Ledelsen må ikke give DPO’en instrukser om, hvordan opgaverne som databeskyttelsesrådgiver skal udføres, og den må ikke afskedige eller straffe DPO’en for at udføre dem. Det følger af databeskyttelsesforordningens art. 38, stk. 3, som også giver DPO’en en direkte rapporteringsvej til den øverste ledelse. Beskyttelsen er knyttet til opgaverne. Datatilsynets vejledning forklarer, at en DPO fortsat kan afskediges på et sagligt grundlag efter almindelige regler, fx hvis opgaverne ikke bliver udført. For en ekstern DPO betyder det, at aftalen kan opsiges, men at grunden aldrig må være, at DPO’en har sagt noget, ledelsen ikke ville høre.
Tre regler i én bestemmelse
Art. 38, stk. 3, indeholder tre forskellige regler, som er lette at blande sammen:
- Ingen instrukser om opgaverne · ledelsen bestemmer ikke, hvordan DPO’en skal vurdere en sag, eller hvilken konklusion der skal nås.
- Ingen afskedigelse eller straf for at udføre opgaverne · en kritisk vurdering må ikke koste stillingen eller føre til andre sanktioner.
- Direkte rapportering til øverste ledelsesniveau · DPO’en skal kunne bringe sine vurderinger frem uden om mellemledere.
Reglerne hænger sammen. Datatilsynets vejledning peger på, at DPO’en ikke kan give instrukser til resten af organisationen, og at adgangen til den øverste ledelse derfor er DPO’ens vigtigste redskab, når der konstateres brud på reglerne. Hvis ledelsen kunne styre konklusionen eller skille sig af med budbringeren, ville redskabet miste sin værdi.
Hvad ledelsen gerne må
Forbuddet mod instrukser er snævrere, end det kan lyde. Ledelsen bestemmer stadig over det meste af rammen omkring DPO’en.
Ledelsen må gerne:
- fastlægge, hvilke opgaver ud over minimumsopgaverne i art. 39 DPO’en skal løse,
- aftale tidsforbrug, mødefrekvens og form for rapportering,
- prioritere sammen med DPO’en, hvilke områder der skal gennemgås først,
- træffe en anden beslutning end den, DPO’en anbefaler,
- følge op på, om DPO’en faktisk udfører opgaverne.
Det sidste punkt er værd at hæfte sig ved. Ansvaret for at overholde reglerne ligger hos virksomheden som dataansvarlig, og ledelsen er ikke bundet af DPO’ens råd. Følger ledelsen ikke rådet, er det en god idé at skrive begrundelsen ned, fx i konsekvensanalysen, som vejledningen også peger på. Uenighed er dermed en del af rollen og i sig selv ikke et problem.
Hvad der går over grænsen
Grænsen krydses, når ledelsen forsøger at påvirke indholdet af DPO’ens vurdering. Vejledningen nævner udtrykkeligt, at DPO’en ikke må få instruks om en bestemt vurdering eller fortolkning af forordningen.
Eksempler på situationer, der bør få ledelsen til at stoppe op:
- En direktør beder DPO’en om at nedtone en risiko i en rapport, før bestyrelsen ser den.
- En afdeling vil have DPO’en til at godkende et nyt system, før vurderingen er færdig.
- DPO’en får besked på ikke at tale med Datatilsynet om en bestemt sag.
- DPO’ens tid eller ressourcer skæres markant ned kort efter en kritisk rapport.
Det sidste eksempel viser, at straf kan have flere former end en afskedigelse. Forordningen taler om at blive afskediget eller straffet, og det kan omfatte ændrede arbejdsforhold, der i realiteten er en reaktion på opgavevaretagelsen. Om en konkret handling er i strid med reglerne, er en juridisk vurdering, som ledelsen bør søge hjælp til.
Afskedigelse på sagligt grundlag
Beskyttelsen gør ikke DPO’en uafsættelig. Datatilsynets vejledning nævner, at en DPO kan afskediges efter almindelige ansættelsesretlige regler, fx hvis vedkommende ikke udfører sine opgaver, misligholder ansættelsesforholdet eller der er samarbejdsvanskeligheder. Ifølge vejledningen er en usaglig afskedigelse belagt med bødestraf.
