Maurice Müller
Senior Content Manager
Maurice Müller er journalist og indholdsstrateg med erfaring fra både trykte og digitale medier. Hos Formalize omsætter han komplekse compliance- og reguleringsemner til klart, praktisk indhold for compliance-, risikostyrings- og sikkerhedsfolk i hele Europa.
Vigtigste pointer:
GDPR-compliance dækker over langt mere end privatlivspolitikker og cookiebannere: lovlig behandling, de registreredes rettigheder, fortegnelser, DPIA'er, sikkerhed, leverandører og håndtering af brud.
Det gælder for organisationer i EU og for organisationer uden for EU, som tilbyder varer eller tjenesteydelser til personer i EU eller overvåger deres adfærd. Størrelse alene undtager ingen.
Den dataansvarlige er ansvarlig for overholdelse og for at kunne påvise den. En databeskyttelsesrådgiver rådgiver og fører tilsyn, men bærer ikke dette ansvar personligt.
Bøder kan nå op på 20 millioner euro eller 4 % af den globale årlige omsætning, alt efter hvad der er højest, men myndighederne fastsætter dem i hver enkelt sag og har andre værktøjer, fra irettesættelser til behandlingsforbud.
Ændringer er på vej, men det meste er endnu ikke lov. Fristen på 72 timer ved brud gælder stadig, selvom Digital Omnibus foreslår 96 timer.
Spørg en virksomhed, om den overholder GDPR, og svaret er normalt ja. Bed den om at vise, hvorfor en bestemt leverandør har adgang til kundedata, hvilket behandlingsgrundlag der dækker sidste kvartals markedsføringskampagne, eller hvornår dens seneste konsekvensanalyse vedrørende databeskyttelse (DPIA) blev gennemgået, og svaret kan tage uger.
Det andet sæt spørgsmål er det, der tæller. GDPR's ansvarlighedsprincip kræver, at dataansvarlige overholder reglerne og er i stand til at påvise, at de gør det. I praksis forvandler det forordningen fra en juridisk tekst, man læser én gang, til et sæt processer, man kører hver dag.
Hvad er GDPR-compliance?
GDPR-compliance betyder at opfylde forpligtelserne i forordning (EU) 2016/679, der gælder for den måde, din organisation behandler personoplysninger på, og at have dokumentationen til at påvise det. Forordningen har fundet anvendelse i EU siden den 25. maj 2018 og gælder også i Island, Liechtenstein og Norge som en del af Det Europæiske Økonomiske Samarbejdsområde.
Hvad det indebærer afhænger af, hvad I gør med personoplysninger, men de fleste programmer dækker de samme områder: et retsgrundlag for hver behandlingsaktivitet, klar information til de berørte personer, processer for deres rettigheder, en fortegnelse over behandlingsaktiviteter (RoPA), risikovurderinger, sikkerhedsforanstaltninger, leverandørtilsyn og en metode til at håndtere brud. Det berører mennesker, processer, teknologi og dokumentation, hvorfor det sjældent varetages af ét team alene.
To roller former alt andet. En dataansvarlig beslutter, hvorfor og hvordan personoplysninger behandles. En databehandler behandler personoplysninger på en dataansvarligs vegne, såsom en lønudbyder eller en cloudtjeneste. En organisation kan fungere som dataansvarlig for nogle aktiviteter og som databehandler for andre. Se hvordan Formalizes software til GDPR-compliance hjælper teams med at administrere fortegnelser, ansvarsområder og dokumentation.
Hvem skal overholde GDPR?
