GDPR-software er systemer, der hjælper virksomheder med at overholde databeskyttelsesreglerne. Men “GDPR-software” dækker over meget forskellige værktøjer. Nogle dokumenterer, hvad I gør. Andre finder de data, I faktisk har. De fleste virksomheder har brug for mere end én type.
Det korte svar: GDPR kræver ikke, at I bruger software. Forordningen kræver, at I kan påvise, at I overholder reglerne, og at fortegnelsen foreligger skriftligt, herunder elektronisk. Software bliver relevant, når mængden af dokumentation, databehandlere og data bliver for stor til at holde styr på i hånden. Den vigtigste beslutning er, om I mangler at dokumentere, eller om I mangler at vide, hvor jeres personoplysninger ligger. Det er to forskellige slags værktøjer.
De fem typer GDPR-software
| Type | Hvad det løser | Typisk for |
|---|---|---|
| Dokumentation og fortegnelser | Artikel 30-fortegnelse, databehandleraftaler, politikker, årshjul | Compliance- og juraafdelinger |
| Data discovery og klassificering | Finder personoplysninger i mails, filer og drev, og hjælper med at slette dem | Virksomheder med meget ustruktureret data i Microsoft 365 |
| Samtykke og cookies | Cookiebannere og samtykkelogning på hjemmesiden | Alle med en hjemmeside |
| Risiko og governance | Risikovurderinger, DPIA, kontroller og audit trails | Større virksomheder og regulerede brancher |
| Træning og awareness | GDPR-kurser og dokumentation af træning | Alle med medarbejdere |
Dokumentationsværktøjer beskriver, hvordan I mener, data bliver behandlet. Discovery-værktøjer viser, hvordan det faktisk ser ud. Datatilsynet kigger på begge dele.
Hvad kræver GDPR egentlig?
GDPR er teknologineutral. Ingen artikel siger, at I skal bruge et bestemt system. Til gengæld er der en række krav, der skaber løbende arbejde, og det er mængden af det arbejde, der afgør, om et regneark er nok.
| Krav | Hvor i GDPR | Hvad det betyder i praksis |
|---|---|---|
| Ansvarlighed | Art. 5, stk. 2 | I skal kunne påvise, at I overholder reglerne |
| Den dataansvarliges ansvar | Art. 24, stk. 1 | Passende foranstaltninger, som revideres og ajourføres efter behov |
| Fortegnelse | Art. 30, stk. 1 og 3 | En skriftlig oversigt over behandlingsaktiviteter, også elektronisk |
| Databehandlere | Art. 28, stk. 1 og 3 | Kun databehandlere med de fornødne garantier, og en kontrakt med hver |
| Behandlingssikkerhed | Art. 32, stk. 1 | Passende tekniske og organisatoriske foranstaltninger ud fra risikoen |
| Brud på persondatasikkerheden | Art. 33, stk. 1 og 5 | Anmeldelse senest 72 timer efter, I er blevet bekendt med bruddet, og dokumentation af alle brud |
| Konsekvensanalyse (DPIA) | Art. 35, stk. 1 | Påkrævet, når behandlingen sandsynligvis indebærer høj risiko |
| Databeskyttelsesrådgiver (DPO) | Art. 37, stk. 1 | Påkrævet for offentlige myndigheder og ved visse kerneaktiviteter |
To krav overser mange:
- Alle brud skal dokumenteres. Artikel 33, stk. 5, gælder også de brud, I ikke anmelder til Datatilsynet.
- Behandlingssikkerhed kræver, at I kender risikoen. Og I kan kun vurdere risikoen ved data, I ved, I har. Læs mere i vores guide til GDPR-risikovurdering.
Skal virksomheder under 250 ansatte føre fortegnelse?
Artikel 30, stk. 5, fritager virksomheder med under 250 ansatte fra fortegnelsen. Undtagelsen gælder dog ikke, hvis behandlingen:
- sandsynligvis vil medføre en risiko for de registreredes rettigheder,
- ikke er lejlighedsvis, eller
- omfatter særlige kategorier af oplysninger (artikel 9) eller oplysninger om straffedomme (artikel 10).
I praksis gælder undtagelsen sjældent. Løn og personaleadministration er ikke lejlighedsvis, og sygemeldinger indeholder helbredsoplysninger. Har I ansatte, skal I derfor regne med at føre fortegnelse over i hvert fald personaleadministrationen. Brug vores skabelon til fortegnelsen.
Alternativerne, og hvad de løser
Der er fire måder at løfte GDPR-arbejdet på. De kan godt kombineres, og mange ender med to af dem.
| Alternativ | Hvad I får | Hvad I mangler |
|---|---|---|
| Skabeloner | Et fagligt korrekt udgangspunkt, ofte gratis | Opfølgning og påmindelser |
| Regneark | Fleksibilitet uden indkøb | Historik, rettighedsstyring og overblik, når flere redigerer |
| Konsulent eller ekstern DPO | Faglig vurdering og kapacitet | Et sted, hvor dokumentationen lever videre |
| GDPR-software | Ét register, ansvarsfordeling, påmindelser, og for discovery-værktøjer: overblik over, hvor data ligger | Den juridiske vurdering. Den skal stadig laves af jer eller jeres rådgiver |
Det, ingen af de tre første løser, er spørgsmålet om, hvor personoplysningerne faktisk ligger. En skabelon, et regneark eller en konsulent kan kun beskrive det, nogen ved i forvejen.
