Udpeger en virksomhed frivilligt en databeskyttelsesrådgiver, en DPO, gælder de samme regler, som hvis udpegningen var lovpligtig. Datatilsynets vejledning nævner kravene til opgaver, kvalifikationer, stilling, beskyttelse og inddragelse. Den frivillige DPO må altså heller ikke modtage instrukser om sine opgaver, skal rapportere direkte til den øverste ledelse og må ikke afskediges for at udføre dem. Vil virksomheden have én person med ansvaret for persondata uden de bindinger, kan den i stedet udpege en databeskyttelsesansvarlig med en anden titel.
Hvorfor virksomheder vælger en DPO frivilligt
De fleste private virksomheder er ikke forpligtet. Det fremgår af Hvornår skal virksomheden have en DPO?, hvor de tre situationer i forordningens art. 37, stk. 1, står forklaret. Alligevel kan der være gode grunde til at overveje rollen.
- Kundekrav · en stor kunde vil have navnet på den, der svarer for databeskyttelsen.
- Vækst · virksomheden er på vej mod en kerneaktivitet, der kan udløse pligten senere.
- Overblik · ledelsen ønsker én fast person, der følger området og siger til, når noget halter.
- Troværdighed · en uafhængig funktion kan give kunder og medarbejdere tillid til, at reglerne tages alvorligt.
Ingen af grundene kræver i sig selv titlen DPO. Det er derfor værd at overveje, hvad virksomheden vil opnå, før betegnelsen tages i brug.
Det følger med titlen
Når virksomheden kalder en person for DPO eller databeskyttelsesrådgiver, skal rollen leve op til forordningens art. 37 til 39. I praksis betyder det:
- Kvalifikationer · personen udpeges på grundlag af faglig viden om databeskyttelsesret og praksis (art. 37, stk. 5).
- Offentlige kontaktoplysninger · oplysningerne skal offentliggøres og meddeles til Datatilsynet (art. 37, stk. 7).
- Inddragelse og ressourcer · DPO’en skal inddrages i tide og have den tid og støtte, opgaverne kræver (art. 38, stk. 1 og 2).
- Uafhængighed · ingen instrukser om opgaverne, beskyttelse mod afskedigelse og sanktioner for at udføre dem og direkte rapportering til øverste ledelse (art. 38, stk. 3).
- Tavshedspligt · i forbindelse med udførelsen af opgaverne (art. 38, stk. 5).
- Ingen interessekonflikt · andre opgaver må ikke kollidere med funktionen (art. 38, stk. 6).
- Minimumsopgaverne · rådgivning, overvågning, rådgivning om konsekvensanalyser og samarbejde med Datatilsynet (art. 39).
Vejledningen bemærker, at en usaglig afskedigelse af en DPO kan straffes med bøde. Det gælder også den frivillige. Punkt 6 er ofte det sværeste i en mindre virksomhed, og det behandles i Kan IT-chefen også være DPO?.
Alternativet med en anden titel
Vejledningen åbner selv for alternativet. Udpeger virksomheden en medarbejder som fx compliance-rådgiver, gælder forordningens krav til en DPO ikke. Titler som databeskyttelsesansvarlig eller koordinator for persondata bruges på samme måde.
En sådan rolle kan virksomheden forme frit. Den kan få instrukser, indgå i den almindelige ledelseslinje og både træffe beslutninger og følge op på dem. Den kan ligge hos en person, der også har ansvaret for IT eller HR. Til gengæld giver den ikke den uafhængighed, der følger med en egentlig DPO, og den kan ikke bruges, hvis virksomheden senere viser sig at være forpligtet.
Det praktiske råd er at holde betegnelserne skarpt adskilt. Bruges ordet DPO i en privatlivspolitik, et kundesvar eller en e-mailsignatur, kan det forstås som en udpegning, og så kan kravene gælde. Hvad de enkelte titler dækker, er forklaret i ordlisten.
Forskellen i praksis
Forestil jer et softwarehus med fem udviklere, hvor en stor kunde beder om dokumentation for databeskyttelsen. Softwarehuset er ikke forpligtet til at have en DPO, men skal kunne vise, at nogen har ansvaret.
Med en frivillig DPO får kunden et navn på en uafhængig funktion, der rapporterer direkte til direktøren, og som ikke kan instrueres i sine vurderinger. Softwarehuset skal til gengæld finde en person uden konflikter og stille ressourcer til rådighed. Med en databeskyttelsesansvarlig kan softwarehusets produktchef få opgaven og løse den sammen med sit øvrige arbejde, men kunden får ingen uafhængighed. Hvilken løsning der passer, afhænger af, hvad kunden faktisk spørger efter. Spørg derfor, før I vælger.
Sådan vælger I
Tre spørgsmål kan føre jer frem til den rigtige løsning.
- Har I behov for, at en uafhængig person kan sige fra over for ledelsen, uden at ledelsen kan instruere vedkommende?
- Findes der en kandidat, internt eller eksternt, som ikke har andre opgaver, der giver en konflikt?
- Kan I stille de ressourcer til rådighed, som rollen kræver, også om et år?
Er svaret ja til alle tre, kan en frivillig DPO være det rigtige. Er svaret nej til et af dem, er en databeskyttelsesansvarlig med en anden titel ofte mere ærlig over for både kunder og medarbejdere. Ansvaret for at overholde reglerne ligger under alle omstændigheder hos virksomheden selv. Rollen og dens stilling er beskrevet i Hvad er en DPO?, og forskellen til en Chief Privacy Officer, der træffer beslutningerne, står i Chief Privacy Officer.
Det skal I lade være med
- At kalde en medarbejder DPO for at lukke et kundespørgsmål · titlen binder jer til hele regelsættet.
- At give den frivillige DPO instrukser · reglerne om uafhængighed gælder fuldt ud.
- At blande betegnelserne · brug enten DPO med alle kravene eller en anden titel konsekvent.
- At undlade at meddele Datatilsynet · har I udpeget en DPO, skal kontaktoplysningerne meddeles.
Det skal I kræve af den eksterne
Vælger I en ekstern til rollen, med eller uden titlen DPO, så kræv dette.
- ☐ En klar aftale om, hvilken af de to roller der er tale om.
- ☐ Dokumenteret viden om databeskyttelsesret og om jeres systemer.
- ☐ Oplysning om andre roller hos jer eller jeres leverandører.
- ☐ En funktionsbeskrivelse og en aftalt form for rapportering til direktionen.
- ☐ En opsigelsesklausul, der tager højde for DPO’ens beskyttelse, hvis titlen bruges.
Næste skridt er at beslutte, om I har brug for uafhængigheden, eller om det er ansvaret, I mangler. Teksten er en forenklet gengivelse og erstatter ikke juridisk rådgivning. Rollen er samlet på DPO: databeskyttelsesrådgiveren.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 37, stk. 1, 5 og 7, art. 38 og art. 39 om udpegning, stilling og opgaver.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 3.2 om frivillig udnævnelse og medarbejdere med andre titler og afsnit 5.5 om beskyttelse mod afskedigelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kan IT-chefen også være DPO? · DPO, CPO og CISO: hvem gør hvad?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
