Databeskyttelsesforordningen kræver en databeskyttelsesrådgiver, en DPO, i tre situationer. Det gælder for offentlige myndigheder og organer. Det gælder for virksomheder, hvis kerneaktivitet kræver, at mange personer overvåges regelmæssigt og systematisk. Og det gælder for virksomheder, hvis kerneaktivitet er behandling i stort omfang af følsomme oplysninger eller oplysninger om straffedomme. Ifølge Datatilsynets vejledning skal de fleste private virksomheder derfor ikke udpege en DPO. Ledelsen bør alligevel foretage vurderingen og skrive den ned, også når svaret er nej.
De tre situationer i art. 37, stk. 1
Bestemmelsen kan læses som tre spor. Det er nok at være omfattet af ét af dem.
- Offentlige myndigheder og organer · skal altid have en DPO, uanset hvilke oplysninger de behandler. Domstole er undtaget, når de handler som domstole.
- Overvågning · den dataansvarlige eller databehandleren har som kerneaktivitet behandlinger, der kræver regelmæssig og systematisk overvågning af registrerede i stort omfang.
- Følsomme oplysninger og straffedomme · kerneaktiviteten består af behandling i stort omfang af særlige kategorier af oplysninger efter art. 9 eller oplysninger om straffedomme og lovovertrædelser efter art. 10.
For private virksomheder er det spor 2 og 3, der er relevante. Datatilsynet beskriver dem som tre betingelser, der alle skal være opfyldt: behandlingen skal være kerneaktivitet, den skal ske i stort omfang, og den skal enten være overvågning eller vedrøre følsomme oplysninger eller straffedomme. Pligten gælder både den dataansvarlige og databehandleren, altså også en leverandør, der behandler oplysninger på andres vegne.
Kerneaktivitet eller biaktivitet
Den første betingelse frasorterer de fleste. Alle virksomheder behandler personoplysninger om medarbejdere og kunder, men ifølge vejledningen er den slags gængse behandlinger en biaktivitet, der understøtter hovedforretningen. HR, løn, kundekartotek, salg, support og et bookingsystem gør altså ikke i sig selv behandlingen til en kerneaktivitet.
Kerneaktivitet er der tale om, når virksomhedens produkt eller tjeneste består af behandling af personoplysninger eller er uløseligt forbundet med den. Vejledningen nævner som eksempler cloud-computing og hosting, privathospitaler, forsikringsselskaber, søgemaskiner, tele- og internetudbydere, rekrutteringsvirksomheder og apps, der er bygget på personoplysninger.
Produktionsvirksomheden med 40 ansatte behandler oplysninger om sine medarbejdere, herunder sygefravær. Det er følsomme oplysninger, men behandlingen er en biaktivitet, og vejledningen bruger netop HR-oplysninger som eksempel på, at følsomme oplysninger ikke alene udløser pligten.
Hvad betyder stort omfang?
Forordningen definerer ikke stort omfang. Datatilsynet henviser til fire kriterier fra Artikel 29-gruppens retningslinjer:
- antallet af personer, både som tal og som andel af befolkningen,
- mængden af oplysninger og antallet af forskellige typer,
- varigheden, og om behandlingen er permanent,
- den geografiske udstrækning.
Vejledningens eksempler peger i samme retning. En lægepraksis med få læger og et mindre forsikringsselskab i én landsdel behandler formentlig ikke i stort omfang. Et landsdækkende forsikringsselskab gør. Vurderingen er konkret, og to virksomheder i samme branche kan lande forskelligt. Det gør det fristende at vælge den konklusion, der er nemmest. Notér derfor de tal, vurderingen bygger på, fx antal registrerede, typer af oplysninger og hvor i landet kunderne bor, så en anden senere kan følge ræsonnementet. Flere af fagordene i vurderingen er forklaret i ordlisten.
