Forordningen sætter intet tal på DPO’ens tid, og Datatilsynets vejledning overlader omfanget til en konkret vurdering. Kravet er, at tiden skal række til opgaverne, og at arbejdet prioriteres efter risiko (art. 38, stk. 2, og art. 39, stk. 2). Fire forhold afgør det i praksis: hvor stor risikoen ved behandlingerne er, hvor meget der ændrer sig, hvor mange systemer og leverandører der er, og hvor modent arbejdet er i forvejen. Her er, hvordan I vurderer det uden at gætte, og hvordan I ser, om rammen holder. En tommelfingerregel i timer vil I ikke finde her, for en sådan regel ville ikke have nogen kilde bag sig.
Det, reglerne faktisk siger
Art. 38, stk. 2, pålægger virksomheden at give DPO’en de ressourcer, opgaverne kræver. Ansvaret for, at tiden er der, ligger altså hos ledelsen, også når DPO’en er ekstern, og også når DPO’en er frivillig.
Art. 39, stk. 2, binder arbejdet til risikoen ved behandlingerne. Datatilsynets vejledning (afsnit 5.3) og FAQ bygger videre på det med en risikobaseret tilgang: det, der kan skade personerne mest, kommer først. DPO’en kan altså vælge, hvad der venter til næste år. Tiden må dog ikke være så lille, at kun det øverste punkt nogensinde bliver set.
Hvis en ekstern DPO arbejder for flere organisationer, skal vedkommende kunne stå til rådighed for hver enkelt. Datatilsynet har lagt vægt på det ved tilsyn med en organisation, der brugte eksterne DPO’er på tjenesteydelseskontrakt.
De fire forhold, der afgør omfanget
Risikoen. Behandler I følsomme oplysninger, oplysninger om mange personer eller oplysninger om sårbare grupper? Bruger I overvågning eller profilering? Jo mere der kan gå galt for personerne, jo mere kontrol skal der til. En virksomhed med en håndfuld stabile behandlinger af kundedata står et andet sted end en privat klinik.
Ændringstakten. En DPO skal inddrages rettidigt (art. 38, stk. 1). Hvert nyt system, hver ny leverandør og hvert nyt AI-værktøj giver en rådgivningsopgave. To virksomheder af samme størrelse kan have vidt forskelligt behov, fordi den ene har samme systemer som for fem år siden, mens den anden skifter hvert kvartal.
Bredden. Antal systemer med persondata, antal leverandører, lande uden for EU og antal selskaber eller lokationer. Hver leverandør er noget, der kan følges op på, og hvert system er et sted, hvor en politik kan afvige fra virkeligheden. Antallet af ansatte siger mindre end antallet af steder, oplysningerne ligger.
Modenheden. Er fortegnelse, aftaler, procedurer og sletning på plads, er DPO’ens arbejde mest kontrol og rådgivning. Mangler de, bruges tiden på at råde om alt det, der ikke er der. I det tilfælde må man forvente, at det første år ser anderledes ud end de næste.
Lad mængden af henvendelser fra registrerede tælle med, når I vurderer omfanget. En forbrugerrettet virksomhed med mange kunder får flere henvendelser end en virksomhed, der kun sælger til andre virksomheder.
Regn fra opgaverne
Begynd med det, DPO’en skal nå på et år, og gå derefter over til tiden. Det giver et bedre resultat end at vælge en ramme og håbe.
- List de faste punkter: møder med ledelsen, årlig rapport, opfølgning på kontaktperson.
- List de kontroller, risikoen tilsiger, fx adgange, sletning og leverandører.
- Skøn, hvor mange rådgivningssager der kommer, ud fra de seneste år og de projekter, I allerede kender.
- Læg en reserve ind til det, I ikke kan forudse.
- Lad DPO’en sige, om det kan nås, og skriv svaret ned.
Punkt 5 er det afgørende. Den, der skal udføre arbejdet, er den eneste, der kan vurdere det, og det er god dokumentation, at I har spurgt. Det er nemmere at gøre, når en gennemgang har vist, hvor I står, se GDPR-gennemgangen.
Et tænkt eksempel: en virksomhed med en webshop og et stabilt system har få leverandører og ingen følsomme oplysninger. En anden af samme størrelse driver en app med lokationsdata og skifter leverandører ofte. Den første kan nøjes med en lille ramme og få kontroller. Den anden vil have brug for mere, selv om medarbejdertallet er det samme.
Sådan ser I, om rammen holder
Rammen skal efterprøves, og det er nemmest at gøre med spørgsmål, som ledelsen kan stille i den årlige rapport:
- Blev kontrolplanen gennemført, og hvis ikke, hvad blev sprunget over?
- Kom DPO’en ind før beslutningerne, eller efter?
- Lå der sager, som ventede på svar?
- Fik brud og henvendelser fortrinsret, så planen gled?
Kan DPO’en ikke svare positivt, er det et signal om ressourcer. Den første reaktion bør være at spørge, om rammen skal op, eller om prioriteringen skal ændres. Rapporten fra EDPB i januar 2024 pegede netop på for få ressourcer som en af de gennemgående mangler, og tilsynenes øvrige fund hos DPO’er viser, hvad der ellers bliver set efter. Viser det sig, at rollen ikke kan nå det, står mulighederne i den interne DPO har ikke tid.
Omvendt kan rammen også være for stor. Er alle kontroller gennemført, og mødes I for at tale om det samme hver måned, så sig det, og juster.
Når tiden skal købes
Aftalen om en ekstern DPO bygger på samme vurdering. Spørg, hvordan tilbuddet er regnet frem, hvad der sker, når rammen er brugt, og hvor arbejdet ved et brud ligger. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud. Indholdet af en løbende ydelse står i det, ydelsen bør indeholde.
Det skal I lade være med
- At vælge tiden ud fra medarbejdertallet · behandlingerne afgør det, og ansatte er kun en lille del af dem.
- At sætte rammen og aldrig se på den igen · ændringstakten flytter sig.
- At lade rammen afgøre, hvad der kontrolleres · risikoen skal afgøre det, og rammen skal følge med.
Det skal I kræve af den eksterne
- ☐ En begrundelse for rammen, der bygger på jeres behandlinger.
- ☐ En plan, der viser, hvad rammen kan nå.
- ☐ Besked, når rammen ikke rækker, før det går ud over kontrollen.
- ☐ En årlig vurdering af, om rammen skal justeres.
- ☐ Oplysning om, hvordan I kan få fat i DPO’en, også når andre kunder fylder.
Kilder
- Forordning (EU) 2016/679 på dansk: art. 38, stk. 1 og 2, og art. 39, stk. 2.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 5.2 og 5.3.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om risikobaseret tilgang.
- Datatilsynet: Tilsyn med databeskyttelsesrådgiverens opgavevaretagelse, 2021.
- EDPB: Rapport om DPO’er, januar 2024.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Aftalen med en ekstern DPO · Ekstern DPO i en mindre virksomhed
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
