Fejl, aftalevilkår og officielle kilder
GDPR og ERP-systemet: databehandleraftale, dataplacering og sletning
GDPR ved valg af ERP: databehandleraftale efter artikel 28, underdatabehandlere, data uden for EU/EØS, CPR-numre og bogføringens 5 år.
Når du lægger kunde-, leverandør- og medarbejderdata i et cloud-ERP, er din virksomhed dataansvarlig, og leverandøren er databehandler. Det kræver en databehandleraftale efter databeskyttelsesforordningens (GDPR) artikel 28, som blandt andet beskriver, hvad leverandøren må gøre med data, hvilke underdatabehandlere der bruges, hvilke sikkerhedsforanstaltninger der er, og hvad der sker med data ved ophør. Du skal også vide, hvor data opbevares, og om de overføres til lande uden for EU/EØS – i så fald skal der være et gyldigt overførselsgrundlag. Datatilsynet har vejledninger og en standardskabelon til databehandleraftaler. De fleste ERP-leverandører har deres egen aftale, som indgår i vilkårene; din opgave er at læse den og sikre, at den passer til jeres brug.
Guiden hører under typiske fejl og officielle kilder. Generel information, ikke juridisk rådgivning. Se også aftalevilkår og dataeksport og NIS2 og it-sikkerhed.
Hvilke personoplysninger ligger i et ERP?
| Datatype | Eksempler | Særlige hensyn |
|---|---|---|
| Kunder (personer) | Navn, adresse, e-mail, købshistorik | Markedsføringsregler, sletning |
| Kontaktpersoner hos erhvervskunder | Navn, titel, telefon | Også personoplysninger |
| Enkeltmandsvirksomheder | CVR knyttet til en person | Kan være personoplysninger |
| Medarbejdere | Løn, CPR-nummer, kontonummer, pension, fravær | CPR-numre og helbredsoplysninger kræver ekstra omhu |
| Leverandører (personer) | Navn, bankoplysninger | |
| Logdata | Brugeraktivitet i systemet | Adgangsstyring |
Løndata er de mest følsomme i et ERP. Kører lønnen i et separat system, er det typisk også en separat databehandler. Se løn i ERP og eIndkomst.
Hvad skal databehandleraftalen indeholde?
Efter GDPR artikel 28 skal aftalen blandt andet fastlægge:
- Genstand, varighed, art og formål med behandlingen.
- Typer af personoplysninger og kategorier af registrerede.
- At databehandleren kun handler efter dokumenteret instruks.
- Fortrolighed for de personer, der behandler data.
- Sikkerhedsforanstaltninger (artikel 32).
- Regler for brug af underdatabehandlere – med forudgående godkendelse eller varsel.
- Bistand ved de registreredes rettigheder og ved sikkerhedsbrud.
- Sletning eller tilbagelevering ved ophør.
- Adgang til dokumentation og revision, fx revisionserklæringer.
Datatilsynets standardskabelon kan bruges som tjekliste, også når du underskriver leverandørens egen aftale.
Hvor ligger data?
Spørg leverandøren:
- I hvilke lande ligger datacentrene, og hvor ligger backup?
- Hvilke underdatabehandlere har adgang (hosting, support, e-mail, AI-funktioner)?
- Sker der support fra lande uden for EU/EØS?
- Hvilket overførselsgrundlag bruges ved overførsel til tredjelande – fx en afgørelse om tilstrækkeligt beskyttelsesniveau eller EU-Kommissionens standardkontraktbestemmelser?
Overførsel til USA kan ske til virksomheder, der er certificeret under EU-US Data Privacy Framework, eller på andet gyldigt grundlag. Reglerne har ændret sig flere gange i de senere år, så tjek Datatilsynets aktuelle vejledning.
Bogføringsloven vs. sletning efter GDPR
GDPR kræver, at personoplysninger ikke opbevares længere end nødvendigt. Bogføringsloven kræver, at regnskabsmateriale opbevares i 5 år fra udgangen af regnskabsåret. Det er ikke i modstrid: den lovpligtige opbevaring er et lovligt grundlag for at gemme bilag og posteringer. Men data, der ikke er regnskabsmateriale – fx marketingoplysninger eller gamle kontaktpersoner – skal slettes efter jeres egne slettefrister.
