Fortegnelse over behandlingsaktiviteter, DPIA og afslutning af skiftet

Modul 9: Mennesker og regler · Læsetid: 12 minutter

Læringsmål: Efter denne lektion kan du opdatere fortegnelsen over behandlingsaktiviteter og privatlivspolitikken efter skiftet, vurdere om en DPIA er nødvendig, få den gamle tjeneste slettet ordentligt og formelt afslutte skiftet med en afsluttende tjekliste.

Centrale begreber: fortegnelse over behandlingsaktiviteter (art. 30), undtagelse for under 250 medarbejdere, DPIA (art. 35), DPIA-listen fra Datatilsynet, privatlivspolitik (art. 13 og 14), modtagere, overførsel, underretningspligt ved brud på persondatasikkerheden (art. 33), sletning hos den gamle tjeneste, bekræftelse på sletning, evaluering, afsluttende tjekliste

Skiftet er først færdigt, når papirerne stemmer

Mailen fungerer, filerne ligger der, alle arbejder i det nye miljø. Teknisk er du færdig. Men i forhold til databeskyttelsesforordningen (GDPR) er der stadig arbejde tilbage: din dokumentation beskriver stadig den gamle situation. Ved en henvendelse fra en kunde, en kontrol eller et brud på persondatasikkerheden vil du kunne vise, hvordan det ser ud nu. Denne lektion afslutter skiftet.

Dette er en forklaring, ikke juridisk rådgivning.

Fortegnelsen over behandlingsaktiviteter

Artikel 30, stk. 1 i databeskyttelsesforordningen (GDPR) forpligter den dataansvarlige til at føre en fortegnelse over behandlingsaktiviteter. Her noteres for hver behandling (for eksempel "kundeordrer", "personaleadministration", "nyhedsbrev"):

• navn og kontaktoplysninger på den dataansvarlige (og eventuelt databeskyttelsesrådgiveren);
• formålene med behandlingen;
• kategorierne af registrerede og personoplysninger;
• modtagerne, herunder databehandlere;
• overførsler til lande uden for EØS, med garantierne;
• opbevaringsperioderne, hvor det er muligt;
• en generel beskrivelse af sikkerhedsforanstaltningerne, hvor det er muligt.

Gælder det også for en lille organisation?

Artikel 30, stk. 5 indeholder en undtagelse for organisationer med under 250 medarbejdere. Men den undtagelse gælder ikke, hvis behandlingen sandsynligvis indebærer en risiko, hvis den ikke er lejlighedsvis, eller hvis der indgår følsomme personoplysninger (som helbredsoplysninger) eller oplysninger om strafbare forhold. Den nederlandske tilsynsmyndighed, Autoriteit Persoonsgegevens (AP), forklarer, at behandlinger i praksis sjældent er lejlighedsvise: så snart du har medarbejdere eller faste kunder, behandler du strukturelt. For Bakkerij De Korrel med lønadministration, kundeordrer og sygemeldinger gælder undtagelsen derfor ikke.

Der findes et europæisk forslag om at lempe fortegnelsespligten for mindre organisationer (den såkaldte Omnibus IV-pakke; i juni 2026 nåede Rådet og Parlamentet en foreløbig aftale). Så længe det ikke er trådt i kraft, gælder den nuværende artikel 30. Og også derefter vil et overblik stadig være nyttigt: du har brug for det for at kunne overholde resten af dine forpligtelser.

Hvad opdaterer du efter skiftet?

Gennemgå hver linje i din fortegnelse og opdater:

Et skifte er et godt tidspunkt til endelig at få styr på opbevaringsperioderne. For regnskabsmateriale gælder der i Nederlandene som udgangspunkt en opbevaringspligt på syv år; for ansøgningsoplysninger anbefaler den nederlandske tilsynsmyndighed i princippet fire uger efter proceduren. Bemærk, at der kan gælde andre frister i dit eget land. Se hvilke frister der gælder for din sektor.

Skal du lave en DPIA?

