Når en virksomhed har udpeget en DPO, skal den gøre to ting med DPO’ens kontaktoplysninger. Oplysningerne skal offentliggøres, så de personer, virksomheden behandler oplysninger om, kan finde dem, og de skal meddeles Datatilsynet. Begge pligter står i databeskyttelsesforordningens art. 37, stk. 7. Datatilsynet har en formular til meddelelsen, hvor tilsynet beder om virksomhedens navn og CVR-nummer samt DPO’ens navn, telefonnummer og mailadresse. Pligten gælder, uanset om DPO’en er ansat eller ekstern, og den skal følges op, hver gang DPO’en skiftes, eller oplysningerne ændrer sig.
To pligter med hver sin modtager
Offentliggørelsen er rettet mod omverdenen. Kunder, medarbejdere, ansøgere og andre registrerede skal kunne henvende sig til DPO’en om deres rettigheder, og det forudsætter, at de ved, hvordan de kommer i kontakt. Art. 38, stk. 4, giver dem netop den adgang.
Meddelelsen til Datatilsynet er rettet mod myndigheden. Tilsynet skal vide, hvem det kan kontakte i virksomheden om spørgsmål om behandlingen af personoplysninger. DPO’en er tilsynets kontaktpunkt efter art. 39, og det fungerer kun, hvis tilsynet har de rigtige oplysninger.
Forordningen siger ikke, at navnet skal stå i den offentlige del. Mange virksomheder vælger derfor en fast funktionsadresse, fx en mailadresse for databeskyttelse, som bliver liggende, også når personen bag skiftes. Over for Datatilsynet er billedet et andet, for formularen beder om DPO’ens navn. Hvad DPO-rollen i øvrigt indebærer, er forklaret i Hvad er en DPO?.
Hvor oplysningerne skal stå
Forordningen fastlægger ikke ét bestemt sted for offentliggørelsen. I praksis bruger de fleste privatlivspolitikken på hjemmesiden, og det har en god grund. Når virksomheden indsamler personoplysninger, skal den efter art. 13 og 14 oplyse de registrerede om blandt andet DPO’ens kontaktoplysninger, hvis der er en DPO. Teksten skal derfor alligevel ind i oplysningerne til kunder og medarbejdere.
Steder, hvor kontaktoplysningerne typisk bør fremgå:
- Privatlivspolitikken på hjemmesiden · det sted, en registreret først leder.
- Oplysninger til medarbejdere og ansøgere · fx i personalehåndbogen og i stillingsopslag.
- Intranet eller fælles drev · så medarbejderne ved, hvem de skal spørge.
- Formularer og skabeloner · hvor kontaktoplysningerne står i skrivelser til kunder.
Ved et brud på persondatasikkerheden skal anmeldelsen til Datatilsynet desuden indeholde navn og kontaktoplysninger på DPO’en eller et andet kontaktpunkt, jf. art. 33, stk. 3. Det er endnu en grund til, at oplysningerne skal være opdaterede, før noget går galt.
Når DPO’en er ekstern
En ekstern DPO arbejder efter en kontrakt om tjenesteydelser, som art. 37, stk. 6, åbner for. For meddelelsen og offentliggørelsen gør det ingen forskel. Det er stadig virksomheden som dataansvarlig, der har pligten, og Datatilsynets formular skelner ikke mellem en ansat og en ekstern DPO.
Det praktiske spørgsmål er, hvilken mailadresse og hvilket telefonnummer der skal bruges. Der er to muligheder. Den ene er den eksterne DPO’s egne kontaktoplysninger. Den anden er en adresse i virksomhedens eget domæne, som videresendes til DPO’en. Den sidste løsning gør det lettere at skifte DPO, fordi den offentlige adresse ikke skal ændres. Til gengæld skal virksomheden sikre, at henvendelser faktisk når frem, og at ingen internt læser med i en sag, som DPO’en skal behandle fortroligt efter art. 38, stk. 5.
