GDPR i praksis: de 10 største fejl virksomheder stadig begår

Mange danske virksomheder oplever, at GDPR ikke er et projekt, man kan krydse af på en tjekliste. Det er en driftsopgave, der kræver styring, dokumentation og løbende vedligehold. Alligevel ser vi de samme faldgruber gå igen, uanset branche og størrelse. Heldigvis er de fleste fejl både genkendelige og relativt hurtige at rette, når man ved, hvor man skal begynde.

Hos Advokatfirmaet Askeland i Roskilde bistår vi virksomheder på Sjælland og i resten af landet med at få styr på fundamentet. Erfaringen er klar: Et par målrettede greb løfter både sikkerheden, compliance-niveauet og arbejdsgangene i hverdagen.

Hvorfor opstår fejlene?

Tre årsager går især igen. For det første manglende overblik over dataflow: Hvor kommer oplysningerne fra, hvem ser dem, hvornår slettes de. Uden kortlægning og risikovurdering bliver alt andet reaktiv brandslukning.

For det andet et hul mellem jura og teknik. Politikdokumenter findes, men systemer og leverandører følger ikke med. Her knækker filmen typisk ved samtykkeopsætninger, databehandleraftaler og adgangsstyring.

For det tredje kultur og træning. Medarbejdere, der ikke er klædt på, laver fejl. Ikke af ond vilje, men fordi gråzoner er svære at navigere i, når retningslinjer er uklare.

De mest udbredte fejl i et overblik

Der er mønstre i fejlene. Nedenfor har vi samlet de typiske med korte indikatorer og konsekvens.

Særligt samtykke, opbevaringsfrister, databehandlerrelationer og dokumentation går igen i afgørelser og tilsynsrapporter. Det er helt grundlæggende krav, og samtidig de mest effektive at få styr på først.

Praktiske skridt der virker fra dag ét

Overblikket kommer før alt andet. Lav en koncentreret gap-analyse: Hvilke behandlinger foregår hvor, med hvilken hjemmel, og hvem er involveret. Start i de forretningskritiske systemer og i kontaktfladerne mod kunder og medarbejdere.

Når de vigtigste risici er identificeret, er det tid til at lukke hullerne. Det kræver beslutninger om sletning, justering af samtykkeopsætninger, aftaleopdateringer og simple tekniske tiltag.

• Fortegnelser (art. 30): Opbyg et opdateret register med formål, hjemmel, kategorier, modtagere og slettefrister.
• Risikovurdering og DPIA: Gennemfør vurderinger for behandlinger med høj risiko, og dokumentér beslutninger og rest-risici.
• Samtykke: Skift til aktive valg, giv reelle fravalg, og gem revisionsspor for accept.
• Opbevaringspolitik: Indfør frister pr. datakategori, automatiser sletning hvor muligt.
• Databehandleraftaler: Opdater til gældende krav og planlæg løbende tilsyn med leverandører.

Det er ofte i denne fase, at virksomheden oplever en synlig gevinst: Mindre støj i kundedialogen, færre fejl i processer og markant bedre dokumentation.

Styring og kultur: gør GDPR driftsmodent

Compliance bliver først robust, når ledelsen sætter rammerne og følger op. En udpeget ansvarlig eller DPO sikrer fremdrift, men uden mandat og opbakning falder opgaven ned mellem to stole.

Træning er ikke et kursus én gang om året. Den fungerer, når den er målrettet og knyttet til hverdagsopgaver: salg, kundeservice, HR, IT. Korte, gentagne formater virker bedst.

Hav også tydelige kontaktpunkter for brud og tvivl. Jo nemmere medarbejdere kan reagere, desto lavere bliver konsekvensen, når noget glipper.

Rettigheder: tempo, kvalitet og sporbarhed

Indsigts- og sletningsanmodninger er en lakmustest. Her mærker kunden, om virksomheden har styr på sine data og processer. Det kræver både systemadgang og klare roller.

En effektiv løsning kombinerer standardiserede svarskabeloner, central registrering af anmodninger og tekniske værktøjer, der kan trække data på tværs af systemer. Læg dertil en kalenderstyring af frister, så 30-dages deadline altid overholdes.

Det behøver ikke være komplekst. Ofte kan eksisterende sagsstyring eller helpdesk-systemer tilpasses, og en simpel manual beskriver, hvem der gør hvad på dag 1, 7 og 25.

Databehandleraftaler og leverandørtilsyn i virkeligheden

Mange tror, at en underskrevet standardaftale er nok. Det er det ikke. Den dataansvarlige skal føre tilsyn og kunne vise, at leverandøren faktisk lever op til de aftalte sikkerhedsforanstaltninger.

Start med at få overblik over alle leverandørforhold, hvor persondata indgår. Identificér, om de er databehandlere, fælles dataansvarlige eller selvstændigt dataansvarlige, og handl derefter. Fejlklassifikationer er en klassiker, der sidenhen skaber rod.

Tilsyn behøver ikke være et årligt on-site audit. En kombination af selvevaluering, sikkerhedscertificeringer, stikprøver og kontraktlige forpligtelser om underretning ved brud bringer jer langt. Sæt det på årsplanen og kræv opdaterede rapporter.

Teknisk sikkerhed uden store investeringer

Teknikken skal matche risikoen. Ofte er de største gevinster billige: kryptering på bærbare enheder, totrinslogin og oprydning i adgangsrettigheder. På samme tid mindsker I mængden af data, der kan gå galt.

