Kort sagt beskytter CISO’en systemerne og informationen, DPO’en våger over, at de personer, virksomheden har oplysninger om, får deres rettigheder respekteret, og en CPO i betydningen Chief Privacy Officer ejer virksomhedens strategi for privatliv. De tre roller overlapper, fordi de alle handler om data og ofte arbejder med de samme systemer og leverandører, men de har forskellige opgaver og en forskellig stilling i organisationen. DPO’en skiller sig ud ved at være lovbestemt og uafhængig, og det er især dér, rollerne skal holdes adskilt.
Tre roller, tre spørgsmål
Den hurtigste måde at skelne rollerne på er at se på det spørgsmål, hver af dem skal kunne besvare.
- CISO · er vores informationer og systemer tilstrækkeligt beskyttet mod angreb, fejl og nedbrud? CISO’en leder sikkerhedsarbejdet, vurderer risici og rapporterer til ledelsen. Se Hvad er en CISO?
- DPO · overholder vi reglerne om persondata, og bliver de registreredes rettigheder respekteret? DPO’en rådgiver, overvåger og er kontaktpunkt for Datatilsynet. Se Hvad er en DPO?
- CPO · hvordan vil vi som virksomhed håndtere privatliv i produkter, markedsføring og processer? Chief Privacy Officer er en ledelsesrolle, som ingen lov kræver. Se Chief Privacy Officer.
CPO kan også betyde Cyber Protection Officer, som ligger tæt på CISO’en, eller Company Protection Officer, der kan dække virksomhedens samlede beskyttelse. De tre betydninger er forklaret i CPO: tre betydninger. I resten af denne tekst står CPO for Chief Privacy Officer.
Hvem ejer hvad, når der kommer et nyt system?
Tag en virksomhed, der vil indføre et nyt kundesystem i skyen. De tre roller kigger på samme projekt fra hver sin side.
- CPO’en beslutter, hvilke kundeoplysninger virksomheden ønsker at bruge, til hvad, og hvordan kunderne skal informeres. Det er en forretningsbeslutning om privatliv.
- CISO’en vurderer leverandørens sikkerhed, kræver fx tofaktorgodkendelse og logning og sikrer, at adgangene bliver styret.
- DPO’en rådgiver om, hvorvidt behandlingen overholder reglerne, om der skal laves en konsekvensanalyse, og overvåger bagefter, at det aftalte bliver fulgt.
Ingen af de tre træffer den endelige beslutning alene. Den ligger hos ledelsen, som har ansvaret for at overholde både reglerne om persondata og eventuelle sikkerhedskrav. Datatilsynets vejledning understreger, at virksomheden selv bærer ansvaret, også hvis DPO’ens rådgivning har været forkert.
I en virksomhed uden en CPO ligger den første opgave typisk hos direktøren eller den ansvarlige for marketing eller produkt. Rollen behøver ingen titel. Det afgørende er, at nogen træffer beslutningerne og kan forklare dem for kunder, medarbejdere og Datatilsynet.
Når et brud rammer
Et brud på persondatasikkerheden, fx en medarbejder, der sender en fil med kundeoplysninger til en forkert modtager, viser forskellen tydeligt. CISO’en leder håndteringen af hændelsen, begrænser skaden og finder årsagen. DPO’en skal underrettes og rådgive om vurderingen af risikoen for de berørte personer. Virksomheden skal anmelde bruddet til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer, medmindre det er usandsynligt, at bruddet indebærer en risiko for personerne (art. 33). Beslutningen om at anmelde ligger hos virksomheden, og DPO’en bidrager med sin vurdering. Bagefter følger CISO’en op på årsagen, og DPO’en kontrollerer, at hændelsen er registreret, og at de aftalte forbedringer bliver gennemført. Brud skal nemlig dokumenteres, også når de ikke anmeldes.
