Compliancekrav i danske virksomheder: hvordan overblikket holdes

Overblik over compliancekrav er en løbende ledelsesopgave

Reglerne ligger i flere lag. Databeskyttelsesforordningen (forordning (EU) 2016/679) trådte i kraft 25. maj 2018 og gælder umiddelbart i dansk ret. Den suppleres af databeskyttelsesloven (lov nr. 502 af 23. maj 2018), som udnytter forordningens nationale råderum.

En dansk virksomhed kan derfor ikke nøjes med at læse forordningen. Danske særregler om personnumre i lovens § 11, aldersgrænsen på 13 år for børns samtykke til informationssamfundstjenester og sektorregler i sundhedsloven, retsplejeloven og bogføringsloven lægger sig ovenpå.

Håndhævelsen i Danmark har en særlig konstruktion, som ledelsen skal kende. Datatilsynet kan ikke selv udstede bøder. Myndigheden afgiver en indstilling til bøde og indgiver en politianmeldelse; derefter afgør anklagemyndigheden og domstolene, om og hvor stor en bøde der skal falde.

En overtrædelse afsluttes altså ikke med en myndighedsafgørelse alene, men kan ende som en straffesag. Et projekt med en slutdato er ikke nok. Compliance er løbende arbejde: Virksomheden skal altid have styr på processer og efterleve de regulativer, der gælder netop nu. Kravene afhænger af den enkelte virksomhed eller organisation.

Bøder uddeles stadig og i stigende grad til dem, der ikke beskytter interne og eksterne personoplysninger tilstrækkeligt. Europæiske datatilsyn delte efter opgørelse fra DLA Piper bøder for 7,8 mia. kr. i 2021 alene.

For ledelsen er omkostningen ved manglende overblik todelt. Den ene del er sanktioner og de processer, de sætter i gang. Den anden er, at systemer og databaser ikke er tilpasset, så personers præferencer og lovgivningen skal administreres manuelt — en bøvlet og tidskrævende hæmsko midt i vækstrejsen.

Dertil kommer nye krav løbende. NIS2-direktivet trådte i kraft i Danmark ved lov 1. juli 2025.

Kortlæg de krav, der faktisk gælder for jer

Start med virksomhedens egne behandlinger, og afgør for hver, om I er dataansvarlig eller databehandler. Den dataansvarlige bestemmer formål og midler, mens databehandleren behandler oplysninger på den dataansvarliges vegne. Rollerne skal afklares konkret for hver behandling, fordi de udløser forskellige pligter. De fleste danske SMV'er er dataansvarlige for medarbejder- og kundeoplysninger og samtidig databehandlere for enkelte kunder.

Gennemgå, hvilke persondatatyper I faktisk behandler, og hvilke særregler de udløser. Ved indsamling eller deling af personnumre skal virksomheden særskilt vurdere reglerne om CPR-numre i databeskyttelseslovens § 11.

Private må som udgangspunkt kun behandle CPR-numre, når det følger af lov, den registrerede har givet samtykke, eller det er nødvendigt for entydig identifikation i en berettiget sammenhæng. Behandler I oplysninger om børn i informationssamfundstjenester, er den danske aldersgrænse for samtykke 13 år.

Læg sektorreglerne oveni i stedet for at se dem som en separat opgave. Sundhedsloven, retsplejeloven og bogføringsloven supplerer forordningen med krav om opbevaring eller videregivelse, som den dataansvarlige skal afveje mod databeskyttelsens principper.

Krav om opbevaring i bogføringsloven kan eksempelvis trække i modsat retning af en anmodning om sletning. Den afvejning hører til i jeres egen dokumentation — ikke i et generisk tjeklisteskema.

Tag leverandørkæden med i samme gennemgang. Enhver virksomhed, der bruger eksterne leverandører — hostingudbydere, lønbureauer, e-mailplatforme — skal indgå en databehandleraftale efter artikel 28, der fastlægger leverandørens instruktioner, sikkerhedsforpligtelser og brug af underdatabehandlere. Viser kortlægningen, at I ikke ved, hvor medarbejder- og kundedata ligger, er det den første mangel at lukke, før fortegnelser og politikker giver mening.

Byg en dokumentationsrygrad med behandlingsfortegnelsen i centrum

Den centrale pligt er fortegnelsen over behandlingsaktiviteter efter artikel 30. Den kræver en struktureret fortegnelse over alle behandlinger og deres formål. Den er et naturligt omdrejningspunkt, fordi den tvinger jer til at skrive ned, hvad der ellers kun findes som mundtlig viden hos den enkelte medarbejder.

Før derfor fortegnelsen som et levende register med en ejer og en fast opdateringsrytme — ikke som et dokument, der laves én gang til et møde. Kobl den til de øvrige dokumenter, så den ikke står alene. Databehandleraftalerne efter artikel 28 hører til ved den enkelte leverandør.

