Det får I

En ekstern DPO bør efterlade noget, I kan læse og efterprøve. Det består af en gennemgang, en skriftlig vurdering, løbende rådgivning, kontrol af det, I gør, rapporter til ledelsen og et kontaktpunkt til Datatilsynet. Alt sammen følger af art. 39, som siger, at DPO’en rådgiver, overvåger og samarbejder med tilsynet. Listen nedenfor er det, I kan stille som krav. Hvert punkt har et link til mere, og det, I konkret skal have, hører hjemme i aftalen.

Grundlaget

• GDPR-gennemgangen: det, I står med bagefter Hvor I står med behandlinger, politikker, aftaler og tekniske foranstaltninger.
• DPO as a service: det, ydelsen bør indeholde måned for måned En skriftlig vurdering, en plan efter risiko og den faste rytme, der følger.

Rådgivning

• Hvornår skal DPO’en inddrages? Art. 38, stk. 1 i hverdagen Rådgivning af ledelse og medarbejdere, før beslutningerne er truffet.
• Skal vi lave en DPIA? Datatilsynets liste og kriterierne Rådgivning om, hvorvidt en konsekvensanalyse skal laves, og hvordan. Den dataansvarlige laver den.
• Indsigtsanmodning: sådan svarer I inden for fristen Rådgivning om proces og bistand i tvivlstilfælde, når registrerede henvender sig. Svaret er jeres.
• Hvornår skal I have en databehandleraftale? Vurdering af aftaler og leverandører og rådgivning om kravene. Aftalerne indgår I selv.
• Overførsel til tredjelande: hvornår sker den, og hvad kræver den? Vurdering af overførsler uden for EU, også når leverandøren er amerikansk.

Kontrol

• Når DPO’en går ned i systemerne: sådan ser kontrollen ud Overvågning af, om reglerne bliver fulgt, med adgange, logs og sletning som bevis.
• Politikken siger ét, systemet gør noget andet Det, der står i politikken, holdt op mod det, der sker.
• Fortegnelse over behandlingsaktiviteter: sådan får I den til at passe Gennemgang og rådgivning, mens ansvaret for fortegnelsen bliver hos jer.
• Tilsyn med databehandlere: sådan gør I med Datatilsynets pointmodel Kontrol af, om tilsynet med leverandørerne bliver ført.
• GDPR-træning af medarbejdere: det, der skal sidde på rygraden Oplysning og træning, som art. 39, stk. 1, litra b, nævner.

Rapport til ledelsen

Den øverste ledelse skal have besked direkte fra DPO’en. Rapporten bør vise kontrollerne, fundene og de råd, der venter på en beslutning. Er ledelsen uenig, skal det stå der, som artiklen om afviste råd beskriver.

Kontaktpunkt til Datatilsynet

DPO’en er kontaktpunkt for tilsynet, som art. 39, stk. 1, litra e, siger, og samarbejder med det. Registrerede kan også henvende sig til DPO’en. I praksis betyder det, at tilsynet har en at henvende sig til, og at I har en ved jeres side, når der kommer et brev. Svaret er stadig virksomhedens. Læs mere i Sådan fører Datatilsynet tilsyn med private virksomheder.

Ved akutte brud

Et akut brud håndteres ved siden af den faste ramme, så tal om det, før I skriver under. Den dataansvarlige beslutter anmeldelsen, og DPO’en rådgiver. Derfor hører en procedure ved brud med til det, I skal have på plads på forhånd.

Det ligger uden for rollen

DPO’en laver ikke jeres konsekvensanalyser, skriver ikke jeres aftaler og indfører ikke kryptering eller nye adgange. De opgaver bliver hos jeres folk og leverandører. Det samme gælder driften. Bliver DPO’en den, der udfører, er der ingen til at kontrollere bagefter. En ekstern DPO overtager heller ikke virksomhedens ansvar, som det er forklaret om DPO’ens personlige ansvar. Grænsen er uddybet i artiklen om DPO’ens opgaver.

Hvad I kan forvente hos Nielco IT

Alle udbydere kan måles på listen ovenfor. Hos Nielco IT fastlægges indholdet efter gennemgangen, inden for den faste månedlige timeramme. Hvordan det foregår, står på Sådan foregår det.

Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Det skal I lade være med

• At tage imod rapporter, der kun ligger hos den eksterne · materialet skal ligge hos jer.
• At bede DPO’en udføre det, der skal kontrolleres · så er kontrollen væk.
• At måle på antal sider · se på, hvad der ændrer sig i systemerne.

Det skal I kræve af den eksterne

• ☐ En liste over leverancer, og hvornår de kommer.
• ☐ Fund med dato, kilde og forslag til, hvem der skal rette dem.
• ☐ Rapporter, en direktør kan læse uden en jurist ved siden af.
• ☐ Klare aftaler om, hvad der sker ved brud uden for rammen.
• ☐ Besked, hvis en leverance er overflødig hos jer.

Kilder

• Forordning (EU) 2016/679 på EUR-Lex: art. 38, stk. 3 og 4, og art. 39.
• Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 5.3.
• Datatilsynet: Databeskyttelsesrådgivere (DPO’er).

Senest gennemgået: november 2026.

Næste skridt

• GDPR-gennemgangen: det, I står med bagefter
• DPO as a service: det, ydelsen bør indeholde måned for måned

Læs også: Sådan foregår det · Vælg en ekstern DPO

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT