Fortegnelsen er det dokument, resten af jeres GDPR-arbejde bygger på. Uden et overblik over, hvilke personoplysninger I behandler, hvorfor og hvor, kan I hverken lave risikovurderinger, besvare en indsigtsanmodning eller håndtere et sikkerhedsbrud ordentligt.
Fortegnelsen skal også kunne udleveres til Datatilsynet, når tilsynet beder om den. I denne artikel gennemgår vi, hvem der skal have en fortegnelse, hvad den skal indeholde, hvordan I laver den, og hvilke fejl vi oftest ser hos vores kunder.
Hvad er en fortegnelse?
En fortegnelse er en skriftlig oversigt over de behandlingsaktiviteter, jeres organisation udfører med personoplysninger. Kravet står i databeskyttelsesforordningens artikel 30, og derfor kaldes den ofte “artikel 30-fortegnelsen”.
En behandlingsaktivitet er et samlet formål med en behandling, fx lønadministration, rekruttering, kundeservice eller nyhedsbreve. For hver aktivitet beskriver fortegnelsen, hvilke oplysninger I behandler, om hvem, hvorfor, hvem de deles med, og hvor længe de opbevares.
Fortegnelsen skal være skriftlig, og den må gerne være elektronisk (artikel 30, stk. 3). Den er ikke et dokument, man laver én gang. Den skal afspejle, hvad I faktisk gør i dag, og derfor skal den holdes opdateret.
Hvem skal føre en fortegnelse?
Kort sagt: næsten alle virksomheder og myndigheder. Pligten gælder både dataansvarlige og databehandlere.
Artikel 30, stk. 5, indeholder en undtagelse for organisationer med færre end 250 ansatte. Men undtagelsen falder bort, hvis bare ét af disse forhold gælder:
- Behandlingen kan indebære en risiko for de registreredes rettigheder og frihedsrettigheder.
- Behandlingen er ikke lejlighedsvis.
- Behandlingen omfatter følsomme oplysninger (artikel 9) eller oplysninger om strafbare forhold (artikel 10).
Det er her, de fleste små virksomheder bliver fanget. Har I ansatte, behandler I løn- og personaleoplysninger hver måned, og det er ikke lejlighedsvis. Personalesagen indeholder ofte også helbredsoplysninger i forbindelse med sygdom. I praksis skal selv en lille virksomhed med få ansatte derfor have en fortegnelse, i hvert fald over de regelmæssige behandlinger.
Vær opmærksom på, at undtagelsen kan blive udvidet med EU’s forenklingspakke Omnibus IV. Det går vi nærmere ind på nedenfor.
Hvad skal fortegnelsen indeholde?
Indholdet afhænger af, om I er dataansvarlig eller databehandler. Mange virksomheder er begge dele og skal derfor have to fortegnelser: én over egne behandlinger og én over det, de gør på vegne af kunder.
| Oplysning | Dataansvarlig (art. 30, stk. 1) | Databehandler (art. 30, stk. 2) |
|---|---|---|
| Navn og kontaktoplysninger på organisationen, evt. fælles dataansvarlige, repræsentant og DPO | Ja | Ja, og for hver dataansvarlig, I arbejder for |
| Formålet med behandlingen | Ja | Nej |
| Kategorier af registrerede og kategorier af personoplysninger | Ja | Nej |
| Kategorier af modtagere, herunder i tredjelande | Ja | Nej |
| Kategorier af behandlinger, der udføres for hver dataansvarlig | Nej | Ja |
| Overførsler til tredjelande eller internationale organisationer | Ja | Ja |
| Forventede frister for sletning | Ja, hvis muligt | Nej |
| Generel beskrivelse af sikkerhedsforanstaltninger (art. 32) | Ja, hvis muligt | Ja, hvis muligt |
Det anbefaler vi at have med: vores “GDPR-bibel”
Artikel 30 er et minimum. Hos os arbejder vi med et samlet compliance-ark, som vi internt kalder vores GDPR-bibel. Ikke fordi vi tilbeder det, men fordi svaret på næsten ethvert GDPR-spørgsmål står et sted i det. Man skal bare vide, hvilket kapitel og vers man skal slå op i.
Ud over lovkravene anbefaler vi, at fortegnelsen også indeholder:
- Område og ansvarlig. Hvilken afdeling aktiviteten hører til, og hvem der er ansvarlig for den.
- De konkrete oplysninger. Ikke kun kategorier som “kontaktoplysninger”, men fx navn, e-mail, CPR-nummer og bankoplysninger.
- Hvor data kommer fra. Fra den registrerede selv, fra myndigheder, fra referencer eller fra offentlige kilder.
- Placering og adgang. Hvilke systemer data ligger i, og hvem der har adgang til dem.
- Behandlingsgrundlag. Hjemlen i GDPR eller databeskyttelsesloven, eventuel særlovgivning som bogføringsloven, og en begrundelse, hvis I bruger samtykke.
