Dokumenthåndtering efter GDPR handler om tre spørgsmål: Hvor ligger dokumentet, hvem kan åbne det, og hvornår bliver det slettet? Reglerne gælder for alle dokumenter med personoplysninger, uanset om det er en kontrakt i et HR-system, et regneark på skrivebordet eller en udskrift i en skuffe.
De fleste virksomheder har styr på de store systemer. Problemerne opstår i alt det løse: kopien, der blev gemt lokalt “for en sikkerheds skyld”, den vedhæftede fil i en gammel mailtråd, mappen fra et projekt, der sluttede for fire år siden. Guiden her følger et dokument fra det bliver til, og til det forsvinder.
Når dokumentet bliver til
Det første valg træffes, før noget er gemt: Hvilke oplysninger skal overhovedet med? Princippet om dataminimering i GDPR’s artikel 5 siger, at I kun må behandle de oplysninger, der er nødvendige for formålet.
I praksis betyder det:
- Lav ikke et regneark med CPR-numre, hvis medarbejdernummeret er nok.
- Kopiér ikke hele kundelisten over i et nyt dokument, når I kun skal bruge fem navne.
- Skriv ikke vurderinger af personer i fritekstfelter og mødenoter, medmindre det er nødvendigt og sagligt. Den person, noteringen handler om, kan bede om indsigt og få den at se.
Hvor dokumentet skal ligge
Brug de systemer, virksomheden har valgt til formålet. Det lyder banalt, men det er her, de fleste afvigelser opstår.
Skrivebordet, mappen “Overførsler” og private cloud-tjenester er de typiske skjulesteder. Filer dér er ikke omfattet af virksomhedens backup, adgangsstyring eller sletterutiner, og ingen andre ved, at de findes. Når en kunde eller tidligere medarbejder beder om indsigt i eller sletning af sine oplysninger, kan virksomheden ikke opfylde det, hvis halvdelen ligger på lokale drev.
En enkel regel for medarbejderne: gem ét sted, og link til dokumentet frem for at lave kopier.
Navngivning hjælper også. En fil, der hedder “Ansøgninger_marketingkoordinator_2026”, kan findes og slettes, når fristen udløber. En fil, der hedder “Samlet_v3_FINAL”, bliver liggende.
Hvem der må se det
Adgang skal følge arbejdsopgaven. At man er ansat i virksomheden, giver ikke i sig selv ret til at se kollegers sygefravær eller kunders økonomi.
For medarbejderne betyder det to ting. De skal dele med navngivne personer frem for med “alle i organisationen” eller “alle med linket”. Og de skal lade være med at åbne dokumenter, de ikke har et arbejdsmæssigt behov for at se, også selvom systemet tillader det. Opslag uden arbejdsmæssig grund er en overtrædelse, som den enkelte medarbejder selv kan blive draget til ansvar for, og Datatilsynet har en særskilt bødevejledning for fysiske personer.
Når dokumentet skal deles
Deling er det punkt, hvor flest ting går galt. Ifølge Datatilsynets vejledning om de 10 typiske brud handler størstedelen af de anmeldte brud på persondatasikkerheden om oplysninger, der utilsigtet er delt med forkerte modtagere.
Tre vaner fjerner det meste af risikoen:
Del et link frem for en fil. Et link kan trækkes tilbage, og adgangen kan ændres. En vedhæftet fil er ude af jeres hænder, så snart mailen er sendt.
Tjek modtager og indhold. Åbn den vedhæftede fil, før I sender. Er det den rigtige version? Er der skjulte faner eller kolonner i regnearket med oplysninger, modtageren ikke skal have?
Brug sikker forsendelse til fortrolige og følsomme oplysninger. CPR-numre, helbredsoplysninger og lignende må ikke sendes i en almindelig, ukrypteret mail. Brug den løsning, virksomheden har valgt, for eksempel sikker mail eller en portal. Vi går mere i dybden med det i artiklen om, hvad medarbejderne må skrive og sende på e-mail efter GDPR.
Deler I med en ekstern leverandør, som skal behandle oplysningerne for jer, skal der være en databehandleraftale. Er I i tvivl om, hvorvidt der er en, så spørg, før I sender.
Hvornår dokumentet skal slettes
Personoplysninger må kun opbevares, så længe der er et formål med dem. GDPR fastsætter ikke selv fristerne, så virksomheden skal beslutte dem og kunne begrunde dem. Nogle følger af anden lovgivning, og andre af praksis:
| Dokumenttype | Typisk frist | Baggrund |
|---|---|---|
| Regnskabsmateriale | 5 år efter regnskabsårets udløb | Bogføringsloven |
| Ansøgninger fra kandidater, der ikke blev ansat | Ofte 6 måneder | Almindelig praksis. Datatilsynet har accepteret op til 3 år, når virksomheden kan begrunde behovet |
| Personalesager efter fratræden | Ofte 5 år | Almindelig praksis med henvisning til den femårige forældelsesfrist for krav fra ansættelsesforhold |
| Kundeoplysninger uden aktivt kundeforhold | Fastsættes af virksomheden | Skal kunne begrundes i formålet |
Fristerne i tabellen er vejledende. Jeres egne skal stå i virksomhedens slettepolitik.
At sletning bliver taget alvorligt, viser en dom fra 2025. Landsretten idømte i september 2025 en dansk detailkæde en bøde på 1,5 mio. kr. for at have opbevaret oplysninger om tidligere kunder i et ældre it-system, længere end der var grundlag for. Dansk Erhverv har lavet en gennemgang af dommen.
For medarbejderne handler sletning mest om de steder, de automatiske rutiner ikke når: indbakken, mappen med overførte filer, skrivebordet, papirkurven og noter i telefonen. En fast oprydning et par gange om året, gerne som fælles opgave i afdelingen, er den mest realistiske løsning.
Papir tæller også
Udskrifter med personoplysninger er omfattet af de samme regler. Hent dem ved printeren med det samme, lad dem ikke ligge på skrivebordet natten over, og brug makulatoren eller den aflåste container. Papir i den almindelige papirkurv er ikke slettet.
Hvad med kravet om dokumentation?
Søger man på dokumentation og GDPR, er det ofte et andet krav, man leder efter. Ansvarlighedsprincippet i artikel 5, stk. 2, betyder, at virksomheden skal kunne påvise, at den overholder reglerne. Det sker blandt andet gennem fortegnelsen over behandlingsaktiviteter, risikovurderinger, databehandleraftaler og dokumentation for, at medarbejderne er trænet.
De to ting hænger sammen. Uden klare regler for, hvor dokumenter ligger, og hvornår de slettes, kan fortegnelsen ikke passe med virkeligheden.
Fra retningslinje til vane
En dokumentpolitik på ti sider bliver sjældent læst. Medarbejderne har brug for at se reglerne anvendt på de dokumenter, de selv arbejder med: sagsbehandlerens journal, sælgerens tilbud, HR-partnerens personalesag.
Det er udgangspunktet for vores GDPR træning. Indholdet er udviklet i samarbejde med specialister i databeskyttelsesret, og scenarierne kan tilpasses jeres egen hverdag, så medarbejderne øver sig på situationer, de kender. I casen fra EDC kan I se, hvordan kurset blev lavet i flere versioner til medarbejdere med forskellige roller og vidensniveauer. Læs også vores overblik over GDPR-regler for medarbejdere.