For ledelsen betyder det, at begrundelsen skal kunne stå for sig selv. Er der problemer med en DPO’s arbejde, bør de være beskrevet, drøftet og skrevet ned, inden der træffes beslutning. Ligger beslutningen tæt på en kritisk vurdering fra DPO’en, er det endnu vigtigere at kunne vise, hvad den faktisk bygger på.
Den eksterne DPO-aftale
Er DPO’en ekstern, er der tale om en tjenesteydelseskontrakt efter art. 37, stk. 6, og spørgsmålet bliver, hvordan aftalen kan ophøre. Forordningen bruger ordene afskediges eller straffes, og det ligger nær at læse beskyttelsen sådan, at den også omfatter en ekstern DPO, så en kontrakt ikke kan opsiges som reaktion på opgavevaretagelsen. Hvordan det præcist skal forstås i jeres aftale, er et spørgsmål til jeres advokat.
Praktisk kan aftalen understøtte uafhængigheden på disse punkter:
- Opsigelsesvarsel · et fast varsel, der gælder begge parter, så aftalen ikke ophører fra den ene dag til den anden.
- Begrundelse · en bestemmelse om, at opsigelse fra virksomhedens side ikke må begrundes i DPO’ens vurderinger.
- Rapporteringsvej · direkte adgang til direktionen, uanset hvem der til daglig er DPO’ens kontaktperson.
- Overdragelse · en plan for, hvordan sager og henvendelser overdrages ved ophør.
Hvordan opsigelse og binding generelt aftales med en ekstern rolle, står i Opsigelse og binding. Hvad der i øvrigt bør stå i aftalen, er samlet i Aftalen om ekstern IT-ledelse. Når aftalen ophører, skal Datatilsynet have de nye kontaktoplysninger, se DPO’ens kontaktoplysninger.
Ledelsens forventninger
Mange konflikter med en DPO opstår, fordi ledelsen forventer en anden rolle, end forordningen beskriver. Forordningen giver DPO’en til opgave at rådgive og overvåge. At forsvare virksomhedens valg eller at skynde et nyt system i drift ligger uden for rollen, og DPO’en kan derfor give svar, som ledelsen ikke bryder sig om.
Det hjælper at skrive forventningerne ned i en funktionsbeskrivelse, som vejledningen også anbefaler. Beskrivelsen viser, hvilke opgaver der hører til DPO-rollen og dermed er fri for instrukser. Det er især vigtigt, hvis personen har andre opgaver hos jer, se Kan IT-chefen også være DPO?. Forskellen på DPO’en og en rolle, der træffer beslutninger om persondata, er forklaret i DPO, CPO og CISO.
Det skal I lade være med
- At bede om en anden konklusion · uenighed noteres, men vurderingen er DPO’ens egen.
- At reagere på en kritisk rapport med færre timer · det kan opfattes som straf for opgavevaretagelsen.
- At lade en mellemleder filtrere DPO’ens rapporter · rapporteringen går direkte til øverste ledelsesniveau.
- At afskedige uden skriftlig begrundelse · saglighed skal kunne dokumenteres.
- At skrive en opsigelsesklausul uden at tænke på art. 38 · aftalen skal kunne læses sammen med forordningen.
Det skal I kræve af den eksterne
- ☐ Skriftlige rapporter, der går direkte til direktionen.
- ☐ Klar besked, når DPO’en mener, at ledelsens beslutning strider mod reglerne.
- ☐ En funktionsbeskrivelse, der adskiller DPO-opgaverne fra eventuelle andre opgaver.
- ☐ Et gensidigt opsigelsesvarsel og en plan for overdragelse.
- ☐ Åbenhed, hvis DPO’en oplever forsøg på at påvirke en vurdering.
Næste skridt er at læse jeres funktionsbeskrivelse eller aftale med DPO’en igennem med art. 38, stk. 3, ved siden af og at se, om rapporteringsvejen og opsigelsen er beskrevet. Spørgsmål om en konkret afskedigelse eller opsigelse hører hjemme hos en advokat, og teksten her er ikke juridisk rådgivning. Rollen som helhed står på siden om DPO’en.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 37, stk. 6, om tjenesteydelseskontrakt, og art. 38, stk. 3, om instrukser, afskedigelse og rapportering.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 5.3 om funktionsbeskrivelse og uenighed, 5.4 om uafhængighed og øverste ledelsesniveau og 5.5 om beskyttelse mod afskedigelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er en DPO? · Kan en koncern have én fælles DPO?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
