettefrister og de tekniske og organisatoriske sikkerhedsforanstaltninger. Fortegnelsen er ikke en formalitet: den er selve grundlaget for at kunne dokumentere ansvarlighed (accountability) efter artikel 5, stk. 2, og for at kunne besvare en indsigtsanmodning eller anmelde et brud korrekt.
Denne guide gennemgår, hvem der har pligten, hvad fortegnelsen skal indeholde felt for felt, og hvordan du holder den ajour. Vil du direkte have et udfyldt udgangspunkt, så se vores skabelon til fortegnelse over behandlingsaktiviteter.
Hvem skal føre en fortegnelse?
Artikel 30 pålægger både den dataansvarlige (art. 30, stk. 1) og databehandleren (art. 30, stk. 2) at føre en fortegnelse. De to fortegnelser har forskelligt indhold: den dataansvarliges beskriver formålene med behandlingen, mens databehandlerens beskriver de kategorier af behandlinger, der udføres på vegne af hver kunde.
Artikel 30, stk. 5, indeholder en tilsyneladende undtagelse for virksomheder med under 250 ansatte. Undtagelsen er i praksis næsten uden betydning, fordi den bortfalder, så snart behandlingen:
- ikke er lejlighedsvis (fx løbende behandling af kunde- eller medarbejderoplysninger),
- kan medføre en risiko for de registreredes rettigheder, eller
- omfatter følsomme oplysninger (særlige kategorier, art. 9) eller oplysninger om strafbare forhold (art. 10).
Enhver almindelig virksomhed med ansatte og kunder behandler personoplysninger løbende og er dermed omfattet af pligten. Datatilsynet har i sin vejledningspraksis gjort det klart, at undtagelsen sjældent kan påberåbes. Regn i praksis med, at fortegnelsen er obligatorisk.
Hvad skal fortegnelsen indeholde?
For den dataansvarlige kræver artikel 30, stk. 1, følgende oplysninger for hver behandlingsaktivitet:
- Navn og kontaktoplysninger på den dataansvarlige, eventuelle fælles dataansvarlige, en eventuel repræsentant og databeskyttelsesrådgiveren (DPO), hvis en sådan er udpeget.
- Formålene med behandlingen — fx lønadministration, rekruttering, kundehåndtering, markedsføring.
- Kategorier af registrerede (medarbejdere, kunder, leverandører, ansøgere) og kategorier af personoplysninger (identitet, kontaktoplysninger, økonomiske oplysninger, helbredsoplysninger).
- Kategorier af modtagere, herunder databehandlere og modtagere i tredjelande.
- Overførsler til tredjelande eller internationale organisationer, med angivelse af overførselsgrundlaget (fx adækvansafgørelse eller EU-Kommissionens standardkontraktbestemmelser).
- De forventede slettefrister for hver kategori af oplysninger, jf. princippet om opbevaringsbegrænsning.
- En generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger (art. 32).
Et centralt, men ofte overset punkt er, at fortegnelsen bør angive behandlingsgrundlaget efter artikel 6 for hvert formål — samtykke, kontrakt, retlig forpligtelse, legitim interesse mv. Det er ikke udtrykkeligt oplistet i artikel 30, men uden det kan du ikke dokumentere lovligheden, og Datatilsynet forventer det i praksis. Bygger du en behandling på samtykke, skal du kunne pege på, hvor samtykket er indhentet og dokumenteret.
Eksempel på en enkelt post i fortegnelsen
Behandling: Lønadministration Formål: Beregning og udbetaling af løn, indberetning til SKAT Behandlingsgrundlag: Retlig forpligtelse (art. 6, stk. 1, litra c) og kontrakt (litra b) Registrerede: Nuværende og tidligere medarbejdere Oplysninger: Navn, CPR-nummer, kontonummer, løn, fravær Modtagere: Lønbureau (databehandler), SKAT, pensionsselskab Tredjelandsoverførsel: Ingen identificeret i eksemplet; kontrollér også leverandørers supportadgang og underleverandører. Sletning: Nødvendigt regnskabsmateriale opbevares som udgangspunkt 5 år fra udgangen af det regnskabsår, materialet vedrører, jf. Erhvervsstyrelsens bogføringsvejledning. Andre HR-oplysninger får særskilt begrundede perioder; fristen regnes ikke generelt fra ansættelsens ophør. Sikkerhed: Adgangsstyring, kryptering, logning
Hvordan holder du fortegnelsen ajour?
Fortegnelsen er ikke et engangsdokument. Artikel 30 kræver, at den er skriftlig (elektronisk form accepteres) og stilles til rådighed for Datatilsynet på anmodning. I praksis betyder ansvarlighedsprincippet, at fortegnelsen skal afspejle virkeligheden løbende. En ældre fortegnelse skal gennemgås for ændringer i behandlingerne; dokumentets alder alene viser ikke, om indholdet fortsat er korrekt.
Knyt fortegnelsen til dine øvrige compliance-dokumenter: hvor en ekstern leverandør faktisk behandler oplysninger på organisationens vegne, skal forholdet dækkes af en relevant databehandleraftale, hver højrisikobehandling bør udløse en konsekvensanalyse, og slettefristerne bør stemme overens med din reelle praksis.
Knyt fortegnelsens poster til relevante databehandleraftaler, konsekvensanalyser og brudlog, og udpeg en ansvarlig for at kontrollere de berørte dokumenter, når en behandling ændres. Kontrollér i den anvendte løsning, hvilke oplysninger der faktisk deles eller opdateres, og hvilke ændringer der kræver manuel gennemgang.
