DPO as a service

DPO as a service er en databeskyttelsesrådgiver, som I får på en tjenesteydelseskontrakt, og som arbejder for jer efter en fast rytme. Art. 37, stk. 6, tillader, at opgaven løses sådan, og Datatilsynet kalder det ofte en god løsning for mindre virksomheder. Hvad betegnelsen dækker som kommerciel model, er forklaret under as a service om ledelse. Her står indholdet: det, der bør ske hver måned og over året, og det, ydelsen lader ligge hos jer. GDPR-rådgivning fra en GDPR-konsulent kan være en enkelt opgave, mens en DPO er en udpeget rolle med faste pligter efter art. 37 til 39.

Det, der bør ske hver måned

Rytmen må følge jeres risiko, som art. 39, stk. 2, beder DPO’en om at tage hensyn til. En virksomhed med helbredsoplysninger ser derfor anderledes ud end en virksomhed med et kundekartotek. Nogle punkter går alligevel igen:

• Fast møde med kontaktpersonen · kort og med samme punkter hver gang, så det nye bliver tydeligt.
• Nyt siden sidst · systemer, leverandører og AI-værktøjer, der er kommet til, eller som I overvejer. Det er her, DPO’en bliver inddraget i tide.
• Spørgsmål fra forretningen · rådgivning om det, medarbejdere, ledelse og kunder er løbet ind i.
• Et stykke kontrol · én behandling tages op, og det, der står i dokumenterne, holdes op mod adgange, logs og sletning i systemet.
• Henvendelser og brud · det, der er kommet ind siden sidst, og om procedurerne blev fulgt. Anmodninger og vurderinger bliver hos jer, og DPO’en rådgiver om proces og bistår i tvivlstilfælde.

Det, der bør ske over året

Datatilsynet kræver intet årshjul. De færreste kan alligevel holde styr på arbejdet uden en plan. Den bør rumme en kontrol af fortegnelsen mod virkeligheden, leverandører og overførsler uden for EU, træning af dem, der behandler oplysningerne, og en gennemgang af, om de vigtigste konsekvensanalyser stadig passer. Ansvarsfordeling, oplysning, uddannelse og revisioner er ifølge art. 39, stk. 1, litra b, dele af overvågningen.

Hertil kommer rapporten til den øverste ledelse. Efter art. 38, stk. 3, rapporterer DPO’en direkte dertil. Rapporten bør vise, hvad der er kontrolleret og fundet, hvilke råd der er fulgt, og hvilke der ikke er. Så kan ledelsen se, hvad den har taget stilling til. Mere om rytmen står i DPO as a service: det, ydelsen bør indeholde måned for måned.

Det, ydelsen lader ligge hos jer

En ydelse, der lover at klare det hele, er en, I bør spørge ind til. Den dataansvarlige laver konsekvensanalysen, og DPO’en rådgiver om den, som art. 35, stk. 2, og art. 39, stk. 1, litra c, beskriver. Det samme gælder fortegnelsen, som DPO’en gennemgår og rådgiver om, mens I beholder ansvaret. Ifølge Datatilsynets vejledning hører en konkret vurdering af en persons rettigheder og selve skrivningen af en databehandleraftale ikke til DPO’ens opgaver. Nyere svar fra tilsynet åbner for, at DPO’en rådgiver om kravene og hjælper ved tvivl.

Grunden er enkel. En DPO, der selv har lavet arbejdet, skal bagefter kontrollere sit eget arbejde, og Datatilsynet peger netop på den situation som en mulig interessekonflikt. Grænsen er gennemgået opgave for opgave i en særskilt artikel.

Baggrunden hos den, der løser opgaven

Datatilsynet nævner advokater, revisorer og andre kvalificerede eksterne parter. Fælles for dem er kravet i art. 37, stk. 5, om ekspertise i databeskyttelsesret og -praksis. Baggrunden afgør, hvor personen står stærkest. Juristen er tryg i regler og praksis og må ofte stole på leverandørens svar om det tekniske. Den, der kommer fra IT-sikkerhed, kan læse logs og adgange og skal kunne dokumentere sin viden om reglerne. Spørg derfor til begge dele, uanset hvem I taler med.

Når DPO’en stopper

Er I omfattet af kravet, må rollen ikke stå tom. De første dage handler om åbne sager, hvor materialet ligger, hvem der har adgang, og om kontaktoplysningerne stadig passer, for art. 37, stk. 7, kræver, at de er offentliggjort og meddelt Datatilsynet. Vælger I frivilligt en DPO, gælder de samme regler om rollen, så længe I har valgt at kalde den det.

Artikler om ydelsen

• DPO as a service: det, ydelsen bør indeholde måned for måned Kontroller, rådgivning, rapport og beredskab i en løbende ydelse.
• DPO’en stopper: det skal ske den første uge Kontaktoplysninger, løbende sager og overdragelse.
• Advokat, revisor eller IT-sikkerhed: hvilken baggrund skal DPO’en have? En ærlig sammenligning, hvor hver baggrund har styrker og svagheder.
• Vores DPO er jurist: hvem kontrollerer så teknikken? Hvem der kan læse logs, adgange og erklæringer.

Hvis I vil tale med Nielco IT

Hos Nielco IT kan ydelsen se ud på tre måder. Den ene er en ekstern DPO, hvor forløbet begynder med en gennemgang, giver jer anbefalinger prioriteret efter risiko og derefter fortsætter som fast samarbejde måned for måned med en aftalt timeramme. Trinene står på Sådan foregår det. Den anden er støtte til en intern DPO, der har brug for en teknisk makker, så rollen bliver hos jer. Den tredje er interim over en længere periode, til en permanent løsning er på plads, med hjælp til faglig kvalificering af kandidater. Korte vikariater på få dage er uden for det, vi tilbyder. Kombineres DPO-rollen med en anden opgave hos jer, skal det tydeligt fremgå af aftalen, at det er en kombi-stilling, og ledelsen tager konkret stilling til den. Nielco IT har ingen forhandleraftaler, og rådene er uvildige og uafhængige.

Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Det skal I lade være med

• At købe en titel · en DPO, ingen hører fra mellem to årsrapporter, overvåger ingenting.
• At lægge beslutningerne over på DPO’en · rådet kommer derfra, og valget er ledelsens.
• At lade alt gå gennem én kontaktperson · ledelsen skal høre fra DPO’en direkte.
• At forveksle en fyldt timeramme med et godt forløb · se på, hvad der er kontrolleret og rettet.

Det skal I kræve af den eksterne

• ☐ En skriftlig plan for året, bygget på jeres risiko.
• ☐ Rapportering direkte til den øverste ledelse.
• ☐ Kontrol, der kan efterprøves, med dato og fund.
• ☐ Klar besked om, hvilke opgaver DPO’en rådgiver om, og hvilke I selv skal udføre.
• ☐ Dokumentation af viden om databeskyttelsesret og -praksis.

Kilder

• Forordning (EU) 2016/679 på EUR-Lex: art. 35, stk. 2, art. 37, stk. 5 til 7, art. 38 og art. 39.
• Datatilsynet: Databeskyttelsesrådgivere (DPO’er): spørgsmål og svar om rollen, årshjul og interessekonflikter.
• Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 5.2 og 5.3.

Senest gennemgået: november 2026.

Næste skridt

• Skal vi have en DPO?
• Det får I

Læs også: Sådan foregår det · Vælg en ekstern DPO

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT