En Chief Privacy Officer er den leder, der fastlægger virksomhedens linje for personoplysninger og privatliv. Rollen afgør, hvilke oplysninger virksomheden vil indsamle, hvad de må bruges til, hvor længe de gemmes, og hvor stor en risiko ledelsen er villig til at løbe. Ingen lov stiller krav om rollen, og titlen er ikke beskyttet. Den adskiller sig fra databeskyttelsesrådgiveren, DPO’en, ved at træffe beslutninger, hvor DPO’en har til opgave at rådgive om dem og kontrollere, at reglerne bliver fulgt. Derfor bør de to funktioner som hovedregel ligge hos to forskellige personer.
Hvad rollen beslutter
Forkortelsen CPO har flere betydninger, og de tre, der bruges inden for IT og sikkerhed, er samlet under CPO: tre roller med samme forkortelse. Her handler det om privatlivsrollen. Den sidder i eller tæt på direktionen og ejer typisk disse spørgsmål:
- Formål · hvilke behandlinger af persondata virksomheden vil foretage, og hvorfor.
- Omfang · hvor mange oplysninger der er brug for, og hvilke der kan undværes.
- Produkter og tjenester · hvordan privatliv bygges ind fra start, når noget nyt udvikles.
- Markedsføring · hvor grænsen går for brug af kundedata til analyse og annoncering.
- Leverandører · hvilke krav der stilles, før en ny leverandør får adgang til persondata.
- Kommunikation · hvad kunder og medarbejdere får at vide om behandlingen.
Mange af punkterne svarer til pligter, som databeskyttelsesforordningen lægger på den dataansvarlige. Efter art. 24 skal virksomheden kunne påvise, at behandlingen overholder reglerne, og art. 25 kræver databeskyttelse gennem design og standardindstillinger. Forordningen siger intet om, hvem i ledelsen der skal eje opgaven. Det er netop dét hul, en Chief Privacy Officer kan udfylde.
Hvorfor virksomheder opretter rollen
Behovet opstår typisk, når persondata bliver en del af forretningen og holder op med at være en administrativ sidegevinst. Det kan være en app, der samler oplysninger om brugerne, en webshop, der vil personalisere tilbud, eller en leverandør, hvis kunder stiller spørgsmål om privatliv, før de skriver under. Rollen kan også komme udefra, når et moderselskab eller en stor kunde forventer en navngiven modpart med netop den titel.
I alle tilfælde er pointen den samme. Nogen skal kunne svare for virksomhedens valg om persondata og stå på mål for dem over for kunder, medarbejdere og myndigheder. Hvem der har titlen, betyder mindre end, at beslutningerne bliver truffet bevidst og skrevet ned.
Beslutter eller kontrollerer
Forskellen til DPO’en ligger i rollernes stilling. DPO’en er beskrevet i forordningens art. 37 til 39. Funktionen rådgiver, overvåger overholdelsen og er kontaktpunkt for Datatilsynet, og efter art. 38, stk. 3, må den ikke modtage instrukser om, hvordan opgaverne udføres. En Chief Privacy Officer har ingen sådan beskyttelse og indgår i den almindelige ledelseslinje, hvor direktionen kan give instrukser.
I praksis kan det se sådan ud. Softwarehuset med fem udviklere vil tilføje en funktion, der analyserer, hvordan brugerne bruger produktet. Chief Privacy Officer vurderer, om analysen er forretningsmæssigt værd at lave, hvilke data der skal indgå, og hvordan brugerne informeres. DPO’en rådgiver om, hvorvidt behandlingen har et lovligt grundlag, om der skal laves en konsekvensanalyse, og følger bagefter op på, om det aftalte bliver overholdt. Rollerne arbejder med det samme projekt fra hver sin position. Hvordan DPO-funktionen er skruet sammen, er forklaret i Hvad er en DPO?.
Når én person bliver bedt om begge dele
Efter art. 38, stk. 6, må en DPO gerne have flere hverv, men intet af dem må skabe en interessekonflikt. Den, der fastlægger formål og midler for behandlingen, vil have svært ved at vurdere de samme valg uafhængigt. En Chief Privacy Officer, der også er udpeget som DPO, risikerer derfor at skulle kontrollere sine egne beslutninger. Hvilke kombinationer der typisk giver problemer, behandles i Kan IT-chefen også være DPO?.
Har virksomheden ikke pligt til en DPO, er billedet et andet. Så kan en databeskyttelsesansvarlig med en anden titel godt både lægge linjen og følge op på den, fordi forordningens krav om uafhængighed ikke gælder for den rolle. Forskellen er beskrevet i Frivillig DPO.
Rollen i en mindre virksomhed
De fleste mindre virksomheder har ingen Chief Privacy Officer, og det er sjældent et problem. Opgaverne ligger i stedet hos direktøren, produktchefen eller den, der står for marketing. Det afgørende er, at det står klart, hvem der har ansvaret, og at vedkommende har tid og viden nok til at løfte det.
Tag produktionsvirksomheden med 40 ansatte, hvor persondata mest handler om medarbejdere og kontaktpersoner hos kunderne. Her vil en årlig gennemgang i direktionen ofte være nok. Softwarehuset, hvis produkt bygger på brugernes data, har et større behov, og her kan det give mening at give en navngiven person ansvaret, eventuelt med støtte udefra. Hvordan privatlivsrollen, DPO’en og CISO’en deler opgaverne, står i DPO, CPO og CISO: hvem gør hvad?.
Det skal I lade være med
- At give titlen væk som pynt · den, der hedder Chief Privacy Officer, skal kunne træffe beslutninger og have mandat til det.
- At lægge rollen hos jeres DPO uden en vurdering · den, der beslutter, bør ikke også være den, der kontrollerer.
- At lade forkortelsen stå alene · skriv titlen helt ud i aftaler og organisationsdiagrammer, så ingen forveksler den med andre CPO-roller.
- At glemme DPO’en, når I opretter rollen · har I en DPO, skal vedkommende stadig inddrages rettidigt i spørgsmål om persondata.
Det skal I kræve af den eksterne
Henter I støtte udefra til privatlivsrollen, så stil disse krav.
- ☐ En skriftlig beskrivelse af, hvilke beslutninger den eksterne forbereder, og hvilke ledelsen selv træffer.
- ☐ Viden om både reglerne for persondata og de systemer, hvor oplysningerne ligger.
- ☐ Oplysning om andre roller hos jer, især om personen også er eller skal være jeres DPO.
- ☐ Beslutningsoplæg, der viser konsekvenserne for de personer, oplysningerne handler om.
- ☐ Dokumentation af jeres valg, så I kan påvise dem over for kunder og Datatilsynet.
Begynd med at sætte navn på den person, der træffer jeres beslutninger om persondata, og tag stilling til, om vedkommende også skal kontrollere dem. Gennemgangen forenkler reglerne, så søg juridisk rådgivning, hvis jeres forhold er tvivlsomme.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 24 om den dataansvarliges ansvar, art. 25 om databeskyttelse gennem design og standardindstillinger, art. 37 til 39 om DPO’en, herunder art. 38, stk. 3 og 6.
Senest gennemgået: november 2026.
Næste skridt
Læs også: CPO: tre betydninger af samme forkortelse · Rollerne i ekstern IT-ledelse
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
