Ledelsen har reelt fire muligheder: en ansat DPO, en ekstern DPO på kontrakt, og hvis der ikke er pligt til en DPO, en intern koordinator uden titlen eller rådgivning efter behov. Valget afhænger af, om I er forpligtet, om der findes en kvalificeret medarbejder uden en interessekonflikt, og hvor meget persondata fylder i hverdagen. Forordningen stiller de samme krav til en ansat og en ekstern DPO, så spørgsmålet er, hvor kravene er lettest at opfylde hos netop jer.
Først: skal I have en DPO?
To af de fire muligheder gælder kun, hvis I ikke er forpligtet. Vurderingen står under pligten til en DPO. Er I forpligtet, står valget mellem ansat og ekstern. Er I ikke, kan I vælge frit, men hvis I bruger betegnelsen DPO, gælder forordningens krav fuldt ud, som beskrevet i Frivillig DPO.
De fire muligheder
Ansat DPO. En medarbejder har rollen, helt eller delvist. Datatilsynets vejledning nævner, at en medarbejder i en IT-sektion kan varetage funktionen på deltid, og at folk med ansvar for compliance eller koordinering af IT-sikkerhed og ledende IT-folk kan påtage sig rollen, når det øverste ansvar ligger hos andre. Fordelen er, at personen er i huset, ser tingene ske og kender kulturen. Ulempen er, at DPO’en står i en dobbeltrolle over for sin chef og sine kolleger.
Ekstern DPO. En enkeltperson eller et firma har rollen på en tjenesteydelseskontrakt. Fordelen er afstanden og specialviden, og at der kan være et team bag. Ulempen er, at personen skal holdes orienteret, og at timerne skal stå mål med opgaven. Rollen er beskrevet i Ekstern DPO.
Intern koordinator uden titlen. Er I ikke forpligtet, kan I give en medarbejder ansvaret for databeskyttelse. Retningslinjerne fra Artikel 29-gruppen siger, at intet står i vejen for det, når det står klart, at personen ikke har titlen databeskyttelsesrådgiver. Datatilsynets vejledning nævner en compliance-rådgiver som eksempel, og at forordningens krav til DPO’er så ikke gælder.
Rådgivning efter behov. I køber hjælp udefra til en konkret opgave, fx en konsekvensanalyse eller et svar på et kundespørgsmål. Det kræver, at nogen i huset ved, hvornår hjælpen er nødvendig. Også her skal det være klart, at rådgiveren ikke er jeres DPO.
Fire spørgsmål, der afgør valget
- Findes der en kvalificeret medarbejder uden konflikt? Lederne af IT og HR er ifølge vejledningen udelukket, se artiklen om interessekonflikter. Hvis de eneste med indsigt er dem, der har truffet beslutningerne, peger det udad.
- Kan personen få tiden? Vejledningen kræver, at funktionen kan udøves fyldestgørende. Retningslinjerne advarer mod, at andre prioriteter får DPO’ens opgaver til at glide. En medarbejder med et fuldt job og en DPO-rolle ovenpå er det klassiske problem.
- Hvor meget skal der ske i hverdagen? Behandler I oplysninger, som ændrer sig dagligt, og hvor medarbejderne har mange spørgsmål, har nærhed en værdi. Er behandlingerne stabile, er en fast ekstern rytme ofte nok.
- Hvor sælger I jer selv på databeskyttelse? Hvis kunderne spørger til det, skal I kunne vise, at nogen har fagligheden. Det taler for en DPO eller en ekstern rådgiver frem for en koordinator alene.
Konflikter findes begge steder
Det er en udbredt forestilling, at en ekstern DPO er fri for konflikter. Afstanden hjælper, men retningslinjerne nævner, at interessekonflikter kan se forskellige ud, afhængigt af om DPO’en er intern eller ekstern. For interne roller handler det især om stillinger, der fastlægger formål og midler, fx administrerende direktør, teknisk direktør, økonomidirektør, marketingchef, personalechef og leder af IT-afdelingen.
For en ekstern handler det om andre ting. Retningslinjerne giver et eksempel, hvor en ekstern DPO bliver bedt om at repræsentere virksomheden ved domstolene i en sag om databeskyttelse. Andre situationer, I selv bør tage stilling til, er en ekstern, der også er jeres IT-chef, sikkerhedsansvarlig eller IT-leverandør, og som derfor skal vurdere sit eget arbejde. Vejledningen minder desuden om, at advokater og revisorer skal holde sig inden for deres egne faglige og etiske regler. Se flere roller hos én.
Kombinationer
Valget behøver ikke være enten eller. En almindelig løsning er en ekstern DPO og en intern kontaktperson, der kender huset og bærer det praktiske. Det giver afstanden og nærheden på samme tid, så længe kontaktpersonen ikke er den, der træffer beslutningerne om behandlingerne. Vejledningen beskriver også en DPO, der støttes af en enhed.
Tænk på to tænkte virksomheder. Et privat plejehjemsselskab med flere lokationer har en koordinator på hvert sted og vælger en ekstern DPO, fordi ingen medarbejder har fagligheden eller afstanden. Et softwarehus uden pligt til en DPO giver i stedet en udviklingsansvarlig ansvaret for fortegnelsen og køber rådgivning, når nye produkter kræver det.
Skriv valget ned
Vurderingen bør stå på skrift, ligesom vurderingen af, om I skal have en DPO. Et kort notat rummer de muligheder, I har set på, personens øvrige opgaver, tiden, der er afsat, og hvornår valget tages op igen. Skifter I fra intern til ekstern eller omvendt, skal kontaktoplysningerne opdateres, se DPO’ens kontaktoplysninger.
Det skal I lade være med
- At vælge den, der har tid · kvalifikationer og fravær af konflikt går forud.
- At give en koordinator titlen DPO for en sikkerheds skyld · så gælder alle kravene.
- At antage, at en ekstern automatisk er uafhængig · spørg til alle andre roller.
- At lade spørgsmålet ligge, fordi I ikke er forpligtet · behovet kan stadig være der.
Det skal I kræve af den eksterne
- ☐ En klar oplysning om, om personen er DPO eller rådgiver.
- ☐ En liste over andre roller hos jer og hos jeres leverandører.
- ☐ En beskrivelse af, hvordan samarbejdet med jeres kontaktperson skal foregå.
- ☐ Et realistisk bud på den tid, opgaven kræver hos jer.
Lav som næste skridt en liste over de medarbejdere, der kunne komme på tale, og notér ud for hver de beslutninger, personen selv træffer om persondata. Teksten er en forenklet gennemgang og ikke juridisk rådgivning.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 37, stk. 5 og 6, og art. 38, stk. 6.
- Artikel 29-gruppen: Retningslinjer om databeskyttelsesrådgivere, WP243, dansk udgave hos Datatilsynet: afsnit 2.1 om frivillig udpegning og titler, 3.2 om tid og 3.5 om interessekonflikter.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 3.2 om frivillig udpegning og 5.2 om, hvem der kan være DPO.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er en DPO? · Kan en koncern have én fælles DPO?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
