Private sundhedsvirksomheder er den branche, hvor to af de tre betingelser for en DPO som regel er opfyldt fra start. Patientbehandling er uløseligt forbundet med oplysninger om personerne, og helbredsoplysninger er følsomme. Tilbage står spørgsmålet om stort omfang. Her er Datatilsynets svar konkret: en lægepraksis med et begrænset antal læger ligger uden for, en stor lægepraksis formentlig inden for, og privathospitaler står som eksempel på virksomheder, der kan opfylde alle tre betingelser, mens mindre privathospitaler nævnes blandt dem, der kun opfylder nogle. Der findes ingen talgrænse. Artiklen viser, hvordan I vurderer jeres egen størrelse.
Hvorfor branchen ligger tæt på kravet
Kerneaktivitet er i Datatilsynets vejledning det, virksomheden lever af. En virksomhed, hvis tjeneste er uløseligt forbundet med behandling af personoplysninger, kan have behandlingen som kerneaktivitet, og privathospitaler står som eksempel. En klinik kan ikke undersøge eller behandle uden at registrere oplysninger om patienten, så efter vores læsning rammer samme tankegang klinikker.
Helbredsoplysninger er følsomme efter art. 9. Betingelsen om følsomme oplysninger er derfor også opfyldt. Alt hviler altså på, om behandlingen sker i stort omfang.
Det siger Datatilsynet om størrelsen
Vejledningens eksempel om lægepraksis er det tætteste, branchen kommer på en rettesnor. En lægepraksis med et begrænset antal læger tilknyttet behandler ifølge vejledningen ikke i stort omfang. Omvendt vil en stor lægepraksis med mange læger formentlig gøre det. Vejledningen tilføjer, at det ved fastlæggelsen af størrelsen af en privat lægepraksis, klinik eller et hospital er relevant at vurdere både antallet af patienter og antallet af tilknyttede læger.
Oversigten i vejledningen sætter privathospitaler blandt de virksomheder, der kan opfylde alle tre betingelser, og mindre privathospitaler blandt dem, der kun opfylder nogle. Vejledningen siger ikke, hvor grænsen går mellem de to. Heller ikke tandlæger, fysioterapeuter, psykologer eller fertilitetsklinikker er nævnt. For dem gælder samme fremgangsmåde, og konklusionen afhænger af tallene.
Tilsynet fra 2019
Datatilsynet førte i 2019 tilsyn med kravet om at udpege en DPO, og alle de private virksomheder, tilsynet så på, fik enten alvorlig kritik eller kritik. Alvorlig kritik gik til to private virksomheder, der manglede en DPO den 25. maj 2018. Begge var privathospitaler. Fire andre private virksomheder fik kritik.
Tilsynet viser to ting. Datatilsynet regner med, at kravet kan gælde et privathospital. Og den formelle del tæller, for kritikken kunne også handle om, at kontaktoplysningerne ikke var meddelt tilsynet. Tjek derfor begge dele, hvis I har en DPO.
Sådan vurderer I jeres størrelse
Saml disse tal, og skriv dem i et notat:
- antal patienter om året og antal aktive journaler,
- antal tilknyttede læger og andre behandlere,
- hvor længe journaler og andre oplysninger opbevares,
- hvilke typer oplysninger der behandles, fx psykiatri, genetik eller fertilitet,
- om patienterne kommer fra et lokalområde eller hele landet.
Tænkte eksempler viser retningen. En enkelt fysioterapiklinik med tre behandlere og lokale patienter ligger tæt på eksemplet med den mindre praksis. En kæde med klinikker i flere byer og fælles journalsystem ligger længere fra det eksempel. Den eneste ærlige konklusion er, at kæden skal gennemgå vurderingen grundigt, og at tvivl kan tale for at udpege en DPO. Vurderingen er konkret, og den er et spørgsmål til advokat, hvis I står i grænseområdet.
Se på væksten også. En klinik, der køber nye klinikker op, kan bevæge sig over en grænse, ingen har sat tal på. Læs kerneaktivitet og stort omfang for fremgangsmåden.
Når svaret er nej
En lille klinik uden DPO har stadig de samme pligter, og oplysningerne er lige så følsomme. Risikoen for patienten er ofte høj, selv om omfanget er lille. Det betyder, at sikkerhed, adgange til journaler, logning og aftaler med journalleverandøren fylder mere her end i andre mindre virksomheder. Se uden DPO: hvem ejer så databeskyttelsen? og GDPR i en mindre virksomhed.
Nogle klinikker vælger en frivillig DPO, fordi de har følsomme data og ingen intern person, der kan følge med. Det er en mulighed, som loven ikke kræver af dem. Se ekstern DPO i en mindre virksomhed.
Leverandørerne til branchen
Databehandlere er også omfattet. Et journalsystem i skyen eller en driftsleverandør, der hoster journaler for mange klinikker, skal selv vurdere kravet. Cloud og hosting står som eksempler på kerneaktivitet, når det indebærer lagring af personoplysninger. Se vi er databehandler.
Hvad der skal ske, hvis svaret er ja
Skal I have en DPO, skal I udpege en person med ekspertise i databeskyttelsesret og -praksis, enten ansat eller på en tjenesteydelseskontrakt. Kontaktoplysningerne skal offentliggøres og meddeles til Datatilsynet. Vejledningen udelukker de øverste ansvarlige for IT og HR, og Datatilsynet fraråder i sine svar at lægge rollen hos en leder i det hele taget. Det gør det svært at finde en person internt i en lille organisation, og en ekstern DPO er derfor ofte en naturlig løsning. Læs vælg en ekstern DPO.
Det skal I lade være med
- At antage, at størrelsen fritager jer helt · oplysningerne er følsomme, og alle andre regler gælder.
- At tælle kun lægerne · antal patienter skal med i vurderingen.
- At glemme at meddele DPO’en til Datatilsynet · det var en af grundene til kritik i 2019.
Det skal I kræve af den eksterne
- ☐ En vurdering med jeres tal for patienter og behandlere.
- ☐ Kendskab til, hvordan journalsystemer styrer adgange og logning.
- ☐ Klar besked om, hvor vurderingen er et skøn.
- ☐ En gennemgang af leverandørerne bag journal og booking.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679 på dansk: art. 9 og art. 37.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 3.1 og 5.2 og eksemplet om lægepraksis, læst 5. november 2026.
- Datatilsynet: Nyhed af 24. juni 2019 om tilsynet med DPO-kravet, læst 5. november 2026.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): spørgsmål og svar.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Vi skal ikke have en DPO · Vi er databehandler: gælder DPO-kravet også for os?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
