Artikler om DPO as a service
Læserne er ledelser, jurister og IT-ansvarlige i private virksomheder. Artiklerne er samlet efter det spørgsmål, I står med. Er I ikke sikre på, hvor I skal begynde, så læs Skal vi have en DPO? eller DPO as a service.
GDPR for ledelsen
- Hvad er GDPR? Forklaret for en ledelse
- Personoplysninger og følsomme oplysninger: hvad tæller med?
- GDPR og databeskyttelsesloven: hvad står hvor?
- GDPR i en mindre virksomhed: det, der reelt skal være på plads
- Digital Omnibus og GDPR: hvad kan ændre sig, og hvad gælder i dag?
Skal vi have en DPO?
- DPO as a service: det, ydelsen bør indeholde måned for måned
- Kerneaktivitet og stort omfang: de ord, der afgør DPO-kravet
- Regelmæssig og systematisk overvågning: rammer det jeres virksomhed?
- Vi skal ikke have en DPO: sådan dokumenterer I vurderingen
- Uden DPO: hvem ejer så databeskyttelsen?
- Ekstern DPO i en mindre virksomhed: hvornår er det for meget?
- Vi er databehandler: gælder DPO-kravet også for os?
- Kunden spørger, hvem der er jeres DPO
- Private klinikker og sundhedsvirksomheder: hvor går grænsen for DPO-kravet?
- Den interne DPO har ikke tid: tegnene, og hvad I gør
- DPO’en stopper: det skal ske den første uge
- Syv tegn på, at GDPR-arbejdet er gået i stå
Aftalen om en ekstern DPO
- Aftalen med en ekstern DPO: punkterne, der afgør, om den holder
- Kan en betalt ekstern DPO være uafhængig?
- Opsigelse af en ekstern DPO: hvad må aftalen sige?
- Er den eksterne DPO databehandler?
- Tavshedspligt og konkurrerende kunder hos en ekstern DPO
- Én navngiven DPO eller et team?
- Hvor meget tid skal en DPO have?
- Hvilke adgange skal en ekstern DPO have?
- Sådan vurderer I en ekstern DPO før underskriften
- Advokat, revisor eller IT-sikkerhed: hvilken baggrund skal DPO’en have?
- Vores DPO er jurist: hvem kontrollerer så teknikken?
- GDPR-gennemgangen: det, I står med bagefter
- De første 90 dage med en ekstern DPO
- Skift af ekstern DPO: sådan overdrages arbejdet
- Kan samme eksterne være både CISO og DPO?
Samarbejdet med DPO’en
- Når ledelsen ikke følger DPO’ens råd
- Anmelder DPO’en os til Datatilsynet?
- Hvornår skal DPO’en inddrages? Art. 38, stk. 1 i hverdagen
- Det, en DPO ikke skal lave for jer
Fortegnelser og dokumentation
- Fortegnelse over behandlingsaktiviteter: sådan får I den til at passe
- Fortegnelsen som databehandler: det, kunderne forventer
- Hvor ligger jeres persondata? Sådan kortlægger I det fra IT-siden
- De dokumenter, I skal kunne lægge frem
- Privatlivspolitik eller persondatapolitik: er der forskel?
- Oplysningspligten: hvad I skal fortælle, til hvem og hvornår
- Behandlingsgrundlag: sådan vælger og dokumenterer I det
- Samtykke: hvornår er det det forkerte grundlag?
- Slettepolitik: sådan skriver I en, der kan følges
- Systemet kan ikke slette: hvad gør I så?
- Risikovurdering for de registrerede: forskellen fra jeres IT-risikovurdering
Konsekvensanalyser
- Skal vi lave en DPIA? Datatilsynets liste og kriterierne
- DPIA trin for trin med Datatilsynets skabelon
- DPIA før kontrakten: sådan kommer den ind i indkøbet
- Konsekvensanalyse af Microsoft 365: hvad skal vurderes?
- Høj restrisiko: forudgående høring hos Datatilsynet
Brud på persondatasikkerheden
- Er det et brud på persondatasikkerheden? De tilfælde, mange overser
- Skal bruddet anmeldes? Sådan vurderer I risikoen
- Anmeld et brud til Datatilsynet: det, der skal stå, og hvordan I gør
- 72 timer: hvornår starter uret, også når fejlen er hos leverandøren?
- Brudloggen: alle brud skal skrives ned, også dem, I ikke anmelder
- Mail til forkert modtager: brud, anmeldelse og autofuldførelse
- Ransomware som persondatabrud: tilgængelighed, læk og anmeldelse
- Kan I vise, hvad angriberen så? Derfor afgør jeres logs bruddet
- Procedure ved brud på én side: hvor DPO’en kommer ind
Datatilsynet
- Sådan fører Datatilsynet tilsyn med private virksomheder
- Datatilsynet varsler tilsyn: de første dage
- Datatilsynets fokus i 2026: det, der rammer private virksomheder
- En kunde eller ansat har klaget til Datatilsynet
- Kritik, påbud og politianmeldelse: hvad Datatilsynet kan gøre
- Det, tilsynene har fundet hos DPO’er i Danmark og Europa
De registreredes rettigheder
- Indsigtsanmodning: sådan svarer I inden for fristen
- Den tidligere medarbejder beder om indsigt
- Skal I gennemsøge mailboksene ved en indsigtsanmodning?