En DPIA (data protection impact assessment, på dansk "konsekvensanalyse vedrørende databeskyttelse") er en struktureret risikoanalyse, der laves på forhånd. Artikel 35 kræver en DPIA, hvis en behandling sandsynligvis indebærer høj risiko for de registrerede, især ved ny teknologi.

Hvordan ved du, om det er tilfældet?

1. AP's liste. Den nederlandske tilsynsmyndighed, Autoriteit Persoonsgegevens, har i 2019 offentliggjort en liste over sytten typer behandlinger, hvor en DPIA altid er obligatorisk. Her indgår blandt andet storskala behandling af helbredsoplysninger, kameraovervågning, overvågning af medarbejdere, kommunikationsoplysninger, lokationsoplysninger, profilering og biometri. Hver EU-tilsynsmyndighed har sin egen DPIA-liste (art. 35, stk. 4), så tjek listen hos din egen tilsynsmyndighed.
2. De europæiske kriterier. De europæiske tilsynsmyndigheder har opstillet ni kriterier (som følsomme oplysninger, stor skala, sårbare registrerede, systematisk overvågning, ny teknologi). Opfylder en behandling to eller flere af dem, er en DPIA som udgangspunkt nødvendig.

For et bageri, der flytter mail og filer, er en DPIA som regel ikke obligatorisk. For en lægepraksis, der flytter patientkommunikation til en ny tjeneste, eller en skole med elevoplysninger, ser det anderledes ud. Selvom det ikke er obligatorisk, kan en kort risikoanalyse være nyttig. Afvejningen fra lektion 1.5 er et godt udgangspunkt for det. Har du allerede en DPIA for den gamle tjeneste, så opdater den.

Privatlivspolitikken

I din privatlivspolitik fortæller du de registrerede (kunder, ansøgere, besøgende på hjemmesiden) hvordan du håndterer deres oplysninger (art. 13 og 14). Her skal blandt andet modtagerne eller kategorierne af modtagere samt eventuelle overførsler uden for EØS fremgå. Stod der "vi bruger tjenester fra virksomheder i USA på grundlag af Data Privacy Framework", skal du opdatere det. Ændr ikke noget, der ikke stemmer: nævn kun det, du virkelig er sikker på ud fra databehandleraftalen og underdatabehandlerlisten.

Brud på persondatasikkerheden: ved hvem du ringer til

Efter skiftet er din udbyder ændret, og dermed også ruten ved et brud på persondatasikkerheden. Angiv i din procedure:

• kontaktadressen hos den nye udbyder for sikkerhedshændelser;
• fristen, inden for hvilken udbyderen ifølge databehandleraftalen informerer dig;
• hvem hos dig der beslutter, om der skal anmeldes, for anmeldelsen til tilsynsmyndigheden skal ske senest 72 timer efter opdagelsen (art. 33);
• hvor du fører registeret over sikkerhedsbrud: også brud, du ikke er forpligtet til at anmelde, skal registreres internt (art. 33, stk. 5).

Afslutning hos den gamle tjeneste

Opsig først den gamle tjeneste, når alt har fungeret i nogle uger (lektion 3.3). Derefter:

1. Sidste kontrol: er alt overført? Er der delte mapper, formularer eller integrationer, der stadig peger på den gamle tjeneste?
2. Eksporter et sidste arkiv til dit eget regnskab, hvis du ønsker at opbevare det (for eksempel mail, der er omfattet af opbevaringspligten). Opbevar det krypteret.
3. Slet konti og data hos den gamle tjeneste, eller få dem slettet. Artikel 28, stk. 3, litra g forpligter den tidligere databehandler til at slette eller returnere oplysningerne efter afslutningen, efter dit valg. Bed om en bekræftelse på sletning og opbevar den sammen med din fortegnelse.
4. Ryd op i integrationer: "log ind med"-forbindelser hos andre tjenester, apps med adgang, og verifikationsposter i dit DNS (lektion 4.3).
5. Opdater din fortegnelse, din privatlivspolitik og din procedure for sikkerhedsbrud (se ovenfor).

