Reglerne peger ikke på en bestemt baggrund. Art. 37, stk. 5, kræver faglige kvalifikationer, navnlig ekspertise i databeskyttelsesret og -praksis, og Datatilsynets vejledning nævner en bestemt advokat, revisor eller andre kvalificerede eksterne parter. Kravet om ekspertise i databeskyttelse gælder derfor alle tre, og ingen baggrund opfylder det af sig selv. Advokaten er stærkest i tolkningen af reglerne, revisoren i kontrol og metode, og IT-sikkerhedsfolk i det, der sker i systemerne. Hver har en svaghed, som I bør kende. Det rigtige valg afhænger af, hvor risikoen ligger hos jer. Mange leder først efter GDPR-rådgivning eller en GDPR-konsulent, og de samme overvejelser gælder dér, selv om DPO-rollen har egne krav.
Det, alle skal kunne
Før sammenligningen er det værd at slå fast, hvad der ikke kan vælges fra. En DPO skal kunne rådgive om reglerne, overvåge dem, rådgive om konsekvensanalyser, samarbejde med tilsynet og være kontaktpunkt (art. 39, stk. 1). Det kræver, at personen kender forordningen, databeskyttelsesloven, Datatilsynets vejledninger og den praksis, der kommer løbende.
En stærk teknisk baggrund erstatter ikke den viden. En stærk juridisk baggrund erstatter heller ikke evnen til at udføre opgaven, som stk. 5 også nævner, og overvågning kræver, at man kan se, om noget faktisk sker. Sammenligningen handler derfor om, hvad der ligger oven i kravet.
Advokaten
Styrken er tolkningen. En advokat med speciale i databeskyttelse kan læse afgørelser, vurdere en uklar retsstilling, formulere en aftale og forstå, hvor langt en interesseafvejning rækker. Det er særligt værdifuldt, når jeres spørgsmål er juridisk svære: behandlingsgrundlag, ansættelsesforhold, grænseoverskridende behandling eller tvister med registrerede.
Svagheden kan være afstanden til systemerne. Vurderingen af kryptering, logning eller en leverandørs oplysninger må bygge på, hvad andre oplyser, medmindre personen selv kan læse det eller har nogen til at hjælpe. Rollen kan også støde sammen med advokatens andre roller. Vejledningen minder om, at ydelsen skal være forenelig med de etiske regler for den type rådgiver, og fører samme firma sager for jer, skal det vurderes konkret.
Revisoren
Styrken er kontrol som håndværk. Revisorer er vant til at planlægge stikprøver, dokumentere fund, skrive til en ledelse og holde afstand til det, de vurderer. Tankegangen passer godt til overvågningen efter art. 39, og hvis jeres leverandører arbejder med erklæringer, kan de læses med rutine.
Svagheden er, at revision viser, om en kontrol er udført, og ikke nødvendigvis giver svar på, hvad reglerne kræver i en ny situation. En DPO skal også kunne rådgive om en ny behandling, før den findes. Spørg, hvor meget rådgivningserfaring personen har med databeskyttelse. Reviderer samme firma jeres regnskab, er der også en etisk regel at tage stilling til.
IT-sikkerhed
Styrken er nærheden til det, der sker. En person med baggrund i IT-sikkerhed kan læse en adgangsliste, se, om en logning er slået til, spørge rigtigt ind til en leverandør og vurdere, om et brud har ramt det, man tror. Datatilsynets vejledninger om sikkerhed, kataloget over foranstaltninger og art. 32 er skrevet til den slags arbejde. Det er stærkest, når virksomheden har mange systemer, mange leverandører eller meget teknik, som ingen i ledelsen selv kan efterprøve.
Svagheden er at se databeskyttelse som sikkerhed. Art. 32 er en enkelt artikel, og en stor del af reglerne handler om noget andet: formål, grundlag, oplysningspligt, rettigheder og overførsler. En teknisk DPO skal dokumentere den juridiske viden lige så grundigt som en jurist dokumenterer den tekniske. Der er en risiko mere: en person, der kan sætte tingene op, kan let blive den, der gør det. Så kontrollerer vedkommende sit eget arbejde, se grænsen for DPO’ens opgaver.
Sådan afgør I det
Se på jeres egne behandlinger, og stil tre spørgsmål.
- Hvor er spørgsmålene svære? Er tvivlen juridisk, fx ved ansatte, følsomme oplysninger eller komplicerede samarbejder, er den juridiske dybde vigtigst. Er tvivlen, om noget virker, er den tekniske indsigt vigtigst.
- Hvem kan efterprøve leverandørerne? Har I selv kompetente IT-folk, kan en jurist bygge på deres svar, så længe de ikke vurderer sig selv. Har I ingen, står DPO’en alene med leverandørens ord.
- Hvad mangler I i forvejen? Har I jurist i huset, er det sjældent mere jura, I skal købe. Har I en stærk IT-afdeling, kan revisorens metode være det, der mangler.
Et tænkt eksempel: en mindre forsikringsformidler har en intern jurist, en ekstern IT-leverandør og mange følsomme kundeoplysninger. Ingen kan efterprøve leverandøren. Her giver en DPO med teknisk indsigt mening, så længe den juridiske ekspertise også er dokumenteret. Et softwarehus med dygtige udviklere og en uklar rolle som dataansvarlig eller databehandler kan have bedre brug for juridisk dybde.
Baggrundene kan også kombineres. En DPO kan have støtte fra en anden faglighed, og WP243 tillader, at en tjenesteyder løser opgaven som et team under én ansvarlig person. Har I allerede en juridisk DPO, som mangler den tekniske side, så læs vores DPO er jurist.
Det, I skal spørge alle om
Uanset baggrund skal I teste den side, personen er svagest på. Bed advokaten om at fortælle, hvordan kryptering af en bærbar computer vurderes efter et tyveri. Bed sikkerhedsfolkene om at forklare forskellen på behandlingsgrundlag efter art. 6 og art. 9. Bed revisoren om at rådgive om et nyt AI-værktøj, der endnu ikke er købt. Svarene viser mere end cv’et. Flere spørgsmål står i sådan vurderer I en ekstern DPO.
Det skal I lade være med
- At tro, at jura eller teknik alene er nok · art. 37, stk. 5, kræver ekspertise i databeskyttelse hos dem alle.
- At lade baggrunden erstatte en vurdering af konflikter · hver baggrund har sine egne.
- At vælge efter, hvem I kender i forvejen · jeres advokat, revisor eller IT-leverandør kan have andre roller, der støder sammen med opgaven.
Det skal I kræve af den eksterne
- ☐ Dokumentation for ekspertise i databeskyttelsesret og -praksis, uanset baggrund.
- ☐ Et åbent svar på, hvor personens svage side er, og hvordan den dækkes.
- ☐ En redegørelse for andre roller hos jer.
- ☐ Afgrænsning af, hvor den eksterne stopper, og hvor IT eller jura overtager.
Kilder
- Forordning (EU) 2016/679 på dansk: art. 32, art. 37, stk. 5 og 6, art. 38, stk. 6, og art. 39.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 5.2.
- WP243 på dansk: afsnit 2.5.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Når DPO’en går ned i systemerne · Én navngiven DPO eller et team?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
