Fejl, skift, kontrakter og officielle kilder
GDPR for løn- og HR-data: databehandleraftale, CPR-numre, adgang og sletning
GDPR for løn- og HR-data: databehandleraftale, CPR-numre, helbredsoplysninger, overførsel uden for EU, sikkerhedsbrud og sletning.
Når løn og personaledata ligger i et lønsystem eller hos et lønbureau, er virksomheden dataansvarlig, og leverandøren er som regel databehandler. Det kræver en databehandleraftale efter GDPR artikel 28, passende sikkerhed (artikel 32) og en plan for sikkerhedsbrud, som skal anmeldes til Datatilsynet uden unødig forsinkelse og om muligt inden for 72 timer (artikel 33). HR-data er særligt følsomme: CPR-numre, helbredsoplysninger fra sygefravær og fagforeningsmedlemskab har strammere regler. Vælg derfor en løsning med rollebaseret adgang, to-faktor-login, log og sletteregler – og tjek, hvor data opbevares.
Guiden hører under lønfejl og officielle kilder. Den er generel information, ikke juridisk rådgivning.
Hvilke HR-data er hvad?
| Data | Kategori | Bemærkning |
|---|---|---|
| Navn, adresse, stilling, løn | Almindelige personoplysninger | Nødvendige for lønudbetaling |
| CPR-nummer | Særlig regel i databeskyttelsesloven § 11 | Må bl.a. behandles, når det følger af lovgivning, fx indberetning til eIndkomst |
| Sygefravær med diagnose eller helbredsoplysninger | Følsomme oplysninger (art. 9) | Registrér kun det nødvendige. Fraværsdage er ofte nok |
| Fagforeningsmedlemskab | Følsomme oplysninger (art. 9) | Kan indgå ved kontingenttræk – begræns adgangen |
| Strafbare forhold (fx straffeattest) | Særlige regler | Kun når der er hjemmel og behov |
| Tidsregistrering | Almindelige personoplysninger | Lovpligtig, men brug kun til formålet |
Databeskyttelsesloven (LBK nr. 289 af 8. marts 2024) supplerer GDPR, bl.a. med regler om behandling i ansættelsesforhold (§ 12) og CPR-numre (§ 11).
Databehandleraftalen – hvad skal den indeholde?
Efter GDPR artikel 28, stk. 3, skal aftalen bl.a. beskrive:
- genstand, varighed, formål, typer af personoplysninger og kategorier af registrerede,
- at leverandøren kun behandler data efter dokumenteret instruks, og at medarbejderne har tavshedspligt,
- de sikkerhedsforanstaltninger, der følger af artikel 32,
- bistand til jer, fx ved indsigtsanmodninger og sikkerhedsbrud,
- sletning eller tilbagelevering af data, når aftalen ophører,
- jeres ret til revision og inspektion,
- regler for underdatabehandlere – med ret til at gøre indsigelse, hvis der er givet generel godkendelse (artikel 28, stk. 2).
Datatilsynet har en standard for databehandleraftaler, som mange leverandører bruger.
Overførsel til lande uden for EU/EØS
Mange HR-platforme bruger underdatabehandlere eller support uden for EU. Overførsel kræver et grundlag efter GDPR kapitel V, fx:
- EU-US Data Privacy Framework (tilstrækkelighedsafgørelse 2023/1795), hvis den amerikanske modtager er certificeret,
- standardkontraktbestemmelser (artikel 46, stk. 2, litra c) med en vurdering af risikoen.
Rammen for USA er udfordret ved EU-Domstolen (sag C-703/25 P, verserende pr. oktober 2026). Tjek Datatilsynets seneste vejledning, og spørg leverandøren, hvad der sker, hvis grundlaget falder bort.
Sikkerhed i lønsystemet
| Krav | Hvorfor |
|---|---|
| To-faktor-login | Lønsystemet giver adgang til kontonumre og løn – et mål for svindel |
| Rollebaseret adgang | Ledere ser kun egne medarbejdere. Kun lønansvarlige ser CPR |
| Log over opslag og ændringer | Kan dokumentere, hvem der har set eller ændret hvad |
| Godkendelse af to ved ændring af kontonumre | Forebygger svindel med lønudbetaling |
| Kryptering og backup | Standard hos seriøse leverandører – spørg efter dokumentation |
| Revisionserklæring (fx ISAE 3000 eller 3402) | Uafhængig kontrol af leverandørens processer |
Sikkerhedsbrud: de første 72 timer
- Stop bruddet og find ud af, hvilke data og hvor mange medarbejdere der er berørt.
- Vurdér risikoen. Er bruddet usandsynligt at indebære en risiko, skal det ikke anmeldes – men det skal dokumenteres internt.
- Anmeld til Datatilsynet uden unødig forsinkelse og om muligt inden for 72 timer, efter at I er blevet bekendt med bruddet. En sen anmeldelse skal begrundes.
- Underret medarbejderne, hvis bruddet sandsynligvis indebærer en høj risiko for dem.
- Leverandøren skal underrette jer uden unødig forsinkelse (artikel 33, stk. 2).
Sletning og opbevaring
GDPR har ingen fast slettefrist for HR-data, men data må ikke opbevares længere end nødvendigt. Andre regler kan kræve opbevaring:
- Bogføringsloven: regnskabsmateriale, herunder lønbilag, i 5 år.
- Arbejdstidsloven: tidsregistreringer i 5 år efter referenceperioden.
- Forældelse: dokumentation, så længe der kan rejses krav.
Lav en sletteplan pr. datatype og sørg for, at systemet kan slette automatisk. Se bogføringsloven og opbevaring og HR-modul og personaledata.
Ofte stillede spørgsmål
Er et lønbureau databehandler eller dataansvarlig?
Som regel databehandler, fordi det behandler data efter jeres instruks. Men det skal vurderes konkret – især hvis bureauet også bruger data til egne formål.
Må vi registrere årsagen til sygefravær?
Som udgangspunkt er det fraværet, ikke diagnosen, der er relevant for løn og refusion. Registrér kun helbredsoplysninger, når det er nødvendigt og lovligt.
Skal medarbejderne informeres om lønsystemet?
Ja. De skal have information om behandlingen efter GDPR artikel 13, herunder hvilke modtagere data deles med.
Hvem fører tilsyn?
Datatilsynet. Det kan give påbud, og overtrædelser kan straffes med bøde, som i Danmark fastsættes af domstolene.
Kilder
- Datatilsynet — vejledninger om ansættelsesforhold, databehandleraftaler og brud
- Retsinformation – databeskyttelsesloven — LBK nr. 289 af 8. marts 2024, §§ 11 og 12
- EUR-Lex — databeskyttelsesforordningen (GDPR), artikel 9, 28, 32, 33 og kapitel V
