Det kan lade sig gøre, og kombinationen rummer en reel konflikt, som skal håndteres. DPO’en skal kontrollere sikkerheden omkring personoplysninger, og CISO’en er den, der rådgiver om netop den sikkerhed. Tre krav skal derfor være opfyldt. DPO’en må ikke vurdere egne beslutninger, kombinationen skal vurderes konkret hos jer, og det er ledelsen, der beslutter. Forudsætningen er, at CISO-rollen er rådgivende. Bestemmer personen, hvilke hjælpemidler der bruges til behandlingen, kan vedkommende ikke samtidig være kontrollant. Svaret afhænger altså af, hvad personen faktisk gør hos jer.
Det, reglerne siger
Art. 38, stk. 6, tillader DPO’en at have andre opgaver, og virksomheden skal sikre, at de ikke medfører en interessekonflikt. EU-Domstolen uddybede det i X-FAB-dommen (C-453/21) af 9. februar 2023. Der er ingen principiel uforenelighed mellem DPO og andre funktioner (præmis 40), DPO’en kan ikke få opgaver, der fører til, at personen fastlægger formål og hjælpemidler (præmis 44), og spørgsmålet afgøres fra sag til sag (præmis 45). Sagen angik en ansat DPO og tysk ret, så den skal overføres med omtanke.
Datatilsynet trækker linjen på to måder. Vejledningen fra 2017 siger, at DPO’en ikke kan være den øverste IT-ansvarlige, og at en koordinator for it-sikkerhed kan påtage sig hvervet, hvis andre bærer det øverste ansvar. FAQ’en på tilsynets side er nyere og tilføjer, at rollen ikke bør forenes med ledende stillinger, og at konflikter kan opstå, hvis samme person først rådgiver om et tiltag, hjælper med at indføre det og bagefter skal evaluere det. Samme side siger, at DPO’en ikke må have stillinger, hvor personen bestemmer, hvordan personoplysninger behandles, og nævner it-chef, HR-chef og juridisk chef. WP243, de europæiske tilsynsmyndigheders fælles vejledning, siger i afsnit 3.5, at også stillinger længere nede kan være i konflikt, hvis de indebærer beslutninger om formål og hjælpemidler.
Kilderne svarer ikke direkte på, om en ekstern CISO også kan være DPO. Det følgende er vores anvendelse af dem.
Hvor rollerne støder sammen
CISO’en anbefaler foranstaltninger efter sikkerhedsrisici, med øje for forretningen og budgettet. DPO’en spørger, om foranstaltningerne er passende for de personer, oplysningerne handler om, jf. art. 32. Spændingen ligger tre steder.
- Egen anbefaling. Har CISO’en anbefalet en logløsning, skal DPO’en bagefter tage stilling til, om den er tilstrækkelig. Her vurderer personen sig selv.
- Brud. CISO’en leder måske opklaringen, mens DPO’en rådgiver om, hvorvidt forløbet er håndteret korrekt.
- Prioritering. Sikkerhedsbudgettet kan pege på én rækkefølge og hensynet til de registrerede på en anden.
Fordelene er også reelle. Personen kender systemerne, skal kun sættes ind i tingene én gang, og sikkerhed og databeskyttelse hænger sammen i praksis. En ledelse, der kun ser fordelene, overser dog, at virksomheden mister en uafhængig kontrol af en del af sikkerheden. Rollen som ekstern CISO er beskrevet i ekstern CISO, og den generelle overvejelse om flere roller står i kombinerede roller.
Krav 1: DPO’en vurderer ikke egne beslutninger
Det er det hårdeste krav. Personen må ikke kontrollere noget, personen selv har besluttet eller indført. I praksis kræver det to ting.
CISO-rollen skal være rådgivende. Ledelsen eller IT-ansvarlig træffer beslutningerne og fører dem ud. Personen indfører intet, ejer ingen systemer og har intet budgetansvar for sikkerhedsløsninger. Hvordan CISO-mandatet afgrænses, står i mandat til ekstern CISO.
Dernæst skal der være en anden til at evaluere. Når et område er rådgivet af personen som CISO, kan DPO-kontrollen ikke stå alene. Her kan I bruge en intern revision, en anden rådgiver eller en ekstern test, og aftale det på forhånd. Bed om en liste over de områder, hvor personen har rådgivet som CISO, så den uafhængige kontrol kan rettes mod netop dem.
Krav 2: Vurderingen er konkret
X-FAB og Datatilsynet peger samme vej. Der findes intet generelt svar. Vurderingen skal bygge på jeres organisation, og hvad personen rent faktisk gør. Stil disse spørgsmål.
