Sådan kortlægger du datastrømme og behandlingsaktiviteter efter GDPR

Hvorfor kortlægning er mere end en pligt

Datatilsynet er konkret: Når en privat virksomhed behandler personoplysninger om andre, gælder GDPR. Det omfatter indsamling, registrering, videregivelse og sletning af oplysninger om fx kunder eller ansatte. Behandlingsbegrebet dækker ikke kun kundesystemet: En mail med et CV, et regneark med sygefravær og en faktura med privat adresse er alle behandlinger. Kortlægningen viser, hvilke behandlinger der findes, og hvor oplysningerne ligger.

Dansk Industri peger på dokumentationskravet: Databeskyttelsesforordningen fik virkning den 25. maj 2018. Alle virksomheder skal kunne dokumentere, at de behandler persondata efter reglerne. DI skriver, at virksomheder i værste fald kan straffes med store bøder, hvis de ikke kan dokumentere overholdelse. Derfor skal de have styr på, hvilke data de behandler, og hvor data lagres og bevæger sig hen.

Reglerne er bygget til at blive udfyldt lokalt. Datatilsynet understreger, at GDPR er fleksible regler: Du kender bedst din egen virksomhed og kan bedst vurdere, hvilke personoplysninger du har behov for at behandle, til hvilke formål, og hvor længe det er nødvendigt at gemme dem. Kortlægningen er ikke en formular, der skal udfyldes ens for alle. Den er grundlaget for de valg, virksomheden selv skal træffe og senere forsvare.

Afgræns hvilke behandlinger og roller der er i spil

Start med at afgøre, om forordningen gælder for aktiviteten. Ifølge EU-portalen Your Europe gælder GDPR, hvis din virksomhed behandler personoplysninger og er beliggende i EU – uanset hvor behandlingen faktisk finder sted. Den gælder også, hvis virksomheden er etableret uden for EU, men behandler oplysninger i forbindelse med salg af varer eller tjenesteydelser til enkeltpersoner i EU eller overvåger deres adfærd i EU; så skal virksomheden udpege en repræsentant i EU.

Forordningen gælder omvendt ikke, når den registrerede er afdød, når den registrerede er en juridisk person, eller når behandlingen foretages af en person, der ikke handler som led i sin erhvervsmæssige virksomhed. Den sidste undtagelse er praktisk vigtig: Den sætter grænsen mellem arbejdspladsens behandling og medarbejderens rent private gøremål.

Når scope er fastlagt, skal personoplysningerne defineres. Your Europe beskriver personoplysninger som alle oplysninger om en identificeret eller identificerbar person – den registrerede. Eksempler: navn, adresse, ID-kort- eller pasnummer, indkomst, kulturel profil, IP-adresse samt data opbevaret på et hospital eller hos en læge, der entydigt identificerer personen til sundhedsformål.

Særlige kategorier – race eller etnisk oprindelse, seksuel orientering, politisk holdning, religiøse eller filosofiske synspunkter, medlemskab af en fagforening, genetiske data, biometriske data og helbredsoplysninger – må som udgangspunkt ikke behandles, medmindre en undtagelse er opfyldt. Det samme gælder personoplysninger forbundet med straffedomme og lovovertrædelser. Markér disse kategorier særskilt i kortlægningen, så det er synligt, at udgangspunktet er, at de ikke må behandles, medmindre en undtagelse er opfyldt.

Placér derefter rollerne. Your Europe skelner mellem den registeransvarlige og databehandleren. Den registeransvarlige beslutter formålet med og metoden til behandlingen. Databehandleren opbevarer og behandler data på vegne af den registeransvarlige.

På dansk svarer det til dataansvarlig og databehandler. Virksomheden kan desuden have udpeget en databeskyttelsesansvarlig, der fører tilsyn med behandlingen og informerer og rådgiver ansatte, som behandler personoplysninger. Notér for hver behandling, hvem der er dataansvarlig, hvem der er databehandler, og hvilket grundlag behandlingen hviler på. Datatilsynet har vejledninger om rollefordeling, behandlingsgrundlag og om, hvornår man behandler personoplysninger.

Følg dataene fra indsamling til sletning

Brug Datatilsynets opregning af behandlingsbegrebet som tjekliste: indsamling, registrering, videregivelse og sletning. Gå hvert led igennem for hver persongruppe – kunder, ansatte, ansøgere, leverandørkontakter. Notér system, modtager og overførselsvej.