Knyt behandlingerne til en kortlægning af it-systemer og afhængigheder, så systemskift, integrationer og leverandøradgange kan forbindes med de berørte poster.
Sådan kommer du i gang: en praktisk fremgangsmåde
Mange organisationer går i stå, fordi opgaven virker uoverskuelig. Den bliver håndterbar med en enkel fremgangsmåde:
- Kortlæg afdeling for afdeling. Tal med HR, økonomi, salg, marketing og IT om, hvilke oplysninger de behandler, og hvorfor. De fleste behandlinger dukker op af sig selv, når man spørger konkret: “Hvem har vi oplysninger om, og hvad bruger vi dem til?”
- Start med de behandlinger, alle har. Løn, HR og rekruttering (medarbejdere), kunde- og ordrehåndtering (kunder), markedsføring og nyhedsbreve, leverandørstyring, samt IT-drift og logning. Har I fysiske lokaler, ofte også videoovervågning.
- Udfyld ét felt ad gangen. For hver behandling: formål, behandlingsgrundlag, kategorier, modtagere, slettefrist og sikkerhed.
- Identificér hullerne. Undersøg leverandørernes faktiske roller: et databehandlerforhold uden relevant databehandleraftale og en behandling uden begrundet slettefrist eller slettekriterium er opgaver, fortegnelsen kan afdække.
- Sæt en fast opdateringsrytme. Vælg en passende gennemgangsrytme, fx halvårligt, og kontrollér den ved nye eller ændrede behandlinger. Halvårlig gennemgang er et praktisk eksempel, ikke en generel lovbestemt frist.
Fortegnelsen er sjældent perfekt fra dag ét — det vigtige er at komme i gang og gøre den til et levende arbejdsredskab. Vil du have et struktureret udgangspunkt med alle felterne, så brug vores skabelon til fortegnelsen.
Hvad koster det at mangle en fortegnelse?
Datatilsynet kan blandt andet udtale kritik, give påbud og politianmelde med indstilling til bøde. Efter databeskyttelseslovens § 42 kan tilsynet også udstede et bødeforelæg i sager, der ikke skønnes at medføre højere straf end bøde: sagen kan da afgøres uden retssag, hvis den pågældende erkender overtrædelsen og accepterer at betale bøden. Sanktion og eventuelle skærpende eller formildende forhold kræver en konkret vurdering.
Et dokumenteret eksempel er Datatilsynets politianmeldelse og bødeindstilling vedrørende Danske Bank den 5. april 2022. Tilsynet indstillede til 10 mio. kr., fordi banken i mere end 400 systemer ikke kunne dokumentere regler for sletning og opbevaring eller gennemført manuel sletning. Sagen endte ifølge tilsynets opdatering med tiltalefrafald, fordi banken blev dømt i en anden straffesag, og anklagemyndigheden vurderede, at GDPR-forholdet ikke ville have medført en strengere eller kun en ubetydelig yderligere straf. Eksemplet viser behovet for at forbinde beskrevne slettefrister med dokumentation for den faktiske sletning.
Ofte stillede spørgsmål
Skal en lille virksomhed føre en fortegnelse over behandlingsaktiviteter?
Ja, i praksis næsten altid. Undtagelsen i artikel 30, stk. 5, for virksomheder under 250 ansatte gælder kun, hvis behandlingen er lejlighedsvis, ikke indebærer risiko og ikke omfatter følsomme oplysninger. Enhver virksomhed med ansatte og kunder behandler oplysninger løbende og opfylder derfor ikke betingelserne. Regn med, at fortegnelsen er obligatorisk.
Hvad er forskellen på den dataansvarliges og databehandlerens fortegnelse?
Den dataansvarliges fortegnelse (art. 30, stk. 1) beskriver formålene med behandlingen. Databehandlerens fortegnelse (art. 30, stk. 2) beskriver de kategorier af behandlinger, som databehandleren udfører på vegne af hver dataansvarlig, samt oplysninger om underdatabehandlere og tredjelandsoverførsler. Er du både dataansvarlig for egne medarbejdere og databehandler for kunder, skal du føre begge dele.
Skal fortegnelsen indsendes til Datatilsynet?
Nej. Fortegnelsen skal ikke indsendes eller registreres på forhånd, men den skal på anmodning stilles til rådighed for Datatilsynet. Den skal derfor være tilgængelig og afspejle de relevante behandlinger, når tilsynet beder om den.
Konklusion
Fortegnelsen over behandlingsaktiviteter er rygraden i din GDPR-dokumentation. Den er lovpligtig efter artikel 30 for stort set alle organisationer, den skal indeholde formål, kategorier, modtagere, slettefrister og sikkerhedsforanstaltninger, og den skal holdes løbende ajour. Brug den som omdrejningspunkt: knyt databehandleraftaler, konsekvensanalyser og slettefrister til hver enkelt behandling. Start med en færdig skabelon, og udbyg den til din egen virksomhed. Sagen mod Danske Bank viser, at det ikke er nok at ville overholde reglerne — du skal kunne dokumentere det.
AI-systemer i den eksisterende kortlægning
Hvis en behandling anvender AI, registrér det konkrete formål og datagrundlag uden at antage, at GDPR og AI-forordningen har samme betingelser. Guiden til AI Act-software og den opdaterede EU-tidslinje viser, hvordan roller, klassifikation og særskilte vurderinger kan knyttes til dokumentationen.