Aftalen med den eksterne bør sige, hvem der indsender meddelelsen til Datatilsynet, og hvem der retter privatlivspolitikken. Ofte forbereder DPO’en teksten, og virksomheden sender og offentliggør. Hvordan en ekstern rolle i øvrigt aftales, står i Aftalen om ekstern IT-ledelse.
Når DPO’en skiftes
Et skift af DPO sker oftere, end mange regner med. En medarbejder stopper, en intern DPO afløses af en ekstern, eller aftalen med en ekstern ophører. Hver gang skal kontaktoplysningerne ajourføres begge steder.
En enkel rækkefølge ved skift:
- Beslut, hvem der overtager, og hvornår.
- Meddel den nye DPO’s oplysninger til Datatilsynet.
- Ret privatlivspolitikken og de øvrige steder, hvor oplysningerne står.
- Omstil funktionsadressen eller telefonnummeret til den nye DPO.
- Overdrag igangværende henvendelser fra registrerede og eventuelle sager hos Datatilsynet.
- Notér datoen for skiftet i jeres dokumentation.
Siden for indmeldelse hos Datatilsynet beskriver ikke særskilt, hvordan et skift håndteres. Den sikre fremgangsmåde er at indsende de nye oplysninger, så snart den nye DPO er udpeget. Står I uden DPO i en periode, selv om I har pligt til at have en, bør det løses hurtigt. Overdragelse mellem eksterne er beskrevet i artiklen om overdragelse fra ekstern.
Frivillig DPO og den, der ikke er DPO
Udpeger I en DPO, selv om forordningen ikke forpligter jer, gælder reglerne om stilling og opgaver fuldt ud, og det samme gør art. 37, stk. 7. Hvornår der er pligt, er gennemgået i Hvornår skal virksomheden have en DPO?, og forskellen på en frivillig DPO og en databeskyttelsesansvarlig med en anden titel står i Frivillig DPO.
Har I valgt en medarbejder med en anden titel, fx en compliance-ansvarlig, skal vedkommende ikke meddeles Datatilsynet som DPO. Kald heller ikke personen DPO i privatlivspolitikken, for så kan registrerede og tilsynet med rette forvente, at forordningens regler om rollen er opfyldt.
Det skal I lade være med
- At skrive en personlig mailadresse som eneste kontakt · når personen stopper, går henvendelser tabt.
- At glemme Datatilsynet ved et skift · tilsynet kontakter så en person, der ikke længere har rollen.
- At offentliggøre oplysningerne et sted, ingen finder · de registrerede skal kunne bruge dem.
- At lade en intern postkasse fange DPO-henvendelser · fortroligheden over for den registrerede kan blive brudt.
- At kalde en databeskyttelsesansvarlig for DPO · titlen udløser forordningens krav.
Det skal I kræve af den eksterne
- ☐ En aftale om, hvem der indsender meddelelsen til Datatilsynet og hvornår.
- ☐ Faste kontaktoplysninger, som ikke ændrer sig undervejs i aftalen.
- ☐ Svar på henvendelser fra registrerede inden for den frist, I aftaler.
- ☐ Bistand til teksten om DPO’en i privatlivspolitikken.
- ☐ En plan for overdragelse af henvendelser og sager, når aftalen ophører.
Begynd med privatlivspolitikken. Kontrollér, om DPO’ens kontaktoplysninger står der og er rigtige, og sammenlign dem med det, I har meldt til Datatilsynet. Gennemgangen er forenklet, og den træder ikke i stedet for juridisk rådgivning. Hele DPO-rollen er beskrevet på siden om DPO’en.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 13 og 14 om oplysningspligt, art. 33, stk. 3, om anmeldelse af brud, art. 37, stk. 6 og 7, og art. 38, stk. 4 og 5.
- Datatilsynet: Indmeld oplysninger om DPO: de oplysninger, tilsynet beder om ved indmeldelse.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 5.3 om meddelelse af kontaktoplysninger og DPO’en som kontaktpunkt.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Må ledelsen instruere eller afskedige DPO’en? · Kan en koncern have én fælles DPO?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
