Udfyldning er gratis. Betaling sker først når du henter dokumentet.
Artikel 30, stk. 1, litra a.
Det juridiske navn som registreret i CVR — ikke binavn eller varemærke.
Otte cifre. Bruges til at forudfylde navn og adresse.
Den som Datatilsynet og de registrerede kan henvende sig til.
De fleste private virksomheder skal ikke have en. Har I en, skal vedkommende fremgå af fortegnelsen.
Man tror man er undtaget, fordi man er under 250 ansatte. Det er den mest udbredte misforståelse i hele artikel 30. Undtagelsen bortfalder, hvis blot én af tre betingelser er opfyldt — og den ene af dem er, at behandlingen ikke er lejlighedsvis. Løbende lønbehandling er ikke lejlighedsvis.
Medarbejderne mangler. Fortegnelsen laves ofte med kunderne for øje, fordi det er dér man tænker »persondata«. Løn, ansøgninger, sygefravær, adgangskontrol og videoovervågning er lige så meget behandlinger.
Slettefristerne står tomme. Litra f siger »hvis det er muligt«, og det læses som en fritagelse. Forbeholdet handler om hvor præcis fristen kan angives — ikke om punktet kan springes over. Kan I ikke angive en dato, så angiv kriteriet: »slettes 5 år efter ansættelsens ophør«.
Sikkerhedsforanstaltningerne beskrives teknisk i detaljer. Litra g kræver en generel beskrivelse. En detaljeret gennemgang af jeres systemer og adgangskoder gør dokumentet til en risiko i sig selv.
Fortegnelsen forveksles med privatlivspolitikken. Politikken er udadvendt og skrives til de registrerede. Fortegnelsen er intern og skrives til jer selv og til Datatilsynet. De to har forskelligt formål og forskelligt indhold.
Tredjelandsoverførsler overses. De sker sjældent ved en beslutning. De følger med et værktøj, en supportaftale eller en underleverandør hos jeres leverandør.
Den bliver aldrig opdateret. Fortegnelsen skal beskrive de behandlinger der foregår nu. Et nyt system eller en ny leverandør ændrer den.
Vi er tre personer i en lille virksomhed. Skal vi virkelig have en? Sandsynligvis ja, hvis I har ansatte. Antallet af ansatte afgør det ikke alene — undtagelsen forudsætter både at I er under 250, og at ingen af de tre betingelser er opfyldt. Behandler I løbende oplysninger om ansatte eller kunder, er behandlingen ikke lejlighedsvis.
Hvor mange behandlingsaktiviteter skal vi opdele det i? Forordningen siger det ikke. Et brugbart snit er at følge formålet: løn er én aktivitet, rekruttering en anden, kundeadministration en tredje. Har to behandlinger samme formål, samme registrerede og samme slettefrist, er der sjældent gevinst ved at dele dem.
Skal vi skrive personers navne i fortegnelsen? Nej. Artikel 30 kræver kategorier af registrerede og kategorier af oplysninger. Fortegnelsen er en beskrivelse af behandlingerne, ikke et register over mennesker.
Vi bruger et lønbureau. Er de dataansvarlige? Normalt nej — de er databehandlere, der behandler på jeres vegne. I er fortsat dataansvarlige, og lønbehandlingen skal med i jeres fortegnelse. Bureauet skal selv føre sin egen fortegnelse efter artikel 30, stk. 2.
Vi er selv leverandør og behandler kunders data. Hvad så? Så er I begge dele, og begge fortegnelser skal føres. De har forskelligt indhold: den dataansvarliges har syv oplysninger, databehandlerens fire.
Skal fortegnelsen offentliggøres? Nej. Den skal stilles til rådighed for tilsynsmyndigheden efter anmodning, jf. stk. 4. Der er ingen pligt til at lægge den på hjemmesiden — og gode grunde til at lade være, fordi den beskriver jeres systemer.
Er en fortegnelse nok til at overholde GDPR? Nej. Fortegnelsen viser hvad I behandler. Om behandlingen er lovlig, følger af artikel 5 og 6. En korrekt fortegnelse kan udmærket beskrive en behandling der mangler hjemmel.