DPO’en er ikke personligt ansvarlig for, at virksomheden overholder databeskyttelsesreglerne. Det står direkte i retningslinjerne fra Artikel 29-gruppen (WP243), som Datatilsynet har oversat. Ansvaret ligger hos den dataansvarlige, altså virksomheden. Datatilsynets vejledning går et skridt videre og oplyser, at det er den dataansvarlige, der sanktioneres, også selv om overtrædelsen skyldes forkert rådgivning fra DPO’en. For ledelsen betyder det, at en DPO ikke køber virksomheden fri. Rollen rådgiver og overvåger, mens beslutningerne og konsekvenserne bliver hos jer.
Hvem svarer for hvad
Forordningen placerer ansvaret ét sted. Efter art. 5, stk. 2, er den dataansvarlige ansvarlig for og skal kunne påvise, at grundprincipperne overholdes. Art. 24 gør det samme for de tekniske og organisatoriske foranstaltninger. Hvad det betyder, at den dataansvarlige er virksomheden og ikke en person, er gennemgået i Dataansvarlig: er det en person eller virksomheden?.
Konsekvenserne følger samme linje:
- Administrative bøder · efter art. 83 er det den dataansvarlige og databehandleren, der straffes. Art. 83, stk. 4, litra a, nævner deres forpligtelser efter blandt andet art. 25 til 39. Selve pligterne omkring DPO’en er derfor virksomhedens pligter.
- Erstatning · efter art. 82 kan den, der har lidt skade, kræve erstatning fra den dataansvarlige eller databehandleren. DPO’en er ikke nævnt.
- Tilsyn · Datatilsynets tilsyn er rettet mod den dataansvarlige. DPO’en er kontaktpunkt for tilsynet efter art. 39, stk. 1, litra e, og inddrages, men bærer ikke ansvaret for sagen.
Heller ikke overvågningsopgaven ændrer billedet. Art. 39, stk. 1, litra b, pålægger DPO’en at overvåge overholdelsen, men WP243 afsnit 4.1 er klar på, at overvågning ikke gør DPO’en personligt ansvarlig, og Datatilsynets vejledning siger, at opgaven ikke medfører, at rådgiveren overtager selve ansvaret.
Hvorfor reglerne er skruet sammen sådan
Fordelingen hænger sammen med uafhængigheden. Efter art. 38, stk. 3, kan ledelsen ikke instruere DPO’en i opgaverne, og WP243 understreger samtidig, at uafhængigheden ikke giver DPO’en beslutningskompetence ud over opgaverne i art. 39. Beslutningerne ligger altså fortsat hos ledelsen.
Dertil kommer, at en DPO ikke må sætte retningen. EU-Domstolen fastslog i X-FAB Dresden (C-453/21), at en DPO ikke kan få opgaver, der lader vedkommende bestemme, hvorfor og hvordan oplysningerne behandles, da det netop er det, der skal føres uafhængigt tilsyn med. Den, der ikke må beslutte, kan heller ikke være den, der svarer for beslutningen. Grænsen er uddybet under interessekonflikter ved andre opgaver.
Hvad det betyder for ledelsens forventninger
En DPO skal give jer gode råd og en ærlig vurdering. Fire forventninger er rimelige, og fire er det ikke.
Det kan I forvente:
- At DPO’en vurderer og siger til, når noget er problematisk.
- At vurderingen er begrundet, så den kan bruges.
- At DPO’en overvåger, at reglerne og jeres egne politikker følges.
- At DPO’en samarbejder med Datatilsynet og svarer registrerede.
Det kan I ikke forvente:
- At DPO’ens ja gør en behandling lovlig.
- At DPO’en beslutter i stedet for ledelsen.
- At DPO’en underskriver på vegne af virksomheden, at alt er i orden.
- At ansvaret flytter med, når funktionen lægges ud til en ekstern.
Sætningen “DPO’en har godkendt det” er derfor en dårlig forklaring over for Datatilsynet. Den rigtige sætning er, at ledelsen har besluttet det efter at have hørt DPO’en. Hvad DPO’en i øvrigt skal, står i Hvad er en DPO?.
