Forordningen pålægger ikke DPO’en at anmelde sin egen organisation, og de kilder, vi har læst, nævner ingen sådan pligt. Frygten er forståelig, for DPO’en er kontaktpunkt til tilsynet og skal samarbejde med det, jf. litra d og e i art. 39, stk. 1. I praksis er vejen en anden. Problemer går først til ledelsen, som træffer beslutningen. Datatilsynet skriver selv, at DPO’en bør forsøge at afklare tvivl og uenigheder internt, før der sker en officiel henvendelse. Det, der står om Datatilsynets side i denne artikel, er læst den 5. november 2026.
Hvad DPO’en faktisk er over for tilsynet
Art. 39 gør DPO’en til bindeled. Når Datatilsynet har spørgsmål om jeres behandlinger, kan tilsynet henvende sig til DPO’en, og derfor skal kontaktoplysningerne meddeles efter art. 37, stk. 7. DPO’en er jeres kontaktpunkt og samtidig uafhængig i sine vurderinger. Rollen er hverken jeres forsvarer eller tilsynets ansatte.
Datatilsynets side beskriver, at tilsynet også selv kan tage kontakt til DPO’en, fx ved tilsyn, eller hvis det modtager klager over organisationens databehandling. Når tilsynet stiller et spørgsmål, skal DPO’en samarbejde. Det er noget andet end at gå til tilsynet på eget initiativ for at klage over jer.
Hvornår DPO’en kontakter Datatilsynet
Datatilsynets FAQ nævner fire situationer, hvor DPO’en kan kontakte tilsynet.
- Ved tvivl om, hvordan reglerne skal gennemføres i organisationen.
- Ved behov for vejledning, fx ved komplekse konsekvensanalyser.
- Når en konsekvensanalyse viser høj risiko, der ikke kan reduceres, og organisationen er i tvivl om, hvad der skal ske.
- I forbindelse med anmeldelse af brud på persondatasikkerheden.
Fælles for dem er, at DPO’en søger vejledning på organisationens vegne. Ingen af dem er en anmeldelse af jer. FAQ’en bruger ordet “kan”. Der står ingen pligt.
Når bruddet skal anmeldes
Her kan misforståelsen opstå. Art. 33 pålægger den dataansvarlige at anmelde brud, og pligten er virksomhedens. Ifølge FAQ’en træffer den dataansvarlige som udgangspunkt beslutningen om anmeldelse og håndtering. DPO’en rådgiver.
Mener DPO’en, at et brud skal anmeldes, og vælger ledelsen ikke at gøre det, er det en uenighed af samme slags som andre. Den skal skrives ned og begrundes, se artiklen om uenighed. Hvordan vurderingen foregår, står i skal bruddet anmeldes?. Art. 33, stk. 5, kræver desuden, at alle brud dokumenteres, så sagen forsvinder ikke, fordi den ikke blev anmeldt.
Når uafhængigheden er truet
Datatilsynet nævner én situation, hvor en officiel henvendelse kan blive nødvendig. Er situationen alvorlig, og er DPO’ens uafhængighed truet, kan det være nødvendigt at kontakte tilsynet. Det samme gælder, hvis den interne dialog ikke fører til noget, eller der er klare tegn på, at uafhængigheden kompromitteres. Tilsynet tilføjer dog, at DPO’en altid bør “afklare tvivl og uenigheder internt”, evt. med støtte fra eksterne eksperter, før det sker.
Hvis I vil undgå den situation, er opskriften enkel. Den kan opstå, når en DPO bliver holdt ude, bliver bedt om at ændre sine vurderinger eller får ansættelse eller kontrakt truet. Holder I jer fra det, er I langt fra situationen. Mere om det i artiklen om en betalt DPO’s uafhængighed.
Hvad den rigtige handling er, hvis DPO’en bliver bekendt med en alvorlig og fortsat overtrædelse, som ledelsen nægter at rette, svarer kilderne ikke præcist på. Det er et spørgsmål, som DPO’en må have juridisk hjælp til.
Andre kan også gå til tilsynet
DPO’en er langt fra den eneste vej til tilsynet. Enhver registreret kan klage efter art. 77. Det gælder kunder og medarbejdere, og klagesager er en del af tilsynets arbejde, se en klage til Datatilsynet. Registrerede kan også kontakte DPO’en direkte efter art. 38, stk. 4.
En DPO, der får sagen tidligt, kan tværtimod være jeres bedste chance for at rette en fejl, før den ender i en klage. Det forudsætter, at medarbejderne tør tale med DPO’en, og at ledelsen ikke reagerer på budbringeren.
Fortrolighed og tavshedspligt
Art. 38, stk. 5, binder DPO’en til fortrolighed, og den lovpligtige DPO er desuden omfattet af § 24 i databeskyttelsesloven, se tavshedspligt hos den eksterne DPO. Den pligt skal stå i aftalen, og den må ikke spænde ben for art. 39. En klausul, der forbyder DPO’en at tale med Datatilsynet, passer dårligt med art. 38, stk. 3, og med opgaven i art. 39, stk. 1, litra d. Vores råd er at undgå en sådan klausul og i stedet aftale, hvordan I bliver orienteret.
Sådan går I videre
Aftal en rækkefølge med DPO’en: først den daglige kontakt, så direktionen, og først derefter tilsynet. Skriv ned, at I orienteres, før DPO’en henvender sig til Datatilsynet, medmindre der er en særlig grund til andet. Den aftale fjerner det meste af usikkerheden på begge sider. Sådan foregår samarbejdet i øvrigt, står på sådan foregår det.
Det skal I lade være med
- At skrive et forbud mod kontakt med tilsynet ind i aftalen · det støder mod rollen.
- At holde dårlige nyheder væk fra DPO’en · så mister I rådet, når det betyder mest.
- At reagere mod den, der har sagt noget · det skaber netop den situation, I vil undgå.
Det skal I kræve af den eksterne
- ☐ En aftalt rækkefølge for eskalering.
- ☐ Besked til ledelsen, før DPO’en kontakter tilsynet, når det er muligt.
- ☐ Skriftlige vurderinger, når DPO’en ser en overtrædelse.
- ☐ Klar skelnen mellem spørgsmål om vejledning og sager om uafhængighed.
Kilder
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om kontakt med tilsynet, uafhængighed og brud, læst 5. november 2026.
- Forordning (EU) 2016/679, dansk tekst: art. 33, art. 37, stk. 7, art. 38, stk. 3 til 5, art. 39 og art. 77.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: § 24.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sådan fører Datatilsynet tilsyn · Hvornår skal DPO’en inddrages?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
