Du kan i princippet helt selv vedligeholde dit behandlingsregister. GDPR foreskriver ikke et specifikt program eller format: et velvedligeholdt dokument eller regneark er tilstrækkeligt, så længe det er komplet, korrekt og aktuelt. Det afgørende er ikke værktøjet, men indholdet: hvilke personoplysninger du behandler, med hvilket formål, hvem der kan få adgang, hvor længe du gemmer dem, og hvilke andre parter der får øje på dem.
Det praktiske spørgsmål er derfor ikke, om det er tilladt, men om det forbliver håndterligt i din virksomhed. Med en håndfuld faste behandlinger — en regnskabspakke, en lønadministration, et CRM-system — er et selvfremstillet overblik ofte uproblematisk at vedligeholde. Så snart antallet af værktøjer vokser, behandlere skiftes, eller medarbejdere selv anskaffet software, bliver vedligeholdelsen en tilbagevendende opgave, der let udskydes.
Hvad der i hvert fald skal stå der
Et register beskriver for hver behandling formålet, kategorierne af personoplysninger og de registrerede, opbevaringens længde eller en indikation heraf, og de parter, som personoplysninger deles med. For behandlinger, der foregår gennem en ekstern part, skal det også fremgå, om der ligger en databehandleraftale til grund. De præcise krav og undtagelserne heraf er fastsat i GDPR selv og uddybet i retningslinjer fra Datatilsynet og EDPB. Hvis du ønsker at få det udredt per situation, finder du det i videnbasen, hvor det er udredt per situation.
Hvorfor det på papir bliver svært
Problemet er som regel ikke opsætningen, men vedligeholdelsen. En mindre virksomhed indgår i løbet af et år nye SaaS-abonnementer, ophører med andre, og databehandleraftalen, der hører til, ændres undertiden uden, at nogen bemærker det. Et regneark, der var korrekt ved start, er efter et par måneder ofte kun et øjebliksbillede. Det bliver først synligt, når det betyder noget: når en registreret indgiver en anmodning, ved en udbud eller når en tilsynsmyndighed spørger til det.
Her ligger den virkelige forskel mellem at gøre det selv og at få hjælp. At vedligeholde et register selv er ikke noget problem, så længe der er nogen, der strukturelt tager sig tiden til at kontrollere og supplere det. I mange små virksomheder er den tid til stede ved start og forsvinder, så snart dagens travlhed tager over.
Selv doen, bruge et værktøj eller outsource det
Mellem at gøre det helt selv og at outsource helt ligger der en mellemvej: et system, der fylder registeret ud fra et bibliotek af kendte værktøjer og advarer dig, hvis der mangler noget eller ændres. Det sparer ikke det tænkearbejde om, hvad der skal stå der — det bliver ved dig — men vel risikoen for, at en ændring bliver uopmærket. Om det er besværet værd for din virksomhed, afhænger af antallet af behandlinger og hvor ofte det antal ændres. Et overblik over, hvad der hører til, og hvad det koster, står på siden med systemets priser.
Hvis du hellere vil prøve først selv, kan du bare gøre det. GDPR foreskriver ikke et betalt system. Hvad loven kræver, er, at registeret til enhver tid giver et korrekt billede af virkeligheden — ikke bare den dag, det blev udarbejdet.
Hvad du aldrig kan outsource
Uanset om du vedligeholder registeret i et regneark eller lader systemet fylde det ud: ansvaret for korrekthed ligger hos organisationen, ikke hos værktøjet. Et værktøj kan signalere, at en databehandleraftale er udløbet eller at et nyt SaaS-værktøj endnu ikke er registreret, men afgørelsen om, hvad du gør ved det, og om en behandling egentlig er nødvendig, ligger helt hos dig. For udfyldelsen af din konkrete situation er det noget, du bør drøfte med en jurist eller, hvis du er i tvivl om selve lovgivningen, med Datatilsynet.
Hvis du først ønsker at se, hvordan noget sådan fungerer i praksis, før du vælger mellem selv at gøre det og at få support, kan du læse ofte stillede spørgsmål om registret eller oprette en forretningskonto via tilmeldingssiden og se forskellen selv.
Hvis du vil vide, hvor din virksomhed i øjeblikket står, er den gratis quick-scan et godt udgangspunkt: ingen forpligtelse, kun en indikation af, hvad der er relevant for din situation.