En GDPR-ansvarlig internt og en ekstern DPO kan fungere godt sammen, når rollerne holdes adskilt. Den interne får arbejdet gjort, DPO’en rådgiver og kontrollerer, og ledelsen beslutter. Modellen kaldes ofte hybrid, fordi den blander en intern og en ekstern part. Den kræver en skriftlig fordeling af opgaverne og en regel for, hvad der sker, når I er i tvivl. Uden den fordeling glider arbejdet over på DPO’en, som så skal kontrollere sig selv. Skal I slet ikke have en DPO, står rollen beskrevet i uden DPO: hvem ejer GDPR?.
To roller med hver sin titel
Forordningen stiller krav til DPO’en i art. 37 til 39. Den stiller ingen krav til en GDPR-ansvarlig eller en GDPR-koordinator, for rollen findes ikke i loven. Det er en intern funktion, som ledelsen selv beskriver. Personen må gerne træffe beslutninger inden for sit mandat. Det kan en DPO ikke, for Datatilsynets grænse holder beslutninger om behandlingen væk fra rollen.
EU-tilsynenes fælles retningslinjer om DPO’er, WP243, peger på, at titler ikke må skabe forvirring. Kald derfor den interne noget andet end DPO, også i mails og organisationsdiagrammer. Efter art. 38, stk. 2, skal virksomheden stille ressourcer til rådighed for DPO’en, og WP243 nævner adgang til afdelinger som personale, juridisk, IT og sikkerhed, så DPO’en kan få input derfra. En intern ansvarlig er en naturlig måde at give den støtte.
Hvem gør hvad
Fordelingen kan se sådan ud. Ansvaret for overholdelsen ligger hele tiden hos virksomheden.
- Fortegnelse. Den interne samler oplysninger fra afdelingerne og holder den ajour. DPO’en stikprøver. Art. 30 lægger pligten på virksomheden, og WP243 afsnit 4.5 siger det samme.
- Databehandleraftaler. Den interne indgår og følger op. DPO’en rådgiver om kravene. FAQ’en forudsætter, at implementeringen ligger hos de operationelle enheder.
- Anmodninger fra registrerede. Den interne modtager og svarer inden for fristen. DPO’en vejleder og hjælper ved tvivl om fx indsigt.
- Brud. Den interne fører brudloggen og samler fakta. DPO’en rådgiver, og ledelsen beslutter om anmeldelse.
- Konsekvensanalyser. Den ansvarlige for behandlingen udarbejder den, typisk med hjælp fra den interne. DPO’en rådgiver efter art. 35, stk. 2. Bliver DPO’ens råd ikke fulgt, anbefaler Datatilsynet, at det fremgår af analysen hvorfor.
- Kontrol og rapport. DPO’en planlægger selv og rapporterer til ledelsen. Den interne skaffer udtræk og adgang.
Skriv det ind i en kort rollebeskrivelse, og lad ledelsen godkende den. Datatilsynets FAQ anbefaler, at opgavefordelingen drøftes og dokumenteres med ledelsen. Se også rollebeskrivelse og ansvarsmatrix.
Den, der kontrollerer, må ikke selv have gjort det
Fordelingen skal beskytte kontrollen. FAQ’en advarer om konflikt, når en DPO skal evaluere tiltag, som personen selv har hjulpet med at indføre. Rådgivning er tilladt, også konkret. Grænsen går ved at skrive dokumentet, sætte systemet op eller træffe valget, se det en DPO ikke skal lave.
Det samme gælder den anden vej. Den interne skal levere fakta, og vurderingen af, om arbejdet er godt nok, ligger hos DPO’en. Har den interne også ansvaret for det område, der kontrolleres, fx IT eller HR, er det særligt vigtigt, at DPO’en kan bede om dokumentation direkte.
Ingen filter mellem DPO og ledelse
Den interne bliver hurtigt daglig kontakt. Det er praktisk, men tre veje skal stå åbne:
- Til ledelsen. DPO’en rapporterer efter art. 38, stk. 3, direkte til det øverste niveau. Den interne kan læse med, men må ikke kunne ændre rapporten.
- Fra medarbejdere og registrerede. Efter art. 38, stk. 4, kan de registrerede kontakte DPO’en direkte. DPO’ens postkasse skal fungere, uden at den interne læser med.
- Ind i projekterne. Art. 38, stk. 1, kræver rettidig inddragelse. Den interne må gerne sortere de små sager, men en fast regel bør sige, hvilke sager der altid går til DPO’en.
Når begge er i tvivl
Aftal en vej, der virker under tidspres:
- Den interne skriver spørgsmålet ned med fakta og den frist, der gælder.
- DPO’en giver et skriftligt råd og siger, hvis det bygger på antagelser.
- Ledelsen eller den, der har mandatet, beslutter og noterer valget.
- Er tvivlen juridisk og sagen stor, så hent en advokat. FAQ’en nævner støtte fra eksterne eksperter og siger, at tvivl bør søges afklaret internt, før Datatilsynet kontaktes.
Nogle sager kan ikke vente på det månedlige møde. Art. 33 giver om muligt 72 timer ved anmeldelse af et brud, og beslutningen er den dataansvarliges. Skriv derfor ned, hvem der træffer den, hvis DPO’en ikke kan nås.
Tid, fravær og stop
WP243 kalder tilstrækkelig tid afgørende, og det gælder begge roller. Læg opgaven ind i den interne medarbejders stilling, ellers bliver den kørt ned af det daglige. Giv personen en stedfortræder, og skriv ned, hvad der sker, når vedkommende stopper. Omfanget af DPO’ens eget arbejde står under tiden til en DPO.
Når DPO’en er den interne
Modellen findes også omvendt. Virksomheden har en intern DPO, som får støtte udefra til de dele, der mangler tid eller viden, se den interne DPO har ikke tid. Rollen bliver hos den interne, som også beholder konklusionerne.
Skal I først afgøre, om I har brug for en DPO, så brug skal vi have en DPO?. Sammenligner I udbydere, så se vælg ekstern DPO. Hos Nielco IT er støtte til en intern DPO en ydelse. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At give den interne titlen DPO · så kan kravene i art. 37 til 39 blive gjort gældende.
- At lade den interne redigere rapporten · den skal nå ledelsen uændret.
- At flytte udførelsen over på DPO’en · så forsvinder kontrollen.
- At lade opgaven ligge ved siden af jobbet · uden tid bliver rollen en titel.
Det skal I kræve af den eksterne
- ☐ En skriftlig fordeling af opgaverne, som ledelsen godkender.
- ☐ Skriftlige råd, så den interne kan handle på dem.
- ☐ Egen kontrolplan, som den interne ikke bestemmer over.
- ☐ En aftalt vej for sager, der haster.
- ☐ En rapport direkte til det øverste ledelsesniveau.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 30, 33, 35, 37, 38 og 39, læst 6. november 2026.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): uafhængighed og FAQ, læst 6. november 2026.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 5.3, læst 6. november 2026.
- Artikel 29-gruppen: WP243, dansk udgave: afsnit 2, 3.2 og 4.5, læst 6. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Det, en DPO ikke skal lave for jer · Den interne DPO har ikke tid
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
