DPO as a service bør give jer fire faste leverancer: planlagte kontroller af, om reglerne følges i systemer og arbejdsgange, rådgivning, når I skal beslutte noget, en rapport direkte til øverste ledelse og en aftalt vej, når noget går galt. Lovens opgaver står i art. 39, men den fastsætter hverken rytme eller rapportform. Derfor kan to tilbud med samme navn dække meget forskellige ydelser. Her er det indhold, I bør kunne se i aftalen og i hverdagen, måned for måned. Står I stadig over for spørgsmålet, om betegnelsen passer til jer, er modellen forklaret i as a service om ledelse.
Lovens opgaver som månedsarbejde
Forordningens art. 39, stk. 1, giver DPO’en fem opgaver: rådgive, overvåge, rådgive om konsekvensanalyser og følge op på dem, samarbejde med tilsynet og være kontaktpunkt. Stk. 2 siger, at arbejdet skal tilrettelægges efter risikoen ved behandlingerne. Oversat til en løbende ydelse betyder det, at en måned bør bestå af tre ting: planlagt kontrol, rådgivning på de sager, der opstår, og vedligehold af overblikket over, hvad der er åbent.
Rækkefølgen betyder noget. En ydelse, der kun reagerer på spørgsmål, overvåger ingenting. En ydelse, der kun følger en kontrolplan, kommer for sent til de beslutninger, som ledelsen træffer i kvartalet. Begge dele skal være med, og fordelingen mellem dem afgøres af jeres risiko.
Den faste rytme
Et tænkt forløb for en virksomhed med en ekstern DPO kan se sådan ud. Rytmen er et eksempel, og forordningen kræver den ikke.
- Hver måned · et møde med den interne kontaktperson, gennemgang af åbne sager, nye systemer og leverandører på vej, henvendelser fra registrerede og eventuelle brud siden sidst.
- Hvert kvartal · en kontrol af et udvalgt område, fx adgange til et system, sletning i et andet eller opfølgning på en leverandør, efterfulgt af en kort skriftlig status.
- Hvert halve år eller efter behov · et møde med øverste ledelse, hvor åbne anbefalinger bliver besvaret.
- Hvert år · en samlet rapport og en kontrolplan for det næste år, bygget på, hvor risikoen er størst.
Datatilsynets FAQ siger, at et årshjul ikke er et krav. Det er stadig et nyttigt redskab, fordi det gør kontrollen synlig på forhånd. Hvordan et år kan se ud fra ledelsens side, er beskrevet i DPO’ens årshjul og rapport.
Kontrollerne
Kontrolarbejdet, som art. 39, stk. 1, litra b, kalder overvågning, er den leverance, der lettest forsvinder. Den er svær at måle, og ingen rykker for den. En god ydelse har derfor en kontrolplan, I kan læse, og en kontrol, der ender i et konkret resultat. Det kan være en stikprøve i adgangslisterne for et system med følsomme oplysninger, et udtræk, der viser, om et slettejob faktisk kører, eller en sammenligning af databehandleraftalen med det, leverandøren gør i praksis.
Kontrollen kræver adgang til oplysninger og behandlingsaktiviteter, som art. 38, stk. 2, giver DPO’en. Den kræver også, at nogen i virksomheden trækker tallene. Hvordan sådan en kontrol foregår, står i når DPO’en går ned i systemerne. DPO’en kontrollerer og peger på afvigelser. Rettelsen ligger hos IT eller leverandøren.
Rådgivningen
Efter art. 38, stk. 1, skal DPO’en med ind i tide og i tilstrækkeligt omfang. I en løbende ydelse skal der derfor være plads til de sager, I ikke kan forudse: et nyt system, en leverandør med vilkår, ingen forstår, en konsekvensanalyse, et AI-værktøj, en medarbejder, der er i tvivl.
Her skal rollen være tydelig. DPO’en rådgiver om behovet for en konsekvensanalyse og fremgangsmåden, og den dataansvarlige laver den (art. 35, stk. 2). DPO’en kan rådgive om konkrete krav til en databehandleraftale, mens selve aftalen hører til hos de operationelle enheder. Ved tvivl om en indsigtsanmodning kan DPO’en bistå, men svaret er virksomhedens. Beskriver et tilbud, at DPO’en udfører alt dette for jer, bør I spørge, hvem der så vurderer arbejdet. Grænsen står i det, en DPO ikke skal lave for jer, og de faste punkter for inddragelse i hvornår DPO’en skal inddrages.
Rapporten til ledelsen
DPO’en rapporterer direkte til øverste ledelsesniveau (art. 38, stk. 3). I en løbende ydelse bør rapporten svare på fire spørgsmål. Hvad er kontrolleret, og hvad blev fundet? Hvilke råd er fulgt, og hvilke er ikke? Hvor er risikoen størst lige nu? Har DPO’en haft den tid og adgang, opgaven kræver?
Det sidste spørgsmål er vigtigt, fordi det er ledelsen, der skal stille ressourcerne til rådighed. Viser rapporten, at planen ikke kunne nås, er det en beslutning til ledelsen, om rammen skal justeres, se tiden til DPO’en.
Brud og det, der ligger uden for rammen
Et brud følger ikke månedsplanen. Datatilsynets FAQ kræver ikke, at DPO’en altid er direkte involveret, men den taler for en fast procedure, der siger, hvornår DPO’en får besked. Den dataansvarlige beslutter anmeldelse og håndtering. Aftalen skal derfor sige, hvordan I får fat i DPO’en, og hvordan arbejdet ved et brud håndteres, når det falder uden for den faste ramme. Spørg, hvad der reelt kan leveres. Selve proceduren er beskrevet i procedure ved brud.
Sådan læser I et tilbud
Læg tilbuddet ved siden af de fire leverancer, og se, hvad der er beskrevet konkret. Står der “løbende overvågning” uden en kontrolplan, så bed om et eksempel. Står der “fast kontaktperson”, så spørg, hvem det er. Hvad der skal stå i kontrakten, er samlet i aftalen med en ekstern DPO.
Hos Nielco IT kommer gennemgangen af jeres situation først og ender i anbefalinger ordnet efter risiko. Derefter følger et samarbejde med en fast månedlig ramme af timer, og akutte brud ligger uden for rammen. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At købe en titel uden kontrolplan · så har I et navn i privatlivspolitikken og ingen overvågning.
- At lade rapporten gå gennem IT · den skal direkte til øverste ledelse.
- At bruge DPO’en som ekstra arbejdskraft · rådgivning og kontrol kan ikke udføres af den, der selv har lavet arbejdet.
- At aflyse møderne i travle måneder · netop dér bliver nye systemer tit valgt.
Det skal I kræve af den eksterne
- ☐ En kontrolplan for året, der er begrundet i risiko.
- ☐ Et konkret resultat af hver kontrol, som I kan læse uden juridisk eller teknisk baggrund.
- ☐ Faste møder og en aftalt form for rapporten til øverste ledelse.
- ☐ En skriftlig aftale om, hvordan I får fat i DPO’en ved et brud, og hvad der ligger uden for rammen.
- ☐ Besked, hvis tiden eller adgangene ikke rækker til planen.
Kilder
- Forordning (EU) 2016/679 på dansk: art. 35, stk. 2, art. 37, stk. 6, art. 38 og art. 39.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om årshjul, brud, databehandleraftaler og indsigt.
Senest gennemgået: november 2026.
Næste skridt
Læs også: De første 90 dage med en ekstern DPO · Sådan vurderer I en ekstern DPO før underskriften
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