Indsamling: Identificér hver kilde. Det er typisk webformularer, ordrebekræftelser, kontrakter, ansøgninger, HR-processer, cookies, analyseværktøjer og login-flow.

Bruger I en fælles offentlig identitetsløsning, er den del af strømmen outsourcet: Digitaliseringsstyrelsen beskriver MitID som Danmarks digitale ID, hvormed man beviser, hvem man er på nettet, og MitID Erhverv som en løsning til administration af brugere, roller og rettigheder. Notér for hver kilde, hvilke felter der faktisk indsamles, og om der indsamles oplysninger, der ikke bruges til noget formål i dag.

Registrering og videregivelse: Notér, hvilke systemer oplysningerne lægges ind i, og hvem de gives videre til. Your Europe beskriver, at personoplysninger i en behandlingscyklus kan sendes gennem flere forskellige virksomheder eller organisationer. Modtagerlisten omfatter derfor både interne afdelinger, eksterne databehandlere, underleverandører og eventuelt offentlige myndigheder.

Vær særlig opmærksom på overførsler til lande uden for EU/EØS. Datatilsynet har en selvstændig vejledning om overførsel til tredjelande. Hver sådan overførsel skal kunne identificeres enkeltvis i kortlægningen.

Lagring og sletning: For hver registrering skal det fremgå, hvor oplysningerne fysisk og logisk befinder sig, hvor længe de opbevares, og hvordan de slettes. Datatilsynet har et særligt tema om cloud. Datatilsynet gør samtidig klart, at virksomheden selv skal vurdere, hvor længe det er nødvendigt at gemme oplysningerne, og at hver opbevaringsfrist skal begrundes med det formål, behandlingen tjener.

Dokumentér behandlingsaktiviteterne i en fortegnelse

Fortegnelsen er den skriftlige udgave af kortlægningen. Datatilsynet har et dedikeret emne om fortegnelse og stiller skabeloner og blanketter til rådighed, så strukturen ikke skal bygges fra bunden. Dansk Industri tilbyder tilsvarende medlemmer at downloade skabeloner og vejledning om blandt andet databehandleraftaler, procesafdækning og dokumentation af databehandlingsaktiviteter.

Byg fortegnelsen, så hver behandlingsaktivitet har sit eget opslag med: formålet med behandlingen, kategorier af personoplysninger, kategorier af registrerede, modtagere, opbevaringsvarighed og etablerede sikkerhedsforanstaltninger. Knyt hver aktivitet til behandlingsgrundlaget og til virksomhedens rolle – dataansvarlig eller databehandler. Særlige kategorier af oplysninger, jf. Your Europes liste over blandt andet helbredsoplysninger og biometriske data, bør markeres, så de ikke drukner i mængden.

Praktisk rækkefølge: Start med behandlinger, der er lette at beskrive og har mange registrerede – kundedata og medarbejderdata. Udfyld modtagere og opbevaringsfrister for dem først, fordi de fleste huller viser sig der. Fyld derefter på med behandlinger, der er sværere at afgrænse: cookies, overvågning på arbejdspladsen, markedsføring og ansættelsesforhold – områder, hvor Datatilsynet har særskilte vejledninger.

Fordi Datatilsynet understreger, at virksomheden selv vurderer formål og opbevaringsvarighed, bør begrundelsen for hver frist stå direkte i fortegnelsen. Så bliver dokumentet et beslutningsgrundlag frem for en tom registrering.

Tegn datastrømmene, så afhængigheder og huller bliver synlige

Et diagram eller simpelt skema fanger det, en tabel let skjuler: vejene mellem aktørerne. Lav én figur pr. persongruppe eller forretningsproces. Sæt systemer, teams og eksterne parter ind som kasser, og tegn overførslerne mellem dem som pile. Markér med farve eller symbol, om modtageren er dataansvarlig eller databehandler, og markér overførsler til lande uden for EU/EØS, så de er synlige på tegningen og ikke først dukker op i en tekstboks.

Tegningen skal især afsløre de manuelle led. Eksport til regneark, videresendelse pr. mail, udtræk til rapporteringsværktøj, en lokal kopi på en medarbejders drev eller et usynkroniseret fagsystem er alle behandlinger, som ikke fremgår af en systemliste, men bliver tydelige, når man følger data fra kasse til kasse. Samme metode viser dobbeltlagring: De samme oplysninger i CRM, økonomiafdeling og en mailboks har tre opbevaringsfrister og tre sletteprocesser, som skal beskrives hver for sig. DI's pointe om at have styr på, hvor data lagres og bevæger sig hen, bliver her omsat til praksis.

