Forordningen kræver, at DPO’en, databeskyttelsesrådgiveren, rapporterer direkte til det øverste ledelsesniveau. Den fastsætter hverken et årshjul, en rapportform eller en frekvens, så den ramme skal I selv aftale. Et godt udgangspunkt er faste møder med direktionen et par gange om året, korte skriftlige statusser og en årsrapport med det samlede billede. Det vigtigste sker bagefter, når direktionen tager stilling til hver anbefaling, skriver svaret ned og får status næste gang.
Det, reglerne siger, og det, I selv aftaler
Fire krav står i forordningen:
- Rapporteringen går direkte til det øverste ledelsesniveau (art. 38, stk. 3).
- Ledelsen kan ikke give instrukser om opgavernes udførelse (art. 38, stk. 3).
- DPO’en skal have de ressourcer, opgaverne kræver (art. 38, stk. 2).
- DPO’en skal tage hensyn til risikoen ved behandlingerne (art. 39, stk. 2).
Resten er god praksis. Artikel 29-gruppen nævner i sine retningslinjer en årsrapport til det højeste ledelsesniveau som eksempel på direkte rapportering, og den kalder det god praksis at fastlægge tidsforbruget og lave en arbejdsplan. Datatilsynets tips til nye DPO’er foreslår faste møder med ledelsen, fx kvartalsvis eller halvårligt, og skriftlige rapporter med status, udfordringer og anbefalinger. Tilsynet tilføjer, at mange også laver en årlig rapport.
Hjulet herunder er derfor et forslag, der skal passe til, hvor meget persondata fylder hos jer.
Det, ledelsen får hvornår
Et tænkt årshjul for en virksomhed med en ekstern DPO og to møder med direktionen kunne se sådan ud.
- Første kvartal · årsrapporten for sidste år og arbejdsplanen for i år. Direktionen svarer på anbefalingerne og bekræfter den afsatte tid.
- Andet kvartal · fortegnelsen over behandlinger og de områder, der har højest risiko. Fortegnelsen er jeres ansvar, men den er et af DPO’ens vigtigste værktøjer. Analyser med en dato for ny gennemgang tages op, se konsekvensanalyse og DPO’ens rolle.
- Tredje kvartal · kort status og møde med direktionen, gerne før budgettet lægges, så behov for uddannelse og tid kan komme med.
- Fjerde kvartal · nye systemer og projekter for det kommende år, så DPO’en kan inddrages tidligt, og kontrol af procedurerne for brud og henvendelser fra de personer, oplysningerne handler om.
Nogle ting kan ikke vente på hjulet. Ved brud på persondatasikkerheden skal DPO’en ifølge retningslinjerne høres omgående, og et nyt system bør forbi DPO’en, før beslutningen træffes.
Punkterne meldes ind i den samlede kalender for IT-ledelse, så de ikke støder sammen med budget, kontrakter og sikkerhedens årshjul. Ét forhold adskiller sig fra de andre roller. Ledelsen kan aftale møder og ramme, men kan ikke bestemme, hvad DPO’en skal konkludere. Hvad DPO’en vil undersøge, følger af risikoen.
Hos en ekstern DPO bliver hjulet også en test af timerammen. Rækker tiden ikke til punkterne, er det et ressourcespørgsmål, ledelsen skal tage stilling til.
Det skal stå i rapporten
Datatilsynets tre ord, status, udfordringer og anbefalinger, er en god grundform. Rapporten kan opbygges sådan:
- Årets arbejde · hvad DPO’en har set på, og hvad der ikke blev nået.
- Overholdelse · vurdering af politikker, ansvarsfordeling og uddannelse af medarbejdere.
- Konsekvensanalyser · dem, der er lavet, dem, der mangler, og råd, der ikke blev fulgt.
- Brud og henvendelser · mønstre og det, I kan lære af dem. Enkeltpersoner hører ikke hjemme her. Sammenhængen med sikkerhedshændelser står i persondatabrud og NIS2.
- Datatilsynet · kontakt med tilsynet i årets løb.
