En DPO skal rådgive og kontrollere. Ledelsen beslutter, og virksomheden udfører. Alt, der flytter en beslutning eller en driftsopgave over til DPO’en, svækker rollen, for DPO’en kommer så til at bedømme sit eget arbejde. Tilsynets vejledning giver tre eksempler på det, DPO’en holdes ude af: den enkelte vurdering af de registreredes rettigheder, små driftsopgaver ved opsætning af IT og det at skrive den enkelte databehandleraftale. Den nyere FAQ åbner for rådgivning på de samme områder, når det praktiske arbejde bliver hos de operationelle enheder. Fristelsen er størst, når DPO’en har IT-baggrund og kunne gøre det selv.
Testen
Datatilsynets FAQ peger på det centrale: En konflikt kan melde sig, når den, der var med til at føre et tiltag ud i livet, bagefter skal bedømme det. Det kan omsættes til ét spørgsmål, I kan stille ved enhver opgave.
Hvem kontrollerer det her, hvis DPO’en laver det?
Er svaret ingen, skal opgaven et andet sted hen. Ansvaret følger samme linje. FAQ’en siger, at DPO’en ikke er juridisk ansvarlig for organisationens overtrædelser, og at ansvaret ligger hos den dataansvarlige. Betaler I en DPO for at udføre arbejdet, får I hverken ansvaret flyttet eller kontrollen med.
Beslutninger
DPO’en skal ikke beslutte, om en behandling skal sættes i gang, om et brud anmeldes, eller om et system tages i brug. X-FAB-dommen fra EU-Domstolen (C-453/21) udelukker opgaver, som gør DPO’en til den, der fastlægger formål og hjælpemidler. DPO’en kan sige, at det er en dårlig idé, og hvorfor. Beslutningen træffes af ledelsen, og det gælder også, når ledelsen gerne vil lægge den fra sig. Reglerne ved uenighed står i artiklen om ledelsens valg.
Dokumenter og underskrifter
Virksomheden ejer sine dokumenter. Ansvaret for fortegnelsen ligger hos jer efter art. 30. Det samme gælder konsekvensanalyser efter art. 35, hvor den dataansvarlige laver analysen og søger rådgivning hos DPO’en. Det er derfor, en god ekstern DPO gennemgår og rådgiver, mens I skriver og vedligeholder. Hvordan fordelingen ser ud i en løbende aftale, står på DPO as a service.
Der er forskel på at hjælpe og at overtage. DPO’en må gerne give en skabelon, forklare et afsnit og læse et udkast. Det bliver problematisk, når DPO’en står som forfatter og samme år skal vurdere, om dokumentet er i orden.
Underskrifter følger samme regel. DPO’en skal ikke underskrive databehandleraftaler, erklæringer eller svar til kunder på jeres vegne. Den, der tegner virksomheden, underskriver. Efter FAQ’en kan DPO’en bidrage til databehandleraftaler ved at rådgive om konkrete databeskyttelseskrav, forudsat at den endelige implementering placeres hos de operationelle enheder. Vejledningen fra 2017 er mere forsigtig. Hold jer til rådgivningen.
Henvendelser fra registrerede
En indsigtsanmodning er virksomhedens sag. Vejledningen nævner konkrete vurderinger som noget, DPO’en ikke skal inddrages i, mens FAQ’en siger, at DPO’en kan vejlede de registrerede og bistå kolleger ved tvivl. Samlet set er linjen, at I skal have en proces med en ansvarlig medarbejder, og at DPO’en rådgiver om processen og hjælper i tvivlstilfælde. Sagsbehandlingen ligger hos jer, se indsigtsanmodning.
Drift og IT
Her er grænsen vigtigst for en DPO med baggrund i IT-sikkerhed. Vedkommende kan se, at krypteringen er forkert sat op, at en logning mangler, eller at en leverandør ikke lever op til sin aftale. Det er værdifuldt, og det må gerne stå i rapporten, med en begrundelse og en anbefaling. Det må ikke ende med, at DPO’en selv logger ind og retter.
- Vurdere foranstaltninger hører til rollen. Art. 39, stk. 1, litra b, gør det til en del af overvågningen.
- Vælge og indføre foranstaltninger gør IT eller leverandøren, og ledelsen beslutter.
- Drive systemer, administrere brugere og opsætte logning ligger uden for rollen.
- Styre leverandører ligger hos den, der ejer aftalen. DPO’en kan pege på det, der mangler.
Sådan kan DPO’en stadig se det hele, uden at røre noget, står i hvilke adgange en ekstern DPO skal have. Metoden er beskrevet i artiklen om kontrol i systemerne.
Hvad der gerne må ligge hos DPO’en
Art. 38, stk. 6, tillader andre opgaver, og vejledningen siger, at der kan lægges flere opgaver end minimum på DPO’en. Hvor grænsen går, må vurderes konkret. FAQ’en nævner DPO’en som sparringspartner ved interne risikovurderinger og som rådgiver i den praktiske udformning af GDPR-opgaver, så længe den uafhængige kontrol bevares.
Rådgivning om medarbejdertræning er et godt eksempel på en opgave, der ligger tæt på art. 39. Akut bistand ved et brud er en anden, og her gælder stadig, at beslutningen er den dataansvarliges. Er I i tvivl, så beskriv opgaven, og stil testen fra før. Tænkt eksempel: En mindre virksomhed beder DPO’en lave hele fortegnelsen i det første år, fordi der ikke er tid. Det kan virke rimeligt. Men så står ingen tilbage til at kontrollere den, og ejerskabet flytter ud af huset. En bedre løsning er, at DPO’en laver skabelonen, gennemgår én afdeling sammen med jer, og at I selv tager resten.
Sådan går I videre
Gå jeres aftale og de seneste måneders opgaver igennem, og sæt hver opgave i én af tre spalter: rådgive, kontrollere eller udføre. Står der noget i den tredje, så find en ny ejer, eller beskriv, hvem der kontrollerer det. Læg listen ind i rollebeskrivelsen, så grænsen også er kendt af dem, der beder DPO’en om hjælp.
Det skal I lade være med
- At sige, at DPO’en har godkendt det · godkendelsen er ledelsens.
- At lade DPO’en rette i systemerne, fordi det går hurtigere · så forsvinder kontrollen.
- At købe alt arbejdet ud af huset · viden og ejerskab skal blive hos jer.
Det skal I kræve af den eksterne
- ☐ En opgaveliste, der skelner mellem rådgivning, kontrol og udførelse.
- ☐ Anbefalinger, der kan udføres af jeres egne folk eller leverandører.
- ☐ Klar besked, hvis I beder om noget, der svækker rollen.
- ☐ Ingen administratorrettigheder eller driftsopgaver i jeres systemer.
Kilder
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 5.3 og 5.4 om opgaver og eksempler på, hvad DPO’en ikke skal inddrages i.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om interessekonflikter, ansvar, databehandleraftaler og indsigt.
- Forordning (EU) 2016/679, dansk tekst: art. 30, 35, art. 38, stk. 6, og art. 39.
- EU-Domstolen, C-453/21 (X-FAB) af 9. februar 2023: præmis 44.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvilke adgange skal en ekstern DPO have? · Kan samme eksterne være både CISO og DPO?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