- Har en person ret til at se, hvem der har slået dem op?
- Kunden kræver at blive slettet: hvad gør I?
- Er det den rigtige, der spørger? Identitetskontrol ved anmodninger
Tekniske foranstaltninger
- Passende sikkerhed: hvad artikel 32 kræver af jeres IT
- Datatilsynets katalog over foranstaltninger oversat til IT-opgaver
- Når DPO’en går ned i systemerne: sådan ser kontrollen ud
- Politikken siger ét, systemet gør noget andet
- Kryptering og GDPR: hvad er kravet, og hvad hjælper det?
- Kryptering af mail: hvornår er det et krav?
- Alle kan se alt på drevet: rettighedsstyring efter Datatilsynets vejledning
- Det gamle system kan ikke opdateres, men indeholder persondata
- Pseudonymisering eller anonymisering: hvornår er data ikke persondata?
- Skal I teste sikkerheden for at leve op til GDPR?
- Databeskyttelse gennem design: det, I kan kræve af et standardsystem
- CPR-numre i virksomheden: hvornår må I, og hvordan beskytter I dem?
- GDPR-træning af medarbejdere: det, der skal sidde på rygraden
AI og persondata
- AI og persondata: fem spørgsmål, før I tager et værktøj i brug
- DPO’ens rolle, når virksomheden indfører AI
- Microsoft Copilot og persondata: det, I skal vurdere før udrulning
- DPIA for et AI-værktøj med Datatilsynets AI-skabelon
- Databehandleraftale med en AI-leverandør: træning, opbevaring og underleverandører
- Behandlingsgrundlag, når AI behandler personoplysninger
- AI-noter fra møder: optager I kunder og medarbejdere?
- Chatbot i kundeservice: persondata i købte løsninger
- En medarbejder har lagt persondata i et AI-værktøj: er det et brud?
- Indsigt og sletning, når data ligger i et AI-værktøj
- AI-agenter med adgang til mail og filer: hvem må hvad?
- Automatiske afgørelser: hvornår må en AI træffe beslutningen?
- AI-forordningen og GDPR: hvem ejer hvad internt?
Leverandører og databehandleraftaler
- Dataansvarlig eller databehandler: sådan afgør I, hvad I er
- Hvornår skal I have en databehandleraftale?
- Datatilsynets skabelon til databehandleraftale læst med IT-øjne
- Leverandørens standardaftale: kan I acceptere den?
- Databehandleraftale med Microsoft: det, I accepterer
- Underdatabehandlere: listen, ingen læser
- Tilsyn med databehandlere: sådan gør I med Datatilsynets pointmodel
- Kunden vil føre tilsyn med os som databehandler
- Leverandøren bruger jeres data til egne formål
- IT-leverandøren har fjernadgang: er det en databehandler?
- Konsulenter og vikarer med adgang til persondata: hvem er ansvarlig?
- Fælles dataansvar: hvornår og hvordan?
Overførsel uden for EU
- Overførsel til tredjelande: hvornår sker den, og hvad kræver den?
- Data Privacy Framework: sådan tjekker I en amerikansk leverandør
- Standardkontrakter og TIA: hvad en virksomhed reelt skal gøre
- Support fra Indien: fjernadgang er også en overførsel
- Data ligger i EU, men leverandøren er amerikansk: hvad siger GDPR?
Medarbejdere og kunder
- Kontrol af medarbejdere: hvad må arbejdsgiveren?
- Medarbejderens mailboks efter fratrædelsen
- TV-overvågning i virksomheden: skilte, opbevaring og kameraernes sikkerhed
- Sporing på hjemmesiden: det, Datatilsynet kigger efter i 2026
Hverdagens spørgsmål
- Er det en personoplysning? Navn, mail, billede og de andre opslag
- Hvor længe må I gemme personoplysninger? Kunder, ansatte og regnskab
- Må man sende CPR-nummer på mail? Og fortrolige oplysninger i øvrigt
- Nyhedsbrev og sms til kunder: GDPR og spamforbuddet
- Billeder og video af medarbejdere og kunder: skal I have samtykke?
- Må I give personoplysninger videre? Kunder, samarbejdspartnere og politi
- Legitim interesse: sådan laver I afvejningen
- GDPR’s syv principper oversat til IT-opgaver
- Optagelse af telefonsamtaler og møder: det, I skal fortælle og slette
- GDPR-årshjul: et eksempel fra januar til december
- Rapporten fra DPO’en: sådan læser ledelsen den
- I har styr på GDPR: det kan I genbruge til NIS2
- Jobansøgninger og GDPR: hvor længe må I gemme dem?
- Medarbejderens oplysninger fra ansættelse til fratrædelse
- Når den eksterne DPO tager fejl: hvem hæfter, og hvad skal stå i aftalen?
- Databehandler og tilbud: det GDPR-materiale, kundens indkøb spørger efter
- Intern GDPR-ansvarlig og ekstern DPO: sådan deler I arbejdet
- Midlertidig DPO, mens I finder den faste løsning
Mangler I en DPO?
Fortæl kort, hvad der fylder: et kundekrav, en konsekvensanalyse, et brud eller en DPO, der stopper. Rådgivningen er uvildig og uden bindinger til leverandører, så svaret tager udgangspunkt i jeres situation.
