Databeskyttelsesforordningen tillader, at DPO-funktionen udføres efter en tjenesteydelseskontrakt (art. 37, stk. 6), og siger næsten intet om, hvad kontrakten skal indeholde. Aftalen må derfor selv bære det, art. 38 kræver af jer: rettidig inddragelse, ressourcer, adgang, frihed for instrukser og en direkte vej til det øverste ledelsesniveau. En holdbar aftale er kendetegnet ved, at DPO’en kan give jer et ubehageligt svar, uden at kontrakten kommer i spil. De fælles punkter om tid, fortrolighed og afslutning står i aftalen om ekstern IT-ledelse. Her handler det om det særlige ved DPO-rollen. Den juridiske formulering af kontrakten er et spørgsmål til advokat.
Hvorfor aftalen adskiller sig fra en konsulentkontrakt
I en almindelig konsulentaftale bestemmer køberen, hvad der skal leveres, og hvordan resultatet skal se ud. Sådan kan det ikke være her. I fastlægger rammerne, altså opgaver, tid og rapportering, mens vurderingerne ligger hos DPO’en. Art. 38, stk. 3, forbyder instrukser om udførelsen af opgaverne.
EDPB, det europæiske samarbejdsorgan for tilsynsmyndighederne, gennemgik DPO’ernes vilkår i en rapport fra januar 2024. Rapporten foreslår at formalisere vilkårene og nævner et såkaldt engagement letter, et kort dokument om rollen og betingelserne for den. For en ekstern DPO er det kontrakten, der løfter den opgave.
Opgaver og afgrænsning
Start med art. 39, som er minimum: rådgive, overvåge overholdelsen, rådgive om konsekvensanalyser, samarbejde med Datatilsynet og være kontaktpunkt. Aftalen bør gentage de fem opgaver og derefter sige, hvad der ligger hos jer. Beslutninger, udførelse og ansvar bliver i virksomheden. Skal DPO’en have opgaver ud over minimum, skrives de på en særskilt liste, så I kan se, om de går ud over kontrollen. Grænsen er gennemgået i artiklen om DPO’ens opgaver.
Tid og tilgængelighed
Datatilsynets vejledning siger, at omfanget afgøres konkret, og art. 39, stk. 2, kræver, at DPO’en prioriterer efter risiko. Der findes ingen fast norm. Aftalen skal derfor beskrive den aftalte ramme, og hvad der sker, når den ikke rækker. Hvem tager beslutningen, når et år kræver mere end forudset? Aftalen bør også sige, at I får en begrundelse, hvis DPO’en vurderer, at rammen er for lille. Sådan tager I stilling til omfanget i hvor meget tid en DPO skal have.
Datatilsynet har ved et tilsyn i 2021 lagt vægt på, at en ekstern DPO med flere organisationer reelt er til rådighed for dem alle. Spørg derfor, hvordan DPO’en fordeler sig, og hvor mange henvendelser der kan klares inden for rammen.
Inddragelse og adgang
Art. 38, stk. 1 og 2, er jeres forpligtelser, og en ekstern DPO opdager kun det, nogen fortæller. Aftalen bør derfor sige, hvilke møder DPO’en deltager i, og at nye systemer og leverandører meldes, før de købes. Listen findes i artiklen om inddragelse. Adgangen beskrives i et bilag, der kan ændres uden at åbne hele aftalen, se artiklen om adgange.
Rapportering og uafhængighed
Art. 38, stk. 3, giver en direkte linje til det øverste ledelsesniveau. Skriv i aftalen, hvem det konkret er hos jer, og at rapporten når frem uden at være redigeret af kontaktpersonen. Skriv også, at vurderingerne er DPO’ens egne, og at en vurdering aldrig kan være grund til at reducere rammen eller opsige samarbejdet. Baggrunden står i artiklen om uafhængighed.
Interessekonflikter skal vurderes konkret, så aftalen bør nævne de opgaver, den eksterne ellers har hos jer, og pålægge begge parter at sige til, når noget ændrer sig. Er den eksterne også jeres CISO, skal aftalen kalde det en kombi-stilling.
Afløser, varighed og ophør
Et team kan udføre funktionen under én ansvarlig person. WP243, den fælles vejledning fra de europæiske tilsynsmyndigheder, vil have opgaverne tydeligt fordelt og én hovedkontakt, gerne nævnt i kontrakten. Også en navngiven enkeltperson skal have en aftalt løsning for ferie og sygdom, se én navngiven DPO eller et team.
En stabil kontrakt gør det ifølge WP243 lettere for DPO’en at stå fast. Det taler for en fast periode eller et varsel, der gælder begge parter. Aftalen skal også beskrive, hvad der overdrages ved ophør, og at I meddeler nye kontaktoplysninger efter art. 37, stk. 7. Opsigelsen er behandlet i opsigelse af en ekstern DPO.
Fortrolighed og oplysninger hos DPO’en
Tavshedspligten bør skrives ind, også for en frivillig DPO, se tavshedspligt og konkurrerende kunder. Tag samtidig stilling til, hvilke oplysninger DPO’en gemmer selv, og hvem der er ansvarlig for dem, se er den eksterne DPO databehandler?.
Akutte brud
Fristen i art. 33 tager ingen hensyn til en månedlig rytme. Datatilsynet vil gerne se en fast procedure for orientering af DPO’en, og det er som udgangspunkt den dataansvarlige, der beslutter om anmeldelse og håndtering. Aftalen bør derfor sige, hvordan I når DPO’en ved et brud, om arbejdet ligger inden for eller uden for rammen, og hvordan det bestilles. Lad det være afklaret, før det første brud sker. Mere om det i procedure ved brud.
Sådan går I videre
Læg jeres udkast ved siden af art. 37 til 39, og sæt et kryds ved hvert punkt ovenfor, som aftalen dækker. De manglende punkter er jeres dagsorden med den eksterne og med advokaten. Efter underskriften venter de første 90 dage, hvor udpegelse, adgange og procedurer kommer på plads. Hos Nielco IT starter samarbejdet med en gennemgang og en vurdering, der prioriterer anbefalingerne efter risiko. Derefter arbejdes der månedligt inden for en aftalt timeramme, og akutte brud ligger uden for den. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At underskrive leverandørens standardaftale ulæst · den skal kunne læses sammen med art. 38.
- At lade kontaktpersonen stå som modtager af alle rapporter · rapporteringsvejen skal nå øverste ledelsesniveau.
- At vente med brud til et senere tillæg · det punkt skal være på plads fra første dag.
Det skal I kræve af den eksterne
- ☐ En opgaveliste, der skelner mellem art. 39 og tillægsopgaver.
- ☐ Et afsnit om uafhængighed og rapportering til en navngiven modtager.
- ☐ En aftalt løsning for fravær og en plan for overdragelse.
- ☐ Klar besked om, hvordan arbejde uden for rammen bestilles.
- ☐ En erklæring om andre opgaver hos jer og hos jeres leverandører.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 33 og art. 37 til 39.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om procedure ved brud og konkret vurdering af konflikter.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 5.2 om ekstern rådgiver og omfang.
- WP243 på dansk: afsnit 2.5 om tjenesteydelseskontrakt og team og afsnit 3.4 om stabile kontrakter.
- EDPB: rapport om DPO’er, januar 2024: anbefalingerne om formaliserede vilkår.
- Datatilsynet: tilsyn med DPO’ens opgavevaretagelse, 2021: eksterne DPO’ers rådighed.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kan en betalt ekstern DPO være uafhængig? · Sådan foregår det
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