Tjek i ERP-systemet:
- Kan kunder og kontaktpersoner anonymiseres uden at ødelægge posteringer?
- Kan der sættes slettefrister for bestemte datatyper?
- Kan I trække en oversigt over data om en bestemt person (indsigtsret)?
Illustrativt eksempel: omkostningen ved at gøre det rigtigt
En virksomhed med 20 ansatte vælger nyt ERP. GDPR-arbejdet består af:
| Opgave | Tid (illustrativt) |
|---|---|
| Læse og godkende databehandleraftale og underdatabehandlerliste | 4 timer |
| Opdatere fortegnelse over behandlingsaktiviteter | 3 timer |
| Opsætte roller og rettigheder (hvem ser løn?) | 4 timer |
| Fastlægge slettefrister i systemet | 3 timer |
| I alt | 14 timer |
Med en intern timeomkostning på 400 kr. er det 5.600 kr. – lidt i forhold til projektet, men det glemmes ofte. Ved behov for ekstern hjælp, fx 6 timer à 1.500 kr. = 9.000 kr. Læg beløbet i TCO-beregningen.
Typiske fejl
- Ingen har læst databehandleraftalen – den er bare "accepteret" i vilkårene.
- Alle brugere kan se løn og CPR-numre.
- Data fra det gamle system ligger hos den tidligere leverandør uden aftale.
- AI- eller analysefunktioner aktiveres uden at tjekke, om data sendes til nye underdatabehandlere.
- Ingen plan for sikkerhedsbrud. Et brud skal som hovedregel anmeldes til Datatilsynet inden for 72 timer efter, at I er blevet opmærksomme på det.
AI- og analysefunktioner i ERP
Flere ERP- og økonomisystemer tilbyder nu funktioner, der bruger kunstig intelligens – fx automatisk kontering, tolkning af bilag, prognoser eller chat-assistenter. Før I slår dem til, bør I tjekke:
- Sendes data til en ny underdatabehandler eller til et land uden for EU/EØS?
- Bruges jeres data til at træne leverandørens modeller, og kan det fravælges?
- Er funktionen omfattet af den eksisterende databehandleraftale, eller kræver den et tillæg?
- Hvem har ansvaret, hvis en automatisk kontering er forkert? I er stadig ansvarlige for bogføringen.
Funktionerne kan spare tid, men bør behandles som en ændring af behandlingen af personoplysninger. Notér beslutningen i jeres fortegnelse over behandlingsaktiviteter.
Indsigt og sletning i praksis
Når en person beder om indsigt, skal I kunne finde personens oplysninger i ERP-systemet – kundekort, kontaktpersoner, ordrer og korrespondance. Test, hvor let det er, før I vælger system. Ved sletning skal I skelne mellem regnskabsmateriale, der skal gemmes i 5 år, og øvrige oplysninger, der kan slettes eller anonymiseres.
Ofte stillede spørgsmål
Skal jeg have en databehandleraftale med min revisor?
Det afhænger af rollen. Revisorer optræder ofte som selvstændigt dataansvarlige, når de udfører revision; en bogholder, der behandler data efter jeres instruks, er typisk databehandler. Se Datatilsynets vejledning.
Hvad hvis leverandøren skifter underdatabehandler?
Aftalen skal give jer besked på forhånd og mulighed for at gøre indsigelse. Hold øje med varsler fra leverandøren.
Er det ulovligt at bruge et amerikansk ERP?
Nej, men der skal være et gyldigt overførselsgrundlag, og I skal kunne dokumentere det.
Hvem i virksomheden har ansvaret for GDPR i ERP-projektet?
Ledelsen har det overordnede ansvar. Udpeg en person, der godkender databehandleraftalen, rettighederne og slettereglerne som en fast del af projektet.
Kilder
- Datatilsynet – vejledninger, standardskabelon til databehandleraftale, anmeldelse af brud
- Retsinformation – databeskyttelsesloven og bogføringsloven
- Sikker Digital – it-sikkerhed for virksomheder
- Erhvervsstyrelsen – opbevaring af regnskabsmateriale