Brug figuren aktivt, når noget er uafklaret. Sæt spørgsmålstegn ved kasser, hvor opbevaringsstedet ikke er fastlagt, ved pile uden aftale med modtageren og ved forbindelser med ukendt sletterutine. Punkterne er arbejdslisten, ikke fejl i dokumentet – de viser, hvor næste handling skal sættes ind.

Brug kortlægningen til at prioritere sikkerhed og risici

Når overblikket er på plads, har Datatilsynet en række værktøjer: behandlingssikkerhed, katalog over sikkerhedsforanstaltninger, risikovurdering, konsekvensanalyse samt vejledninger om anmeldelse af brud og om de ti mest typiske brud. Kortlægningen er input til disse værktøjer – uden den kan man ikke sige, hvilke behandlinger der er mest udsatte.

Prioriter efter træk, der kan læses direkte ud af kortlægningen: (1) behandling af særlige kategorier, jf. Your Europes liste over helbredsoplysninger, genetiske data og biometriske data; (2) antallet af registrerede; (3) antallet af modtagere og dermed antallet af steder, hvor adgang skal styres; (4) overførsler til tredjelande; (5) manuelle led, eksport til regneark og andre overførsler uden for systemernes adgangsstyring. Hver egenskab peger på en konkret foranstaltning frem for en generel opfordring om at øge sikkerheden.

Leverandørkæden hører med i prioriteringen. Den 4. april 2025 meddelte KOMBIT, at ti af de største danske it-virksomheder og organisationer har skrevet under på en erklæring om et formelt samarbejde for at øge sikkerheden om de it-løsninger, de leverer til de danske kommuner, under navnet »Fælles om cybertruslen«. Ifølge KOMBIT er underskriverne Aeven, Edora, IBM, KMD, IT-branchen, Netcompany, NNIT, Systematic, TDC Erhverv og Trifork Security, og Styrelsen for Samfundssikkerhed og Statens IT har bidraget til samarbejdet.

KOMBIT begrunder initiativet med, at danske kommuner i dag er udsat for hyppige cyberangreb. For private virksomheder er pointen den samme: De databehandlere, der optræder som kasser i kortlægningen, er en del af angrebsfladen og skal vurderes som sådan – ikke kun som aftaleparter.

Sådan holder du kortlægningen levende

Knyt opdateringen til begivenheder frem for til kalenderen. En ny behandling opstår, når et nyt system indkøbes eller tages i brug. Den opstår også, når leverandør eller databehandler skiftes, når en eksisterende proces ændres – fx nye felter i en formular eller et nyt integrationspunkt – og når formålet med en behandling ændrer sig.

Læg derfor opdateringskravet ind i indkøbs- og leverandøronboardingen: Ingen ny kasse eller pil på tegningen uden en række i fortegnelsen. Suppler med en fast, tilbagevendende gennemgang, hvor opbevaringsfrister og sletterutiner kontrolleres mod det, der faktisk sker i systemerne.

Brug de offentlige hjælpemidler. Datatilsynet samler sine vejledninger i oversigten »Vejledning fra A-Å« og stiller skabeloner og blanketter til rådighed; der findes desuden særlige universer for små virksomheder og små foreninger samt temaer om blandt andet cloud, cookies, kunstig intelligens og overvågning på arbejdspladsen. Datatilsynet offentliggør hver uge et nyttigt og aktuelt sikkerhedstip. Datatilsynet henviser selv til, at man kan få vejledning af tilsynet, og at brancheorganisationen typisk kan hjælpe med konkrete spørgsmål til netop din virksomheds GDPR-håndtering.

Brancheorganisationerne har egne værktøjer. Dansk Industri tilbyder medlemmer skabeloner og vejledning om eksempelvis databehandleraftaler, procesafdækning og dokumentation af databehandlingsaktiviteter, og Dansk Erhvervs advokater bistår medlemsvirksomheder med at beskrive, hvordan personoplysninger om egne ansatte anvendes og behandles mest hensigtsmæssigt. Begge dele kræver medlemskab. Tænk også adgangsstyringen omkring dokumentationen med: Digitaliseringsstyrelsens MitID Erhverv er beskrevet som en løsning, der forenkler administration af brugere, roller og rettigheder – samme type styring, som kortlægningen bør beskrive, når den dokumenterer, hvem der har adgang til hvad.

Læs mere: Chromebooks: Datatilsynet suspenderer forbud og giver påbud om lovliggørelse (datatilsynet.dk).