En artikel 30-fortegnelse er en skriftlig oversigt over virksomhedens behandlingsaktiviteter med personoplysninger. Den dokumenterer bl.a. formål, kategorier af personer og oplysninger, modtagere og, hvor relevant, tredjelandsoverførsler samt, hvis muligt, slettefrister og sikkerhedsforanstaltninger.
Kravene følger af GDPR artikel 30. Fortegnelsen skaber overblik over behandlingerne og skal kunne udleveres til Datatilsynet på anmodning.
Hvem skal føre en fortegnelse?
Dataansvarlige og databehandlere er omfattet, men kravene til deres fortegnelser er forskellige. For virksomheder og organisationer med færre end 250 ansatte findes der en begrænset undtagelse i artikel 30, stk. 5.
Undtagelsen gælder ikke for behandlinger, som ikke er lejlighedsvise, sandsynligvis medfører en risiko for personers rettigheder og frihedsrettigheder eller omfatter følsomme oplysninger eller oplysninger om straffedomme og lovovertrædelser. Det er tilstrækkeligt, at én af disse betingelser er opfyldt.
En mindre virksomhed, der løbende behandler oplysninger om medarbejdere eller kunder, vil derfor normalt skulle føre fortegnelse over disse behandlinger. Undtagelsen skal vurderes for de konkrete behandlinger; færre end 250 ansatte giver ikke en generel fritagelse. Se Datatilsynets vejledning om fortegnelse.
Hvad skal en dataansvarlig skrive i fortegnelsen?
Efter artikel 30, stk. 1, skal fortegnelsen omfatte:
- Navn og kontaktoplysninger på den dataansvarlige og, hvis relevant, fælles dataansvarlige, repræsentant og databeskyttelsesrådgiver.
- Formålene med behandlingen.
- Kategorier af personer, fx kunder eller medarbejdere, og kategorier af personoplysninger.
- Kategorier af modtagere, som oplysningerne videregives eller vil blive videregivet til.
- Hvor relevant, overførsler til tredjelande eller internationale organisationer med angivelse af landet eller organisationen. Ved de særlige overførsler i artikel 49, stk. 1, andet afsnit, også dokumentation for passende garantier.
- Hvis muligt, forventede slettefrister for de forskellige kategorier af oplysninger.
- Hvis muligt, en generel beskrivelse af tekniske og organisatoriske sikkerhedsforanstaltninger efter artikel 32.
Beskriv sammenhængen mellem kategorierne af personer og oplysninger, og hvad der eventuelt videregives til hvilke modtagere. Fortegnelsen skal kunne bruges til at forstå behandlingen – ikke blot være en liste over it-systemer.
Hvad skal en databehandler skrive i fortegnelsen?
Efter artikel 30, stk. 2, fører databehandleren fortegnelse over kategorier af behandlinger, der udføres på vegne af hver dataansvarlig. Den skal indeholde navn og kontaktoplysninger på databehandleren og de enkelte dataansvarlige samt relevante repræsentanter og databeskyttelsesrådgivere, kategorierne af behandling og relevante tredjelandsoverførsler. Hvis muligt skal sikkerhedsforanstaltninger også beskrives.
En virksomhed, der både er dataansvarlig og databehandler for forskellige behandlinger, skal dokumentere de respektive roller. Læs om forskellen på dataansvarlig og databehandler.
Sådan laver du din artikel 30-fortegnelse
Begynd med at kortlægge de processer, hvor I behandler personoplysninger, fx kundeservice, ordrebehandling, lønadministration og nyhedsbrev. Saml input fra dem, der udfører arbejdet, og fra jeres system- og leverandøroversigt.
Beskriv hver behandlingsaktivitet med de relevante oplysninger ovenfor. En fortegnelse er en oversigt over behandlinger; den behøver ikke opliste hver enkelt kunde eller hver enkelt e-mail.
Fortegnelsen kan være et regneark eller ligge i et egnet system. GDPR kræver skriftlighed, herunder elektronisk form, men ikke et bestemt produkt eller format. I kan også bruge et værktøj til at holde overblik, fx .legal.
Eksempel: kundeservice
For en kundeserviceaktivitet kan du beskrive følgende. Det er et eksempel, der skal tilpasses jeres faktiske behandling:
- Formål: at besvare kundernes spørgsmål om ordrer og produkter.
- Personer og oplysninger: kunder; navn, kontaktoplysninger, ordrenummer og indholdet af henvendelsen.
- Modtagere: fx en systemleverandør eller et fragtselskab, når det er relevant. Beskriv hvilke oplysninger og personer videregivelsen vedrører.
- Overførsler: afklar, om leverandører behandler oplysninger uden for EU/EØS, og hvilke regler der gælder.
- Sletning: fastsæt og begrund en frist ud fra formålet og eventuelle dokumentationskrav. Der findes ikke én GDPR-frist for alle kundeservicehenvendelser.
- Sikkerhed: fx begrænset adgang og beskyttelse af kommunikationen.
Hvis en henvendelse bruges til en reklamationssag eller et retskrav, kan formålet og opbevaringsbehovet være anderledes. Afstem det med principperne om formålsbegrænsning og opbevaringsbegrænsning.
Hvordan holder du fortegnelsen ajour?
Opdatér fortegnelsen, når der sker relevante ændringer i behandlingerne, fx et nyt formål, en ny modtager, en ændret slettefrist eller en tredjelandsoverførsel. Udpeg en ansvarlig for opfølgningen, så fortegnelsen afspejler de faktiske forhold.
Overblikket kan samtidig hjælpe jer med at opdage unødvendig indsamling, uklare slettefrister og manglende aftaler. Fortegnelsen dokumenterer behandlingerne, men er ikke i sig selv et behandlingsgrundlag eller bevis på, at alle GDPR-krav er opfyldt.