Ingen dansk primærkilde, vi har læst, afgør spørgsmålet, og udbydere i andre lande svarer forskelligt. Nogle kræver en databehandleraftale, andre afviser, at den er relevant. Vores vurdering er, at svaret afhænger af, hvad DPO’en faktisk gør med jeres oplysninger, og at instruksforholdet i rollen passer dårligt til en klassisk databehandler. Det vigtigste er derfor, at I tager stilling, skriver det ned og ikke lader spørgsmålet stå åbent. Artiklen er vores ræsonnement. Den konkrete placering af rollen er et spørgsmål til advokat.
Hvorfor spørgsmålet overhovedet opstår
En ekstern DPO ser personoplysninger. Det kan være henvendelser fra registrerede, altså de personer, oplysningerne handler om, brudlogge, stikprøver i systemer eller uddrag af en fortegnelse. DPO’en er uden for jeres organisation, og de oplysninger, der gemmes hos DPO’en, ligger i en andens systemer. Så opstår det spørgsmål, der stilles ved alle eksterne: Er her tale om en databehandler efter art. 28?
Det, der taler for
Datatilsynets vejledning om vikarer og konsulenter siger, at en ekstern konsulent umiddelbart ikke hører under den dataansvarliges interne behandling. Der skal derfor tages stilling til, om konsulenten er databehandler. Afgørende er, om ydelsen helt eller delvist går ud på at behandle personoplysninger til den dataansvarliges formål.
Stikprøver, gennemgang af henvendelser og hjælp til fortegnelser sker i jeres interesse og med jeres oplysninger. Ser man kun på det, ligner det databehandling. Særligt gælder det, hvis DPO’en opbevarer oplysninger hos sig selv.
Det, der taler imod
En databehandler handler efter instruks fra den dataansvarlige, det følger af art. 28 og 29. En DPO må efter art. 38, stk. 3, ikke modtage instrukser om sine opgaver. De to roller trækker altså hver sin vej. En aftale, der gør DPO’en til en instruksbundet databehandler for hele hvervet, ville læses dårligt sammen med uafhængigheden.
Ydelsen går heller ikke først og fremmest ud på at behandle oplysninger. Den går ud på at rådgive og kontrollere, og oplysningerne er et middel til det. Efter den læsning er adgangen en side af rådgivningen, ligesom hos andre rådgivere.
Roller afgøres af det, der sker
Datatilsynets vejledning om dataansvarlige og databehandlere spørger, hvem der bestemmer formål og hjælpemidler. Et eksempel i vejledningen er en revisor med bred instruks, der selv træffer de væsentlige beslutninger og derfor er selvstændigt dataansvarlig. En afgørelse fra 2021 om en ekstern whistleblowerordning viser også, at rollen afhænger af den faktiske indflydelse. Betegnelsen i kontrakten er altså ikke nok.
Det giver tre mulige placeringer, og flere af dem kan gælde samme DPO for hver sin del af arbejdet.
- Del af jeres behandling. DPO’en ser oplysningerne i jeres systemer med en konto, I har oprettet og lukker igen. Intet flyttes. Her er behovet for en databehandleraftale mindst, og fortrolighed og adgang skal stå i kontrakten.
- Databehandler for afgrænsede opgaver. DPO’en opbevarer eller hoster oplysninger for jer, fx et sagsværktøj til henvendelser eller en log. Her taler meget for en aftale efter art. 28, afgrænset til den tekniske håndtering og uden at røre vurderingerne.
- Selvstændigt dataansvarlig. DPO’en bestemmer selv, at noget skal gemmes til egen dokumentation, fx kontaktoplysninger, tidsregistrering og rådgivningsnotater. Så har DPO’en sine egne pligter for den del.
Det, I skal skrive ned
Vores råd er at beskrive oplysningerne først og vælge betegnelsen bagefter. Tag stilling til fem spørgsmål.
- Hvilke kategorier af personoplysninger ser DPO’en, og hvor sker det?
- Kopieres eller gemmes noget uden for jeres systemer, og i hvilket værktøj?
- Hvor længe gemmes det, og hvad sker der ved aftalens ophør?
- Hvem hos DPO’en har adgang, og er de omfattet af fortrolighed?
- Hvilken sikkerhed gælder hos DPO’en, og hvad sker der ved et brud?
Svarene bestemmer, om I har brug for en databehandleraftale, et afsnit i kontrakten eller begge dele. Vælger I en databehandleraftale, så skriv udtrykkeligt, at instrukserne angår håndteringen af oplysningerne, og at aftalen ikke begrænser DPO’ens vurderinger efter art. 38, stk. 3.
En bred adgang til alt er sjældent nødvendig, og mindre adgang gør spørgsmålet lettere, se artiklen om DPO’ens adgange. Den generelle afgrænsning står i dataansvarlig eller databehandler og konsulenter og vikarer. Står DPO’en som modtager af oplysninger, skal det også kunne genfindes i jeres fortegnelse.
Sådan går I videre
Bed den eksterne om at beskrive, hvilke oplysninger der ender i egne systemer. Lav derefter et kort notat med jeres placering og grunden til den, og læg det sammen med aftalen. Er I i tvivl om placeringen, så lad advokaten se notatet. Det vigtigste er, at I kan vise, at I har overvejet det, for det er jer, art. 5, stk. 2, gør ansvarlige for at kunne påvise det.
Det skal I lade være med
- At undlade at tage stilling · et åbent spørgsmål er værre end en begrundet vurdering.
- At bruge en standardaftale med fuld instruks · den støder mod art. 38, stk. 3.
- At lade DPO’en kopiere mere ud end nødvendigt · jo mindre der flyttes, jo enklere er rollen.
Det skal I kræve af den eksterne
- ☐ En beskrivelse af, hvilke oplysninger der gemmes hos DPO’en, og hvor.
- ☐ En begrundet holdning til rollen, skrevet ned.
- ☐ Oplysning om sikkerhed, adgang og sletning ved ophør.
- ☐ Besked til jer uden unødig forsinkelse, hvis oplysninger hos DPO’en bliver ramt af et brud.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 4, nr. 7 og 8, art. 28, 29 og art. 38, stk. 3.
- Datatilsynet: Dataansvar, vikarer og konsulenter: spørgsmålet om eksterne konsulenter.
- Datatilsynet: Vejledning om dataansvarlige og databehandlere: eksempel 3.
- Datatilsynet: hvem er dataansvarlig ved outsourcing af en intern whistleblowerordning, 2021: faktisk indflydelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvornår skal I have en databehandleraftale? · Tavshedspligt hos den eksterne DPO
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