Overvågning og følsomme oplysninger
Regelmæssig og systematisk overvågning dækker ifølge vejledningen fx sporing og profilering på internettet, kreditvurdering, vurdering af forsikringspræmier, lokationssporing via apps og adfærdsbaseret annoncering. Følsomme oplysninger er bl.a. helbred, etnisk oprindelse, politisk og religiøs overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske og biometriske data til entydig identifikation og seksuelle forhold.
Tag softwarehuset med fem udviklere, der driver en app til at følge brugernes træning og helbred, og som har kunder i hele landet. Her kan alle tre betingelser være opfyldt, og en DPO kan være påkrævet. Lever samme softwarehus af at udvikle regnskabssystemer til andre virksomheder, er billedet et helt andet. Begge vurderinger afhænger af de faktiske tal og bør gennemgås konkret.
Sådan dokumenterer ledelsen vurderingen
Datatilsynet anbefaler, at virksomheder, der ikke er forpligtet, dokumenterer vurderingen, så den kan fremvises for tilsynet. Et notat på en til to sider er som regel nok, og det kan med fordel forelægges bestyrelsen sammen med den øvrige rapportering om IT og risici. Hvad bestyrelsen bør modtage, når IT-ledelsen ligger uden for huset, er beskrevet i Bestyrelsens rolle.
- ☐ En kort beskrivelse af virksomhedens hovedaktivitet.
- ☐ En liste over de vigtigste behandlinger af personoplysninger.
- ☐ En vurdering af hver af de tre betingelser med begrundelse.
- ☐ Konklusionen og datoen, underskrevet eller godkendt af direktionen.
- ☐ En aftale om, hvornår vurderingen tages op igen, fx ved nye produkter eller opkøb.
Vælger virksomheden at udpege en DPO uden at være forpligtet, gælder forordningens krav fuldt ud, også om uafhængighed og inddragelse. Alternativet er en databeskyttelsesansvarlig med en anden titel. Forskellen står i Frivillig DPO, og DPO’ens opgaver og stilling er gennemgået i artiklen om rollen.
Det skal I lade være med
Vurderingen kan gå galt på flere måder, også når den bliver foretaget.
- At konkludere ud fra følsomme oplysninger alene · uden kerneaktivitet og stort omfang er der ikke pligt.
- At antage, at små virksomheder altid er fri · en lille virksomhed kan have en kerneaktivitet, der rammer mange personer.
- At glemme rollen som databehandler · leverer I en tjeneste, der behandler andres persondata, skal vurderingen også dække den.
- At lade vurderingen ligge · nye produkter og kunder kan ændre svaret.
- At udpege den forkerte · den øverste IT- eller HR-ansvarlige kan ifølge vejledningen ikke være DPO, se Kan IT-chefen også være DPO?
Det skal I kræve af den eksterne
Bruger I en ekstern til vurderingen eller til selve rollen, så kræv følgende.
- ☐ En skriftlig vurdering, der følger de tre betingelser og henviser til kilderne.
- ☐ Kendskab til jeres branche og jeres systemer.
- ☐ En klar markering af, hvor vurderingen beror på skøn.
- ☐ Oplysning om andre roller hos jer, der kan give interessekonflikter.
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud. Næste skridt er at skrive notatet og sætte en dato i kalenderen, hvor det skal gennemgås igen. Brug skabelonen ovenfor, og lad direktionen godkende konklusionen. Gennemgangen her forenkler reglerne og er ikke juridisk rådgivning, så er I i tvivl, så søg rådgivning om netop jeres forhold. Mere om rollen findes på siden om DPO’en.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 37, stk. 1, om de tre situationer, samt art. 9 og 10.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 3 om privates pligt, kerneaktivitet, stort omfang, eksempler, dokumentation og frivillig udpegning, afsnit 4 om offentlige myndigheder og afsnit 5.2 om hvem der kan være DPO.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Frivillig DPO · DPO, CPO og CISO: hvem gør hvad?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
