Ja. Databeskyttelsesforordningens art. 37, stk. 2, giver en koncern lov til at udpege én fælles databeskyttelsesrådgiver for alle selskaberne. Betingelsen er, at DPO’en er let tilgængelig fra hvert forretningssted. Datatilsynets vejledning lægger to ting ind i det krav. Medarbejderne skal kunne kommunikere med DPO’en på et sprog, de forstår, og der skal være afsat ressourcer, der svarer til omfanget af de selskaber, DPO’en dækker. Hvert selskab er fortsat selv dataansvarlig, også når rådgivningen er samlet hos én person.
Hvad bestemmelsen siger
Art. 37, stk. 2, er kort. En koncern kan udpege én databeskyttelsesrådgiver, forudsat at rådgiveren er let tilgængelig fra hvert etableringssted. Forordningen giver ikke en nærmere definition af “let tilgængelig”, og derfor er vejledningen fra Datatilsynet nyttig.
Vejledningen nævner også, at muligheden for en fælles DPO ikke er forbeholdt koncerner. Andre private virksomheder kan dele en DPO, og et rådgivningsfirma kan varetage funktionen for flere dataansvarlige på samme tid på grundlag af tjenesteydelseskontrakter. Koncernreglen er dermed en udtrykkelig bekræftelse af noget, der i praksis er udbredt.
Om selskaberne i koncernen overhovedet har pligt til at udpege en DPO, afgøres for hvert selskab ud fra art. 37, stk. 1. Den vurdering er gennemgået i Hvornår skal virksomheden have en DPO?. Ofte er det kun ét eller to selskaber, der er omfattet, og så skal ledelsen beslutte, om den fælles DPO også skal dække resten frivilligt.
Let tilgængelig i praksis
Tilgængelighed handler om, at de mennesker, der har brug for DPO’en, kan komme i kontakt og blive forstået. Det gælder tre grupper:
- Medarbejderne i hvert selskab, som skal kunne spørge til råds og indberette hændelser.
- De registrerede, altså kunder, ansatte og andre, som vil bruge deres rettigheder.
- Datatilsynet og eventuelle tilsynsmyndigheder i andre lande, hvor koncernen har aktiviteter.
Sproget er det første, vejledningen fremhæver. En koncern med selskaber i Danmark, Tyskland og Polen kan godt have én DPO, men medarbejdere og registrerede i hvert land skal kunne kommunikere med vedkommende. Det kan løses med et team bag DPO’en, med lokale kontaktpersoner eller med faste aftaler om oversættelse.
Ressourcerne er det andet. Vejledningen nævner medarbejdere, rejsebudget og IT-understøttelse som eksempler. En DPO, der dækker fem selskaber med hver sit system til kundedata, har brug for markant mere tid end en DPO i et enkelt selskab. Art. 38, stk. 2, kræver i forvejen, at DPO’en får de ressourcer, opgaverne kræver. I en koncern skal ressourcerne regnes ud fra summen af selskaberne.
Den fysiske afstand er det tredje. Et kontor på hvert sted er der intet krav om. Personen skal dog kunne nå frem, når en sag kræver det, fx ved et brud eller et tilsynsbesøg.
Hvem DPO’en rapporterer til
Art. 38, stk. 3, siger, at DPO’en rapporterer direkte til det øverste ledelsesniveau. I en koncern er spørgsmålet, hvis øverste ledelse. Hvert selskab er selvstændigt dataansvarligt, og hver direktion har ansvaret for sit selskab. Har selskabet både bestyrelse og direktion, peger Datatilsynets vejledning på direktionen som det niveau, DPO’en rapporterer til. Direktionen giver derefter bestyrelsen besked om de væsentlige forhold.
En fælles DPO bør derfor have en direkte linje til direktionen i hvert af de selskaber, den dækker, også datterselskaberne. En samlet rapport til koncernledelsen kan være praktisk, men den må ikke erstatte, at det enkelte selskabs direktion får de forhold at vide, der angår netop det selskab.
Hvordan IT-ledelsen i det hele taget placeres i en koncern, er et bredere spørgsmål, som er behandlet i Koncern med datterselskaber.
Intern eller ekstern fælles DPO
Valget mellem en ansat og en ekstern DPO ser lidt anderledes ud i en koncern end i et enkelt selskab.
For en intern løsning taler, at koncernen ofte er stor nok til at have en egnet medarbejder, og at personen kan lære alle selskaberne at kende. Der kan også bygges et lille team. Udfordringen er interessekonflikter. En medarbejder i moderselskabets IT- eller HR-ledelse har typisk været med til at beslutte de behandlinger, DPO’en skal vurdere, og vejledningen udelukker den øverste IT- og HR-ansvarlige. Problemet er gennemgået i Kan IT-chefen også være DPO?.
For en ekstern løsning taler, at personen står uden for alle selskaber og derfor har lettere ved at bevare uafhængigheden over for både moderselskab og datterselskaber. Udfordringen er tilgængeligheden. En ekstern DPO har andre opgaver, og aftalen skal sikre, at der er tid nok og faste kanaler i hvert selskab. Sproget kan også være en begrænsning, hvis koncernen har selskaber i flere lande.
En tredje model er en intern DPO med eksterne til at dække bestemte lande eller tekniske områder. Her er det vigtigt, at ét navn står som DPO over for tilsynet, og at fordelingen af opgaverne er skrevet ned. Kontaktoplysningerne skal meddeles for hvert selskab, se DPO’ens kontaktoplysninger.
Det skal I lade være med
- At udpege moderselskabets IT-chef som fælles DPO · personen vurderer sine egne beslutninger.
- At regne tiden ud fra ét selskab · ressourcerne skal svare til hele koncernen.
- At lade sproget være et efterhåndsspørgsmål · medarbejdere og registrerede skal kunne blive forstået.
- At rapportere kun til koncernledelsen · hvert selskabs direktion skal have sine forhold at vide.
- At glemme datterselskaber, der kommer til · et opkøb kræver, at udpegningen og meddelelsen opdateres.
Det skal I kræve af den eksterne
- ☐ En liste over de selskaber, aftalen dækker, og en procedure for nye.
- ☐ En tidsramme, der er fastsat ud fra alle selskaberne tilsammen.
- ☐ Faste kontaktpersoner i hvert selskab og en aftalt svartid.
- ☐ Oplysning om, hvilke sprog DPO’en og et eventuelt team kan arbejde på.
- ☐ Rapportering til hver direktion og en samlet oversigt til koncernledelsen.
- ☐ Oplysning om andre roller i koncernen, der kan give interessekonflikter.
Næste skridt er at skrive en liste over koncernens selskaber og ud for hver notere, om det har pligt til en DPO, hvilket sprog medarbejderne taler, og hvor mange behandlinger af persondata der er. Listen viser hurtigt, om én fælles DPO er realistisk, og hvor meget tid rollen kræver. Artiklen giver et overblik over reglerne, og jeres koncern bør få den konkrete vurdering hos en jurist. Mere om rollen findes under DPO: databeskyttelsesrådgiveren.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 37, stk. 1 og 2, om pligten og den fælles DPO, og art. 38, stk. 2 og 3, om ressourcer og rapportering.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 3.3 om fælles databeskyttelsesrådgiver, sprog og ressourcer, og afsnit 5.4 om øverste ledelsesniveau.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Må ledelsen instruere eller afskedige DPO’en? · Hvad er en DPO?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
