En fortegnelse over behandlingsaktiviteter er grundlæggende et internt dokument, som skaber overblik over virksomhedens behandling af personoplysninger, f.eks. overvejelser om, hvilke oplysninger man kan behandle, håndtering af indsigtsbegæringer og anmeldelser af brud på persondatasikkerheden.

Kravet for virksomheder om at føre en fortegnelse skal ses som en forlængelse af databeskyttelsesforordningens øgede fokus på ansvarlighed, hvor den dataansvarlige – og i visse tilfælde databehandleren – skal kunne påvise, at virksomheden lever op til reglerne i databeskyttelsesforordningen.

Kravet om at føre en fortegnelse gælder for alle virksomheder. Virksomheder der beskæftiger under 250 personer, kan som udgangspunkt undtages fra fortegnelseskravet medmindre:

• Den behandling, som virksomheden foretager, sandsynligvis vil medføre en risiko for de registreredes rettigheder, eller
• Behandlingens af personoplysninger ikke er lejlighedsvis, eller
• Behandlingen af personoplysninger omfatter følsomme personoplysninger, eller oplysninger vedrørende straffe og lovertrædelser (strafbare forhold).

Fortegnelser skal foreligge skriftligt og elektronisk.

I skal som virksomhed have et overblik over jeres behandlingsaktiviteter, herunder:

• Hvilke behandlinger af personoplysninger der foretages samt med hvilket formål.
• Hvem der er dataansvarlig og databehandler for behandlingen.
• Hvem der behandles personoplysninger om.
• Hvilke typer af personoplysninger, der behandles.
• Hvem der videregives personoplysninger til.
• Hvornår personoplysningerne bliver slettet.
• Hvilke sikkerhedsforanstaltninger der er truffet for at imødegå de risici, der er forbundet med behandlingen af personoplysninger.