GDPR gælder bredere, end mange organisationer antager. Det territoriale anvendelsesområde rækker langt ud over EU, og kun ganske få aktiviteter falder helt udenfor:
Situation | Finder GDPR andvendelse? | Hvad du bør vide |
|---|---|---|
Organisation etableret i EU, som behandler personoplysninger | Ja | Dette gælder, uanset hvor selve behandlingen finder sted, herunder på servere uden for EU. |
Organisation uden for EU, der tilbyder varer eller tjenesteydelser til personer i EU | Ja | Dette gælder, uanset om tilbuddet er betalt eller gratis. De skal generelt udpege en repræsentant i EU, med begrænsede undtagelser. |
Organisation uden for EU, der overvåger adfærden hos personer i EU | Ja | Dette dækker for eksempel onlinesporing og profilering. |
Databehandler, der handler på en dataansvarligs vegne | Ja | Databehandlere har deres egne direkte forpligtelser, herunder sikkerhed og føring af fortegnelser. |
Lille eller mellemstor virksomhed | Ja | Visse forpligtelser er lempeligere, såsom undtagelsen for føring af fortegnelser for organisationer med færre end 250 ansatte, men denne undtagelse har vigtige undtagelser. |
Fysisk person, der handler som led i rent personlige eller familiemæssige aktiviteter | Nej | Husholdningsundtagelsen dækker private aktiviteter, ikke forretningsmæssige. |
Virksomhedens størrelse afgør ikke, om GDPR finder anvendelse. Hvad der varierer er, hvilke specifikke forpligtelser der gælder, og det afhænger af behandlingen og dens risiko. En virksomhed, hvis kerneaktiviteter for eksempel indebærer regelmæssig og systematisk overvågning af personer i stort omfang, skal udpege en databeskyttelsesrådgiver og vil normalt have brug for DPIA'er. En lille virksomhed, der håndterer almindelige kontaktoplysninger på kunder, behøver det som regel ikke.
GDPR-compliance tjekliste: sådan opnår og vedligeholder du compliance
Når du først ved, at GDPR finder anvendelse, kan arbejdet opdeles i ti trin, lige fra kortlægning af jeres data til løbende gennemgang af programmet:
1. Bekræft, om og hvordan GDPR finder anvendelse
Kontrollér jeres anvendelsesområde, identificér, hvor I optræder som dataansvarlig, og hvor I optræder som databehandler, og undersøg, om I skal udpege en databeskyttelsesrådgiver (DPO) eller en EU-repræsentant.
2. Kortlæg de personoplysninger, I behandler
Identificér, hvilke personoplysninger I ligger inde med, hvor de stammer fra, hvilke systemer der opbevarer dem, hvem der har adgang til dem, og hvor de videregives hen, herunder overførsler uden for EØS.
3. Opret og vedligehold jeres fortegnelse over behandlingsaktiviteter (RoPA)
Artikel 30 kræver en RoPA, som dækker formål, kategorier af oplysninger og personer, modtagere, overførsler, opbevaringsperioder og sikkerhedsforanstaltninger. Selv hvor undtagelsen for små virksomheder finder anvendelse, udgør en RoPA rygraden i alt andet på denne liste.
4. Fastlæg og dokumentér retsgrundlaget
Vælg et af de seks retsgrundlag for hver behandlingsaktivitet: samtykke, kontrakt, retlig forpligtelse, vitale interesser, samfundsopgave eller legitime interesser. Hvor I støtter jer på legitime interesser, skal interesseafvejningen dokumenteres. Hvor I baserer jer på samtykke, skal I føre fortegnelse over det. For særlige kategorier af personoplysninger, såsom helbredsoplysninger, skal en af betingelserne i artikel 9 også være opfyldt.
5. Giv klare oplysninger om beskyttelse af personoplysninger
Fortæl folk, hvad I gør med deres data, hvorfor, på hvilket retsgrundlag og i hvor lang tid, i et sprog, de kan forstå. De oplysninger skal gives, når I indsamler oplysningerne, eller senest inden for en måned, hvis I modtager dem fra andre.
6. Etablér processer for de registreredes rettigheder
Personer kan anmode om indsigt i, berigtigelse, sletning eller dataportabilitet af deres oplysninger, begrænsning af eller indsigelse mod behandling samt anfægte visse automatiske afgørelser. I har en måned til at svare, hvilket kan forlænges med yderligere to måneder ved komplekse anmodninger, så anmodninger kræver en ansvarlig, et verifikationstrin og en måde at holde styr på fristen.
7. Gennemfør DPIA'er, hvor det er påkrævet
En DPIA er obligatorisk, når en behandling sandsynligvis vil medføre en høj risiko for fysiske personer, såsom omfattende profilering med betydelige konsekvenser for personer, eller behandling i stor målestok af følsomme oplysninger. Vores guide til konsekvensanalyser vedrørende databeskyttelse (DPIA) dækker, hvornår og hvordan man udfører en.
