free web creator

GDPR (Persondataforordningen) og M-Files

GDPR, Persondataforordningen fra EU

Den 25. maj 2018 træder en ny europæisk persondataforordning i kraft; The General Data Protection Regulation (GDPR), som er den mest betydningsfulde ændring til europæiske bestemmelser vedrørende databeskyttelse i 20 år.

GDPR erstatter det forældede databeskyttelses direktiv (DPD) og har til mål at forenkle og harmonisere databeskyttelseslovgivningen i Europa og give EU borgere kontrollen over deres personlige data tilbage.

Der er betydelige bøder for virksomheder der ikke er GDRP-compliant, op til €20m, eller 4% af den globale årsomsætning for det foregående regnskabsår.
Opfylder jeres dokumenthåndtering persondataforordningens 10 krav?

Dokumenthåndtering der opfylder alle 10 kravene i GDPR (persondataforordningen)

M-Files er en global og anerkendt leverandør af systemer til dokumenthåndtering og ECM (Enterprise Content Management).


M-Files udmærker sig ved et 100% gennemgående metadatakoncept, der giver brugeren muligheder for at konfigurere en løsning, der opfylder relevante krav til styring af dokumenter og anden information. M-Files kalder det Intelligent Information Management.


M-Files opfylder som platform alle kravene i GDPR (Persondataforordningen) og man kan konfigurere sine arbejdsprocesser og andre metadata således at de opfylder Persondataforordningen. Ifølge en generelt anerkendt rubricering af 10 krav* til systemer for at opfylde persondataforordningen opfylder M-Files alle kravene således:

1. Styring af adgang

Systemet skal kunne samarbejde med systemer til håndtering af brugerroller og rettigheder, således at tilgang til bestemte typer af informationer kan begrænses.

M-Files har en omfattende adgangsstyring, der kan styres i M-Files selv, via AD domæner eller ved hjælp af Federated Authentication (SAML) op imod identity providers som Google, AD FS, Azure AD o.lign. Adgang kan styres med udgangspunkt i den enkelte bruger, standard brugergrupper eller specifikke lister over brugere.


Endvidere kan graden af adgang defineres på ethvert metadata den enkelte virksomhed har defineret (Kunde, Projekt, Sag, osv) samt individuelt på dokumenttyper der er defineret (Kontrakter, udviklingssamtaler, ansøgninger osv). Endvidere kan adgangsrettighederne udvides/begrænses efterhånden som definerede arbejdsprocesser når nye trin. Der er således ikke begrænsninger i, hvorledes adgang til informationer kan styres.  

2. Logning af adgang

Det skal være muligt at logge adgang til persondata, således at tilgangen kan dokumenteres.

M-Files logger enhver ændring af data, herunder dokumenter, metadata eller andre data opbevaret i M-Files (kundeoplysninger, medarbejderoplysninger osv). M-Files logger ethvert download eller upload af dokumenter samt enhver ændring. Der kan direkte i M-Files Event loggen gemmes det ønskede antal events og der kan filtreres og søges i event loggen.


Eventloggen kan af Administrator eksporteres og analyseres i andre værktøjer. Skulle man ønske en endnu stærkere adgang til analyser af events over meget lang tid, kan Solution Management levere en løsning der eksporterer alle events til sin egen SQL database med udstrakte muligheder for analyse og overvågning af utilsigtede hændelser.  


3. Sletning af data

Det skal være muligt at slette data i systemet, såfremt et datasubjekt skulle ønske at blive slettet.

M-Files vil typisk blive konfigureret således, at data om en person vil blive relateret til en specifik person. Det medfører helt konkret, at alle data og dokumenter om personen vil blive påført et metadata, der unikt refererer til personen. Data om en bestemt person kan derfor enkelt identificeres, markeres og komplet slettes fra M-Files. Skulle man have konfigureret M-Files således, at man ikke ved hjælp af metadata kan finde data og dokumenter om personen, vil man ved hjælp af avanceret søgning kunne udsøge informationer på navn, CPR nummer osv.


Det skal understreges, at berørte dokumenter kan slettes fuldstændigt.

4. Dataeksport 

Det skal være muligt at eksportere persondata i et bredt anvendeligt format.

I M-Files kan dokumenter eksporteres i deres originalformat eller i PDF. Andre data kan eksporteres i Excel format.

5. Dataklassifikation

Det skal være muligt at angive en klassifikation af data, som vil have betydning for deres behandling.

