En DPO, Data Protection Officer, er på dansk en databeskyttelsesrådgiver. Det er en funktion, som databeskyttelsesforordningen beskriver i art. 37 til 39. DPO’en rådgiver virksomheden og medarbejderne om reglerne for persondata, overvåger, at reglerne bliver overholdt, og er kontaktpunkt for Datatilsynet. Funktionen har en særlig uafhængig stilling. DPO’en må ikke modtage instrukser om, hvordan opgaverne skal løses, og rapporterer direkte til det øverste ledelsesniveau. Ansvaret for at overholde reglerne ligger fortsat hos virksomheden selv.
Opgaverne efter art. 39
Forordningen fastlægger en række opgaver, som DPO’en som minimum skal varetage. Gengivet i forenklet form er de:
- Underrette og rådgive virksomheden og de ansatte, der behandler personoplysninger, om deres pligter efter reglerne.
- Overvåge at forordningen og virksomhedens egne politikker bliver overholdt, herunder ansvarsfordeling, oplysning, uddannelse af personale og revisioner.
- Rådgive om konsekvensanalyser, når der anmodes om det, og overvåge, hvordan de gennemføres. En konsekvensanalyse er en vurdering af risikoen for de berørte personer, før en ny behandling sættes i gang.
- Samarbejde med Datatilsynet.
- Være kontaktpunkt for Datatilsynet i spørgsmål om behandlingen.
DPO’en skal i sit arbejde tage hensyn til risikoen ved de forskellige behandlinger (art. 39, stk. 2). I praksis betyder det, at tiden bruges på de områder, hvor der er mest på spil for de personer, oplysningerne handler om. Datatilsynets vejledning nævner eksempler som indkøb af nye IT-systemer, krav til leverandører og udarbejdelse af politikker, hvor DPO’en bør inddrages.
En måned med en DPO
I praksis består arbejdet af faste og løbende opgaver. Fast er typisk en gennemgang af fortegnelsen over behandlingsaktiviteter, opfølgning på hændelser med persondata og en kort rapport til direktionen. Løbende kommer spørgsmål fra medarbejdere, en ny leverandør, der skal vurderes, eller en afdeling, der vil bruge et nyt system til kundedata. Her skal DPO’en høres, før beslutningen træffes, så rådgivningen kan nå at gøre en forskel.
Forestil jer et privathospital eller en virksomhed, der lever af at analysere forbrugeres adfærd. Her vil DPO’en have travlt. I en virksomhed, hvor DPO’en er udpeget frivilligt, og persondata mest handler om kunder og medarbejdere, kan rollen fylde langt mindre.
Uafhængighed og kontakt til Datatilsynet
Uafhængigheden er det, der adskiller DPO’en fra næsten alle andre roller i virksomheden. Efter art. 38 gælder blandt andet, at DPO’en:
- skal inddrages rettidigt og tilstrækkeligt i alle spørgsmål om beskyttelse af personoplysninger,
- skal have de ressourcer, der er nødvendige for at udføre opgaverne og holde sin viden ved lige,
- ikke må modtage instrukser om udførelsen af opgaverne,
- ikke må afskediges eller straffes for at udføre dem,
- rapporterer direkte til det øverste ledelsesniveau,
- er bundet af tavshedspligt eller fortrolighed,
- gerne må have andre opgaver, så længe de ikke fører til en interessekonflikt.
Datatilsynets vejledning lægger vægt på, at øverste ledelsesniveau i et privat selskab med både bestyrelse og direktion må forstås som direktionen, som så skal orientere bestyrelsen om væsentlige forhold, DPO’en påpeger. Hvilke interne roller der typisk kolliderer med uafhængigheden, er gennemgået i Kan IT-chefen også være DPO?
Udadtil skal virksomheden offentliggøre DPO’ens kontaktoplysninger og meddele dem til Datatilsynet (art. 37, stk. 7). Også de personer, oplysningerne handler om, kan kontakte DPO’en om deres rettigheder (art. 38, stk. 4). DPO’en er dermed bindeleddet udadtil, men vedkommende er ikke tilsynets repræsentant i virksomheden. DPO’en er en del af virksomhedens egen organisation og arbejder for at hjælpe den med at overholde reglerne.
