DPO: databeskyttelsesrådgiveren

En DPO, Data Protection Officer, hedder på dansk databeskyttelsesrådgiver. Rollen er beskrevet i EU’s databeskyttelsesforordning, artikel 37 til 39, og består i at rådgive virksomheden om reglerne for persondata, overvåge, at de bliver overholdt, og være kontaktpunkt for Datatilsynet. Det særlige ved rollen er kravet om uafhængighed: DPO’en må ikke få instrukser om, hvordan opgaverne skal løses, og rapporterer direkte til den øverste ledelse. Kun nogle virksomheder har pligt til at udpege en DPO, men alle bør kunne forklare, hvorfor de har eller ikke har en.

Siden her forklarer rollen for ledelsen. Den er ikke juridisk rådgivning, og om netop jeres virksomhed er omfattet, skal vurderes ud fra forordningen og Datatilsynets vejledning.

Hvad DPO’en skal

Efter artikel 39 har DPO’en som minimum disse opgaver:

• Underrette og rådgive · ledelsen og de medarbejdere, der behandler personoplysninger, om deres forpligtelser.
• Overvåge overholdelsen · af forordningen og virksomhedens egne politikker, herunder fordeling af ansvar, oplysning og uddannelse af medarbejdere.
• Rådgive om konsekvensanalyser · når en ny behandling kan indebære en høj risiko for de registrerede, og følge op på analysen.
• Samarbejde med Datatilsynet · og være tilsynets kontaktpunkt.

Det er rådgivning og kontrol. DPO’en træffer ikke virksomhedens beslutninger om persondata og har ikke ansvaret for, at reglerne overholdes. Det ansvar ligger hos den dataansvarlige, altså virksomheden og dens ledelse. Rollen kort forklaret står i Hvad er en DPO?.

Hvornår rollen er lovpligtig

Artikel 37, stk. 1, nævner tre situationer, hvor der skal udpeges en DPO:

1. Offentlige myndigheder og organer · med undtagelse af domstole, når de handler som domstol.
2. Overvågning i stort omfang · når virksomhedens kerneaktiviteter består af behandling, der kræver regelmæssig og systematisk overvågning af registrerede i stort omfang.
3. Følsomme oplysninger i stort omfang · når kerneaktiviteterne består af behandling i stort omfang af særlige kategorier af oplysninger, fx helbredsoplysninger, eller af oplysninger om straffedomme.

For de fleste private virksomheder er det afgørende ordene kerneaktivitet og stort omfang. En virksomhed, der kun behandler oplysninger om egne medarbejdere og almindelige kundeoplysninger, vil sjældent være omfattet. En virksomhed, hvis forretning er at analysere brugeres adfærd eller behandle helbredsoplysninger, kan meget vel være det. Datatilsynets vejledning giver eksempler på grænsen.

Gennemgangen af de tre situationer med neutrale eksempler, og hvordan ledelsen dokumenterer sin vurdering, også når svaret er nej, står i Hvornår skal virksomheden have en DPO?.

Uafhængigheden

Artikel 38 giver DPO’en en særlig stilling i organisationen. DPO’en skal inddrages i tide i alle spørgsmål om databeskyttelse, have de ressourcer, opgaven kræver, og må ikke afskediges eller straffes for at udføre sine opgaver. DPO’en rapporterer direkte til det øverste ledelsesniveau.

Efter artikel 38, stk. 6, må DPO’en gerne have andre opgaver, men de må ikke føre til en interessekonflikt. Det rammer de roller, der selv fastlægger, hvordan og hvorfor persondata behandles: typisk direktøren, IT-chefen, HR-chefen og marketingchefen. Den, der har besluttet en behandling, kan vanskeligt også vurdere den uafhængigt. Hvilke interne roller der typisk kolliderer, er gennemgået i Kan IT-chefen også være DPO?, og spørgsmålet om at samle flere roller hos én ekstern står i Kan én ekstern dække flere roller?.

Ekstern eller intern placering

Forordningen giver begge muligheder. Efter artikel 37, stk. 6, kan DPO’en være ansat i virksomheden eller løse opgaverne på grundlag af en servicekontrakt. En koncern kan udpege én fælles DPO, hvis vedkommende er let tilgængelig fra alle enheder. Uanset placering skal DPO’ens kontaktoplysninger offentliggøres og meddeles til Datatilsynet efter artikel 37, stk. 7.

En intern DPO kender virksomheden og er til stede i hverdagen. Udfordringen er at finde en medarbejder, der både har den nødvendige viden og ikke sidder i en rolle, der giver konflikter. En ekstern DPO står uden for organisationen og har lettere ved at bevare uafhængigheden, men skal have tid nok og adgang nok til at følge med i, hvad der sker. Valget afhænger af virksomhedens størrelse, hvor meget persondata fylder, og om der findes en oplagt intern kandidat.

Vælger virksomheden en ekstern DPO, bør aftalen beskrive, hvordan DPO’en holdes orienteret. Det kan være faste møder med den interne kontaktperson, adgang til fortegnelsen over behandlingsaktiviteter og en aftale om, at DPO’en inddrages, før nye systemer eller leverandører tages i brug. Uden den løbende kontakt har DPO’en svært ved at løse de opgaver, som artikel 38 og 39 beskriver.

Frivillig DPO

Nogle virksomheder udpeger en DPO uden at have pligt til det, fordi kunder forventer det, eller fordi ledelsen vil have én person med ansvaret. Det er muligt, men når betegnelsen DPO bruges, gælder forordningens regler om stilling og opgaver fuldt ud. Alternativet er en databeskyttelsesansvarlig med en anden titel og frit fastlagte opgaver. Forskellen er forklaret i Frivillig DPO.

Det skal I lade være med

• At udpege den, der har tid · DPO’en skal have faglige kvalifikationer og kendskab til databeskyttelsesret og praksis, jf. artikel 37, stk. 5.
• At give DPO’en en beslutningsrolle ved siden af · det kan skabe den interessekonflikt, artikel 38 forbyder.
• At glemme meddelelsen til Datatilsynet · kontaktoplysningerne skal både offentliggøres og meddeles tilsynet.
• At blande DPO og Chief Privacy Officer sammen · den ene overvåger, den anden beslutter. Se CPO: tre roller med samme forkortelse.

Det skal I kræve af den eksterne

• Dokumenteret viden om databeskyttelse · og om de systemer, hvor persondataene faktisk ligger.
• En aftale, der sikrer uafhængigheden · ingen instrukser om opgaverne og direkte adgang til den øverste ledelse.
• Klarhed om tilgængelighed · især ved brud på persondatasikkerheden, hvor tiden er knap.
• En årlig rapport til ledelsen · om, hvad DPO’en har set, og hvad der bør rettes.

Kilder

• Forordning (EU) 2016/679 på EUR-Lex: artikel 37 om udpegelse, artikel 38 om stilling og artikel 39 om opgaver.
• Datatilsynet: Vejledning om databeskyttelsesrådgivere: myndighedens vejledning om, hvornår der skal udpeges en databeskyttelsesrådgiver, og om rådgiverens stilling.

Senest gennemgået: november 2026.

Næste skridt

• Hvornår skal virksomheden have en DPO?
• Kan IT-chefen også være DPO?
• DPO, CPO og CISO: hvem gør hvad?

Læs også: Hvad er en DPO? · Rollerne i ekstern IT-ledelse

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT