Brug tjeklisten som jeres startpunkt
GDPR kan virke uoverskuelig, men for de fleste små og mellemstore virksomheder handler det om en håndfuld konkrete forpligtelser. Gå listen igennem punkt for punkt — kan I sætte kryds ved dem alle, er I langt foran de fleste.
1. Fortegnelse over behandlingsaktiviteter
I skal have en skriftlig oversigt over, hvilke personoplysninger I behandler, hvorfor, hvor de opbevares, og hvem der har adgang. Fortegnelsen skal kunne fremvises for Datatilsynet.
- Kortlæg hver behandling: kunder, medarbejdere, nyhedsbreve, løn, hjemmeside osv.
- Notér formål, hjemmel, opbevaringssted og slettefrist for hver behandling.
- Opdatér fortegnelsen, når I tager nye systemer eller processer i brug.
2. Databehandleraftaler
Alle leverandører, der behandler personoplysninger på jeres vegne — lønsystem, regnskabsprogram, mailudbyder, hosting — skal have en skriftlig databehandleraftale med jer. Uden aftalen er behandlingen ulovlig.
3. Privatlivspolitik
I skal informere de registrerede om behandlingen — typisk via en privatlivspolitik på hjemmesiden. Den skal fortælle, hvilke data I indsamler, hvorfor, hvor længe I gemmer dem, og hvilke rettigheder folk har.
4. Borgernes rettigheder
Borgere har ret til indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse. I skal kunne besvare en anmodning inden én måned — sørg for en fast procedure, så ingen henvendelse falder mellem to stole.
5. Databrud og 72-timers fristen
Sker der et brud på personsikkerheden — fx en ransomware, en mail sendt til forkert modtager eller et stjålet udstyr — skal I vurdere risikoen. Indebærer bruddet risiko for borgerne, skal det anmeldes til Datatilsynet inden 72 timer. Ved høj risiko skal de berørte også underrettes.
6. Tekniske og organisatoriske foranstaltninger
I skal beskytte oplysningerne med passende sikkerhed: adgangskontrol, kryptering hvor relevant, backup, opdaterede systemer og medarbejdere, der ved, hvordan de håndterer persondata. Niveauet skal matche risikoen ved jeres behandlinger.
7. Sletning og opbevaring
Personoplysninger må ikke ligge og flyde. Fastlæg slettefrister for hver type data — fx ansøgere, der ikke kom videre, og kunder, der ikke har handlet i årevis — og sørg for, at sletningen rent faktisk sker.
Hvornår har I brug for hjælp?
Kan I svare ja til det meste på listen, er grundlaget på plads. De fleste SMV'er har brug for ekstern hjælp i tre situationer: første gangs etablering, når Datatilsynet eller en stor kunde beder om dokumentation, og når virksomheden vokser ind i nye behandlinger. Et struktureret GDPR-tjek hos en specialist klarer typisk fundamentet på få uger.