GDPR: hvad det er, hvem der kan det, og hvad de tjener

GDPR er EU's databeskyttelsesforordning, suppleret af den danske databeskyttelseslov. Som færdighed handler GDPR ikke om at kunne citere artikler udenad. Den handler om at kunne afgøre, hvad en konkret organisation må gøre med oplysninger om mennesker — og skrive begrundelsen ned, så den holder over for Datatilsynet.

Det begynder med at kunne se, hvad der faktisk sker med data. En person med færdigheden kan kortlægge, hvilke personoplysninger organisationen har, hvor de kommer fra, hvem der kan se dem, hvilke systemer de ligger i, og hvornår de skulle have været slettet. Kortlægningen ender i en fortegnelse over behandlingsaktiviteter. Datatilsynet har lagt et eksempel på en HR-fortegnelse ud som skabelon, og de fleste bruger den slags som udgangspunkt.

Dernæst kommer hjemlen. For hver behandling skal man kunne pege på et behandlingsgrundlag: samtykke, opfyldelse af en kontrakt, en retlig forpligtelse, en legitim interesse eller et af de øvrige grundlag. En dygtig fagperson vælger ikke samtykke som standard, fordi det føles sikkert. Samtykke skal kunne trækkes tilbage igen, og det passer sjældent til noget, organisationen er nødt til at gøre alligevel. Følsomme oplysninger — helbred, fagforeningsforhold, biometri og lignende — kræver desuden en særlig hjemmel.

Så kommer risikoen. Færdigheden dækker at kunne lave en risikovurdering af en behandling og afgøre, om der skal laves en konsekvensanalyse (DPIA). En DPIA er ikke et dokument, man laver bagefter for at have det. Det er en vurdering, man laver inden, og den skal kunne ændre løsningen.

Leverandørerne er en stor del af arbejdet i praksis. En person med færdigheden kan læse en databehandleraftale og se, om den giver organisationen den kontrol, den skal have: instruks, sikkerhed, underdatabehandlere, audit og sletning ved ophør. Datatilsynet har en standardskabelon, som mange aftaler bygger på. Samme person kan finde ud af, om data havner uden for EU, og hvad der så skal være på plads.

Rettighederne er den del, borgere og medarbejdere selv oplever. Færdigheden dækker at kunne håndtere en anmodning om indsigt, sletning, rettelse eller indsigelse: finde oplysningerne frem, vurdere hvad der må udleveres, undtage det der skal undtages, og svare inden for fristen. Det er sværere, end det lyder, når oplysningerne ligger spredt i mail, sagssystem og logfiler.

Endelig er der brud på persondatasikkerheden. En person med færdigheden kan vurdere, om en hændelse er et brud, dokumentere den internt, anmelde den til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, at organisationen er blevet bekendt med bruddet, og afgøre om de berørte personer skal underrettes. Anmeldelsen sker via virk.dk. Den mest almindelige type brud er ikke hackerangreb, men fejlsendte mails.

I det daglige viser færdigheden sig som timing og formulering. Personen bliver spurgt, før systemet er købt, ikke bagefter. Svarene lyder oftere "det kan vi godt, hvis vi gør sådan" end "det må vi ikke". Og der ligger et skriftligt spor: vurderinger, beslutninger og datoer, som en ny medarbejder kan læse om to år.

For nogle organisationer er færdigheden et lovkrav i sig selv. Offentlige myndigheder skal udpege en databeskyttelsesrådgiver (DPO). Private virksomheder skal, hvis de blandt andet overvåger systematisk i stort omfang eller behandler følsomme oplysninger i stort omfang. Datatilsynet beskriver kravene i sin vejledning om databeskyttelsesrådgivere.

Men færdigheden gør ofte størst forskel i roller, der ikke har GDPR i titlen. HR sidder med ansøgninger, sygefravær og advarsler. Marketing sidder med sporing, nyhedsbreve og målretning. It-drift sidder med adgangsrettigheder, logning og backup — og med, at backuppen også skal kunne slette. Indkøb skriver kontrakterne med de leverandører, der får adgang til data. Udviklere bygger de felter, som resten af organisationen senere skal kunne slette igen. I sundheds-, social- og forsikringsbranchen er næsten alle oplysninger følsomme, og der er færdigheden en forudsætning for at kunne arbejde.

Nogle situationer gør færdigheden akut. Når I skal købe et nyt system eller skifte leverandør. Når nogen vil sende rigtige kundedata gennem et AI-værktøj. Når ledelsen vil måle eller kontrollere medarbejdere. Når en borger klager, eller Datatilsynet skriver. Når en mail er sendt til den forkerte. Og når en større kunde eller en køber i en virksomhedshandel begynder at bede om dokumentation.

Datatilsynet offentliggør hvert år, hvad tilsynet prioriterer. For 2026 står blandt andet kunstig intelligens og automatiserede afgørelser, overvågning af ansatte, sporing på danske hjemmesider, fejlforsendelser via auto-complete i mailprogrammer og de store databehandlere på listen. Det er en god indikator for, hvor færdigheden bliver efterspurgt lige nu.

GDPR-færdigheden hænger desuden sammen med andet regelarbejde. Kravene til sikkerhed overlapper med informationssikkerhed efter ISO 27001 og med NIS2-arbejdet. Kravene til gennemsigtighed og risikovurdering overlapper med AI-forordningen. En person, der kan GDPR ordentligt, kan genbruge meget af arbejdet der.

