Viser en konsekvensanalyse, at behandlingen vil føre til høj risiko, og kan I ikke få risikoen ned med foranstaltninger, skal I høre Datatilsynet, før behandlingen begynder. Det følger af art. 36, stk. 1. Tilsynet har op til otte uger til at give skriftlig rådgivning, hvis det finder, at den planlagte behandling overtræder forordningen, og perioden kan forlænges med seks uger. I den situation har ledelsen reelt tre veje: at ændre behandlingen, så risikoen falder, at høre tilsynet eller at lade være. Rækkefølgen er vigtig, for høringen er sidste skridt, når de første muligheder er prøvet.
Hvad høj restrisiko betyder
Restrisikoen er den risiko, der er tilbage for personerne, efter I har gennemført de foranstaltninger, der er planlagt. Det er den sidste kolonne i Datatilsynets skabelon. Skabelonen siger det ligetil: indebærer behandlingen høj risiko til trods for foranstaltninger for at nedbringe den, skal Datatilsynet høres, inden aktiviteten sættes i gang.
Høringspligten handler altså om den samlede høje risiko, I ikke har kunnet bringe ned. Afgørende er vurderingen, efter foranstaltningerne er regnet med. Forudsætningen er, at analysen er ordentligt lavet, for det er den, tilsynet skal læse.
Det første spørgsmål: kan behandlingen ændres?
Før nogen skriver til Datatilsynet, bør projektet gennemgå alternativerne. Et tænkt eksempel: en virksomhed vil analysere ansattes aktivitet i systemerne for at måle indsats. Analysen viser høj restrisiko, fordi personerne ikke kan undgå overvågningen. Muligheder kan være at bruge samlede tal for afdelinger, at fjerne identiteten, før data vises, at forkorte opbevaringen, eller at nøjes med et mindre formål.
Spørgsmålene er enkle:
- Kan formålet nås med færre oplysninger eller færre personer?
- Kan oplysningerne pseudonymiseres eller samles, før de bruges?
- Kan en anden leverandør, en anden opsætning eller en anden placering af data ændre billedet?
- Er der foranstaltninger, I har fravalgt af pris- eller bekvemmelighedsgrunde, som nu skal tages op igen?
Hver ændring vurderes i analysen. Falder restrisikoen, er høringen ikke længere påkrævet, og beslutningen dokumenteres.
Beslutningen om at lade være
At droppe en behandling er et fuldgyldigt udfald af en konsekvensanalyse, og det er analysen, der gør beslutningen til at forsvare. Skriv den ned med begrundelse. Det gælder også, hvis en del af projektet skæres fra. Ledelsen beslutter, og DPO’ens råd står i analysen. Går ledelsen imod rådet, skal begrundelsen også stå dér. Den situation har sin egen artikel om uenighed med ledelsen.
Sådan foregår høringen
Art. 36, stk. 3, opregner, hvad den dataansvarlige skal indgive:
- ansvarsområderne for den dataansvarlige, fælles dataansvarlige og databehandlere, hvor det er relevant, navnlig i en koncern,
- formål og hjælpemidler for den planlagte behandling,
- foranstaltninger og garantier til beskyttelse af personerne,
- DPO’ens kontaktoplysninger, hvor det er relevant,
- selve konsekvensanalysen,
- andre oplysninger, tilsynet beder om.
Fristerne står i stk. 2. Finder tilsynet, at den planlagte behandling overtræder forordningen, navnlig fordi risikoen ikke er tilstrækkeligt identificeret eller begrænset, giver det skriftlig rådgivning inden for en periode på op til otte uger efter modtagelsen af anmodningen. Perioden kan forlænges med seks uger under hensyn til behandlingens kompleksitet, og tilsynet giver besked om forlængelsen senest en måned efter modtagelsen. Perioderne kan suspenderes, indtil tilsynet har fået de oplysninger, det har bedt om. Lægger I en høring ind i en projektplan, skal der altså være plads til mere end otte uger, og en mangelfuld analyse koster tid.
Tilsynet kan i den forbindelse anvende sine beføjelser efter art. 58, herunder de korrigerende. En høring er derfor mere end en vejledning. I indsender et projekt til den myndighed, der fører tilsyn, og I bør være klar over det, når I beslutter jer.
Mens høringen står på
Behandlingen må ikke begynde. Art. 36, stk. 1, siger, at høringen sker inden behandling. Kan projektet ikke vente, er det en beslutning for ledelsen at flytte tidsplanen, og det er et spørgsmål til advokat, hvis nogen foreslår at gå i gang alligevel.
Det er værd at fastlægge, hvad I gør med svaret. Får I skriftlig rådgivning med bemærkninger, skal de ind i analysen og føre til ændringer. Betragtning 94 siger, at tilsynets manglende reaktion inden for fristen ikke berører dets mulighed for at gribe ind. Tavshed giver altså ingen sikkerhed, og det er et spørgsmål til advokat, hvad I så gør.
DPO’ens rolle
Art. 39, stk. 1, litra e, gør DPO’en til kontaktpunkt for tilsynet om spørgsmål vedrørende behandling, herunder den forudgående høring, og art. 36, stk. 3, kræver, at DPO’ens kontaktoplysninger følger med, hvor det er relevant. Efter Datatilsynets FAQ kan DPO’en kontakte tilsynet ved høj risiko og komplekse konsekvensanalyser. Beslutningen om høring og ansvaret for indholdet ligger hos den dataansvarlige. En ekstern DPO kan rådgive om, hvornår høring er nødvendig, gennemlæse materialet og tage dialogen. Det er virksomheden, der skriver under.
Det skal I lade være med
- At høre tilsynet som genvej · gennemgå først alternativerne, så analysen viser, hvad der er prøvet.
- At indsende en halvfærdig analyse · tilsynet kan bede om mere, og fristerne kan suspenderes.
- At starte behandlingen imens · høringen skal ske, før behandlingen begynder.
Det skal I kræve af den eksterne
- ☐ En klar vurdering af, om restrisikoen er høj, og hvorfor.
- ☐ Forslag til, hvad der kan ændres, før høring overvejes.
- ☐ En gennemlæsning af høringsmaterialet mod art. 36, stk. 3.
- ☐ Rådgivning om, hvordan Datatilsynets svar følges op.
Kilder
- Databeskyttelsesforordningen: art. 36, stk. 1 til 3, læst 5. november 2026, art. 39, stk. 1, litra e, art. 58 og betragtning 94.
- Datatilsynet: Nye skabeloner til konsekvensanalyser, 22. maj 2024: skabelonens punkt om høring.
- Datatilsynet: Databeskyttelsesrådgivere: DPO’ens kontakt med tilsynet.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Skal vi lave en DPIA? · Risikovurdering for de registrerede
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
