Når en DPO stopper, er der to ting, der haster mere end at finde en afløser: henvendelser må ikke forsvinde, og løbende frister må ikke udløbe i en postkasse, ingen læser. Har I pligt til en DPO, må rollen desuden ikke blive stående tom, for art. 37, stk. 1, gælder hele tiden. Inden for den første uge bør I have sikret postkassen, lavet en liste over åbne sager, afklaret om kravet gælder jer, og besluttet, hvem der overtager og hvordan. Den almindelige fremgangsmåde, når en IT-leder forsvinder, står i rollen står tom. Her står det, der er særligt for DPO’en.
Første dag: hold kanalerne åbne
Personer, oplysningerne handler om, må henvende sig direkte til DPO’en (art. 38, stk. 4), og Datatilsynet bruger DPO’en som kontakt (art. 39, stk. 1, litra e). Begge veje ender typisk i en mailadresse eller et telefonnummer, der hører til personen. Stop aldrig den adresse uden en plan.
Aftal samme dag, hvem der læser postkassen. Vælg en person, der må se indholdet, for henvendelser til en DPO kan rumme oplysninger om ansatte og kunder, og de kan være omfattet af DPO’ens tavshedspligt. Lad det være så få som muligt, og notér, hvem det er. Det er en midlertidig bemanding af postkassen. Personen bliver ikke DPO af den grund.
De første dage: find det, der løber
Lav en liste over åbne sager, så længe den, der stopper, kan hjælpe. Spørg konkret til disse punkter:
- Anmodninger fra registrerede. Svarfristen er en måned efter art. 12, stk. 3, og den løber videre.
- Brud. Er der et, der stadig undersøges? Er der noget, der mangler i brudloggen efter art. 33, stk. 5?
- Konsekvensanalyser. Hvilke venter på DPO’ens råd efter art. 35, stk. 2?
- Datatilsynet. Er der en sag, en høring eller et svar under vej?
- Nye systemer og leverandører. Hvad er på vej ind ad døren, og hvem havde lovet at se på det?
- Råd, der ikke er besvaret. Hvilke anbefalinger til ledelsen står åbne?
Spørg også efter materialet: kontrolplanen, seneste rapport, notater om vurderinger og kontrollerne fra de sidste år. Det skal ligge hos jer, når personen er væk. Hvad der skal følge med, er uddybet i skift af ekstern DPO. Overdragelsen må ikke presse DPO’en til at afgive oplysninger, der er underlagt tavshedspligt. Er I i tvivl om en konkret henvendelse, er det et spørgsmål til advokat.
Afklar, om kravet gælder jer
Her deler sporet sig. Var DPO’en udpeget, fordi de tre betingelser for private virksomheder er opfyldt, skal I have en ny. Datatilsynet har ved tilsyn givet alvorlig kritik til virksomheder, der ikke havde en DPO til tiden, så en lang pause er en reel risiko. Er det uklart, hvorfor DPO’en i sin tid blev udpeget, så find vurderingen frem. Findes den ikke, er det nu, den skal laves, se de ord, der afgør DPO-kravet.
Var DPO’en frivillig (art. 37, stk. 4), har I flere muligheder. I kan udpege en ny, eller I kan beslutte at lade titlen falde og lægge opgaven et andet sted. Så skal I rette det, I har oplyst til Datatilsynet og i jeres privatlivspolitik, og I må ikke kalde funktionen DPO, hvis den ikke opfylder kravene.
Vælg vejen frem
Art. 37, stk. 5, kræver faglige kvalifikationer, og det gælder også en afløser, der skal findes hurtigt. Den nærmeste løsning er ofte den forkerte. Datatilsynets vejledning afskærer cheferne med det øverste ansvar for IT og HR, og FAQ’en fraråder at lægge rollen oven i en lederstilling som administrerende direktør, HR-chef, it-chef eller tilsvarende. Tilsynets side nævner også den juridiske chef. Rækkefølgen er derfor kvalifikationer først og hurtighed bagefter.
Tre veje er realistiske:
- En intern afløser med den rette faglighed og uden konflikt med det øvrige job.
- En ekstern DPO på kontrakt efter art. 37, stk. 6, som fast løsning.
- En midlertidig ekstern DPO i en længere periode, mens I finder den faste løsning, gerne med hjælp til at vurdere kandidaternes faglighed.
En afløser i få dage løser ikke noget, for en ny DPO skal have tid til at sætte sig ind i behandlingerne, før rådgivningen er meget værd. Hvis I ved, at DPO’en stopper med et varsel, så brug varslet på overdragelsen, og lad den nye starte, før den gamle går.
Et tænkt eksempel: en privat klinikkæde mister sin DPO med kort varsel. Direktøren giver den interne kontaktperson adgang til postkassen, finder to åbne indsigtsanmodninger og en konsekvensanalyse, der venter, og ser, at kravet gælder. Bestyrelsen beslutter at bruge en ekstern DPO, mens stillingen genopslås.
Ajourfør oplysningerne
Efter art. 37, stk. 7, skal oplysningerne om DPO’en være offentlige og meddelt tilsynet, og de passer ikke længere, når personen er væk. Datatilsynets formular beder om en navngiven DPO, og siden beskriver ikke særskilt, hvordan ændringer meddeles, så indsend de nye oplysninger, så snart afløseren er udpeget. Trinene er gennemgået i artiklen om kontaktoplysninger.
Hvis ledelsen selv har valgt at afslutte samarbejdet, så skriv grunden ned. Efter art. 38, stk. 3, må afskedigelse eller straf aldrig være en reaktion på DPO-arbejdet. Spørgsmål om en konkret fratrædelse hører til hos advokat.
Skal en ekstern tage over, kan Nielco IT stå for rollen i en længere periode, indtil I har fundet den faste løsning, og en gennemgang kan købes alene, hvis I først vil se, hvor I står.
Det skal I lade være med
- At lukke DPO’ens mailadresse samme dag · så forsvinder henvendelser, og afsenderen får ingen besked.
- At give titlen til IT-chefen for en stund · den øverste IT-ansvarlige er udelukket efter vejledningen.
- At lade alle i ledelsen læse postkassen · henvendelserne er fortrolige.
- At vente med listen, til afløseren er fundet · så er den, der ved noget, gået.
Det skal I kræve af den eksterne
- ☐ Gennemgang af listen over åbne sager i den første tid.
- ☐ Besked om, hvad der er uklart, og hvad der ikke kan vurderes endnu.
- ☐ Klar aftale om, hvornår den midlertidige løsning slutter, og hvad der overdrages.
- ☐ Kontrol af, at kontaktoplysningerne står rigtigt begge steder.
Kilder
- Forordning (EU) 2016/679 på dansk: art. 12, stk. 3, art. 33, stk. 5, art. 35, stk. 2, og art. 37 til 39.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 5.2.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om kombination med ledende stillinger.
- Datatilsynet: Indmeld oplysninger om DPO.
- Datatilsynet: Nyhed om tilsyn med udpegning af DPO’er, 24. juni 2019.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sådan vurderer I en ekstern DPO før underskriften · Den interne DPO har ikke tid
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