Ansvaret bliver hos ledelsen
Ansvaret for at overholde reglerne flytter ikke med udpegningen af en DPO. Datatilsynets vejledning slår fast, at det er den dataansvarlige, altså virksomheden, der skal overholde reglerne og bliver sanktioneret, hvis det ikke sker, også selv om rådgivningen fra DPO’en har været forkert. Ledelsen skal tage DPO’ens vurderinger i betragtning, og vejledningen anbefaler, at det dokumenteres, når rådgivningen ikke følges.
DPO-rollen bør heller ikke forveksles med en Chief Privacy Officer, som er en ledelsesrolle, der træffer beslutninger om persondata. Forskellen er forklaret i Chief Privacy Officer og i sammenligningen DPO, CPO og CISO.
Intern eller ekstern DPO
DPO’en kan være ansat i virksomheden eller udføre opgaverne på grundlag af en tjenesteydelseskontrakt (art. 37, stk. 6). DPO’en udpeges på grundlag af faglige kvalifikationer, især ekspertise i databeskyttelsesret og praksis (art. 37, stk. 5). Datatilsynet skriver i sin vejledning, at der ikke er krav om en bestemt uddannelse, fx som jurist, og at den øverste IT-ansvarlige og den øverste HR-ansvarlige ikke kan være DPO.
I mindre virksomheder er det netop de personer, der kender persondataene bedst, og derfor vælger mange en ekstern DPO. Hos Nielco IT varetages rollen med en baggrund i mere end 30 års arbejde med IT-sikkerhed, så de tekniske foranstaltninger kan vurderes ved siden af reglerne.
Om virksomheden overhovedet skal have en DPO, er en anden vurdering. De tre situationer, hvor forordningen kræver en DPO, er gennemgået i artiklen om hvornår en DPO er påkrævet, og hvad der følger med en DPO uden lovkrav, står i Frivillig DPO.
Det skal I lade være med
- At udpege IT-chefen eller HR-chefen · vejledningen udelukker den øverste ansvarlige på de to områder.
- At inddrage DPO’en for sent · et system, der er købt og sat op, kan være svært at rette til.
- At give DPO’en instrukser om konklusionen · det strider mod forordningen.
- At kalde en medarbejder DPO uden at mene det · titlen udløser reglerne fuldt ud.
- At glemme meddelelsen til Datatilsynet · kontaktoplysningerne skal meddeles og offentliggøres.
Det skal I kræve af den eksterne
Vælger I en ekstern DPO, bør aftalen dække punkterne herunder.
- ☐ Dokumenteret viden om databeskyttelsesret og praksis.
- ☐ Forståelse for jeres systemer, så tekniske foranstaltninger kan vurderes.
- ☐ En funktionsbeskrivelse, der viser, hvornår personen handler som DPO.
- ☐ Fast rapportering til direktionen og en aftale om, hvordan bestyrelsen orienteres.
- ☐ Tilgængelighed for medarbejdere, registrerede og Datatilsynet.
- ☐ Oplysning om andre opgaver og roller, der kan give interessekonflikter.
Næste skridt er at afklare, om I er forpligtet til at have en DPO, og at skrive vurderingen ned. Teksten her er en forenklet gengivelse af reglerne og ikke juridisk rådgivning. Rollen er samlet på siden om DPO’en, hvor også valget mellem intern og ekstern placering er beskrevet.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 37, stk. 5 til 7, art. 38 og art. 39 om DPO’ens udpegning, stilling og opgaver.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 2.1 om ansvaret, 5.2 om hvem der kan være DPO, 5.3 og 5.4 om opgaver, inddragelse og øverste ledelsesniveau.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kan IT-chefen også være DPO? · Rollerne i ekstern IT-ledelse
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
