“GDPR-audit” er ikke et begreb i databeskyttelsesforordningen, og ordet bruges om mindst fem forskellige opgaver: en juridisk gennemgang af hele behandlingen, en audit af sikkerheden efter artikel 32, den dataansvarliges tilsyn med en databehandler, en revisorerklæring og myndighedens tilsyn. Før I bestiller, skal I vide, hvilken af dem spørgsmålet egentlig handler om.
En sikkerhedsaudit dækker kun den ene af de fem fuldt ud. Den forklarer artiklen også, så I ikke køber den forkerte.
Hvorfor ordet er uklart
Forordningen kræver, at den dataansvarlige kan påvise, at reglerne overholdes (artikel 5, stk. 2, og artikel 24). Den siger ikke, hvordan. Derfor er “GDPR-audit” blevet et salgsord, der dækker alt fra en tjekliste over samtykker til en grundig gennemgang af kryptering og adgangsstyring. To tilbud på en GDPR-audit kan handle om to helt forskellige ting.
De fem betydninger
1. Den juridiske gennemgang. Har I hjemmel til behandlingerne, en fortegnelse efter artikel 30, korrekte oplysninger til de registrerede, styr på slettefrister og på overførsler til lande uden for EU? Det er et spørgsmål om jura og arbejdsgange, og det hører hos en jurist eller en databeskyttelsesrådgiver. En sikkerhedsaudit svarer ikke på det.
2. Audit af sikkerheden efter artikel 32. Er der passende tekniske og organisatoriske foranstaltninger til at beskytte oplysningerne, og afprøves og evalueres de regelmæssigt (artikel 32, stk. 1, litra d)? Det er en sikkerhedsaudit med artikel 32 som kriterium. Den er beskrevet i GDPR artikel 32 og regelmæssig evaluering.
3. Tilsyn med databehandleren. Den dataansvarlige skal kun bruge databehandlere, der giver tilstrækkelige garantier, og databehandleraftalen skal give adgang til revision og inspektion (artikel 28). Når en virksomhed taler om at “auditere” sin leverandør efter GDPR, er det oftest det. Det er emnet for leverandøraudit og databehandlertilsyn.
4. Revisorerklæringen. En revisor kan afgive en erklæring med sikkerhed om, hvordan en virksomhed overholder databeskyttelsesreglerne, typisk efter ISAE 3000. Den er rettet mod en modtager uden for virksomheden, ofte kunderne. Hvornår en erklæring er det rigtige valg frem for en rapport, kan I læse om i erklæring eller auditrapport.
5. Datatilsynets tilsyn. Datatilsynet fører tilsyn med, at reglerne overholdes, og kan bede om oplysninger og træffe afgørelser. Det er ikke en audit, I bestiller. Men en tidligere audit af sikkerheden kan gøre det lettere at svare, fordi materialet allerede er samlet.
Sådan vælger I
- Behandler vi oplysningerne lovligt? · Opgaven: Juridisk gennemgang · Hvem laver den: Jurist eller databeskyttelsesrådgiver
- Er oplysningerne beskyttet godt nok, og virker beskyttelsen? · Opgaven: Audit efter artikel 32 · Hvem laver den: Sikkerhedsauditor
- Lever vores databehandler op til aftalen? · Opgaven: Tilsyn med databehandleren · Hvem laver den: Den dataansvarlige, evt. med hjælp
- Kan vores kunder få en uafhængig erklæring? · Opgaven: ISAE 3000-erklæring · Hvem laver den: Revisor
- Hvad vil myndigheden se? · Opgaven: Forberedelse til tilsyn · Hvem laver den: Egen organisation, evt. med rådgiver
Mange virksomheder har brug for både 1 og 2. De kan godt bestilles samtidig, men det er to fagligheder, og opdraget bør sige, hvem der svarer på hvad.
Det, en audit efter artikel 32 typisk ser på
Artikel 32 er risikobaseret. Foranstaltningerne skal passe til risikoen for de registrerede, og det tekniske niveau, omkostningerne og behandlingens karakter må indgå i vurderingen. En auditor kan derfor ikke måle mod en fast liste, men må først se, om der findes en risikovurdering for behandlingerne, og om den hænger sammen med de valgte foranstaltninger.
Derefter ser auditor på de fire eksempler, bestemmelsen selv nævner: pseudonymisering og kryptering, evnen til at sikre fortrolighed, integritet, tilgængelighed og robusthed, evnen til at genoprette adgangen efter en hændelse og proceduren for regelmæssig afprøvning og evaluering. I praksis betyder det spørgsmål om adgangsstyring, backup og gendannelse, logning, håndtering af brud og leverandørernes rolle.
Det, en sådan audit ikke ser på, er, om behandlingen er lovlig. En virksomhed kan have en udmærket sikkerhed omkring oplysninger, den slet ikke burde have. Det er netop derfor, punkt 1 og punkt 2 er to opgaver.
Når sikkerhedsauditten også skal dække NIS 2
Er virksomheden omfattet af NIS 2-loven, kan artikel 32 og lovens § 6 auditeres i samme gennemgang. Mange kontroller er fælles, men de to regelsæt måler forskellige skader. Fremgangsmåden er beskrevet under én audit til både NIS2 og GDPR.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at den, der bestiller, skriver spørgsmålet ned og vælger kriteriet, før tilbuddene indhentes. For en audit efter artikel 32 skal der også ligge en risikovurdering for behandlingerne, fordi “passende” kun kan vurderes ud fra risikoen.
Bestiller I en “GDPR-audit” uden at sige hvilken, kan I få en juridisk tjekliste, når I ville vide, om sikkerheden holder. Eller omvendt. Rapporten er så korrekt nok, men den svarer på noget, ingen spurgte om.
Det skal I lade være med
- At bestille en “GDPR-audit” uden at nævne artiklen · skriv, om det er hjemmel, sikkerhed eller databehandlere.
- At forvente juridisk rådgivning af en sikkerhedsauditor · lovligheden af behandlingen er et andet fag.
- At kalde en intern tjekliste for en erklæring · kun en revisor afgiver erklæringer med sikkerhed.
Det skal auditten kunne vise
- ☐ Et opdrag, der siger, hvilken betydning af GDPR-audit der er bestilt.
- ☐ Artikel 32 som kriterium og en risikovurdering for behandlingerne.
- ☐ Hvad der bevidst er holdt uden for, fx hjemmel og fortegnelse.
- ☐ Dato for seneste afprøvning og evaluering af sikkerheden.
Kilder
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 5, stk. 2, artikel 24, 28, 30 og 32, https://publications.europa.eu/resource/celex/32016R0679, læst 12. november 2026.
- Datatilsynet, “Behandlingssikkerhed”, https://www.datatilsynet.dk/regler-og-vejledning/behandlingssikkerhed, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Compliance-audit eller sikkerhedsaudit · Sådan bestiller I en sikkerhedsaudit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
