Artikel 30-fortegnelsen for SMV'er: Hvad skal med — og gælder undtagelsen dig?

Hvad er en artikel 30-fortegnelse?

Artikel 30 i GDPR (databeskyttelsesforordningen) kræver, at virksomheder fører en skriftlig fortegnelse over deres behandlingsaktiviteter — altså et struktureret overblik over, hvilke personoplysninger I behandler, hvorfor, om hvem, og hvordan de beskyttes. Fortegnelsen er ikke bare papirarbejde for papirarbejdets skyld: den er det dokument, Datatilsynet beder om først ved et tilsyn, og den er fundamentet for stort set alt andet GDPR-arbejde — slettepolitikker, databehandleraftaler og besvarelse af indsigtsanmodninger.

Hvad skal fortegnelsen indeholde?

For hver behandlingsaktivitet skal fortegnelsen som dataansvarlig indeholde:

• Navn og kontaktoplysninger på virksomheden (og evt. DPO)
• Formålet med behandlingen — fx lønudbetaling eller markedsføring
• Kategorier af registrerede — fx medarbejdere, kunder, ansøgere
• Kategorier af personoplysninger — fx navn, CPR-nummer, lønoplysninger, helbredsoplysninger
• Kategorier af modtagere — fx lønbureau, revisor, offentlige myndigheder, it-leverandører
• Overførsler til tredjelande og overførselsgrundlaget, hvis det er relevant
• Slettefrister — hvornår oplysningerne slettes, om muligt pr. kategori
• En generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger — fx adgangsstyring, kryptering og backup

Fortegnelsen skal være skriftlig (gerne digital) og kunne udleveres til Datatilsynet på anmodning. Er I databehandler for andre, gælder et lidt kortere, parallelt krav.

De typiske behandlingsaktiviteter i en SMV

De fleste små og mellemstore virksomheder kan dække størstedelen af deres fortegnelse med en håndfuld standardaktiviteter:

1. Løn og personaleadministration: CPR-numre, kontooplysninger, skatteoplysninger, fravær. Modtagere: lønbureau, Skattestyrelsen, pensionsselskab.
2. Rekruttering: Ansøgninger, CV'er, referencer. Husk en kort slettefrist for afviste kandidater — typisk 6 måneder uden samtykke.
3. HR i øvrigt: Personalesager, MUS-referater, advarsler, sygefravær (som kan indeholde helbredsoplysninger — en særlig kategori).
4. Kunder og leverandører: Kontaktpersoner, ordrehistorik, fakturaoplysninger. Bogføringsmateriale opbevares 5 år efter bogføringsloven.
5. Markedsføring: Nyhedsbrevslister, samtykker, cookiedata, CRM.
6. It-drift og sikkerhed: Logfiler, adgangsstyring, videoovervågning hvis I har det.

Med de seks kategorier på plads har de fleste SMV'er fanget 80-90 procent af deres behandlinger — resten er brancheafhængigt.

Undtagelsen for under 250 ansatte — og hvorfor den sjældent redder dig

Artikel 30, stk. 5 indeholder en undtagelse: virksomheder med under 250 ansatte behøver ikke føre fortegnelse. Det lyder som en fribillet for SMV'er — men læs betingelserne. Undtagelsen gælder ikke, hvis behandlingen:

• sandsynligvis indebærer en risiko for de registreredes rettigheder, eller
• ikke er lejlighedsvis, eller
• omfatter særlige kategorier af oplysninger (fx helbred, fagforening) eller oplysninger om straffedomme

Og her falder korthuset: har du bare én ansat, kører du løn hver måned. Lønbehandling er pr. definition ikke lejlighedsvis — og for de behandlinger, der ikke er lejlighedsvise, skal der føres fortegnelse. Det samme gælder kundeadministration og markedsføring. Sygefraværsoplysninger og fagforeningsoplysninger (fx løntræk til kontingent) er oven i købet særlige kategorier.

Konklusionen fra Datatilsynet og EU's databeskyttelsesråd er da også klar: i praksis skal stort set alle virksomheder med ansatte føre fortegnelse over deres faste, tilbagevendende behandlinger. Undtagelsen fritager højst enkelte, reelt lejlighedsvise aktiviteter — ikke virksomheden som helhed.

Dataansvarlig eller databehandler — eller begge dele?

Fortegnelseskravet findes i to varianter. Som dataansvarlig (I bestemmer formål og midler — fx jeres egen løn- og kundeadministration) gælder den fulde liste ovenfor. Som databehandler (I behandler oplysninger på vegne af kunder — typisk relevant for it-, regnskabs- og marketingbureauer) skal I føre en kortere fortegnelse over de kategorier af behandling, I udfører for hver dataansvarlig, inklusive tredjelandsoverførsler og sikkerhedsforanstaltninger.

Mange SMV'er er begge dele på én gang: dataansvarlig for egne medarbejdere og kunder, databehandler for det arbejde, de udfører for andre. Så skal fortegnelsen have begge sektioner.

Hvor detaljeret skal den være?

Mere overblik end afhandling. En fortegnelse på 5-15 behandlingsaktiviteter med udfyldte felter pr. aktivitet er langt mere værd end 80 sider copy-paste, som ingen vedligeholder. Tre pejlemærker:

• Beskriv kategorier, ikke enkeltpersoner eller enkeltsystemer ("lønsystem og pensionsselskab", ikke en liste over hver eneste medarbejder).
• Skriv konkrete slettefrister ("5 år efter regnskabsårets udløb"), ikke "slettes når de ikke længere er nødvendige".
• Beskriv sikkerheden generelt, men genkendeligt: adgangsstyring, kryptering, backup, leverandørkrav.

Sådan griber du det an

1. Start med de seks standardaktiviteter ovenfor, og tilføj det branchespecifikke.
2. Udfyld felterne pr. aktivitet — formål, kategorier, modtagere, slettefrister, sikkerhed.
3. Brug fortegnelsen aktivt: den afslører hurtigt manglende databehandleraftaler og manglende slettefrister.
4. Gennemgå den fast, fx én gang om året, og når I tager nye systemer i brug.

Manglende fortegnelse kan straffes med bøde (op til 10 mio. euro eller 2 procent af den globale omsætning i de alvorligste tilfælde), men den reelle risiko for en SMV er mere jordnær: uden fortegnelse kan du ikke dokumentere dit GDPR-arbejde, og et tilsyn bliver hurtigt ubehageligt.

Sådan hjælper Verkta

Verktas GDPR-modul indeholder en færdig artikel 30-fortegnelse med de typiske SMV-behandlingsaktiviteter udfyldt på forhånd — du tilpasser i stedet for at starte fra et blankt ark. Modulet minder dig om den årlige gennemgang og samler fortegnelse, databehandleroversigt og øvrige GDPR-dokumenter ét sted. Prøv det gratis i 14 dage.