De første 90 dage med en ekstern DPO har en bestemt rækkefølge: først den formelle udpegelse og kontaktoplysningerne, så adgangene og de faste møder, derefter procedurerne for inddragelse og brud, og til sidst den første kontrol og en plan for året. Det særlige ved rollen er, at flere af trinene følger af forordningen, og at ledelsen skal gøre dem selv. Den almindelige plan for en ekstern IT-leder står i de første 90 dage. Her er kun det, der er anderledes, når den eksterne er DPO. Rækkefølgen betyder mere end datoerne, så tilpas tempoet til jeres størrelse.
Før første arbejdsdag: udpegelsen
Selve udpegelsen er en ledelsesbeslutning. Skriv den ned med dato, hvem der er udpeget, hvad grundlaget er (pligt efter art. 37, stk. 1, eller frivilligt efter stk. 4), og at aftalen er en tjenesteydelseskontrakt efter stk. 6. EDPB’s rapport om DPO’er fra januar 2024 foreslår at formalisere vilkårene i et engagementsbrev, så opgaver og forhold er tydelige fra begyndelsen.
Lav også den rollebeskrivelse, som Datatilsynets FAQ anbefaler, hvor rådgivning og evaluering er adskilt. Den skal svare på, hvem der gør hvad, når DPO’en har peget på noget. Beslutningen om konflikter hører med: I skal have vurderet, om den eksterne har andre roller hos jer.
De første dage: kontaktoplysningerne
Art. 37, stk. 7, giver jer to pligter: at offentliggøre DPO’ens kontaktoplysninger og at meddele dem til Datatilsynet. Meddelelsen sker på Datatilsynets formular, som beder om firmanavn og CVR og om en navngiven DPO med telefon og mail. Det er jer som dataansvarlig, der har pligten, også når DPO’en forbereder det.
Herefter skal oplysningerne stå dér, hvor de registrerede kigger: i privatlivspolitikken og i oplysningerne til ansatte og kunder. Tag stilling til, om der skal bruges en fast funktionsadresse. Så skal I ikke rette alt, hvis personen skifter, men I skal være sikre på, at posten når frem. Detaljerne står i DPO’ens kontaktoplysninger.
Fortæl også medarbejderne, at der er kommet en DPO, hvad rollen er, og hvordan de får fat i vedkommende. Art. 38, stk. 4, giver de registrerede adgang til DPO’en, og det gælder også ansatte. En kort besked fra ledelsen er bedre end en mail fra DPO’en, for den viser, at rollen har opbakning.
Første måned: adgang og mødeplan
Efter art. 38, stk. 2, skal DPO’en have adgang til oplysninger og behandlingsaktiviteter. I praksis skal I give adgang til fortegnelse, aftaler, politikker og de relevante systemer eller udtræk. Vurdér, hvor meget der faktisk skal til, og giv helst læseadgang eller rapporter frem for fuld adgang. Se hvilke adgange en ekstern DPO skal have.
Læg mødeplanen. Art. 38, stk. 3, kræver direkte rapportering til øverste ledelsesniveau, så sæt det første møde med direktionen i kalenderen nu og fastlæg, hvordan rapporten afleveres. Rapporteringslinjen skal være direkte og skrevet ned, også selvom den daglige kontakt går gennem en intern kontaktperson.
Anden måned: inddragelsen og bruddene
Nu skal rollen ind i de processer, der allerede kører. Art. 38, stk. 1, kræver rettidig inddragelse, og et system, der allerede er købt, er ifølge Datatilsynets vejledning for sent. Find de steder, hvor beslutningerne træffes: indkøb, projektstart, leverandørskifte, nye AI-værktøjer. Læg et enkelt spørgsmål ind ved hver af dem: skal DPO’en se det? De faste punkter står i hvornår DPO’en skal inddrages.
Gør det samme med brud. Datatilsynets FAQ råder til at lægge det fast på forhånd: hvornår får DPO’en besked, hvem ringer, og hvordan nås personen, når I har brug for råd? Den dataansvarlige beslutter anmeldelse og håndtering, og det skal stå klart for alle, inden noget går galt. Akut arbejde ligger typisk uden for en fast ramme, så aftal også det.
Gør det samme for anmodninger fra registrerede. Hvem modtager dem, hvem svarer, og hvornår spørger man DPO’en til råds? Fristen på en måned i art. 12, stk. 3, løber fra modtagelsen.
Tredje måned: første kontrol og årsplanen
Når rollen er forankret, kommer den første egentlige kontrol. Vælg ét afgrænset område, hvor risikoen er høj, og som en gennemgang måske allerede har peget på: adgange til et system med følsomme oplysninger, et slettejob eller opfølgningen på en vigtig leverandør. Formålet er også at vise, hvordan kontrollen foregår, så IT og leverandører ved, hvad de kan forvente.
Afslut med en årsplan bygget på risiko (art. 39, stk. 2) og en første rapport til ledelsen. Den bør sige, hvad der er set, hvad der er vigtigst, og om tid og adgange rækker. Gå aftalens ramme efter i samme omgang. Viser de første tre måneder, at omfanget er forkert, er det nu, det skal ændres, se vurderingen af tiden.
Det, ledelsen skal gøre selv
Fire ting kan ingen ekstern gøre for jer: beslutte udpegelsen, meddele og offentliggøre oplysningerne, give adgangene og sætte tid af til møderne. Rollen virker kun, hvis ledelsen viser, at den er taget alvorligt. Den tidligste test kommer, når DPO’en første gang stiller et ubekvemt spørgsmål. Besvar det, og skriv ned, hvad I besluttede.
Et tænkt eksempel: en SaaS-virksomhed udpeger en ekstern DPO i marts. I april står oplysningerne rigtigt, og direktøren har skrevet til medarbejderne. I maj er DPO’en inde i indkøbsprocessen. I juni bliver adgangene til supportsystemet kontrolleret, og ledelsen får en første rapport med tre anbefalinger og en årsplan.
Det skal I lade være med
- At udskyde meddelelsen til Datatilsynet · art. 37, stk. 7, gælder fra udpegelsen.
- At give fuld administratoradgang for nemheds skyld · DPO’en skal kunne se det, der kontrolleres, og intet drive selv.
- At lade den første kontakt med ledelsen vente til årsrapporten · rapporteringslinjen skal være i brug fra starten.
Det skal I kræve af den eksterne
- ☐ En plan for de første 90 dage, der adskiller jeres opgaver fra DPO’ens.
- ☐ Klar besked om, hvilke oplysninger og adgange der er nødvendige.
- ☐ Forslag til, hvor DPO’en kommer ind i indkøb og projekter.
- ☐ En første kontrol med et konkret resultat.
- ☐ En årsplan og en første rapport til øverste ledelse.
Kilder
- Forordning (EU) 2016/679 på dansk: art. 12, stk. 3, og art. 37 til 39.
- Datatilsynet: Indmeld oplysninger om DPO.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om rollebeskrivelse og brud.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 5.3.
- EDPB: Rapport om DPO’er, januar 2024.
Senest gennemgået: november 2026.
Næste skridt
Læs også: DPO as a service: det, ydelsen bør indeholde · Når ledelsen ikke følger DPO’ens råd
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
