Tilsynsmyndigheden kommer for at inspicere – hvad skal jeg kunne vise

Behandlingsregistret står centralt ved en kontrol

Ved en kontrol fra Datatilsynet handler det i de fleste tilfælde om ét dokument som udgangspunkt: behandlingsregistret. Deri fremgår det, hvilke personoplysninger der behandles, med hvilket formål, hvem der har adgang til dem, hvor længe de opbevares, og om de deles med andre. Dette register er ikke frivilligt — artikel 30 i GDPR beskriver, hvad der skal indgå, og for hvem pligten gælder. Ud over registret spørger en tilsynsmyndighed typisk også til behandleraftaler med de leverandører, der behandler data på vegne af virksomheden, og til, hvordan datasikkerheden for disse data er organiseret.

Hvad en kontrol ellers resulterer i, afhænger af virksomhedens fokusområde. Der kan således spørges til privatlivserklæringen, som sendes til kunder eller webstedsbesøgende, til dokumentation for, at et dataemne dengang blev vurderet rettidigt, eller til den afvejning, som blev foretaget ved en risikofyldt behandling. For dem, der skal fastslå, hvad der præcist skal indgå i behandlingsregistret, giver hvad skal der indgå i et behandlingsregister? et overblik over komponenterne. Og fordi en kontrol også omfatter aftaler med SaaS-leverandører eller andre parter, som behandler data, er svaret på hvad skal der indgå i en behandleraftale? relevant for, hvad der skal kunne fremvises.

Hvor dette følger fra: artikel 30 og artikel 32 GDPR

Pligten til at vedligeholde et register findes i artikel 30 i GDPR, og dette register er i praksis det første dokument, der kommer på bordet ved en kontrol. Artikel 32 i GDPR beskriver pligten til at træffe passende tekniske og organisatoriske foranstaltninger for at sikre data, og en tilsynsmyndighed kan spørge, hvordan disse foranstaltninger er implementeret. Disse to artikler gælder direkte i hele Den Europæiske Union, så kernen af, hvad der skal kunne fremvises, er den samme overalt. Hvem der udfører kontrollen, og hvor den anmodes eller håndteres, varierer dog fra land til land: i Danmark er det Datatilsynet, i andre medlemsstater en anden national tilsynsmyndighed med egne arbejdsmetoder. Mere om Datatilsynets rolle findes på Datatilsynets hjemmeside.