Før beslutningen er truffet. Efter art. 38, stk. 1, skal I inddrage DPO’en tilstrækkeligt og rettidigt i alle spørgsmål om beskyttelse af personoplysninger. Datatilsynets vejledning oversætter det til konkrete tidspunkter. Rettidigt er, inden I beslutter foranstaltninger i IT-systemer, inden nye retningslinjer går ud, og inden I køber. For sent er efter, at et system er købt eller færdigudviklet. Pligten ligger hos jer. En ekstern DPO er ikke til stede på gangen og opdager kun det, nogen fortæller, så inddragelsen skal bygges ind i de processer, I allerede har.
Hvorfor tidspunktet betyder så meget
Når et system er købt, kan DPO’en stort set kun beskrive problemet. Før købet kan det samme råd ændre kravspecifikationen, valget af leverandør eller opsætningen, ofte med et beskedent arbejde. Art. 25 om databeskyttelse gennem design peger samme vej, fordi beskyttelsen skal tænkes ind allerede ved fastlæggelsen af hjælpemidlerne.
Tidlig inddragelse er derfor mere end en pligt. Det er den mest virkningsfulde måde at bruge DPO’en på.
De faste punkter
Datatilsynets FAQ nævner compliance, datasikkerhed, databeskyttelse gennem design, konsekvensanalyser, medarbejdertræning og proces for de registreredes rettigheder. Omsat til hverdagen i en privat virksomhed er der syv hændelser, hvor DPO’en skal have besked. Listen er vores.
- Nyt system eller ny funktion. Også når det bare er et modul, der slås til i noget, I allerede har.
- Ny leverandør eller ændrede vilkår. Særligt når leverandøren får adgang til personoplysninger, eller data flytter uden for EU.
- AI-værktøjer. Når medarbejdere eller afdelinger begynder at bruge dem på rigtige oplysninger, se DPO’ens rolle, når I indfører AI.
- Nye eller ændrede formål. Kundedata skal bruges til analyse, eller medarbejderdata til noget nyt.
- Konsekvensanalyser. Art. 35, stk. 2, kræver udtrykkeligt, at I søger rådgivning hos DPO’en, se skal vi lave en DPIA?.
- Nye retningslinjer. Før politikker og procedurer om persondata sendes ud.
- Brud og henvendelser. Når der er tvivl om et brud, eller der kommer brev fra Datatilsynet.
Listen behøver ikke være længere. Den skal blot kendes af dem, der køber, udvikler og beslutter.
Sådan bliver det automatisk
Inddragelse, der afhænger af den enkeltes hukommelse, holder sjældent. Fire enkle greb får det til at ske af sig selv.
Indkøbsprocessen. Tilføj tre spørgsmål til det skema eller den mail, der starter et indkøb. Behandler systemet personoplysninger? Får leverandøren adgang til dem? Er det nye oplysninger eller et nyt formål? Er svaret ja, går sagen til DPO’en, før kontrakten underskrives. Sammenhængen med konsekvensanalysen står i DPIA før kontrakten.
Mødeplanen. Giv DPO’en en fast plads i et ledelsesmøde med passende mellemrum, og lad den faste dagsorden indeholde igangværende projekter. Art. 38, stk. 3, om direkte rapportering hænger sammen med det. Datatilsynets vejledning nævner ikke en bestemt rytme, så vælg en, der passer til jeres risiko. Med en ekstern DPO hører rytmen til aftalen, se DPO as a service.
Projektmodellen. Har I en skabelon til projekter, så sæt et felt ind i startfasen: “Personoplysninger, DPO orienteret dato”. Så opdages sagen, mens der stadig kan ændres noget.
Den faste kontaktperson. En ekstern DPO har brug for én person internt, der kender listen, samler sager og melder videre. Kontaktpersonens opgave er at få sagerne frem. Vurderingen ligger hos DPO’en.
For brud anbefaler Datatilsynet, at I på forhånd har fastlagt, hvornår DPO’en får besked. FAQ’en siger, at DPO’en ikke behøver at være direkte involveret i alle brud, og nævner tvivlstilfælde som et eksempel. Skriv det ind i proceduren ved brud. Aftal også, hvordan I når DPO’en uden for den faste rytme.
Tilstrækkeligt betyder også noget
Art. 38, stk. 1, siger både tilstrækkeligt og rettidigt. En orientering på vej ud ad døren er ikke nok. DPO’en skal have de oplysninger, der gør det muligt at give et råd, fx systemets formål, hvilke oplysninger det handler om, leverandøren og tidsplanen. Et kort skema er tilstrækkeligt, og DPO’en kan bede om mere. Giv DPO’en en realistisk frist, og aftal, hvad der sker, når et projekt har travlt.
DPO’en skal ikke inddrages i alt. Vejledningen nævner mindre driftsopgaver knyttet til opsætning af IT-systemer som noget, DPO’en ikke skal bruge tid på, og art. 39, stk. 2, kræver en prioritering efter risiko. Står et rutineindkøb allerede beskrevet, kan det klares med en orientering. Grænsen er emnet i artiklen om rollens afgrænsning.
Når det er gået galt
I opdager det ofte ved et tilfælde: Et system er taget i brug, og DPO’en hører om det bagefter. Sagen kan stadig rettes. Fortæl det, lad DPO’en se på behandlingen med den risiko, den har, og aftal, hvad der skal ændres. Tilføj så det punkt i processen, der ville have fanget sagen. Eksisterende behandlinger kan prioriteres efter risiko, så ingen skal gennemgå alt på én gang.
Sådan går I videre
Find det seneste indkøb af et system med personoplysninger, og spørg, hvornår DPO’en hørte om det. Var det efter underskriften, så tilføj de tre spørgsmål til indkøbsprocessen i denne uge. Læg derefter de syv punkter i den interne vejledning, og lad kontaktpersonen følge op.
Det skal I lade være med
- At sende systemet til godkendelse dagen før lancering · DPO’en skal kunne påvirke valget.
- At bruge DPO’en som underskrift · rollen er at rådgive, og beslutningen er jeres.
- At overlade det til IT alene · indkøb sker også uden om IT.
Det skal I kræve af den eksterne
- ☐ En kort liste over, hvad der skal meldes til DPO’en.
- ☐ Et skema med de oplysninger, DPO’en har brug for.
- ☐ Tydelige svar inden for en aftalt frist.
- ☐ Opfølgning på sager, der blev meldt for sent, så processen kan rettes.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 25, art. 35, stk. 2, art. 38, stk. 1 og 3, og art. 39, stk. 2.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 5.4 om rettidig og tilstrækkelig inddragelse.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om inddragelse og brud.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Det, en DPO ikke skal lave for jer · Når ledelsen ikke følger DPO’ens råd
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