- Hvem beslutter sikkerhedsforanstaltninger hos jer, og hvem udfører dem?
- Kan personen bestemme hjælpemidler, fx systemer, leverandører eller opbevaring?
- Hvor mange af DPO’ens kontrolpunkter er områder, personen selv har rådgivet om?
- Hvem kontrollerer dem?
- Hvor følsomme er oplysningerne, og hvor stort er omfanget?
Jo flere svar der peger på personen selv, jo svagere står kombinationen. Svarene kan ændre sig, så vurderingen skal gentages, når rollen ændres.
Krav 3: Ledelsen beslutter
Art. 38, stk. 6, lægger ansvaret hos virksomheden. Det er ledelsen, der skal tage stilling, og personen selv kan ikke være den, der erklærer kombinationen for i orden. Datatilsynet anbefaler, at rollen og opgavefordelingen drøftes og dokumenteres sammen med ledelsen, og at en rollebeskrivelse adskiller rådgivning fra evaluering.
Beslutningen bør ligge i et kort notat med svarene ovenfor, de værn, I vælger, datoen for næste gennemgang og navnet på den, der har besluttet. Det norske datatilsyn har i en afgørelse fra marts 2025 lagt vægt på, at vurderingen af DPO’ens mulige interessekonflikt var gennemført og dokumenteret. Afgørelsen kan indbringes for domstolene og er ikke dansk ret, så brug den som en påmindelse. Den risiko, der er tilbage, skal ledelsen se i øjnene og acceptere bevidst. Betalingen er et andet spørgsmål om uafhængighed, og det er behandlet i artiklen om den betalte DPO.
Når den anden rolle er IT-chef, CTO eller driftschef
Spørgsmålet kommer også, når den eksterne er jeres IT-chef, CTO eller IT-driftschef. Her ligger grænsen skarpere. Efter Datatilsynets vejledning kan den øverste IT-ansvarlige ikke være DPO, og FAQ’en siger, at rollen ikke bør forenes med en ledende stilling som it-chef. Vælger personen systemer og leverandører, kontrollerer personen sig selv som DPO, uanset hvad rollen hedder.
Er en samlet løsning alligevel på bordet, skal den kaldes det, den er, nemlig en kombi-stilling. Det skrives i aftalen, i rollebeskrivelsen og i ledelsens notat, sammen med hvilke beslutninger der ligger hos andre. Det øverste IT-ansvar skal ligge hos en anden, og de tre krav ovenfor gælder fuldt ud. Betegnelsen gør kun konflikten synlig, så lad en jurist se på vurderingen, før I beslutter.
Sådan går I videre
Skriv de to roller op side om side, og markér hvert punkt, hvor den ene skal kontrollere den anden. Findes punkterne, og er der ingen til at kontrollere dem, er to personer det renere valg. Vælger I at samle rollerne, skal det ske efter en skriftlig vurdering. Nielco IT kan påtage sig begge roller hos den samme kunde, når CISO-rollen er rådgivende, kombinationen er vurderet konkret, og ledelsen har truffet beslutningen. Har Nielco IT en anden rolle hos jer ved siden af DPO-rollen, kaldes det en kombi-stilling i aftalen.
Det skal I lade være med
- At vælge kombinationen for at spare en aftale · grunden skal være, at den kan holde.
- At lade personen selv afgøre, om kombinationen er i orden · beslutningen er ledelsens.
- At kalde rollen rådgivende, hvis personen i praksis bestemmer · X-FAB ser på det, der faktisk sker.
Det skal I kræve af den eksterne
- ☐ En rollebeskrivelse, der adskiller rådgivning, beslutning og evaluering.
- ☐ En aftale, hvor kombi-stillingen står med sit rette navn.
- ☐ En ajourført liste over områder, hvor personen har rådgivet som CISO.
- ☐ Klar besked, hvis personen selv ser en konflikt i en sag.
- ☐ Medvirken til en uafhængig kontrol af de områder.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 32, art. 38, stk. 3 og 6, og art. 39.
- EU-Domstolen, C-453/21 (X-FAB) af 9. februar 2023: præmis 40, 44 og 45.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om interessekonflikter og rollebeskrivelse.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 5.2.
- WP243 på dansk: afsnit 3.5.
- Datatilsynet (Norge): afgørelse af 14. marts 2025: resumé og dele af afgørelsen.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kan en betalt ekstern DPO være uafhængig? · Når DPO’en går ned i systemerne
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
