GDPR – Fortegnelser over behandlingsaktiviteter

Den generelle databeskyttelsesforordning forpligter, i henhold til artikel 30 i GDPR, skriftlig dokumentation og oversigt over procedurer, hvormed personoplysninger behandles. Fortegnelser over behandlingsaktiviteter skal indeholde væsentlig information om databehandlingen, inklusive datakategorier, gruppen af registrerede, formålet med behandlingen og datamodtagerne. Dette skal fuldstændigt stilles til rådighed for myndighederne efter anmodning.

Forpligtelsen til at oprette fortegnelser over behandlingsaktiviteter pålægges ikke kun den dataansvarlige og deres repræsentant, men også direkte på databehandleren og deres repræsentanter som fastsat i art. 30(2) i GDPR. Derimod er virksomheder eller institutioner med færre end 250 ansatte undtaget fra at føre en fortegnelse, hvis behandlingen ikke sandsynligvis udgør en risiko for den registreredes rettigheder og frihedsrettigheder, hvis der ikke behandles særlige kategorier af data, eller hvis behandlingen kun udføres lejlighedsvis, som angivet i art. 30(5) GDPR. I praksis er denne undtagelse sjældent anvendelig. Udover eventuelle vanskeligheder, der opstår under fortolkningen af, hvad der betragtes som “kun lejlighedsvis”, vil data i de fleste virksomheder – selv med en bred fortolkning af begrebet – utvetydigt blive behandlet regelmæssigt, herunder databehandling for hjemmesiden, deres webshop, lønberegning eller CRM-systemer. Man skal bemærke, at dokumentationspligten og derfor fortegnelser over behandlingsaktiviteter vil være et fokus for myndighedernes inspektioner af implementeringen af databeskyttelsesforordningen.</

Hvis en virksomhed ikke opretholder registre over behandlingsaktiviteter og/eller ikke giver myndighederne et komplet indeks, er de underlagt bøder i henhold til art. 83(4)(a) i GDPR. De mulige bøder kan være op til 10 millioner euro eller 2% af deres årlige omsætning. Dette samlede beløb bliver som regel kun vurderet af myndighederne i særlige tilfælde. Til dette opfordres myndighederne, som angivet i betragtning 13, “til at tage hensyn til de specifikke behov hos mikro, små og mellemstore virksomheder ved anvendelsen af denne forordning.”