Hvornår er hvad nok?
Tabellen er vores tommelfingerregel, ikke et lovkrav.
| Jeres situation | Typisk nok | Tegn på, at I har brug for mere |
|---|---|---|
| Få ansatte, få systemer, få databehandlere | Skabeloner og en fast årlig gennemgang | Flere personer skal opdatere de samme dokumenter |
| Flere afdelinger og en voksende liste af leverandører | Et dokumentationsværktøj med ansvarsfordeling og årshjul | Fortegnelsen bliver ikke opdateret, når noget ændrer sig |
| Mange års mails og filer i Microsoft 365 | Et discovery-værktøj, der finder personoplysningerne | I ved ikke, hvor sygemeldinger, CV’er, kontrakter og lønsedler ligger |
| Følsomme oplysninger i stort omfang | DPO, konsekvensanalyser og både dokumentation og discovery | Risikovurderingen bygger på antagelser |
Antal ansatte er kun én faktor. En virksomhed med 40 ansatte og ti års indbakker kan have mere brug for discovery end en virksomhed med 300 ansatte og ét HR-system.
Sådan vurderer I jeres behov i fem trin
- Tæl behandlingsaktiviteterne. Tæl formålene: rekruttering, løn, kundeservice, nyhedsbrev.
- Tæl databehandlerne. Kun de leverandører, der behandler personoplysninger på jeres vegne, kræver databehandleraftale.
- Tæl dem, der skal bidrage. Er det én person eller ti? Jo flere, jo hurtigere bliver et regneark forældet.
- Tjek, hvor data ligger. Hvor mange års mails, delte drev og OneDrive-mapper har I? Personoplysninger ligger også der, uden for jeres systemer.
- Tjek DPO-pligt og følsomme oplysninger. Er I en offentlig myndighed, eller behandler I særlige kategorier i stort omfang, skal I have en DPO.
Er svaret “få” på de fleste punkter, er skabeloner og en fast plan sandsynligvis nok. Er svaret “mange” på punkt 4, er det dér, I bør starte.
Start med det, I ikke ved
De fleste virksomheder starter med dokumentation, fordi det er det, revisor og Datatilsynet spørger efter. Men en fortegnelse er kun så god som jeres viden om, hvor data ligger. Ved I ikke det, bygger dokumentationen på antagelser.
Hos Frøslev Træ har DataMapper scannet 268.800 filer. Se kundehistorierne.
Vil du have hjælp til at behandle persondata?
I vores nyhedsbrev du får tips og tricks til hvordan du lettere kan håndtere GDPR fra vores grundlægger Sebastian Allerelli.
Når du tilmelder dig vores nyhedsbrev, får du samtidig en gratis licens for én bruger til ShareSimple, som giver dig en e-mail i Outlook. Dette særlige tilbud er kun for nye kunder, med en grænse på én licens pr. virksomhed.
Spørgsmål I bør stille leverandøren
- Hvor kigger værktøjet? Outlook, OneDrive, SharePoint, Teams, lokale drev? Eller kun de systemer, I selv registrerer?
- Hvor præcis er klassificeringen? Mange falske fund betyder, at ingen gider kigge på dem. Spørg efter præcision og hvordan den er målt.
- Hjælper det med at handle? At finde 100.000 fund uden en vej til oprydning skaber bare en længere to-do-liste.
- Passer det til jeres Microsoft-licens? Nogle funktioner i Microsoft Purview kræver E5. Tjek, hvad I allerede har, før I køber mere.
- Hvor ligger data, og hvem er databehandler? Værktøjet behandler selv personoplysninger, så det skal leve op til de samme krav.
- Kan det vokse med jer? Starter I med ét behov, fx discovery, så tjek om samme platform dækker træning, sikker deling og indberetning senere.
- Hvad koster det reelt? Pris pr. bruger, opsætning, og hvor meget intern tid det kræver at drive.
Hvad GDPR-software ikke løser
- Den juridiske vurdering. Et værktøj kan foreslå et behandlingsgrundlag, men det er jer, der står inde for det.
- DPO-pligten. Er I forpligtet til at have en DPO, gælder det stadig.
- Ejerskab. Et register er kun opdateret, hvis nogen har ansvaret for det.
- Oprydningen af sig selv. Et discovery-værktøj finder data og gør det nemt at slette, men medarbejderne skal stadig tage stilling til deres egne filer.
- Kravene til leverandøren. Værktøjet behandler selv personoplysninger, så I skal have en databehandleraftale med leverandøren og vide, hvor data ligger.
