Så meget, at DPO’en kan kontrollere, og så lidt, at DPO’en aldrig kommer til at drive noget. Art. 38, stk. 2, kræver, at I støtter DPO’en med ressourcer og adgang til personoplysninger og behandlingsaktiviteter. Forordningen beskriver ikke, hvordan adgangen skal se ud. I praksis kan det meste løses med rapporter, logudtræk, læseadgang og deltagelse i møder. En ekstern DPO har sjældent brug for administratorrettigheder, og den slags rettigheder skaber problemer for rollen. Niveauerne nedenfor er vores arbejdsmetode. Ingen myndighed har beskrevet dem.
Hvorfor adgangen betyder noget
Overvågningen af overholdelsen hører til DPO’en efter art. 39, stk. 1, litra b. Den opgave kan ikke løses alene med de dokumenter, virksomheden selv lægger frem, for papiret siger, hvad der burde ske. Forskellen er emnet i politik og virkelighed og når DPO’en går ned i systemerne.
Samtidig er DPO’en selv en, der behandler personoplysninger. Princippet om dataminimering i art. 5, stk. 1, litra c, og sikkerheden i art. 32 gælder også for jeres rådgivers adgang. Datatilsynets katalog over foranstaltninger har punkter om dataadgang efter behov og minimering af privilegerede adgangsrettigheder. Det ville klæde enhver DPO at leve efter dem.
Fire niveauer
Tænk i niveauer, og start ved det laveste, der kan besvare spørgsmålet.
- Samtaler og møder. DPO’en deltager i de møder, hvor beslutninger om data tages, og taler med dem, der kender systemerne. Mange spørgsmål bliver afklaret her.
- Dokumenter og rapporter. Fortegnelsen, databehandleraftaler, brudlog, politikker, oversigter over brugere og roller, rapporter fra administrationscentre. IT eller leverandøren trækker dem, og DPO’en læser.
- Målrettede udtræk. Stikprøver fra en log, en liste over konti med adgang til en bestemt mappe, en oversigt over slettede poster. DPO’en beskriver, hvad der er brug for, og I laver udtrækket.
- Læseadgang. En personlig konto med læserettigheder til administrationsflader eller rapporter, når de tre første niveauer ikke er nok, eller når kontrollen skal gentages ofte.
Tænkt eksempel: DPO’en vil vide, om fratrådte medarbejdere stadig har konti i økonomisystemet. IT leverer en liste over aktive brugere, HR leverer en liste over fratrådte, og DPO’en sammenligner de to. Der er ikke brug for at logge ind i systemet.
Hvorfor administratorrettigheder er et dårligt valg
Får DPO’en lov til at ændre noget, kan DPO’en ende med at kontrollere sine egne ændringer. Datatilsynets FAQ advarer mod, at en DPO bedømmer noget, vedkommende selv har været med til at indføre. Vores metode bygger på, at DPO’en driver intet selv.
En administratorkonto er desuden et mål for angribere. Det giver ingen mening at øge risikoen med en konto, der kun bruges en gang imellem. Har en fejl hos DPO’en konsekvenser for driften, bliver ansvaret også uklart.
Læserettigheder har også en grænse. Læseadgang til en hel postkasse eller et HR-system kan være en større indgriben, end kontrollen berettiger. Vælg udtræk, hvor det kan lade sig gøre, og overvej pseudonymiserede stikprøver, hvor navnene ikke er pointen.
Sådan gives adgangen sikkert
Behandl DPO’en som enhver anden ekstern med adgang, og gør det uden undtagelser.
- Personlig konto. Ingen fælles login, for logningen skal kunne vise, hvem der har set hvad.
- Multifaktorautentifikation. Den står i Datatilsynets katalog, og den gælder også rådgivere.
- Tidsbegrænsning. Adgang på niveau 4 gives for en periode og forlænges aktivt.
- Logning. DPO’ens egne opslag skal logges som alle andres.
- Sikker overførsel. Udtræk sendes krypteret og opbevares kun så længe, kontrollen kræver.
- Lukning. Alt lukkes samme dag, aftalen ophører.
Oplysninger, der kopieres ud til DPO’en, rejser spørgsmålet i er den eksterne DPO databehandler?. Jo mere der kan ses på stedet, jo enklere bliver det.
Når IT eller leverandøren er tilbageholdende
Art. 38, stk. 2, er en pligt for virksomheden. Har I en leverandør, der driver systemerne, skal den kunne levere rapporter og udtræk, og det skal stå i aftalen med leverandøren eller kunne bestilles. Afvises en anmodning, bør det gå til den ledelse, DPO’en rapporterer til.
Omvendt kan DPO’en godt spørge sig selv, om der er brug for det hele. Ledelse og IT har krav på en forklaring på, hvad oplysningerne skal bruges til. Formålet skal stå i anmodningen, så en medarbejder i IT kan se, hvorfor udtrækket bestilles.
Sådan går I videre
Lav et kort bilag til aftalen: hvilke systemer, hvilket niveau, hvem der leverer, og hvor ofte. Start med de systemer, der rummer flest personoplysninger, og udvid ud fra risiko, så art. 39, stk. 2, styrer rækkefølgen. Gennemgå bilaget en gang om året, og hold det ajour, når systemer kommer til eller forsvinder. Hvordan I rydder op i rettigheder generelt, står i alle kan se alt.
Det skal I lade være med
- At give administratorrettigheder af bekvemmelighed · DPO’en skal kunne kontrollere uden at røre.
- At afvise adgang med henvisning til fortrolighed · art. 38, stk. 2, og tavshedspligten er bygget til netop det.
- At dele et login · så kan opslag ikke føres tilbage til en person.
Det skal I kræve af den eksterne
- ☐ Et forslag til adgange på det lavest mulige niveau.
- ☐ En begrundelse for hver adgang på niveau 3 og 4.
- ☐ Personlig konto og multifaktorautentifikation.
- ☐ Sletning af udtræk, når kontrollen er færdig.
- ☐ Afvisning af rettigheder, der gør det muligt at ændre jeres systemer.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 1, litra c, art. 32, art. 38, stk. 2, og art. 39.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om evaluering af egne tiltag.
- Datatilsynet: Katalog over foranstaltninger: dataadgang efter behov, minimering af privilegerede rettigheder og multifaktorautentifikation.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Politik og virkelighed · Det, en DPO ikke skal lave for jer
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
