En ekstern DPO er en databeskyttelsesrådgiver, der ikke er ansat hos jer, men løser opgaven på en tjenesteydelseskontrakt. Forordningen giver den mulighed i art. 37, stk. 6, og kontrakten kan indgås med en enkeltperson eller en organisation. Rollen er den samme som hos en ansat: DPO’en rådgiver, overvåger, er kontaktpunkt for Datatilsynet og kan ikke instrueres i, hvordan arbejdet udføres. Forskellen er praktisk. Den eksterne er ikke i huset, så I skal aftale, hvordan personen får at vide, hvad der sker. DPO as a service er en anden betegnelse for det samme.
Det, den eksterne gør
Opgaverne fremgår af art. 39 og er forklaret i Hvad er en DPO?. I en ekstern rolle ser de typisk sådan ud i hverdagen:
- gennemgår, om politikker og praksis følger reglerne,
- rådgiver ledelsen og medarbejderne, når der opstår spørgsmål,
- giver sin vurdering, når en ny behandling kræver en konsekvensanalyse,
- er kontaktperson for Datatilsynet og for de personer, oplysningerne handler om,
- rapporterer til det øverste ledelsesniveau.
Forordningen forudsætter, at den, der skal rådgive, ved, hvad der foregår. Artikel 29-gruppens retningslinjer, som Datatilsynet har udgivet på dansk, siger, at DPO’en skal inddrages så tidligt som muligt, og det er sværere at leve op til, når rådgiveren sidder et andet sted.
Det, der bliver hos jer
Det vigtigste at forstå er, at en ekstern DPO ikke overtager ansvaret. Virksomheden er stadig dataansvarlig og skal kunne vise, at reglerne overholdes. Datatilsynets vejledning beskriver, at det er den dataansvarlige, der bliver sanktioneret, hvis reglerne ikke følges, også hvis DPO’en har rådgivet forkert. Se Dataansvarlig: er det en person eller virksomheden?.
Hos jer bliver derfor beslutningerne om, hvad oplysninger bruges til, valget af systemer og ansvaret for fortegnelsen over behandlinger, selv om DPO’en kan hjælpe med den. I skal også udpege en person i huset, som DPO’en kan henvende sig til. Hvad den person skal have tid og mandat til, står i Den interne kontaktperson.
Udføres opgaven af en ekstern, må DPO’en ikke samtidig træffe de beslutninger, vedkommende skal vurdere. Beder I den eksterne om at vælge systemer eller fastlægge, hvad oplysninger skal bruges til, kan der opstå en interessekonflikt. Aftal derfor, hvad der er rådgivning, og hvad I selv beslutter.
Sådan holdes en ekstern DPO orienteret
Det er her, rollen oftest svigter. En DPO, der bliver orienteret for sent, kan ikke løse sin opgave. Fem faste aftaler løser det meste:
- Besked før beslutning · nye systemer, nye leverandører og nye anvendelser af data går forbi DPO’en, før beslutningen træffes.
- Faste møder · med den interne kontaktperson og med direktionen.
- Adgang · til fortegnelsen, til relevante politikker og til de afdelinger, der behandler oplysninger.
- Brud · DPO’en får besked med det samme, når der sker et brud på persondatasikkerheden, med en navngiven vej for henvendelsen.
- Kendskab i huset · alle medarbejdere får at vide, hvem DPO’en er, og hvordan personen kontaktes.
Retningslinjerne nævner, at det er god praksis at fastlægge den tid, funktionen kræver, og lave en arbejdsplan. Det passer godt til en ekstern rolle med en timeramme. Tiden skal stå mål med opgaven, for forordningen kræver, at DPO’en får de nødvendige ressourcer. Se Timeramme, svartid og tilgængelighed.
Det, aftalen skal rumme
Kontrakten skal beskytte uafhængigheden, ellers er titlen værdiløs. Retningslinjerne siger, at opsigelse af kontrakten ikke må ske som en reaktion på DPO’ens arbejde, på samme måde som en ansat DPO er beskyttet mod afskedigelse for sine opgaver. Se Må ledelsen instruere eller afskedige DPO’en?.
Bed desuden om følgende i aftalen:
- rollen beskrevet, så det er tydeligt, hvornår personen handler som DPO,
- en navngiven DPO og hovedkontakt, også hvis et team står bag,
- klar fordeling af opgaverne i teamet, som retningslinjerne anbefaler,
- tavshedspligt, som DPO’en i forvejen er underlagt efter art. 38, stk. 5,
- hvordan andre opgaver for jer eller jeres leverandører håndteres,
- sprog, så medarbejdere, registrerede og Datatilsynet kan kommunikere med DPO’en,
- afløser ved fravær og overdragelse ved ophør.
Den eksterne skal være tilgængelig, hvad enten det sker fysisk, via telefon eller på anden sikker måde. Sæt svartider på, særligt til brud på persondatasikkerheden.
Kontaktoplysningerne skal offentliggøres og meddeles Datatilsynet efter art. 37, stk. 7, også når DPO’en er ekstern. Hvordan, står i DPO’ens kontaktoplysninger. Hvis en DPO skiftes, skal oplysningerne opdateres.
Når I skal vælge
Om I overhovedet skal have en DPO, er en særskilt vurdering, se pligten til en DPO. Står valget mellem at placere rollen internt eller eksternt, er det gennemgået i Intern eller ekstern DPO.
Har I besluttet en ekstern DPO, er første skridt normalt at se på, hvor I står. Sådan er ydelsen også bygget op hos Nielco IT: først en gennemgang med en prioriteret vurdering, derefter et løbende samarbejde med faste timer pr. måned, mens et databrud ligger uden for rammen.
Det skal I lade være med
- At tro, at ansvaret er flyttet · det ligger stadig hos den dataansvarlige.
- At lade DPO’en skrive det hele · rådgiver og beslutter skal holdes adskilt.
- At opsige kontrakten, fordi rådgivningen er ubekvem · beskyttelsen gælder også eksterne.
- At glemme medarbejderne · en DPO, ingen kender, kan ikke kontaktes.
Det skal I kræve af den eksterne
- ☐ En navngiven DPO og en afløser.
- ☐ Dokumenteret viden om databeskyttelsesret og praksis og forståelse for jeres systemer.
- ☐ Oplysning om andre opgaver, der kan give interessekonflikter.
- ☐ En årlig skriftlig rapport til direktionen.
- ☐ En aftalt vej og svartid ved brud på persondatasikkerheden.
Find som næste skridt den person, der i dag får besked, når I tager et nyt system i brug. Det er den person, en ekstern DPO først skal tale med. Teksten forenkler reglerne og er ikke juridisk rådgivning.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 37, stk. 6 og 7, art. 38 og art. 39.
- Artikel 29-gruppen: Retningslinjer om databeskyttelsesrådgivere, WP243, dansk udgave hos Datatilsynet: afsnit 2.4 om tilgængelighed, 2.5 om tjenesteydelseskontrakt, 3.1 om inddragelse, 3.2 om ressourcer og 3.4 om afskedigelse.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 2.1 om ansvaret og 5.2 om eksterne rådgivere.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Frivillig DPO · Aftalen om ekstern IT-ledelse
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
