GDPR: Fem ting ledelsen skal kunne lægge på bordet

Bestyrelse og direktion er efter forordningen de øverste ansvarlige for, at virksomheden har styr på personoplysninger – både strategisk og i den daglige drift. I praksis betyder det, at ledelsen skal kunne dokumentere, at de ved, hvad der foregår.

Her er fem ting, ledelsen som minimum bør kunne pege på.

1. Et reelt overblik over data og leverandører

Det starter ét sted: Hvilke personoplysninger har vi, hvor ligger de, og hvem rører ved dem? Ledelsen behøver ikke kende hvert system, men der skal findes en opdateret oversigt over de vigtigste behandlinger (HR, løn, kunder, marketing, fagsystemer) og over de leverandører, som behandler data på virksomhedens vegne – typisk cloud- og IT-leverandører. Listen er både et lovkrav og fundamentet for resten af GDPR-arbejdet. Uden den bliver alt andet gætteri.

2. En vurdering af, hvor det kan gå galt

Ledelsen skal kunne vise, at man har taget stilling til de største risici for kunder og medarbejdere. Det betyder simple risikovurderinger på de vigtigste systemer og processer – og en egentlig konsekvensanalyse (DPIA), hvor det er påkrævet, for eksempel ved overvågning, ny teknologi, omfattende profilering eller følsomme oplysninger. Det interessante for ledelsen er ikke teknikken, men svaret på: Hvor har vi vores højrisiko-områder, og hvad har vi besluttet at gøre ved dem?

3. Sletning, der faktisk sker

Sletning er et af de grundlæggende principper i GDPR, og det er et område, hvor Datatilsynet og domstolene nu kigger meget konkret på ledelsen. I ILVA-sagen, hvor virksomheden blev idømt en bøde på 1,5 mio. kr. for manglende sletning, udtalte direktøren for Datatilsynet, at ledelsens kendskab til ulovlige behandlinger gør overtrædelsen forsætlig. Med andre ord: Hvis ledelsen ved, at der ikke slettes, og ikke gør noget ved det, skærpes ansvaret. Bestyrelsen bør derfor kunne pege på en slettepolitik – hvor længe gemmer vi kundedata, personalesager, mails og bilag? – og få forklaret, hvordan sletningen faktisk gennemføres.

4. Aftaler med leverandører, der holder vand

Ansvaret stopper ikke ved, at man har valgt en stor leverandør. Ledelsen skal kunne dokumentere, at der er databehandleraftaler med de væsentlige IT- og cloudleverandører, at aftalerne reelt lever op til kravene om sikkerhed, underdatabehandlere, instruks og brud, og at man har taget stilling til overførsler til lande uden for EU/EØS – særligt USA. Et godt ledelsesspørgsmål er: Hvem har senest gennemgået vores databehandleraftaler, og hvad var konklusionen?

5. En styring, der lever i hverdagen

Det sidste handler om governance. Er der udpeget ansvarlige personer for databeskyttelse? Findes der kendte politikker og procedurer for de typiske situationer – databrud, indsigtsanmodninger, sletning? Og bliver det fulgt op løbende, for eksempel med en årlig gennemgang i ledelsen, korte awareness-indsatser til medarbejderne og en opdatering af dokumentationen, når der kommer nye projekter? Det er ikke nok, at dokumenterne ligger et sted i SharePoint. Ledelsen skal kunne vise, at de bruges.

Kort sagt: Ledelse i 2026 kan ikke nøjes med at sige "vi har en IT-mand, der tager sig af det". Ledelsen forventes at være informeret, kunne stille de rigtige spørgsmål og have et minimum af dokumentation på plads. Med ILVA-dommen i baghovedet er pointen også, at ledelsens kendskab til ulovlige eller mangelfulde behandlinger kan skærpe ansvaret og gøre overtrædelser forsætlige i Datatilsynets og domstolenes øjne.