Start med netværksdrev og delte mapper. Brede læse-rettigheder skaber unødvendig eksponering. Indfør least privilege, og registrér ændringer. Kombinér det med logning, så I kan dokumentere, hvem der har set hvad og hvornår.

E-mails er et særligt sårbart punkt. Autocomplete og vedhæftninger er hyppige fejlårsager. Brug advarsler ved eksterne modtagere og dataklassifikation, der kræver ekstra bekræftelse, når følsomme oplysninger sendes ud.

Efter en kort analyse kan I typisk gennemføre en håndfuld tiltag med tydelig effekt:

• Kryptering af bærbare og mobile enheder
• MFA på alle eksterne adgange
• Adgangsbegrænsning pr. rolle
• Standardiseret slettejob i centrale systemer
• Advarsler i e-mailklienten ved eksterne domæner

Hvad vi ser hos virksomheder på Sjælland

Hos små og mellemstore virksomheder er udfordringen ofte ressourcer og fokus. GDPR ses som en ekstraopgave, og opgaven havner typisk mellem HR, IT og administration. Resultatet er utydelige roller og uens praksis.

Når vi hjælper med at etablere en enkel governance-model med klare ansvarsområder, ændrer billedet sig hurtigt. Et simpelt sæt SOP’er, et fortegnelsesværktøj og en kvartalsvis status til ledelsen skaber momentum.

Vi ser også, at virksomheder, der aktivt bruger Datatilsynets skabeloner og tjeklister, kommer hurtigere i mål. Det sparer tid, øger kvaliteten og gør det lettere at dokumentere arbejdet over for tilsynet og bestyrelsen.

90 dage: en realistisk plan for fremdrift

En tidsafgrænset plan gør det overskueligt at komme i gang og fastholde retningen. Begynd med de største risici og de tydeligste quick wins.

• Uge 1–2: Kortlægning og prioritering: Fortegnelser, datakilder, systemer, hjemler, slettefrister. Identificér behandlinger med høj risiko og beslut, hvor DPIA er nødvendig.
• Uge 3–5: Teknik og samtykke: Implementér kryptering, MFA og rettighedsoprydning. Opdater cookie- og marketing-samtykke med aktive valg og logging.
• Uge 6–7: Aftaler og leverandører: Korrekt rollefordeling, opdaterede databehandleraftaler, plan for tilsyn og rapportering.
• Uge 8–9: Rettigheder og brud: Indfør sagsflow for indsigt/sletning, frister og skabeloner. Etabler brudproces med kontaktpunkter og eskalation.
• Uge 10–12: Træning og ledelsesforankring: Målrettet træning pr. funktion, kvartalsrapport til ledelsen og plan for løbende audit.

Efter 90 dage bør fundamentet være på plads, og arbejdet glider ind i den normale driftsrytme.

Dokumentation: det mest oversete konkurrenceparameter

Dokumentation lyder tørt, men effekten er konkret. Når kundens samtykke, slettefrister og behandlingsgrundlag kan vises på få minutter, øger det tilliden og reducerer sagsbehandlingstiden ved anmodninger og interne kontroller.

Opret en let tilgængelig “privacy-kilde” i virksomheden. Her ligger fortegnelser, politikker, DPIA’er, brudjournal og træningsbeviser. Det giver ro, når tilsyn eller due diligence banker på døren.

Det er også nøglen til at holde tempoet, når virksomheden udvikler nye produkter, lancerer kampagner eller skifter leverandør.

Markedsføring, cookies og nyhedsbreve

Området, hvor vi ofte ser flest fejl, er digitale brugerrejser. Samtykkemekanismer skal være frivillige, specifikke og informeret. Et alt-eller-intet-cookiebanner eller forudafkrydsede felter giver ikke et gyldigt samtykke.

Husk at adskille samtykker: ét til cookies, ét til nyhedsbrev, ét til profilering. Gør det let at ændre mening, og registrér ændringerne. På den måde bevares kvaliteten i jeres data, og I undgår spild i marketingindsatsen.

Vælg en samtykkeplatform, der passer til jeres setup, og integrér den med CRM og marketing automation, så sporbarheden er på plads.

Når uheldet er ude

Selv stærke organisationer oplever brud. Forskellen ligger i reaktionen. En klar proces for vurdering, anmeldelse og kommunikation gør forskellen mellem en hændelse, der håndteres, og en sag, der vokser.

Gennemfør øvelser. Det afslører hurtigt, hvor kæden hopper af, og hvor dokumentationen halter. Hellere en udramatisk generalprøve end en kaotisk premiere.

Hvordan vi hjælper

Advokatfirmaet Askeland fungerer som strategisk juridisk partner. Vi kombinerer jura og kommerciel forståelse, så løsningerne passer til jeres forretning og omkostningsniveau. Det gælder både den akutte oprydning, den langsigtede governance og uddannelse af medarbejdere.

Vi tilbyder blandt andet kortlægningsforløb, review af samtykke- og aftalegrundlag, etablering af brudprocedurer samt forankring med skabeloner, tjeklister og træning. Når ønsket, inddrager vi digitale værktøjer til fortegnelser, samtykkestyring og DPIA.

Vil I have styr på det grundlæggende og samtidig gøre dagligdagen lettere, så tager vi gerne en uforpligtende snak. Et solidt GDPR-fundament giver ikke bare lavere risiko, men også klarere processer, renere data og bedre kundedialog. Det kan mærkes på bundlinjen.