Er min virksomhed undtaget, fordi vi er under 250 ansatte?

Sandsynligvis ikke. Undtagelsen gælder kun, hvis behandlingen er lejlighedsvis, ikke indebærer risiko for de registrerede og ikke omfatter følsomme oplysninger. Løn, personaleadministration og kundekartotek er regelmæssig behandling, så i praksis skal stort set alle virksomheder med ansatte have en fortegnelse.

Hvad skal fortegnelsen indeholde?

Navn og kontaktoplysninger på den dataansvarlige, formålene med behandlingen, kategorier af registrerede og oplysninger, modtagere, eventuelle overførsler til tredjelande, forventede slettefrister og en generel beskrivelse af sikkerhedsforanstaltningerne. Datatilsynet har en gratis skabelon, der dækker det hele.

Hvor ofte skal fortegnelsen opdateres?

Fortegnelsen skal afspejle virkeligheden, så den skal opdateres, når du tager nye systemer i brug, skifter leverandør eller ændrer formål. En fast rutine, f.eks. en årlig gennemgang kombineret med opdatering ved systemskift, er tilstrækkelig for de fleste SMV'er.

Hvordan hjælper Ejerblik med fortegnelsen?

Aktivregisteret giver dig listen over systemer, der behandler personoplysninger, med leverandør, ansvarlig og aftalegrundlag på plads. Det er netop de oplysninger, fortegnelsen bygger på. Med et opdateret register er fortegnelsen dokumentation, du vedligeholder, ikke et projekt, du starter forfra på hvert år.

Fagterm

Artikel 30-fortegnelse (fortegnelse over behandlingsaktiviteter)

En fortegnelse over behandlingsaktiviteter er det dokument, GDPR artikel 30 kræver, at næsten alle virksomheder kan frem…

Hvad er artikel 30-fortegnelse?

En fortegnelse over behandlingsaktiviteter er det dokument, GDPR artikel 30 kræver, at næsten alle virksomheder kan fremvise: en struktureret oversigt over, hvilke personoplysninger virksomheden behandler, til hvilke formål, hvem de deles med, og hvornår de slettes. Det er typisk det første, Datatilsynet beder om ved en kontrol.

Fortegnelsen er GDPR's svar på et aktivregister for persondata. Den skal blandt andet indeholde formålene med behandlingen, kategorierne af registrerede og oplysninger, modtagere af oplysningerne, eventuelle tredjelandsoverførsler, slettefrister og en beskrivelse af sikkerhedsforanstaltningerne.

Undtagelsen for virksomheder under 250 ansatte er i praksis snæver: den gælder ikke, hvis behandlingen sker regelmæssigt, og det gør behandling af medarbejder- og kundedata pr. definition. Regn derfor med, at din virksomhed skal have en fortegnelse, uanset størrelse.

Det svære er ikke at udfylde skabelonen, men at vide, hvilke systemer der overhovedet behandler personoplysninger. Her er aktivregisteret i Ejerblik det naturlige grundlag: Når alle systemer er registreret med angivelse af, om de indeholder kundedata eller medarbejderdata, er fortegnelsen et overskueligt skrivearbejde i stedet for en arkæologisk udgravning.

I praksis

For ejerledere er kendskabet til artikel 30-fortegnelse særligt relevant i forbindelse med digital due diligence. En klar dokumentation af alle aktiver inden for denne kategori giver en mere troværdig og komplet virksomhedsprofil og reducerer risikoen for uklarheder under et salg eller ejerskifte.

Ofte stillede spørgsmål

Relaterede opslag

FagtermGDPR (Databeskyttelsesforordningen)EU's databeskyttelsesforordning der regulerer indsamling og behandling af personoplysninger. Alle virksomheder der behandler personoplysninger om EU-borgere er underlagt GDPR. Digitale aktiver som CRM-systemer, e-mailplatforme og hjemmesider er centrale for GDPR-compliance.FagtermDatatilsynetDatatilsynet er den danske myndighed, der fører tilsyn med, at virksomheder og offentlige organisationer overholder GDPR og databeskyttelsesloven. Det er Datatilsynet, du anmelder databrud til, og det er Datatilsynet, der kan udtale kritik, give påbud og indstille til bøde, hvis reglerne ikke overholdes.FagtermDatabehandlerEn virksomhed der behandler personoplysninger på vegne af en anden virksomhed (den dataansvarlige). Eksempler: din e-mailmarketingplatform, dit CRM-system, din cloud-backup-løsning. Der kræves en databehandleraftale (DPA) med alle databehandlere.FagtermSlettepolitik (opbevaringspolitik)En slettepolitik fastlægger, hvor længe virksomheden opbevarer forskellige typer af oplysninger, og hvornår og hvordan de slettes. GDPR kræver, at personoplysninger ikke opbevares længere end nødvendigt, og slettefristerne skal fremgå af artikel 30-fortegnelsen. En nedskrevet politik gør kravet til en rutine i stedet for en løbende diskussion.FagtermKundedataOplysninger om virksomhedens kunder og prospects: navne, kontaktoplysninger, historik og adfærdsdata. Kundedata er typisk virksomhedens mest værdifulde og mest regulerede data. De opbevares primært i CRM-systemer, e-mailplatforme og regnskabssystemer.

← Tilbage til leksikon

Klar til at kortlægge din virksomheds digitale aktiver?

Ejerblik guider dig trin for trin med 205+ foruddefinerede aktivtyper og AI-funktionen Kontoscanner.

Få gratis adgang

Ingen binding · Data i EU · Dansk support