Grundlaget er kilderne selv, og de er gratis. Forordningens tekst er kort nok til at læse igennem. Datatilsynets vejledninger dækker de spørgsmål, danske organisationer faktisk støder ind i: behandlingsgrundlag, fortegnelse, sletning, indsigt, oplysningspligt, rollefordeling og håndtering af brud. Det Europæiske Databeskyttelsesråd (EDPB) udgiver retningslinjer, der forklarer de svære steder. Og Datatilsynets afgørelser viser, hvordan reglerne bliver læst i praksis. Erfarne fagfolk følger dem løbende — det er der, praksis flytter sig.

Kurser giver struktur og et fælles sprog. I Danmark er de mest brugte DPO-uddannelserne hos IDA og Teknologisk Institut, Djøfs kursus om databeskyttelsesforordningen i praksis, og Komponents offentlige DPO-uddannelse for kommuner og regioner. Internationalt er IAPP's CIPP/E den mest udbredte certificering i europæisk databeskyttelsesret; eksamen består af 90 multiple choice-spørgsmål med 2,5 time til rådighed. IAPP's CIPM handler i stedet om at drive et databeskyttelsesprogram, og netop den kombination — jura plus programstyring — er det, mange DPO-stillinger reelt kræver. Arbejder man med ledelsessystemer, er ISO/IEC 27701 det naturlige næste skridt oven på ISO 27001. Priser og kursusdatoer oplyses af udbyderne.

Men et kursus gør ikke nogen god til GDPR, og det er værd at være ærlig om. To dage giver overblik og et sprog at tale i. Det giver ikke dømmekraft. Færdigheden opstår, når man har haft fingrene i rigtige sager: en fortegnelse for en afdeling, der ikke selv ved hvilke systemer den bruger; en indsigtsanmodning fra en utilfreds tidligere medarbejder; en databehandleraftale, hvor leverandøren ikke vil ændre en linje; en afvejning af legitim interesse, hvor svaret ikke står nogen steder. De fleste, der er dygtige, har brugt et par år på den slags — typisk ved siden af et andet fag.

Der er to almindelige veje ind, og de har hver sit hul. Jurister og administrative medarbejdere kan reglerne, men mangler ofte forståelse for, hvordan systemer, logfiler og backup fungerer, og deres krav bliver derfor svære at gennemføre. It-folk kan systemerne, men mangler øvelse i at afveje interesser og skrive en begrundelse, der holder. Den bedste træning er tværfaglig: sid med i de projekter, hvor den anden faggruppe arbejder, og lad dem rette dig.

Færdigheden skal vedligeholdes. Praksis flytter sig med nye afgørelser og domme, og teknologien flytter sig hurtigere end reglerne. IAPP's certificeringer kræver løbende efteruddannelse for at blive holdt aktive. Uden vedligeholdelse er en GDPR-vurdering fra 2019 en risiko i sig selv.

Spørg om konkrete sager, ikke om regler. Reglerne kan alle slå op. Fire spørgsmål plejer at afgøre det.

Bed personen fortælle om en gang, hvor han eller hun sagde ja til noget, andre i organisationen troede var ulovligt — og hvordan beslutningen blev dokumenteret. Det tester dømmekraft frem for forsigtighed.

Bed om at høre om et brud på persondatasikkerheden, personen har stået i. Hvad skete der de første timer? Hvem blev involveret? Blev det anmeldt, og hvorfor eller hvorfor ikke? Folk med erfaringen svarer konkret og nævner tidspres og manglende oplysninger. Folk uden svarer i procedurer.

Spørg, hvordan personen holdt en fortegnelse opdateret — ikke om han eller hun har lavet en. Alle har lavet en. Det svære er at holde den levende, når afdelinger køber systemer uden at spørge først.

Spørg, hvornår legitim interesse ikke er nok. Et brugbart svar indeholder en afvejning og et eksempel, hvor personen selv nåede frem til, at grundlaget ikke holdt.

Nogle ting er gode tegn. Personen spørger ind til jeres data, før der bliver svaret. Personen skelner mellem, hvad der er et krav, og hvad der er god praksis — og siger det højt. Personen kan oversætte til jeres virkelighed: hvilket felt, hvilket system, hvilken opbevaringsperiode. Og personen skriver ting ned.

Nogle ting er advarselstegn. Svaret er altid nej. Paragrafhenvisninger uden oversættelse. Sætningen "GDPR forbyder" om noget, GDPR ikke forbyder. Samtykke som løsning på alt. Uklarhed om, hvornår organisationen selv er dataansvarlig, og hvornår den er databehandler. Og en færdig dokumentpakke, tilbudt før nogen har spurgt, hvordan I arbejder.

Papirerne siger noget, men mindre end man tror. Et kursusbevis dokumenterer fremmøde. En CIPP/E-certificering dokumenterer en bestået eksamen i europæisk databeskyttelsesret og kan verificeres hos IAPP. Ingen af dem dokumenterer, at personen kan træffe en beslutning under tidspres. Bed derfor om et arbejdseksempel i anonymiseret form: en risikovurdering, en DPIA eller et svar på en indsigtsanmodning. Sproget i sådan et dokument er den bedste enkeltindikator, der findes — kan en almindelig medarbejder forstå det, har personen selv forstået det.