Politikker, instrukser og vurderinger bør hænge sammen med de behandlinger, de dækker. Pointen med strukturen er at kunne vise sammenhængen fra en konkret behandling til det retsgrundlag, den bygger på, og til de foranstaltninger og aftaler, der beskytter den.

Vær bevidst om, hvad dokumentationen skal kunne. Compliance er den dokumentation og de processer, der beviser, at kravene er opfyldt — over for myndigheder, kunder og jeres egen ledelse. Det giver tre modtagere med tre behov.

Myndigheden skal kunne se hjemmel og efterlevelse. Kunden skal kunne se, at deres data håndteres forsvarligt hos jer som leverandør eller databehandler. Ledelsen skal kunne se status uden at læse rå jura. Byg fortegnelsen, så den kan besvare alle tre uden at blive genopfundet hver gang.

Afklar roller og ansvar internt

Fordel ansvaret efter behandling og system, ikke efter organisatoriske siloer. IT ejer typisk de tekniske foranstaltninger. Forretningen ejer formålet med behandlingen, og ledelsen ejer prioriteringen og de ressourcer, der følger med.

Uden den kobling opstår de klassiske huller. Forretningen antager, at IT har styr på samtykker. IT antager, at HR har styr på medarbejderoplysninger. Ingen har ansvaret for, at fortegnelsen over behandlingsaktiviteter bliver opdateret, når et nyt system tages i brug.

Skriv eksplicit i jeres interne rollebeskrivelse, at SMV-rollen er dobbelt. En dansk virksomhed er ofte både dataansvarlig for egne medarbejder- og kundeoplysninger og databehandler for enkelte kunder.

Derfor kan samme medarbejder skulle svare på to forskellige sæt pligter afhængigt af kunden eller datasættet. En kundeaftale kan indeholde krav, der rækker ud over, hvad loven kræver af jer selv. Afklar konkret for hver behandling, hvilken rolle I har, og hvem der svarer på henvendelser om netop den behandling.

Sæt en navngiven ejer på hver af de centrale opgaver: fortegnelsen, databehandleraftalerne, proceduren for registreredes rettigheder — herunder anmodninger om at blive glemt — og rapporteringen til ledelsen. Rollerne skal afklares konkret, fordi de udløser forskellige pligter. En opgave uden ejer bliver først opdaget, når myndigheden eller kunden spørger.

Hold styr på leverandører og databehandlere

Leverandøroversigten skal dække de steder, hvor data faktisk ligger. For de fleste danske virksomheder betyder det mindst tre typer: hosting af systemer og hjemmeside, lønbureau, der behandler medarbejderoplysninger, og e-mailplatforme.

Hertil kommer alle øvrige SaaS-værktøjer, hvor der løbende oprettes konti uden om indkøbsprocessen. Spørgsmålet til hver enkelt er, om I har overblik over leverandørens compliance-indsats — ikke blot om der er en underskrift.

Den kontraktuelle rygrad er databehandleraftalen efter artikel 28. Den skal indeholde tre ting, der er værd at føre regnskab med: hvilke instruktioner leverandøren handler efter, hvilke sikkerhedsforpligtelser der gælder, og hvilke underdatabehandlere der må bruges.

Underdatabehandlere er den del, der oftest driver. Et hosting-setup kan have flere lag under sig, og ændringer i leverandørens egen kæde skal kunne spores tilbage til jeres fortegnelse.

Sæt leverandørerne på en fast vurderingscyklus i stedet for at behandle dem som engangsaftaler. Ved fornyelse eller ændret anvendelse bør I vurdere, om aftalen stadig dækker den behandling, I udfører, om der er kommet nye underdatabehandlere til, og om sikkerhedsforpligtelserne svarer til den risiko, dataene udgør.

Leverandører, der leverer dokumentation for deres eget niveau, gør vurderingen lettere. Det kan for eksempel være en hostingpartner, der kan fremvise certifikater og konkrete foranstaltninger og oplyse, at de kan bede om dokumentation til et konkret compliance-krav direkte.

Byg et løbende compliance-hjul

Fastlæg en rytme med faste gentagelser, så overblikket ikke afhænger af, at nogen tilfældigt husker det. Fortegnelsen over behandlingsaktiviteter opdateres ved hver ændring — nyt system, ny leverandør, nyt formål, ændret opbevaringsperiode — og gennemgås samlet med et fast interval.

Databehandleraftaler gennemgås ved fornyelse. Proceduren for registreredes rettigheder testes, så I ved, at en anmodning om at blive glemt faktisk kan efterkommes i jeres it-setup.

Læg de tekniske gentagelser ind i samme kalender. Softwareopdateringer er en del af compliance, fordi en opdateret løsning er forudsætningen for at være beskyttet mod sikkerhedstrusler og cyberangreb. Overvågning gør, at uregelmæssigheder opdages, før de bliver til nedetid og tabt omsætning.

