Hvad står GDPR for?
GDPR står for General Data Protection Regulation — på dansk databeskyttelsesforordningen. Det er EU's lov om behandling af personoplysninger, og den har været gældende i hele EU siden 25. maj 2018. I Danmark suppleres den af databeskyttelsesloven.
Personoplysninger er alle oplysninger, der kan knyttes til en identificerbar person: navne, e-mailadresser, CPR-numre, IP-adresser, lønoplysninger, billeder og meget mere.
Hvornår gælder GDPR for jer?
Kort sagt: hvis jeres virksomhed behandler personoplysninger om mennesker i EU, gælder GDPR. Det gælder næsten alle virksomheder — kundelister, medarbejderdata, nyhedsbrevsmodtagere og hjemmeside-statistik er alle personoplysninger.
Reglerne gælder, uanset om I er en enkeltmandsvirksomhed eller et koncern. Kravene skalerer med risikoen: jo mere følsomme oplysninger I behandler, jo flere forpligtelser har I.
De vigtigste principper
GDPR bygger på syv grundprincipper, som alle behandlinger skal overholde:
- Lovlighed, rimelighed og gennemsigtighed — I skal have et gyldigt grundlag og fortælle folk, hvad I bruger deres data til.
- Formålsbegrænsning — data må kun bruges til det, de er indsamlet til.
- Dataminimering — indsaml ikke mere, end I har brug for.
- Rigtighed — hold oplysningerne opdaterede.
- Opbevaringsbegrænsning — gem ikke data længere end nødvendigt.
- Integritet og fortrolighed — beskyt data mod tab og uautoriseret adgang.
- Ansvarlighed — I skal kunne dokumentere, at I overholder det hele.
Hvad kræver det i praksis?
For de fleste små og mellemstore virksomheder betyder det konkret:
- En fortegnelse over jeres behandlingsaktiviteter (artikel 30-fortegnelsen).
- Databehandleraftaler med alle leverandører, der behandler personoplysninger for jer.
- En privatlivspolitik på hjemmesiden, der forklarer behandlingerne.
- Procedurer for at håndtere borgernes rettigheder — fx indsigt og sletning.
- Pligt til at anmelde databrud til Datatilsynet inden 72 timer, hvis bruddet indebærer risiko.
Hvad risikerer I?
Datatilsynet kan give bøder på op til 20 mio. euro eller 4 % af den globale omsætning. I praksis får danske SMV'er typisk bøder i hundredtusind-klassen ved alvorlige overtrædelser — men den største risiko er ofte tabt tillid hos kunder og samarbejdspartnere, der i stigende grad kræver dokumenteret GDPR-overholdelse.
Hvordan kommer I i gang?
Start med et overblik: hvilke personoplysninger behandler I, hvor ligger de, og hvem har adgang? Herfra kan I prioritere de vigtigste dokumenter — privatlivspolitik, databehandleraftaler og fortegnelsen. Mange vælger at få en specialist til at lave et GDPR-tjek første gang, så basen er på plads.