For en lille virksomhed med et overskueligt antal behandlinger — personaladministration, bogføring, en kundedatabase, et par SaaS-værktøjer — er det første, grove overblik ofte muligt at lave på nogle få timer. Den faktiske gennemløbstid til et register, der virkelig er komplet og brugbart, ligger i praksis højere: regn med nogle få dages arbejde, spredt over to til fire uger. Denne spredning skyldes ikke at selve udfyldningen tager lang tid, men at du undervejs venter på svar fra andre.
Loven selv nævner ingen tidsramme for udarbejdelse af et register. Hvad GDPR derimod kræver, er at en dataansvarlig skal have et overblik over de behandlinger, der foregår under hans ansvar, herunder blandt andet formålet, kategorier af oplysninger og modtagere samt opbevaringsfristerne. Hvor lang tid det tager at nå dertil, afhænger derfor ikke af en lovbestemt frist, men af hvor godt din organisation selv ved, hvad der sker med oplysningerne.
Hvor de første dage går hen
Den første fase handler om kortlægning: hvilke systemer bruger du, hvem har adgang, og hvilke oplysninger står der i dem. For en enkeltmandsvirksomhed eller en virksomhed med en håndfuld medarbejdere er det ofte muligt at overskue på en formiddag. I en organisation med flere afdelinger bliver det hurtigt kompliceret, simpelthen fordi ingen person alene har det fuldstændige billede: HR ved, hvilke værktøjer de bruger til rekruttering og sygefravær, administrationen ved, hvilket regnskabsprogram der kører, og ledelsen ved ofte ikke, at marketingafdelingen har tegnet et separat CRM-abonnement. Denne fragmentering er den første og største kilde til forsinkelse, ikke selve dokumentationsarbejdet.
En praktisk tilgang er at starte med fakturaerne: hvert abonnement, der trækkes månedligt, er en god indikation på en behandling, der hører til i registeret. Et bibliotek af velkendte SaaS-værktøjer kan fremskynde denne del, fordi meget almindelig software allerede er forsynet med de sædvanlige formål og opbevaringsfristerne, så du ikke selv skal finde dem ud. I videnbasen finder du per emne et kort svar med referencen i den officielle tekst, hvilket er hensigtsmæssigt ved bestemmelsen af, hvad der skal med i registeret, og hvad der ikke skal.
Hvor det går i stå: databehandleraftaler
Den anden forsinkelse opstår, når du skal tilknytte databehandleraftaler til behandlingerne i registeret. For hver SaaS-leverandør, der behandler personoplysninger på dine vegne, skal der foreligge en aftale. I praksis viser det sig, at denne ikke altid eksisterer, eller ingen er længere sikker på den seneste version. Det betyder, at du skal kontakte leverandører, hvilket kan medføre dage eller ugers ventetid — ikke fordi det at udarbejde en aftale er tidskrævende, men fordi du er afhængig af en anden virksomheds reaktionshastighed.
Det er derfor mere hensigtsmæssigt ikke at se registeret og overvågningen af databehandleraftaler som to adskilte projekter, men som én igangværende proces: så snart et nyt værktøj anskaffes, bør aftalen være på plads med det samme, i stedet for senere at skulle rekonstruere, hvad der på et tidspunkt blev aftalt.
Gennemløbstid ved vækst og forandring
Et register er aldrig færdigt i den forstand, at det derefter ikke ændrer sig. Nye værktøjer, nye medarbejdere, nye kundeprocesser — hver enkelt påvirker registret på ny. Gennemløbstiden for en engangsinventur siger derfor meget lidt om vedligeholdelsen bagefter. Virksomheder, der kun udfylder registret ved stiftelsen og lader det ligge bagefter, risikerer, at det efter et år ikke længere stemmer overens med virkeligheden. Den, der lader registret vokse sammen med værktøjsbiblioteket og lader det automatisk signalere, når noget mangler, sparer sig selv den gentagne inventur, som ellers er nødvendig ved hver kontrol eller udbud.
For den, der skal dokumentere, at grundlaget er i orden — for eksempel over for et forsikringsselskab eller ved en udbud — gælder det ikke kun, at der findes et register, men også hvor aktuelt det er. En oversigt fra et halvt år siden, mens der i mellemtiden er tilkommet tre nye værktøjer, tegner et andet billede end et register, der opdateres ugentligt.
Selv at gøre eller lade det følge med
Uanset om du selv vedligeholder registret i et regneark eller lader det udfylde fra et system, ligger gennemløbstiden i begge tilfælde primært i indsamlingen af oplysninger, ikke i selve indtastningen. Forskellen ligger i vedligeholdelsen: et regneark kræver, at du selv husker, hvornår noget skal opdateres, mens et system, der er forbundet med værktøjsbiblioteket og dine databehandleraftaler, signalerer det for dig. Læs mere om, hvordan denne forbindelse præcis fungerer, på siden om systemets funktion.
Hvis du gerne vil vide, hvad et fuldstændigt, aktuelt register ville koste i tid og ressourcer for din situation, giver oversigten over priser en indikation af, hvad der passer til din virksomhedsstørrelse. Og hvis du er usikker på, om dit nuværende overblik er tilstrækkeligt, finder du i de mest stillede spørgsmål svar på en række praktiske tvivlsspørgsmål.
Den endelige vurdering af, om dit register opfylder de lovmæssige krav, er op til dig selv eller en jurist, og i tilfælde af tvivl til Datatilsynet. Hvis du først gerne vil danne dig et billede af, hvor du står, skal du tage den gratis quick-scan eller gennemse emnerne i videnbanken.