Er virksomheden omfattet af NIS2-loven, kan samme hændelse også udløse en underretningspligt efter den lov. Her har CISO’en typisk opgaven med at forberede underretningen, mens ledelsesorganet efter lovens § 7 har ansvaret for at godkende og føre tilsyn med sikkerhedsforanstaltningerne.
Hvor rollerne skal holdes adskilt
Forordningen tillader, at DPO’en har andre opgaver, men de må ikke føre til en interessekonflikt (art. 38, stk. 6). Ifølge Datatilsynets vejledning udelukker det øverste ansvar for IT eller for HR fra rollen som DPO, mens fx en IT-sikkerhedskoordinator uden det øverste ansvar godt kan varetage den.
Det giver to tommelfingerregler. DPO’en bør ikke være den, der fastlægger formålet med behandlingerne, og derfor passer DPO-rollen dårligt sammen med en Chief Privacy Officer, der netop gør det. DPO’en bør heller ikke kontrollere sit eget sikkerhedsarbejde, og en CISO med det øverste ansvar for sikkerheden bør derfor kun være DPO efter en grundig vurdering. Typiske konflikter er beskrevet i artiklen om interessekonflikter for DPO’en.
Kan én ekstern dække flere af rollerne?
CISO-rollen og en driftsnær Cyber Protection Officer kan uden problemer ligge hos samme person. Det samme gælder ofte CISO og IT-chef i mindre virksomheder, så længe ledelsen ved, at sikkerheden så vurderes af den, der også har truffet IT-beslutningerne. DPO-rollen er sværest at kombinere, da dens opgave netop er at holde øje med de andre rollers beslutninger. Hvilke kombinationer der kan bruges, er beskrevet i artiklen om at kombinere roller.
For den mindre virksomhed er en realistisk opdeling ofte, at én ekstern person bærer sikkerhedsrollen og eventuelt IT-chefrollen, mens DPO-rollen, hvis den er påkrævet eller ønsket, ligger hos en anden. Privatlivsstrategien kan blive hos direktionen. Det giver få personer at koordinere med og en klar adskillelse dér, hvor forordningen kræver den.
Det skal I lade være med
- At lade CISO’en være DPO automatisk · vurder interessekonflikten konkret, og skriv vurderingen ned.
- At bruge forkortelsen CPO uden forklaring · aftal, hvilken af betydningerne der gælder hos jer.
- At holde DPO’en ude af sikkerhedsbeslutninger · beslutninger om sikkerhed har betydning for persondata, og DPO’en skal inddrages rettidigt.
- At tro, at rollerne flytter ansvaret · ledelsen ejer både databeskyttelse og sikkerhed.
Det skal I kræve af den eksterne
Har I en eller flere af rollerne udefra, så kræv dette.
- ☐ En skriftlig beskrivelse af, hvilke roller personen har, og hvor grænserne går.
- ☐ Oplysning om alle andre roller hos jer og jeres leverandører, så mulige interessekonflikter kan vurderes fra start.
- ☐ En aftalt arbejdsgang ved hændelser, hvor det står, hvem der gør hvad.
- ☐ Rapportering til ledelsen, der holder sikkerhed og databeskyttelse adskilt, så begge dele kan følges.
Næste skridt er at skrive navnene på dem, der i dag bærer de tre ansvarsområder hos jer. Står samme navn tre steder, eller står der intet navn, er det dér, I bør begynde. Gennemgangen er forenklet og erstatter ikke juridisk rådgivning. Alle roller er samlet under Rollerne i ekstern IT-ledelse.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 33 om anmeldelse af brud, art. 38, stk. 6, om andre opgaver og art. 39 om DPO’ens opgaver.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 2.1 om ansvaret og 5.2 om hvem der kan være DPO.
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets ansvar.
Senest gennemgået: november 2026.
Næste skridt
Læs også: CISO, vCISO og cyber security advisor · CPO: tre roller med samme forkortelse
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