Safe Online: GDPR-software, der starter med jeres data
Safe Online starter der, hvor de fleste andre værktøjer stopper: med de data, I faktisk har. DataMapper finder dem i Microsoft 365, og ShareSimple og MailGuardian virker direkte i Outlook. E-learning og Whistleblower kan I bruge, uanset hvilke systemer I har.
| Modul | Type | Hvad det gør |
|---|---|---|
| DataMapper | Discovery og klassificering | Finder personoplysninger i Outlook, OneDrive, SharePoint og drev, og hjælper medarbejderne med at rydde op |
| GDPR-risikorapport | Risiko | Risikoscore og prioriterede anbefalinger fra en scanning |
| E-learning | Træning | GDPR-kurser, også bygget på jeres egne fund |
| ShareSimple | Sikker deling | Sikker mail direkte i Outlook |
| MailGuardian | Forebyggelse | Advarer, før en mail med følsomme data sendes |
| Whistleblower | Indberetning | Lovpligtig, anonym whistleblowerordning |
Priser
- GDPR-risikorapport: fra 6.800 kr. Fx op til 100 mailkonti og 2 TB data for 8.450 kr.
- MailGuardian: 49 kr. pr. bruger pr. måned ekskl. moms.
- ShareSimple og E-læring: 14 dages gratis prøve.
- DataMapper og Whistleblower: kontakt os for en pris.
Safe Online har D-mærket, Danmarks mærkningsordning for IT-sikkerhed og ansvarlig brug af data.
Hos SOFACOMPANY gav DataMapper 117.600 følsomme fund.
“Et simpelt værktøj, der forebygger GDPR-problemer. DataMapper er let at forstå og bruge for alle.”
Dennis Malmgren, Head of IT, SOFACOMPANY
Start med at se, hvad der ligger i jeres Microsoft 365.
FAQ om GDPR-software
Hvad er GDPR-software?
Systemer, der hjælper med at overholde GDPR: dokumentation, data discovery, samtykke, risikostyring og træning. De fleste virksomheder bruger flere typer.
Er det et lovkrav at bruge GDPR-software?
Nej. GDPR kræver, at I kan påvise, at I overholder reglerne (artikel 5, stk. 2), og at fortegnelsen foreligger skriftligt, herunder elektronisk (artikel 30, stk. 3). Hvordan I gør det, bestemmer I selv.
Har vi brug for GDPR-software, eller kan vi klare det i Excel?
Dokumentation kan klares i regneark i en mindre virksomhed. At finde personoplysninger i tusindvis af mails og filer kan ikke gøres manuelt.
Hvad koster GDPR-software?
Fra få hundrede kroner om måneden for enkle moduler til større årlige beløb for platforme til hele organisationen. Prisen afhænger typisk af antal brugere og datamængde.
Skal virksomheder under 250 ansatte føre en fortegnelse?
Som udgangspunkt nej, men undtagelsen bortfalder, hvis behandlingen ikke er lejlighedsvis, sandsynligvis medfører en risiko, eller omfatter følsomme oplysninger eller straffedomme (artikel 30, stk. 5). Har I ansatte, gælder det typisk for personaleadministrationen.
Kan GDPR-software erstatte en DPO?
Nej. Er I forpligtet til at have en databeskyttelsesrådgiver efter artikel 37, skal I stadig have en. Software kan gøre DPO’ens arbejde lettere.
Skal vi have en databehandleraftale med vores GDPR-leverandør?
Ja, hvis leverandøren behandler personoplysninger på jeres vegne. Det kræver en kontrakt efter artikel 28, stk. 3.
Hvad er forskellen på et dokumentationsværktøj og et discovery-værktøj?
Et dokumentationsværktøj beskriver, hvordan I behandler data: fortegnelse, aftaler og politikker. Et discovery-værktøj som DataMapper finder de personoplysninger, der faktisk ligger i mails og filer. De fleste virksomheder har brug for begge dele.
Hvor lang tid tager det at komme i gang?
Med DataMapper tager opsætningen cirka 30 minutter, og vores Customer Success-team hjælper jeres Microsoft-administrator. Dokumentationsværktøjer tager typisk længere, fordi fortegnelsen skal udfyldes første gang.
Er Microsoft Purview GDPR-software?
Purview kan dække dele af GDPR-arbejdet, især beskyttelse og mærkning af data, men mange funktioner kræver E5. Se sammenligningen med DataMapper.
Læs mere
Sebastian Allerelli
Grundlægger & COO hos Safe Online
Sebastian er medstifter og COO i Safe Online, hvor han fokuserer på at automatisere processer og udvikle innovative løsninger inden for databeskyttelse og compliance. Med en baggrund fra Copenhagen Business Academy og erfaring inden for identitets- og adgangsstyring har han en skarp forståelse for GDPR og datasikkerhed. Som forfatter på Safe Online's Videnshub deler Sebastian sin ekspertise gennem praktiske råd og dybdegående analyser, der hjælper virksomheder med at navigere i det komplekse GDPR-landskab. Hans indlæg kombinerer teknisk indsigt med forretningsforståelse og giver konkrete løsninger til effektiv compliance.
