Er IT-chefen den øverste ansvarlige for IT i virksomheden, er svaret nej. Datatilsynets vejledning om databeskyttelsesrådgivere udelukker både lederen af IT-området og lederen af HR-området fra rollen, fordi de selv træffer mange af de beslutninger, DPO’en skal vurdere. En IT-medarbejder uden det øverste ansvar, en compliance-medarbejder eller en koordinator for IT-sikkerhed kan derimod godt være DPO ved siden af sit øvrige arbejde. Grundlaget er databeskyttelsesforordningens art. 38, stk. 6, som tillader andre opgaver, men kun når de ikke fører til en interessekonflikt.
Reglen i art. 38, stk. 6
Forordningen giver DPO’en lov til at have et andet job, på betingelse af at virksomheden sikrer sig, at de øvrige opgaver ikke skaber en konflikt med funktionen. Bestemmelsen skal læses sammen med art. 38, stk. 3, der forbyder instrukser til DPO’en om opgaverne og giver funktionen en direkte linje til den øverste ledelse.
Datatilsynets vejledning forklarer, at funktionen ikke behøver at være på fuld tid. En medarbejder kan løse DPO-opgaverne nogle timer om ugen og bruge resten af tiden på andet, så længe tiden rækker til at udfylde funktionen ordentligt. Problemet opstår, når det andet arbejde består i at fastlægge, hvorfor og hvordan personoplysninger behandles. Så kommer personen til at rådgive om og kontrollere sine egne valg. Hvad DPO’en i øvrigt skal, er gennemgået i Hvad er en DPO?.
Hvorfor IT-chefen falder for reglen
IT-chefen vælger systemer, leverandører, adgangsstyring og sikkerhedsniveau. Næsten alle de valg har betydning for persondata. Når DPO’en skal vurdere, om et nyt system lever op til reglerne, eller om en leverandør beskytter oplysningerne godt nok, er det ofte IT-chefens egen beslutning, der er til bedømmelse.
Samme logik rammer HR-chefen, som ejer behandlingen af medarbejderoplysninger, herunder følsomme oplysninger om helbred og fravær. Vejledningen nævner udtrykkeligt de to stillinger, men tankegangen kan bruges bredere. Den, der har det øverste ansvar for et område med mange personoplysninger, vil sjældent kunne bedømme området uafhængigt.
Roller, der typisk kolliderer
Ud over de to stillinger, vejledningen nævner, bør ledelsen se kritisk på disse kombinationer:
- Direktøren · træffer de endelige beslutninger om behandlingerne og er den, DPO’en skal rapportere til.
- Marketing- eller salgschefen · fastlægger, hvordan kundedata bruges til analyse og annoncering.
- Chief Privacy Officer · lægger virksomhedens linje for privatliv, som DPO’en skal kunne vurdere, se Chief Privacy Officer.
- Sikkerhedschefen med det øverste ansvar · vil skulle vurdere sit eget sikkerhedsarbejde, når et brud skal bedømmes.
- Produktchefen i et softwarehus · beslutter, hvilke data produktet samler om brugerne.
Om der foreligger en konflikt, afhænger af den konkrete stilling. En titel er ikke nok til at afgøre det, så vurderingen bør bygge på, hvilke beslutninger personen faktisk træffer.
Roller, der kan forenes, og den lille virksomhed
Vejledningen giver også eksempler på den anden side. Ledende IT-medarbejdere uden det øverste ansvar, compliance-medarbejdere og koordinatorer for IT-sikkerhed kan alle udføre funktionen. Fælles for dem er, at de har indsigt i, hvordan virksomheden arbejder, uden selv at sætte retningen.
Vælger I en intern løsning, anbefaler vejledningen en funktionsbeskrivelse, der gør det tydeligt, hvornår personen handler som DPO og derfor ikke kan instrueres, og hvornår vedkommende udfører sit almindelige arbejde. Uden den grænse bliver det svært for både medarbejderen og ledelsen at vide, hvilken hat der er på.
Vejledningen erkender selv, at reglen er svær at opfylde i virksomheder med få ansatte. Her er den øverste IT-ansvarlige ofte direktøren, og der findes ingen medarbejder med indsigt i området, som ikke også har ansvaret for det. Vejledningen peger på to veje, nemlig en fælles DPO for flere organisationer eller en ekstern rådgiver på kontrakt.
Det er her, valget mellem intern og ekstern DPO for alvor bliver relevant. En ekstern DPO står uden for linjeorganisationen, men er ikke automatisk fri for konflikter. Har personen andre roller hos jer eller hos jeres leverandører, fx som IT-chef eller sikkerhedsansvarlig, skal de samme spørgsmål stilles. Vejledningen bemærker desuden, at rådgivere som advokater og revisorer kun kan påtage sig hvervet, i det omfang deres egne faglige og etiske regler tillader det. Om en ekstern kan bære flere roller samtidig, står i artiklen om kombinerede roller, og placeringen af rollen er samlet på DPO: databeskyttelsesrådgiveren.
Skriv vurderingen ned
Vurderingen af interessekonflikter bør dokumenteres på samme måde som vurderingen af, om I overhovedet skal have en DPO, se Hvornår skal virksomheden have en DPO?. Et kort notat kan indeholde:
- ☐ Personens øvrige stillinger og opgaver hos jer.
- ☐ De behandlinger af persondata, personen selv beslutter eller har indflydelse på.
- ☐ En vurdering af, om nogen af dem fører til en konflikt, og hvorfor.
- ☐ Eventuelle tiltag, der skal holde rollerne adskilt.
- ☐ En dato for, hvornår vurderingen gennemgås igen, fx ved ny stilling eller ny organisation.
Det skal I lade være med
- At vælge den, der kender systemerne bedst, uden at se på ansvaret · den bedste kandidat på papiret kan være den, der har truffet beslutningerne.
- At omgå reglen med en ny titel · konflikten afgøres af opgaverne, uanset hvad der står på visitkortet.
- At lade vurderingen være mundtlig · uden notat kan I ikke vise, at I har forholdt jer til spørgsmålet.
- At glemme at gentage vurderingen · en forfremmelse kan ændre billedet fra den ene dag til den anden.
Det skal I kræve af den eksterne
- ☐ En liste over alle opgaver og roller, personen har hos jer og hos jeres leverandører.
- ☐ En erklæring om, at der ikke er kendte konflikter, og en pligt til at oplyse om nye.
- ☐ En aftale, der sikrer, at DPO’en ikke modtager instrukser om sine opgaver.
- ☐ Direkte adgang til direktionen og en aftalt form for rapportering.
Næste skridt er at skrive navnet på jeres nuværende eller kommende DPO ned og ud for det alle personens andre opgaver. Teksten giver et forenklet billede af reglerne og kan ikke bruges som juridisk rådgivning.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 38, stk. 3, om instrukser og rapportering, og art. 38, stk. 6, om andre opgaver og interessekonflikter.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 5.2 om hvem der kan være DPO, herunder virksomheder med få ansatte og eksterne rådgivere, og afsnit 5.3 om funktionsbeskrivelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: DPO, CPO og CISO: hvem gør hvad? · Hvad er en DPO?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
