For mange mindre virksomheder er en fast ekstern DPO mere, end der er brug for. Er I ikke forpligtet efter art. 37, og er behovet at få overblik og et par faste rutiner på plads, kan en engangsgennemgang og en navngiven intern ansvarlig være det rigtige svar. Datatilsynet skriver, at en ekstern DPO ofte er en god løsning for mindre virksomheder, og det passer godt, når I skal have en eller gerne vil have funktionen. Spørgsmålet er, om I skal have den. Her er tegnene på begge sider, og hvad en frivillig udpegelse faktisk binder jer til.
Hvad en DPO er, og hvad den ikke er
En DPO skal rådgive og overvåge, at reglerne overholdes, og være kontaktpunkt for Datatilsynet og de registrerede, jf. art. 39. Rollen er uafhængig, og ledelsen må ikke instruere den om opgaverne. Fortegnelsen, aftalerne og sletningen ligger hos virksomheden.
En del mindre virksomheder leder derfor efter noget andet, når de søger på en DPO. De mangler nogen, der kan hjælpe med at få tingene gjort. Mangler I udførelse, løser en DPO ikke det problem, og en anden form for hjælp er bedre. Se det en DPO ikke skal lave.
Det binder en frivillig udpegelse jer til
Art. 37, stk. 4, åbner for at udpege en DPO frivilligt. Gør I det, gælder art. 37 til 39. For en mindre virksomhed betyder det:
- kontaktoplysningerne skal offentliggøres og meddeles til Datatilsynet,
- DPO’en skal inddrages rettidigt, også før I køber nye systemer,
- DPO’en skal have ressourcer og adgang til oplysninger,
- DPO’ens rapportering går direkte til den øverste ledelse,
- DPO’en må ikke få instrukser om opgaverne og må ikke straffes for sit arbejde.
Det er gode principper, men det er også en forpligtelse. Inddrager I aldrig DPO’en, har I købt en titel, og det kan være værre end ingen. WP243 siger, at beskyttelsen også gælder ved en tjenesteydelseskontrakt.
Tegn på, at en gennemgang er nok
En gennemgang med faste rutiner bagefter passer ofte, når de fleste af disse er rigtige:
- Behandlingen af personoplysninger er en støtte til forretningen.
- I har almindelige kunde- og medarbejderoplysninger og få følsomme.
- I har få systemer og stabile leverandører.
- I modtager sjældent indsigtsanmodninger.
- Ingen kunde kræver en navngiven DPO.
- Der er en person, som kan eje opgaven til daglig.
I det tilfælde er opgaven at finde hullerne, lukke dem og give én person ansvaret. Det mindste sæt viser, hvad der bør være på plads, og uden DPO viser, hvordan I placerer opgaven. Så tager I arbejdet op igen, når virksomheden ændrer sig.
Tegn på, at en fast funktion giver mening
Billedet vender, når flere af disse gælder:
- Vurderingen af kravet er tæt på, eller I er forpligtet.
- Kunderne kræver dokumentation og en navngiven kontakt.
- I er databehandler for andre, især med følsomme oplysninger.
- I behandler helbredsoplysninger eller andre følsomme oplysninger.
- I indfører jævnligt nye systemer, fx AI-værktøjer, som rejser nye spørgsmål.
- Ingen internt kan overvåge det arbejde, I selv udfører.
Pointen med en ekstern DPO er her den løbende kontrol udefra. Er I forpligtet, er der intet at vælge, og vurderingen står i kerneaktivitet og stort omfang. Stiller en kunde kravet, så spørg først, hvad kunden vil vide. Se kunden spørger, hvem der er jeres DPO.
Forskellen på de tre veje
Gennemgang alene. En engangsopgave. Den giver et billede af, hvor I står, og en prioriteret liste. Herefter ligger arbejdet hos jer.
Intern ansvarlig med rådgivning efter behov. En løbende ordning uden titlen DPO. Rådgiveren svarer på spørgsmål, men overvåger ikke af sig selv.
Ekstern DPO. En fast, uafhængig funktion med overvågning, rådgivning og kontakt til Datatilsynet. Omfanget afgøres konkret og efter risiko, jf. art. 39, stk. 2.
Vejene kan følge efter hinanden. Mange kan begynde med en gennemgang og vente med resten, til behovet er klart.
Sådan beslutter I
Lav først vurderingen af kravet. Spørg derefter, hvad I reelt mangler: overblik, udførelse eller uafhængig kontrol. En god rådgiver vil sige det, hvis en mindre løsning er nok, og det er et rimeligt krav at stille.
Hos Nielco IT kan I nøjes med gennemgangen. Resultatet er en vurdering, hvor anbefalingerne står i rækkefølge efter risiko. Derefter bestemmer I selv, om arbejdet skal fortsætte som en fast aftale hver måned med en aftalt timeramme, eller om I kører videre selv. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At købe en DPO for at få opgaver løst · rollen rådgiver og kontrollerer, og arbejdet bliver hos jer.
- At udpege en DPO, I ikke vil inddrage · så har I kravene uden nytten.
- At vente med at tage stilling, til kunden spørger · så er tiden knap, og valget bliver dårligere.
Det skal I kræve af den eksterne
- ☐ En ærlig vurdering af, om I har brug for en DPO.
- ☐ Et tilbud på den mindste løsning, der dækker behovet.
- ☐ En klar beskrivelse af, hvad I selv skal udføre.
- ☐ En aftale, der siger, om rådgiveren er udpeget som DPO.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679 på dansk: art. 37, stk. 4, 6 og 7, art. 38 og art. 39.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): spørgsmål og svar om ekstern DPO.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 3.2 og 5.2.
- WP243 på dansk: afsnit 2.5.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Uden DPO: hvem ejer så databeskyttelsen? · Vi skal ikke have en DPO
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
