Efter databeskyttelsesforordningen er den dataansvarlige som udgangspunkt virksomheden selv, altså selskabet som juridisk person. Det er virksomheden, der afgør, til hvilke formål og med hvilke midler personoplysninger behandles, og det er virksomheden, der skal overholde reglerne og kan blive sanktioneret. Den dataansvarlige er hverken en bestemt medarbejder eller DPO’en. Mange virksomheder bruger alligevel ordet om en person internt, fx den medarbejder, der holder styr på persondata. Den brug er forståelig, men den kan skabe tvivl om, hvem der bærer ansvaret. Derfor bør ledelsen holde det juridiske begreb og den interne titel adskilt.
Begrebet i forordningen
Definitionen står i forordningens art. 4, nr. 7. Den dataansvarlige er den fysiske eller juridiske person, offentlige myndighed, institution eller andet organ, der alene eller sammen med andre afgør formålene med og hjælpemidlerne til behandlingen af personoplysninger. Med andre ord er det den, der bestemmer, hvorfor og hvordan oplysningerne bruges.
For et aktieselskab eller anpartsselskab er det selskabet. Driver en person virksomhed i eget navn, fx som enkeltmandsvirksomhed, er det personen som indehaver, fordi virksomheden og personen her er den samme juridiske enhed. Bestemmer to virksomheder i fællesskab formål og midler, kan de være fælles dataansvarlige efter art. 26 og skal i så fald aftale, hvem der gør hvad.
Det centrale er, at definitionen knytter ansvaret til den, der bestemmer over behandlingen, uanset hvilke stillinger og titler der findes i organisationen.
Hvad ansvaret indebærer
Forordningen lægger en række pligter hos den dataansvarlige. Efter art. 5, stk. 2, skal den dataansvarlige kunne påvise, at principperne for behandlingen bliver overholdt. Det kaldes ansvarlighed. Efter art. 24 skal den dataansvarlige gennemføre passende tekniske og organisatoriske foranstaltninger og kunne dokumentere, at behandlingen sker efter reglerne.
I praksis betyder det blandt andet, at virksomheden skal kende sine behandlinger, have et lovligt grundlag for dem, oplyse de registrerede, beskytte oplysningerne, håndtere anmodninger om indsigt og sletning og reagere på brud. Ansvaret for alt dette ligger hos virksomheden som helhed, og i et selskab er det ledelsen, der skal sikre, at arbejdet bliver organiseret og fulgt op. Beskrivelsen her er kortfattet, og tvivlsspørgsmål bør afklares med en jurist.
DPO’en er ikke den dataansvarlige
En hyppig misforståelse er, at ansvaret flytter til DPO’en, når der udpeges en databeskyttelsesrådgiver. Ansvaret bliver, hvor det var. DPO’ens opgaver efter art. 39 er at rådgive, overvåge og være kontaktpunkt. DPO’en træffer ikke beslutninger om behandlingen, og hvis DPO’en gjorde det, ville det stride mod den uafhængige stilling, forordningen giver rollen. Forskellen på rådgivning og beslutning er gennemgået i Hvad er en DPO?, og hele rollen er samlet på siden om DPO’en.
Det samme gælder en Chief Privacy Officer. Den rolle træffer beslutninger om persondata på ledelsens vegne, men virksomheden er stadig den dataansvarlige. Rollen er beskrevet i Chief Privacy Officer.
Når titlen bruges løst internt
I mange mindre virksomheder står der “dataansvarlig” i en mailsignatur eller i en intern oversigt over opgaver. Typisk dækker titlen den medarbejder, der vedligeholder fortegnelsen over behandlinger, besvarer henvendelser fra kunder og medarbejdere og holder øje med samtykker.
Det er der i sig selv intet forkert i, men titlen kan give tre problemer. For det første kan medarbejderen tro, at vedkommende personligt bærer ansvaret og derfor tøve med at handle. For det andet kan ledelsen tro, at ansvaret er delegeret væk. For det tredje kan registrerede og samarbejdspartnere misforstå, hvem de har med at gøre.
Mere præcise betegnelser er fx koordinator for persondata eller kontaktperson for databeskyttelse. De beskriver, hvad personen laver, uden at antyde, at ansvaret efter forordningen er flyttet over på én medarbejder. Samme hensyn gælder i kontrakter med kunder, hvor parterne skal kunne se, hvilket selskab der er dataansvarligt. Bruger I ordet DPO, kan det forstås som en udpegning efter forordningen, så det bør kun bruges om en egentlig DPO.
Sådan fordeler ledelsen arbejdet
Selv om ansvaret ligger hos virksomheden, skal arbejdet løses af personer. En enkel fordeling i den mindre virksomhed kan se sådan ud.
- Direktionen godkender politikken for persondata, beslutter om nye behandlinger med høj risiko og følger op en gang om året.
- En koordinator for persondata vedligeholder fortegnelsen, besvarer henvendelser og samler dokumentationen.
- Systemejerne sikrer, at adgange og data i deres systemer følger reglerne. Rollen er forklaret i Systemejer.
- IT-lederen står for de tekniske foranstaltninger som adgangsstyring, backup og logning.
- DPO’en, hvis I har en, rådgiver og overvåger på tværs uden at træffe beslutningerne.
Tag forsikringsmægleren med 25 ansatte og et fagsystem fyldt med kundeoplysninger. Selskabet er dataansvarligt. Direktøren godkender politikken, en administrativ medarbejder koordinerer, og IT-lederen dokumenterer sikkerheden. Alle ved, at ansvaret i sidste ende ligger hos selskabet og dets ledelse. Fordelingen kan skrives ind i en ansvarsmatrix som i Rollebeskrivelse og ansvarsmatrix.
Det skal I lade være med
- At skrive en medarbejder ind som dataansvarlig i privatlivspolitikken · det er virksomheden, der skal stå der.
- At kalde koordinatoren DPO · titlen kan udløse forordningens krav til rollen.
- At lade DPO’en træffe beslutningerne · det undergraver uafhængigheden.
- At tro, at ansvaret kan lægges over på IT · IT løser en del af opgaverne, men ejer ikke formålene.
- At glemme dokumentationen · ansvarlighed betyder, at I skal kunne vise, hvad I gør.
Det skal I kræve af den eksterne
Får en ekstern DPO eller IT-leder en rolle i arbejdet med persondata, bør aftalen dække dette.
- ☐ En skriftlig beskrivelse af, hvilke opgaver den eksterne løser, og hvilke beslutninger der bliver hos jer.
- ☐ Forslag til interne betegnelser, der ikke kan forveksles med de juridiske begreber.
- ☐ Hjælp til at holde fortegnelsen over behandlinger opdateret.
- ☐ Fast rapportering til direktionen om status og afvigelser.
- ☐ Klar besked, når en vurdering er rådgivning, og ledelsen skal beslutte.
- ☐ Oplysning om andre roller, der kan give interessekonflikter.
Næste skridt er at finde de steder, hvor ordet dataansvarlig bruges hos jer, fx privatlivspolitikken, medarbejderhåndbogen og mailsignaturer. Står der en person, bør teksten rettes, så selskabet fremgår, og personens rolle får en mere præcis titel.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679, EUR-Lex: art. 4, nr. 7, om definitionen, art. 5, stk. 2, om ansvarlighed, art. 24 om den dataansvarliges ansvar, art. 26 om fælles dataansvarlige og art. 39 om DPO’ens opgaver.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er en DPO? · Chief Privacy Officer
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