I M-Files kan data klassificeres på enhver tænkelig måde. Der oprettes metadata efter behov. Metadata kan have egne metadata. Således vil metadata’et kunde kunne have egne metadata såsom adresse, postnr. og by. Der kan defineres præcist det antal dokumentklasser som er relevante. I persondatasammenhæng kunne det for eksempel være ansøgning, udviklingssamtale, ansættelseskontrakt osv.


For hver dokumentklasse kan der defineres rettigheder. Således ser man ofte, at HR-dokumenter a priori gives rettigheden ”mig og HR”, hvor HR kan være en brugergruppe bestående af ansatte i HR afdelingen. Eller det kunne være ”mig, min nærmeste chef og HR”. Dermed sikrer man sig på disse dokumentklasser, at der ikke ved en fejl bliver rettigheder for de forkerte personer.

Vil du gerne vide mere
om GDPR og M-Files?

6. Sletteregel kan anføres

Systemet skal understøtte en angivelse af individuelle sletteregler, evt. som en del af dataklassifikationen.

I M-Files kan der konfigureres sletteregler på det enkelt dokument, generelt på dokumentklassen eller på et metadata. Typisk vil vi konfigurere M-Files således, at en medarbejder er et specifikt metadata, som påføres alle de data og dokumenter, der vedrører medarbejderen. Metadataet medarbejder vil have en ansættelsesdato samt en fratrædelsesdato.


På metadataet medarbejder vil der være defineret en sletteregel, der medfører at alle personfølsomme data og dokumenter vedrørende den pågældende medarbejder slettes efter en nærmere fastsat regel, typisk 6 måneder. Skulle man ønske det, kan der efter 5 måneder komme en notifikation eller det kan vises i et view over kommende sletninger, at konkrete fratrådte medarbejderes data slettes.

7. Automatisk sletning systemunderstøttes 

Systemet skal kunne håndhæve sletteregler, således at data slettes automatisk, når deres levetid er udløbet.

Automatisk sletning er understøttet i overensstemmelse med de regler der sættes op i M-Files.

8. Kryptering, kommunikation  

Kommunikation med systemet bør foregå over en sikker og krypteret forbindelse. 

I M-Files kan man kryptere fildata og selve databasen. Endvidere kan kommunikation med M-Files sættes op til at foregå over en sikker forbindelse.

9. Kryptering, databaser 

Hvis data i systemet kan krypteres, vil det reducere risikoen for uautoriseret adgang til data.

I M-Files kan man kryptere fildata og selve databasen.

10. Planer for opdatering af GDPR-egenskaber 

Leverandøren bør kunne redegøre for planerne for systemets understøttelse af kravene i persondataforordningen.

Vi mener med ovenstående gennemgang at have redegjort for at M-Files stort set fuldstændigt opfylder de oplistede GDPR krav til ECM systemer.

Efterhånden som nationale myndigheder konkretiserer kravene, vil både M-Files og Solution Management følge med i udviklingen og aktivt tilføre relevant funktionalitet og konfigurering samt hjælpe vore kunder med at efterleve kravene.


I tillæg til ovenstående 9 krav mener vi også at følgende skal tages i betragtning:

Ved at være rent metadatastyret, og hvor også rettigheder kan tildeles/fratages på alle metadata, giver M-Files ideelle muligheder for at etablere en perfekt adgangsstyring til personfølsomme data.


Generelt er det for at følge Persondataforordningen en god ide at tænke I, at adgang til dokumenter gives efter et ”need to know” princip og ikke bare give alle personer adgang til alle dokumenter. Et ”need to know” princip er svært at indføre i en traditionel folderstruktur

(”F-drevet”) men effektivt at indføre i M-Files, fordi metadata og adgangsrettigheder nemt kan indrettes efter det.

* Kilde til de 10 krav: Devoteam har opstillet ti konkrete krav, der er relevante over for leverandører af ESDH- og ECM-systemer.

Tab heading 4

Lorem ipsum dolor sit amet, consectetur adipiscing elit. Pellentesque quis quam in risus pulvinar ultrices eget non sem. Vestibulum ante ipsum primis in faucibus orci luctus et ultrices posuere cubilia Curae proin accumsan odio.

Tab heading 5

Lorem ipsum dolor sit amet, consectetur adipiscing elit. Pellentesque quis quam in risus pulvinar ultrices eget non sem. Vestibulum ante ipsum primis in faucibus orci luctus et ultrices posuere cubilia Curae proin accumsan odio.

Tab heading 6

Lorem ipsum dolor sit amet, consectetur adipiscing elit. Pellentesque quis quam in risus pulvinar ultrices eget non sem. Vestibulum ante ipsum primis in faucibus orci luctus et ultrices posuere cubilia Curae proin accumsan odio.