GDPR Fortegnelse & Dokumentation

Hvem skal have GDPR Fortegnelse & Dokumentation? GDPR Fortegnelse & Dokumentation er ikke et personligt kursusbevis eller et certifikat. Det centrale lovkrav er, at organisationen i relevante tilfælde fører en fortegnelse over sine behandlinger af personoplysninger.

Kravet følger af databeskyttelsesforordningens artikel 30. En dataansvarlig skal føre fortegnelse over de behandlingsaktiviteter, som organisationen har ansvaret for. En databehandler skal efter artikel 30 føre fortegnelse over de kategorier af behandlinger, som udføres på vegne af dataansvarlige.

For en dataansvarlig skal fortegnelsen blandt andet beskrive organisationens kontaktoplysninger, formålene med behandlingerne, kategorier af registrerede og personoplysninger samt kategorier af modtagere. Hvor det er relevant, skal overførsler til tredjelande fremgå. Hvis det er muligt, skal forventede slettefrister og en generel beskrivelse af tekniske og organisatoriske sikkerhedsforanstaltninger også indgå.

Fortegnelsen skal være skriftlig, herunder kan den føres elektronisk. Den skal efter anmodning kunne stilles til rådighed for Datatilsynet, jf. artikel 30, stk. 3 og 4.

Fortegnelseskravet hænger sammen med GDPR's ansvarlighedsprincip. Efter artikel 5, stk. 2, skal den dataansvarlige både overholde reglerne og kunne påvise, at de overholdes. Artikel 24 stiller tilsvarende krav om passende foranstaltninger og dokumentation for efterlevelsen.

Virksomheder og organisationer med under 250 beskæftigede kan efter artikel 30, stk. 5, kun være undtaget i et snævert område. Undtagelsen gælder ikke for en behandling, hvis behandlingen sandsynligvis indebærer risiko for de registreredes rettigheder og frihedsrettigheder, hvis behandlingen ikke kun er lejlighedsvis, eller hvis der behandles særlige kategorier af personoplysninger eller oplysninger om straffedomme og lovovertrædelser. Datatilsynet fremhæver eksempelvis, at almindelig personaleadministration typisk ikke er en lejlighedsvis behandling.

Hvor tager man GDPR Fortegnelse & Dokumentation-beviset? Der findes ikke et myndighedsgodkendt GDPR Fortegnelse & Dokumentation-bevis, en obligatorisk prøve eller godkendte prøvesteder i Danmark. Artikel 30 pålægger organisationen at udarbejde og føre selve fortegnelsen. Kravet opfyldes derfor ikke ved, at en medarbejder består et kursus.

Virksomheden kan selv udarbejde fortegnelsen eller få hjælp fra eksempelvis en databeskyttelsesrådgiver, jurist eller GDPR-konsulent. Ansvaret for at overholde reglerne bliver hos den dataansvarlige eller databehandleren.

Datatilsynet har offentliggjort vejledning om fortegnelser og eksempler, som kan bruges som grundlag for arbejdet. For små virksomheder har Datatilsynet desuden materiale, der hjælper med at skabe overblik over kunder, ansatte, leverandører, personoplysninger og systemer.

Pris og varighed for GDPR Fortegnelse & Dokumentation Der er ingen myndighedsfastsat kursuspris eller eksamensafgift for GDPR Fortegnelse & Dokumentation, fordi der ikke er tale om et lovpligtigt kursus eller en prøve.

Arbejdet består i at kortlægge virksomhedens behandlinger af personoplysninger og dokumentere dem i en fortegnelse, der opfylder artikel 30. Omfanget afhænger derfor af virksomhedens behandlinger, systemer, leverandører og organisatoriske kompleksitet. Der er ikke et standardiseret myndighedsforløb med en fast varighed.

Hvis en ekstern rådgiver anvendes, aftales pris og arbejdsforløb med den konkrete rådgiver. Det ændrer ikke på virksomhedens eget ansvar for dokumentationen.

Gyldighed og fornyelse af GDPR Fortegnelse & Dokumentation GDPR-fortegnelsen har ikke en udløbsdato som et certifikat, og artikel 30 indeholder ingen fornyelsesprøve.

Fortegnelsen er organisationens dokumentation for dens behandlingsaktiviteter. Den skal derfor afspejle de behandlinger, som organisationen har ansvar for eller udfører som databehandler. Når behandlinger, formål, datakategorier, modtagere, overførsler eller relevante sikkerhedsforhold ændrer sig, skal dokumentationen tilsvarende tilpasses, så fortegnelsen fortsat kan bruges til at påvise efterlevelse og stilles til rådighed for Datatilsynet.

For en virksomhed er opgaven derfor løbende dokumentationsstyring frem for periodisk fornyelse af et bevis.