8. Håndtér databehandlere og tredjepartsleverandører
Få artikel 28-aftaler på plads, kontrollér, at leverandører kan opfylde jeres sikkerhedskrav, godkend og hold styr på deres underdatabehandlere, og sørg for, at eventuelle overførsler uden for EØS hviler på et gyldigt overførselsgrundlag. En struktureret tilgang til tredjepartsstyring forhindrer, at dette falder fra hinanden, efterhånden som leverandørlisten vokser.
9. Implementér passende sikkerheds- og håndteringsprocedurer i tilfælde af sikkerhedsbrud
Anvend sikkerhedsforanstaltninger, der matcher risikoen, og vær forberedt på brud, før de sker. Et brud på persondatasikkerheden skal anmeldes til tilsynsmyndigheden uden unødig forsinkelse og om muligt senest 72 timer efter, at I er blevet bekendt med det, medmindre det er usandsynligt, at det indebærer en risiko for fysiske personer, og personerne skal underrettes direkte, hvis risikoen for dem er høj. Ethvert brud, uanset om det anmeldes eller ej, skal dokumenteres i en intern log. At forbinde brud med jeres bredere risikostyring viser, hvor kontrollerne skal forbedres.
10. Uddan medarbejdere og evaluér løbende
Uddan de personer, der håndterer personoplysninger, og gennemgå programmet regelmæssigt. Nye systemer, nye leverandører og nye måder at bruge data på, såsom AI, er de tidspunkter, hvor fortegnelser og vurderinger oftest bliver forældede.
Omdan tjeklisten til et operationelt program
Medbring jeres nuværende RoPA, uanset hvor spredt den er i dag. Vi viser jer, hvordan disse ti trin ser ud, når de kører som workflows, med tilknyttede ansvarlige og dokumentation.
Hvad er de 7 principper i GDPR?
Artikel 5 fastlægger syv principper, som alt andet bygger på. Den tredje kolonne er der, hvor compliance bliver praktisk: det er det, I skal kunne fremvise, hvis nogen spørger.
Princip | Hvad det indebærer | Hvad I skal kunne fremvise |
|---|---|---|
Lovlighed, rimelighed og gennemsigtighed | Behandl oplysninger på et gyldigt retsgrundlag, på måder som folk med rimelighed kan forvente, og informer dem om det | Dokumenterede retsgrundlag og klare oplysninger om beskyttelse af personoplysninger |
Formålsbegrænsning | Indsaml data til udtrykkeligt angivne formål, og genanvend dem ikke til uforenelige formål | Dokumenterede formål pr. aktivitet og forenelighedsvurderinger ved nye anvendelser |
Dataminimering | Indsaml kun det, som formålet rent faktisk kræver | Begrundelse for de datafelter, du indsamler |
Rigtighed | Hold data korrekte og opdaterede | Processer til berigtigelse og opdatering af optegnelser |
Opbevaringsbegrænsning | Opbevar kun data så længe som nødvendigt | En opbevaringsplan og dokumentation for, at sletning finder sted |
Integritet og fortrolighed | Beskyt data med passende sikkerhed | Adgangskontrol, sikkerhedsforanstaltninger og registrering af hændelser |
Ansvarlighed | Tag ansvar for alt ovenstående, og vær i stand til at påvise det | Alt det ovenstående, holdt ajour |
Hvem er ansvarlig for at sikre overholdelse af GDPR?
Her er der to ting, som let kan forveksles: det overordnede ansvar og det operationelle ansvar.
Det overordnede ansvar ligger hos den dataansvarlige. Den organisation, der beslutter, hvorfor og hvordan data behandles, er ansvarlig for at overholde principperne og for at kunne påvise det. I praksis betyder det, at den øverste ledelse skal sikre, at de rette strukturer, ressourcer og ansvarsområder er på plads.
Databehandlere har deres egne forpligtelser. De skal arbejde i henhold til en kontrakt med den dataansvarlige, som opfylder artikel 28, opretholde passende sikkerhed, føre deres egne fortegnelser og underrette den dataansvarlige om brud uden unødig forsinkelse.
En DPO rådgiver og overvåger. DPO'en informerer organisationen om dens forpligtelser, overvåger efterlevelse, rådgiver om DPIA'er og fungerer som kontaktpunkt for tilsynsmyndigheden. Udnævnelsen af en DPO er obligatorisk i visse tilfælde, såsom for offentlige myndigheder eller for organisationer, hvis kerneaktiviteter involverer overvågning i stort omfang. Men DPO'en bærer ikke personligt organisationens ansvar og bør ikke opsættes, som om vedkommende gjorde.