- Datastrømme. Hvilke databehandlere der understøtter aktiviteten, og om der er fælles dataansvarlige.
- Risikovurdering. Mulige risici, konsekvens og sandsynlighed på en skala fra 1 til 4 og det samlede risikoniveau.
- Foranstaltninger. Awareness-træning samt organisatoriske og tekniske tiltag, der nedbringer risikoen.
- Kontrol. Hvordan I kontrollerer, at tiltagene virker, hvor ofte og hvem der har ansvaret.
Når alt står samlet ét sted, hænger arbejdet sammen. Behandlingsgrundlaget gør det nemt at vise, at behandlingen er lovlig, og at skrive privatlivspolitikken. Oversigten over databehandlere viser, hvor der skal være en databehandleraftale og føres tilsyn. Og risikovurderingen er allerede lavet, når Datatilsynet spørger.
Sådan laver du fortegnelsen trin for trin
Den nemmeste vej er at tage udgangspunkt i organisationens afdelinger og arbejdsgange frem for i IT-systemerne.
- Find de ansvarlige. Udpeg en person i hver afdeling, der kender arbejdsgangene: HR, økonomi, salg, marketing, kundeservice og IT.
- Kortlæg behandlingsaktiviteterne. Spørg hver afdeling, hvilke opgaver de løser, der involverer personoplysninger. Typiske aktiviteter er rekruttering, løn, personaleadministration, kundehåndtering, nyhedsbreve, videoovervågning og hjemmesidens cookies.
- Beskriv hver aktivitet. Udfyld for hver aktivitet de punkter, der fremgår af tabellen ovenfor: formål, registrerede, oplysninger, modtagere, sletning og sikkerhed. Tilføj behandlingsgrundlaget.
- Kobl systemer og databehandlere på. Notér, hvilke systemer og leverandører der bruges til hver aktivitet. Så kan I se, hvor der skal være en databehandleraftale, og om der sker overførsler til tredjelande.
- Fastsæt slettefrister. Angiv en konkret frist eller en hændelse, der udløser sletning, fx “5 år efter regnskabsårets udløb” for bogføringsmateriale.
- Aftal en fast opdatering. Gennemgå fortegnelsen mindst én gang om året, og når I tager et nyt system eller en ny arbejdsgang i brug. Placer ansvaret hos en navngiven person.
De hyppigste fejl
Disse fejl ser vi igen og igen, når vi gennemgår fortegnelser hos nye kunder:
- Fortegnelsen er en systemliste. En liste over IT-systemer er ikke en fortegnelse. Det er formålet, der definerer en behandlingsaktivitet, ikke systemet.
- Den er ikke opdateret. Fortegnelsen blev lavet i 2018 og har ikke været rørt siden. Nye systemer, AI-værktøjer og leverandører mangler.
- Slettefristerne er uklare. “Så længe det er nødvendigt” er ikke en slettefrist. Skriv en konkret periode eller den hændelse, der udløser sletning.
- Databehandlerrollen er glemt. Virksomheder, der behandler data for kunder, har ofte kun en fortegnelse over egne behandlinger.
- Tredjelandsoverførsler mangler. Mange cloudtjenester overfører data til USA eller andre lande uden for EU/EØS, uden at det fremgår af fortegnelsen.
- Ingen ejer. Når ingen har ansvaret for at vedligeholde fortegnelsen, bliver den hurtigt et dokument, der kun findes på et drev.
Hvad betyder EU’s forenklingspakker for fortegnelsen?
Reglerne for fortegnelsen er på vej til at blive lempet, men de gælder ikke endnu. Ændringen kommer ikke fra Digital Omnibus, som mange taler om, men fra en særskilt forenklingspakke, Omnibus IV.
Kommissionen foreslog den 21. maj 2025, at undtagelsen i artikel 30, stk. 5, udvides fra virksomheder med færre end 250 til færre end 750 ansatte. Samtidig skal undtagelsen kun falde bort, hvis behandlingen sandsynligvis indebærer en høj risiko for de registrerede. Kravene om “ikke lejlighedsvis” og følsomme oplysninger forsvinder som selvstændige udløsere.
Europa-Parlamentet og Rådet nåede i juni 2026 en foreløbig aftale om Omnibus IV. Aftalen skal formelt vedtages og offentliggøres, før den får virkning.
Vores råd er derfor: Bliv ved med at føre fortegnelsen. Selv hvis jeres virksomhed bliver undtaget, har I stadig brug for overblikket for at overholde de øvrige regler i GDPR, fx oplysningspligten, sletning og databehandleraftaler.
Få hjælp til fortegnelsen
En god fortegnelse kræver overblik over hele organisationen, og det er netop det, mange mangler tid til i hverdagen.
En fuld artikel 30-fortegnelse indgår i vores GDPR Compliancepakke. Med ControlGDPR kan I vedligeholde fortegnelsen online, så den altid er opdateret og kobler til jeres databehandleraftaler og risikovurderinger.
Kontakt os for en uforpligtende snak om jeres fortegnelse.
Kilder
