Fortegnelse over behandlingsaktiviteter: skabelon og guide.

Hvad skal stå i fortegnelsen?

Artikel 30, stk. 1, stiller syv krav til indholdet af den dataansvarliges fortegnelse:

1. Navn og kontaktoplysninger på virksomheden og eventuelt fælles dataansvarlige, repræsentant og databeskyttelsesrådgiver (litra a).
2. Formålene med behandlingen (litra b).
3. Kategorier af registrerede og kategorier af personoplysninger (litra c).
4. Kategorier af modtagere, også modtagere uden for EU (litra d).
5. Overførsler til lande uden for EU og EØS, og hvilke garantier der gælder for dem (litra e).
6. Slettefrister for de forskellige kategorier af oplysninger, så vidt det er muligt (litra f).
7. En generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger, så vidt det er muligt (litra g).

Behandlingsgrundlaget står ikke på listen, men det er god praksis at tage det med, så I samtidig kan dokumentere, at behandlingen er lovlig.

Er I databehandler for andre, altså behandler oplysninger på en anden virksomheds vegne, gælder der et selvstændigt sæt krav til jeres fortegnelse. Så skal den beskrive, hvilke dataansvarlige I arbejder for, og hvilke kategorier af behandling I udfører for dem.

Sådan laver I fortegnelsen trin for trin

Fortegnelsen er ikke noget, I skal sende til nogen. Den er dokumentation, I selv skal have liggende, og kunne fremvise på anmodning. Derfor er det vigtigste ikke, at den er smuk, men at den er rigtig og opdateret.

1. Kortlæg jeres behandlinger. Tag udgangspunkt i hverdagen: løn og personale, kunder og fakturering, rekruttering, hjemmesiden og eventuel videoovervågning.
2. Skriv formålet for hver behandling, og gerne behandlingsgrundlaget, fx kontrakt eller retlig forpligtelse.
3. Angiv, hvem oplysningerne handler om, og hvilke typer oplysninger det er. Markér følsomme oplysninger som helbred.
4. List modtagere og databehandlere: lønsystem, økonomisystem, revisor, hosting og mailudbyder. Her opdager mange, hvilke databehandleraftaler der mangler.
5. Tjek, om oplysningerne ender uden for EU og EØS, fx i amerikanske cloudtjenester, og skriv det ind.
6. Sæt slettefrister, I rent faktisk overholder, og beskriv kort sikkerheden: adgangsstyring, to-faktor-login og backup.
7. Gem fortegnelsen skriftligt, og sæt en fast årlig gennemgang i kalenderen.

Skabelon eller udfyldt fortegnelse

Der findes mange tomme skabeloner til download i Word og Excel. Problemet med dem er sjældent skabelonen, men at de aldrig bliver udfyldt, fordi man er i tvivl om, hvad man skal skrive i felterne, og om man har glemt en aktivitet.

Derfor har vi gjort det omvendt: I svarer på en række konkrete spørgsmål om jeres hverdag, hvilke systemer I bruger, hvem der har adgang, hvordan I gemmer kundedata, og så genererer vi den færdige fortegnelse ud fra svarene som en PDF, I kan gemme og fremvise.

Eksempel: udfyldt fortegnelse for en mindre håndværksvirksomhed

Sådan kan fortegnelsen se ud for en tømrer- eller murervirksomhed med fem ansatte. Brug den som inspiration, ikke som kopi. Jeres egen skal afspejle de systemer og behandlinger, I faktisk har.

Dataansvarlig: Firmanavn ApS, CVR-nummer, adresse, kontaktperson og telefon.

Overførsel til lande uden for EU og EØS: ingen i eksemplet. Bruger I fx et amerikansk mail- eller cloudsystem, skal det fremgå. Skriv kun slettefrister, I rent faktisk følger. Datatilsynets sager mod Taxa 4x35 og IDdesign handlede netop om, at oplysninger blev gemt længere end nødvendigt. Datatilsynet har selv et eksempel på en HR-fortegnelse som bilag i sin vejledning.

Hvor ofte skal den opdateres?

Fortegnelsen skal afspejle virkeligheden. Skifter I ordresystem, lønsystem eller hosting, eller begynder I at behandle en ny type oplysninger, skal den opdateres. En god rutine er at se den igennem én gang om året, og ellers når I skifter et system.

Fortegnelsen er ikke det samme som en databehandleraftale

De to bliver ofte blandet sammen. Fortegnelsen er jeres interne overblik over behandlingen. En databehandleraftale er en aftale mellem jer og hver leverandør, der behandler personoplysninger for jer. I skal have begge, og fortegnelsen er typisk der, hvor I opdager, hvilke databehandleraftaler der mangler.