Det operationelle arbejde er fordelt på tværs af virksomhede. Juridiske teams og privacy-teams fortolker reglerne, IT og sikkerhed beskytter systemerne, HR håndterer medarbejderdata, indkøb styrer leverandører, og marketing dokumenterer kampagneformål, retsgrundlag og samtykker, hvor det kræves. GDPR-compliance fungerer, når hvert af disse teams ved, hvilken del de har ansvaret for.
GDPR og AI: Hvad er compliance-kravene?
Brug af AI tilsidesætter ikke GDPR. Når et AI-system behandler personoplysninger, uanset om det er under træning, i de prompts brugerne indtaster, eller i de outputs det genererer, finder forordningen fuld anvendelse.
Et par krav er særligt vigtige:
Et retsgrundlag for hver fase: Udvikling af en model og brug af den er særskilte behandlingsaktiviteter. Det Europæiske Databeskyttelsesråds udtalelse 28/2024 bekræfter, at legitime interesser kan være et gyldigt grundlag, men kun efter en dokumenteret tretrinstest, og at en model trænet på personoplysninger ikke automatisk er anonym.
Formålsbegrænsning og dataminimering: Data indsamlet til kundeservice bliver ikke automatisk til træningsdata for en ny model.
Gennemsigtighed: Folk skal vide, hvornår og hvordan AI behandler deres data.
DPIA'er: Nye teknologier, der behandler personoplysninger i stort omfang, opfylder ofte tærsklen for høj risiko.
Automatiserede afgørelser: Artikel 22 begrænser afgørelser, der alene er baseret på automatisk behandling, og som har retsvirkning eller på tilsvarende vis betydeligt påvirker personer. Hvor sådanne afgørelser er tilladt, har personer ret til menneskelig indgriben og til at anfægte resultatet.
AI-leverandører: En ekstern AI-leverandør fungerer ofte som databehandler, hvilket bringer artikel 28-kontrakter i spil, og ofte også internationale overførsler.
EU's AI-forordning tilføjer sine egne krav oveni frem for at erstatte nogen af disse. Efter det digitale omnibusforslag om AI gælder dens forpligtelser for højrisikosystemer fra den 2. december 2027 for enkeltstående systemer og fra den 2. august 2028 for AI, der er integreret i regulerede produkter. Vores side om AI-forordningen dækker, hvordan de to passer sammen.
Hvad er sanktionerne for manglende overholdelse af GDPR?
Bøder løber med overskrifterne, men tilsynsmyndighederne har en bredere værktøjskasse. De kan udstede advarsler og irettesættelser, påbyde en organisation at bringe sin behandling i overensstemmelse med reglerne, begrænse behandlingen midlertidigt eller permanent og suspendere dataoverførsler uden for EØS. Enkeltpersoner kan også kræve erstatning for skade forårsaget af en overtrædelse.
Når myndighederne udsteder bøder, fastsætter artikel 83 to maksimale niveauer:
Niveau | Maksimal bøde | Typiske overtrædelser |
|---|---|---|
Lavere niveau | 10 mio. EUR eller 2 % af den samlede globale årsomsætning, alt efter hvad der er højest | Forpligtelser såsom fortegnelser, sikkerhed, DPIA'er og DPO'ens rolle |
Højere niveau | 20 mio. EUR eller 4 % af den samlede globale årsomsætning, alt efter hvad der er højest | De grundlæggende principper, retsgrundlag, de registreredes rettigheder og internationale overførsler |
Disse er lofter, ikke udgangspunkter. Myndighederne vurderer fra sag til sag og ser på overtrædelsens karakter, grovhed og varighed, om den var forsætlig eller uagtsom, hvad organisationen gjorde for at begrænse skaden, og hvor godt den samarbejdede. Et veldokumenteret program udelukker ikke en bøde, men de foranstaltninger, I har truffet, og hvordan I samarbejder, er blandt de faktorer, myndighederne lægger vægt på.