Døgnovervågning og proaktiv reaktion på uregelmæssigheder er efterhånden en standardforventning hos tekniske leverandører. Det bør indgå som et punkt på leverandørvurderingen.

Læg nye regulativer ind som planlagte punkter, ikke som brandslukning. NIS2-direktivet trådte i kraft i Danmark ved lov 1. juli 2025. For organisationer, der er omfattet, skal cybersikkerhed og compliance ses under ét.

Eksterne mærkningsordninger kan bruges som bevis i den sammenhæng. D-mærkecertificeringen dækker konkrete krav til it-sikkerhed og ansvarlig dataanvendelse. Den er opbygget i overensstemmelse med NIS2, så opfyldelse af D-mærkets krav også opfylder NIS2s minimumskrav.

Ledelsesrapporteringen skal være en fast del af hjulet og bygge på de registre, I allerede fører: fortegnelsens status, antallet af leverandører med opdateret aftale, håndterede anmodninger fra registrerede og åbne mangler med ejer og frist. Dermed bliver rapporten et udtræk af det arbejde, der er gjort, frem for en særskilt opgave, der konkurrerer med den daglige drift.

Brug ekstern hjælp og værktøjer uden at afgive overblikket

Der findes efterhånden danske aktører, der kan sætte en betydelig del af arbejdet med compliance management i system og langt hen ad vejen automatisere det. Blandt de nævnte er Openli, ComplyCloud og Safe Online. Openli kan for en relativt begrænset og fast månedlig pris hjælpe med at leve op til persondataforordningen.

Vælg ud fra, hvilke opgaver der reelt fylder hos jer — for eksempel fortegnelse, samtykkehåndtering eller leverandøraftaler. Bed om at se, hvordan værktøjet dokumenterer den behandling, I skal kunne redegøre for.

Ved siden af software findes advokat- og konsulenthuse og specialiserede rådgivere. Valget afhænger af opgavens karakter. Et løbende, standardiseret behov passer typisk til en platform med fast pris; en konkret vurdering, en tvist eller en ny regulering passer til rådgivning.

Markedet er i bevægelse. Den danske B2B SaaS-virksomhed .legal, der leverer GRC-platforme til digital compliance, opkøbte 1. december 2025 selskabet bag GDPR.dk, som blev grundlagt i 2018 og har fungeret som videnscenter med letforståeligt indhold og praktiske guides. Virksomheder på et tidligt stadie har altså både gratis vidensressourcer og platforme, der kan tages i brug senere.

Uanset hvilke værktøjer I tager ind, flytter de ikke ansvaret. Virksomheden er ansvarlig for at have styr på sine processer og efterleve de regulativer, der gælder. Det er virksomheden, der skal kunne svare myndigheder, kunder og sin egen ledelse.

Den praktiske konsekvens er, at I skal kunne trække jeres egen fortegnelse og jeres egne aftaler ud af systemet, hvis leverandøren skifter pris, ophører eller viser sig ikke at dække et krav. I bør aftale, hvordan data leveres tilbage, hvis samarbejdet ophører.

Fra overblik til modenhed: dokumentér, kommunikér og følg op

Gør modenheden målbar med nøgler, der kan trækkes ud af det arbejde, I allerede udfører. Mål andelen af behandlinger i fortegnelsen med en navngiven ejer og et opdateret retsgrundlag. Mål hvor mange leverandører der har en gældende databehandleraftale inklusive underdatabehandlere.

Mål hvor lang tid en anmodning fra en registreret tager at behandle. Mål hvor mange åbne mangler der har overskredet deres frist. Følg nøglerne i ledelsesrapporteringen med samme fasthed som øvrige driftsnøgler, så afvigelser bliver synlige, mens de stadig er små.

Brug eksterne beviser, hvor de findes, fordi de flytter dokumentationen fra eget udsagn til noget efterprøveligt. D-mærkecertificeringen er et eksempel: Den er et eksternt, efterprøveligt bevis for sikkerheds- og complianceniveau og dækker konkrete krav til it-sikkerhed og ansvarlig dataanvendelse.

Fordi den er opbygget i overensstemmelse med NIS2, dækker den samtidig direktivets minimumskrav. Det kan bruges aktivt i kundedialoger og til at begrænse antallet af separate dokumentationsanmodninger.

Kommunikationen skal ske i to retninger. Udadtil over for kunder og samarbejdspartnere, der efterspørger dokumentation. Indadtil over for de medarbejdere, der registrerer nye systemer og behandlinger, så ændringer når fortegnelsen, før de når myndigheden.

Den rækkefølge er hele pointen med overblikket. Når fortegnelse, aftaler, nøgler og rapportering hænger sammen og opdateres efter den faste rytme, kan systemer og databaser holdes tilpasset løbende. Det undgår, at et efterslæb vokser sig til en tidskrævende hæmsko midt i vækstrejsen, eller til en sag, hvor Datatilsynet indstiller en bøde og anmelder forholdet.