Et brev om tilsyn lander som regel på et skrivebord, hvor det ikke hører hjemme. Det kan ligge hos økonomi eller i en fælles postkasse i nogle dage, og så er en del af tiden brugt. Den første uge handler om tre ting: at få brevet til rette person, at finde ud af præcis, hvad der spørges om, og at skrive et svar, der holder, når det læses igen om et år. Det her er vores praktiske råd til forløbet. Reglerne om rettigheder og pligter er læst på Datatilsynets side 5. november 2026.
Dag ét: læs brevet to gange
Find tre oplysninger, før noget andet sker. Hvad er emnet, hvilken frist står der, og hvilket grundlag henviser tilsynet til? Skriv fristen ind hos både koordinator og leder. Er den umulig, så ring eller skriv til sagsbehandleren tidligt og begrund, hvorfor I har brug for længere tid. En kort forklaring før fristen fungerer bedre end en undskyldning efter den.
Giv brevet til direktionen samme dag. Et tilsyn er en ledelsessag, for det er virksomheden, der svarer for behandlingen af oplysninger. Har I en DPO, skal vedkommende straks have besked. Ifølge Datatilsynets nyhed fra 2019 hører DPO’en med, så snart et tilsyn er besluttet.
Hvem gør hvad
Et lille hold er bedre end en stor mailtråd.
- En ansvarlig fra ledelsen træffer beslutningerne og underskriver svaret.
- En koordinator samler materialet og holder styr på, hvad der er sendt.
- DPO’en rådgiver, læser spørgsmålene med og gennemgår udkastet. Forordningens art. 39 gør DPO’en til kontakt for myndigheden, men afgørelsen om svaret ligger hos ledelsen.
- IT eller IT-leverandøren skaffer fakta fra systemerne, fx hvem der har adgang, hvordan oplysninger slettes, og hvad der logges.
- Advokaten kommer ind, hvis sagen har et juridisk spørgsmål, I ikke kan afklare selv.
Aftal, at al kontakt med tilsynet går gennem koordinatoren eller DPO’en. Så undgår I, at to medarbejdere giver to forskellige forklaringer.
Bruger I en ekstern DPO, skal hans eller hendes adgang til oplysningerne være på plads med det samme. Efter art. 38, stk. 2, skal virksomheden give DPO’en adgang til oplysninger og behandlingsaktiviteter. Hvis den adgang først skal aftales nu, er det et fund i sig selv.
Det, I samler
Hvad I skal lægge frem, afhænger af spørgsmålene. De fleste tilsyn kommer ind på dele af det her:
- fortegnelsen over behandlingsaktiviteter, som efter art. 30, stk. 4, stilles til rådighed for tilsynet på anmodning,
- oplysningstekster til kunder og medarbejdere,
- risikovurderinger og eventuelle konsekvensanalyser,
- databehandleraftaler med de leverandører, der er relevante for emnet,
- jeres slettepolitik og dokumentation for, at den følges,
- brudloggen.
Ansvaret for at kunne påvise, at reglerne er overholdt, følger af art. 5, stk. 2, og art. 24. Hvad det betyder i dokumenter, står i GDPR-dokumentation. Listen er vores oversættelse og ingen officiel opgørelse fra tilsynet.
Tjek hvert dokument mod virkeligheden, før det sendes. En politik, der siger, at logs gemmes i seks måneder, skal sammenholdes med det, systemet faktisk gør. Her er det nyttigt med en, der kan gå ned i systemerne, for svaret kan ofte læses direkte i opsætningen, se politik og virkelighed.
Oplysningsskemaet om DPO
Datatilsynet brugte i tilsynet med udpegning af DPO’er et kort oplysningsskema til private virksomheder. Det spørger om:
- virksomhedens navn, adresse og CVR-nummer,
- en kontaktperson med telefon og mail,
- om virksomheden har udpeget en DPO, og hvis ikke, en begrundelse,
- DPO’ens navn, mail og telefon,
- dato for udpegelse og for tiltrædelse,
- om kontaktoplysningerne er meddelt til Datatilsynet, med dato og dokumentation.
Skemaet stammer fra tilsynet omkring 2019 og er ingen garanti for, hvordan næste tilsyn ser ud. Det viser dog, hvor enkelt det første spørgsmål kan være, og at et nej skal begrundes. Har I vurderet, at I ikke skal have en DPO, er notatet svaret, se vi skal ikke have en DPO. Datatilsynet gør også opmærksom på, at oplysninger i skemaet kan blive videregivet ved anmodninger om aktindsigt. Det samme bør I regne med for andet, I sender. Skriv derfor ikke noget, I ikke kan stå ved over for en journalist eller en kunde.
Sådan holdes svaret korrekt
Svar på det, der bliver spurgt om. Læg nummereringen fra brevet til grund, og tag spørgsmålene i samme rækkefølge. Svar med fakta, og skriv, hvor de kommer fra. Ved I noget ikke, så skriv, at I undersøger det, og hvornår tilsynet får svar.
Beskriv tingene, som de er i dag. Hvis noget mangler, er det bedre selv at skrive det og oplyse, hvad I gør ved det, med dato og ansvarlig. Har I rettet noget, efter brevet kom, så skriv det, og skriv hvornår. Efterdatering af dokumenter kan ikke forenes med et korrekt svar.
Pligten til at give oplysninger følger af § 29, stk. 1, i databeskyttelsesloven, og det kan efter § 41, stk. 2, være strafbart at undlade det. Der er en vigtig undtagelse. Foreligger der en konkret mistanke om en lovovertrædelse, der kan give straf, kan tilsynet ikke kræve oplysninger om den, og tilsynet skal gøre jer opmærksom på, at I må tie. Står der noget i den retning i brevet, så kontakt en advokat, før I svarer. Reglerne står i sådan fører Datatilsynet tilsyn.
Gem til sidst en samlet kopi af det, der er sendt, med dato. Næste gang tilsynet spørger, skal I kunne se, hvad I sagde sidst.
Det gør I nu
Står I med brevet, så gennemfør dag ét i dag, og aftal et møde mellem ledelse, DPO og IT inden for få dage. Har I ikke fået et brev, så lav en prøve. Bed koordinatoren finde fortegnelsen, to databehandleraftaler og den seneste risikovurdering, og mål tiden. Vil I bruge anledningen til at se det hele efter, giver en GDPR-gennemgang billedet.
Det skal I lade være med
- At lade DPO’en skrive og underskrive svaret alene · ansvaret ligger hos virksomheden, og DPO’en skal kunne bevare sin uafhængighed.
- At skrive politikker om, så de ser pæne ud bagefter · ret det, der er forkert, og oplys datoen.
- At sende alt, I har · send det, der er spurgt om.
Det skal I kræve af den eksterne
- ☐ Hurtig gennemgang af brevets spørgsmål, så længe det er inden for det aftalte.
- ☐ Kritisk læsning af udkastet til svar før afsendelse.
- ☐ Klar besked, når et spørgsmål skal til advokat.
- ☐ En liste over det, der skal rettes bagefter, prioriteret efter risiko.
Kilder
- Datatilsynet: Rettigheder og pligter ved tilsyn: læst 5. november 2026.
- Datatilsynet: Oplysningsskema til private virksomheder om udpegelse af DPO: læst 5. november 2026.
- Datatilsynet: nyhed af 24. juni 2019 om tilsyn med udpegning af DPO’er: DPO’ens inddragelse.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: §§ 29 og 41.
- Forordning (EU) 2016/679, dansk tekst: art. 5, 24, 30, 38 og 39.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kritik, påbud og politianmeldelse · Fortegnelse over behandlingsaktiviteter
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