Dokumentér, når I er uenige
Ledelsen må gerne følge et andet spor end DPO’ens råd. Art. 38, stk. 1, kræver, at DPO’en inddrages tilstrækkeligt og rettidigt, ikke at rådene følges. WP243 anbefaler som god praksis, at årsagen dokumenteres, når ledelsen ikke følger rådet, og afsnit 4.2 siger det samme om konsekvensanalyser.
Et kort notat er nok. Det bør rumme, hvad DPO’en anbefalede, hvad ledelsen besluttede, hvorfor, og hvem der traf beslutningen. Notatet er jeres eget bevis for, at I har forholdt jer til sagen, og det hænger sammen med pligten til at kunne påvise, at reglerne overholdes. Hvor langt ledelsen må gå over for DPO’en, står under instruks og afskedigelse af DPO’en.
Hvad reglerne ikke afgør
Forordningen handler om forholdet mellem virksomheden, de registrerede og tilsynet. Den svarer ikke på, hvad der gælder mellem jer og DPO’en, hvis rådet var forkert, og I har lidt et tab.
En ansat DPO er omfattet af det almindelige ansættelsesforhold. Art. 38, stk. 3, beskytter vedkommende mod afskedigelse og straf for selve opgavevaretagelsen. Ifølge Datatilsynets vejledning er saglig afskedigelse fortsat mulig, fx hvis opgaverne ikke bliver løst.
En ekstern DPO arbejder efter art. 37, stk. 6, på en tjenesteydelseskontrakt. Hvad der gælder ved fejl, afhænger af aftalen og de almindelige regler. Det er et spørgsmål til jeres advokat. Stil to spørgsmål, før I skriver under: Hvad siger aftalen om ansvar for fejl i rådgivningen, og har udbyderen en ansvarsforsikring, der dækker opgaven?
En aftale kan altså fordele et økonomisk tab mellem jer og udbyderen. Den kan ikke flytte forordningens ansvar over på DPO’en. Valget af model er gennemgået i Intern eller ekstern DPO, og hvad en ekstern skal levere, står i Ekstern DPO.
Ledelsens egen stilling er et andet spørgsmål end virksomhedens. Dækker det jer personligt som direktør, så er det et spørgsmål til jeres advokat i den konkrete sag.
Det skal I lade være med
- At bruge DPO’en som forsikring · rollen flytter ikke ansvaret.
- At lade DPO’en beslutte for at slippe selv · det kan skabe den interessekonflikt, reglerne skal forhindre.
- At holde råd væk fra referatet · en dokumenteret uenighed er bedre end ingen dokumentation.
- At straffe DPO’en for et ubehageligt svar · det er præcis det, art. 38, stk. 3, forbyder.
Det skal I kræve af den eksterne
- ☐ Skriftlige vurderinger, som ledelsen kan bruge og gemme.
- ☐ Klar besked om, hvad DPO’en ikke tager ansvar for.
- ☐ En aftale, der beskriver ansvar ved fejl i rådgivningen.
- ☐ Oplysning om, hvilken forsikring der dækker opgaven.
- ☐ En direkte vej til den øverste ledelse.
Næste skridt er at finde den seneste sag, hvor nogen sagde, at DPO’en havde godkendt noget, og skrive ned, hvem der faktisk traf beslutningen. Artiklen forenkler reglerne og erstatter ikke juridisk rådgivning.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 5, stk. 2, art. 24, art. 37, stk. 6, art. 38, stk. 1 og 3, art. 39, stk. 1, art. 82 og art. 83, stk. 4, litra a.
- Artikel 29-gruppen: Retningslinjer om databeskyttelsesrådgivere, WP243, dansk udgave hos Datatilsynet: indledningen, afsnit 3.1, 3.3, 4.1 og 4.2 samt spørgsmål 12 i bilaget.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 2.1 om relationen til den dataansvarlige, afsnit 5.3 om overvågning og afsnit 5.5 om beskyttelse.
- EU-Domstolens dom af 9. februar 2023, sag C-453/21, X-FAB Dresden: præmis 44.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Frivillig DPO · DPO, CPO og CISO: hvem gør hvad?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