Evaluering

Planlæg en kort evaluering en måned efter skiftet med ambassadørerne (lektion 9.1). Hvad gik godt, hvad gjorde ikke, hvad gør du anderledes næste gang? Noter også din exitplan for den nye tjeneste (lektion 8.2) og sæt en dato i kalenderen til at teste den årligt.

I praksis: sådan ser det ud hos en udbyder

Mange udbydere har en funktion til at downloade dine data eller slette din konto. Hos WebOké kan du i WebOké-vejledningen se, hvordan du downloader eller får slettet dine data. Hos store amerikanske tjenester hedder det som regel "eksportér data" og "slet konto", og administratoren af en organisationskonto har egne eksportfunktioner. Læs på forhånd, hvor længe tjenesten opbevarer data i backups efter sletning; det fremgår ofte af privatlivspolitikken eller databehandleraftalen.

Afsluttende tjekliste

• [ ] Alle dele fra din kortlægning (lektion 3.1) findes i det nye miljø og er kontrolleret
• [ ] Databehandleraftale(r) med den/de nye udbyder(e) indgået og opbevaret (lektion 9.2)
• [ ] Fortegnelse over behandlingsaktiviteter opdateret: modtagere, overførsler, sikkerhed, opbevaringsperioder
• [ ] DPIA vurderet (nødvendig eller ej, og hvorfor det er dokumenteret)
• [ ] Privatlivspolitik opdateret
• [ ] Procedure for sikkerhedsbrud med nye kontaktoplysninger
• [ ] Gamle tjeneste opsagt, data slettet, bekræftelse opbevaret
• [ ] Integrationer og gamle DNS-poster ryddet op
• [ ] Backup af det nye miljø sat op og testet (lektion 8.1)
• [ ] Exitplan for den nye tjeneste udarbejdet (lektion 8.2)
• [ ] Evaluering afholdt

Oversigt

• Opdater fortegnelsen over behandlingsaktiviteter efter skiftet: modtagere, overførsler, sikkerhed og opbevaringsperioder.
• Undtagelsen for under 250 medarbejdere gælder i praksis sjældent; et forslag om at lempe den er endnu ikke trådt i kraft (pr. november 2026).
• En DPIA er obligatorisk ved høj risiko (listen fra tilsynsmyndigheden, europæiske kriterier); for almindelige kontoroplysninger som regel ikke.
• Opdater din privatlivspolitik og din procedure for sikkerhedsbrud.
• Få den gamle tjeneste til at slette dine data og bed om en bekræftelse.

Quiz

Opgave

Opgave E9.3: Afslut dit skifte. Opdater for tre behandlinger i din organisation linjerne i fortegnelsen over behandlingsaktiviteter (modtagere, overførsel, sikkerhed, opbevaringsperiode), vurdér ved hjælp af DPIA-listen og de europæiske kriterier, om en DPIA er nødvendig, og udfyld den afsluttende tjekliste.

Videre læsning

Trinene i disse artikler gælder for WebOkés tjenester; hos andre udbydere fungerer det på lignende vis.

• WebOké vejledning 11.7: Privatliv: download dine oplysninger eller få dem slettet
• Nextcloud-vejledning 16.7: Kollega stopper: Overtag filer, kalender og delte mapper sikkert
• Nextcloud-vejledning 15.13: Ofte stillede spørgsmål om sikkerhed og privatliv
• Forordning (EU) 2016/679 (databeskyttelsesforordningen, GDPR), artikel 13, 14, 28, 30, 33 og 35, på EUR-Lex
• Afgørelse om liste over behandlinger af personoplysninger, hvor en DPIA er obligatorisk (den nederlandske tilsynsmyndighed Autoriteit Persoonsgegevens, Stcrt. 2019), på wetten.overheid.nl (BWBR0042812)
• Autoriteit Persoonsgegevens, emnerne "Register van verwerkingsactiviteiten" (fortegnelse over behandlingsaktiviteter) og "DPIA": https://www.autoriteitpersoonsgegevens.nl