- Anbefalinger · prioriteret efter risikoen for de registrerede, med forslag til, hvem der bør eje dem.
- Vilkår · om tid, adgang og inddragelse har været tilstrækkelig.
Det sidste punkt er let at overse. Datatilsynets vejledning taler om en reel inddragelse, og kun DPO’en kan fortælle, om den har fundet sted.
Forskellen fra den almindelige IT-rapport
Den månedlige rapport fra en ekstern IT-leder følger ledelsens prioriteter og er et arbejdsredskab mellem lederen og direktionen. DPO’ens rapport er en uafhængig vurdering. Ifølge retningslinjerne må DPO’en ikke instrueres om, hvilket resultat der skal nås, eller hvilken opfattelse DPO’en skal have. Direktionen kan pege på faktuelle fejl og stille spørgsmål. Konklusionerne er DPO’ens.
Rapporten bør derfor gå direkte til direktionen og ikke gennem IT-chefen eller andre, der selv har truffet de beslutninger, den omtaler. Grænsen for ledelsens indflydelse er gennemgået for sig.
Hvem der skal læse den
Har selskabet både bestyrelse og direktion, forstår Datatilsynets vejledning det øverste ledelsesniveau som direktionen. Direktionen skal så orientere bestyrelsen om væsentlige forhold, som DPO’en påpeger. I praksis kan det være et fast punkt én gang om året med et uddrag af rapporten, se bestyrelsens rolle.
Har I flere eksterne roller, bør de anbefalinger, der berører IT og sikkerhed, også nå den samlede risikoliste.
Det, der sker bagefter
Vi foreslår fire trin:
- Møde · DPO’en fremlægger rapporten for direktionen, mens der er tid til spørgsmål.
- Svar på hver anbefaling · følges, følges delvist eller følges ikke.
- Ejer og frist · hvert punkt, der følges, får en navngiven ansvarlig og en dato.
- Status næste gang · DPO’en følger op, og åbne punkter står i næste rapport.
Følger I ikke et råd, anbefaler både Artikel 29-gruppen og Datatilsynet, at årsagen dokumenteres. Den dataansvarlige skal kunne påvise, at reglerne overholdes (art. 5, stk. 2), og rapporten med ledelsens svar er en af de enkleste måder at vise, at I har forholdt jer til sagerne. Ansvaret ligger fortsat hos jer, jf. DPO’ens ansvar.
Skal rollen ligge udefra, begynder forløbet hos Nielco IT med en gennemgang af jeres situation, hvorefter DPO-opgaverne løses inden for en fast timeramme pr. måned. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At rette i konklusionerne · det rammer selve uafhængigheden.
- At sende rapporten videre uden svar · uden ledelsens stillingtagen dokumenterer den blot en ubesvaret anbefaling.
- At lade DPO-møderne falde ud i travle perioder · det er ofte dér, de nye systemer vælges.
- At behandle rapporten som et lovkrav i én bestemt form · indholdet tæller, og formen er jeres aftale.
Det skal I kræve af den eksterne
- ☐ En arbejdsplan for året med prioritering efter risiko.
- ☐ Faste møder med direktionen, aftalt på forhånd.
- ☐ En skriftlig rapport med status, udfordringer og anbefalinger.
- ☐ Opfølgning på sidste års punkter.
- ☐ Klar besked, hvis tid eller adgang ikke rækker.
Sæt som næste skridt to datoer i kalenderen for møder med DPO’en, og aftal, hvornår den første rapport skal foreligge. Artiklen er en forenklet gennemgang og erstatter ikke en juridisk vurdering.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 5, stk. 2, art. 38, stk. 2 og 3, og art. 39, stk. 2.
- Artikel 29-gruppen: Retningslinjer om databeskyttelsesrådgivere, WP243, dansk udgave hos Datatilsynet: afsnit 3.1 til 3.3, 4.4 og 4.5.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 5.4 om inddragelse og det øverste ledelsesniveau.
- Datatilsynet: Tips til nye databeskyttelsesrådgivere: møder og rapporter.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Den interne kontaktperson · Hvad er en DPO?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