Hvad ændrer sig: GDPR i 2026 og 2027
Kernen i GDPR har ikke ændret sig siden 2018, men tre udviklinger er værd at følge:
Nye regler for grænseoverskridende håndhævelse fra den 2. april 2027: Forordning (EU) 2025/2518 harmoniserer myndighedernes behandling af grænseoverskridende sager med tidsfrister for undersøgelser og tydeligere processuelle rettigheder for de involverede organisationer. Forordningen ændrer ikke på kravene i GDPR, men har til formål at gøre grænseoverskridende håndhævelse hurtigere.
Den digitale omnibus, fortsat et forslag: Forslaget blev offentliggjort af Europa-Kommissionen i november 2025 og vil indsnævre definitionen af personoplysninger, forlænge fristen for anmeldelse af databrud til 96 timer for højrisikobrud, indføre et fælles indgangspunkt for indberetning af hændelser samt præcisere legitime interesser for AI. Pr. september 2026 er det stadig ved førstebehandlingen: Europa-Parlamentets udvalg har endnu ikke stemt om det, og Rådet har ikke fastlagt sin forhandlingsposition. Indtil forslaget er vedtaget, gælder de nuværende regler.
Overførsler til USA. EU-US Data Privacy Framework er fortsat gyldig, efter at EU-Retten opretholdt den i september 2025, men en appelsag verserer ved EU-Domstolen. Presset er steget siden en afgørelse fra USA's Højesteret i juni 2026 om uafhængigheden af Federal Trade Commission – den myndighed, der håndhæver rammeaftalens principper – hvorefter privatlivsorganisationen noyb opfordrede Kommissionen til at trække den tilbage. Organisationer, der benytter den, bør kontrollere, at hver enkelt modtager er aktivt certificeret, og at certificeringen dækker de relevante data, samt have klarhed over, hvad deres fallback-løsning vil være.
GDPR compliance-software: hvad det er, og hvordan du vælger
GDPR compliance-software hjælper organisationer med at drive de tilbagevendende dele af et compliance-program ét sted: fortegnelsen (RoPA), DPIA'er, anmodninger fra registrerede, leverandørvurderinger, logbøger over brud og den dokumentation, der binder det hele sammen. Det gør ikke en organisation compliant i sig selv. Beslutningerne tilhører stadig mennesker, men softwaren gør det langt lettere at holde disse beslutninger opdaterede og vise dem, når der bliver spurgt.
Når du sammenligner løsninger, er et par spørgsmål mere nyttige end en liste over funktioner:
Dækker det jeres faktiske processer, fra RoPA til håndtering af brud, eller kun en enkelt del?
Håndterer det tilbagevendende opgaver såsom påmindelser om gennemgang, anmodningsfrister og genevaluering af leverandører?
Kan personer uden for privacy-teamet bruge det, herunder HR, IT og indkøb?
Kan det fremvise dokumentation efter anmodning med et auditspor over, hvem der besluttede hvad og hvornår?
Fungerer det sammen med jeres andre frameworks, såsom ISO 27001 eller NIS2, hvis I også administrerer dem?
Der findes ikke ét enkelt bedste stykke software til GDPR-compliance. Det rette valg afhænger af, hvor mange behandlingsaktiviteter I har, hvor mange teams der er involveret, og hvad I ellers har brug for at administrere. For den bredere kategori kan du se vores guide til compliance management software.
Hvordan Formalize understøtter GDPR-compliance
Formalize er bygget til den del af GDPR-compliance, der aldrig slutter: at holde RoPA, anmodninger og leverandører opdaterede samt at samle al dokumentation ét sted.
En fortegnelse over behandlingsaktiviteter (RoPA) med trinvise workflows knyttet til artikel 30, forbundet til dine leverandører og underdatabehandlere og med mulighed for eksport som PDF eller Excel.
.Anmodninger fra registrerede spores fra modtagelse til afslutning med sikker dataoverdragelse og sletning efter en fastsat periode.
Konfigurerbare leverandøraudits samt workflows for konsekvensanalyser vedrørende databeskyttelse (DPIA) og konsekvensanalyser for overførsler (TIA).
Risikostyring og hændelseshåndtering, herunder brud på persondatasikkerheden, sammen med rammeværk som f.eks. ISO 27001 og NIS 2 i det samme system.
Mere end 8.000 organisationer bruger Formalizes produkter. Se priser for de tilgængelige abonnementer.