Når DPO-rollen ligger oven i et andet job, viser det sig først som stilhed. Kontrollerne udebliver, rapporten kommer ikke, og DPO’en stiller færre spørgsmål, fordi spørgsmål skaber arbejde. Efter art. 38, stk. 2, er det ledelsen, der skal stille de nødvendige ressourcer til rådighed, så problemet er ledelsens at løse. I har fire muligheder: frigøre tid, skære ned efter risiko og sige det højt, give DPO’en støtte eller flytte rollen. Artiklen viser, hvordan I ser problemet, og hvordan I vælger mellem de fire.
Det, reglerne kræver af ledelsen
Med art. 38, stk. 2, følger en pligt til at give DPO’en ressourcer, der står mål med opgaverne, og adgang til oplysninger og behandlingsaktiviteter. Forordningen nævner intet antal timer, og omfanget afgøres ifølge Datatilsynets vejledning konkret. Arbejdet skal prioriteres efter risiko (art. 39, stk. 2).
Det samme gælder, hvis DPO’en er udpeget frivilligt. Art. 37 til 39 følger med, når titlen er taget i brug, uanset hvor stor en del af arbejdsugen rollen fylder.
Problemet er velkendt. Da EDPB, de europæiske tilsynsmyndigheders fælles organ, undersøgte DPO’er i en fælles kontrol, pegede rapporten fra januar 2024 på utilstrækkelige ressourcer, for lidt viden og uddannelse og risiko for interessekonflikter. Rapporten viser også, at afvigelser fra DPO’ens råd ofte ikke bliver dokumenteret. Det, tilsynene ellers har set, står i tilsynenes fund hos DPO’er.
Tegnene i hverdagen
Listen er vores egen og ingen officiel tjekliste. Jo flere punkter, der passer, jo mere tyder det på, at rollen findes på papiret.
- Der er ingen kontrolplan, eller planen fra sidste år blev ikke fulgt.
- DPO’en hører om nye systemer, efter de er købt.
- Ledelsen har ikke fået en rapport det seneste år.
- Henvendelser fra registrerede ligger i en postkasse, som tjekkes, når der er tid.
- DPO’en har ikke deltaget i faglig opdatering, siden rollen blev overtaget.
- Spørgsmål sendes til advokaten, fordi DPO’en ikke kan nå at svare.
- Det primære job vinder altid, når de to kolliderer.
Det sidste tegn er det vigtigste. Rådgivning, der kommer efter beslutningen, opfylder ikke kravet om inddragelse i art. 38, stk. 1. Efter Datatilsynets vejledning er rådgivningen ikke rettidig, når et system allerede er købt eller færdigudviklet.
Tag samtalen, før I vælger
Spørg DPO’en direkte, og lav en enkel opgørelse sammen. Hvad er nået det seneste år? Hvad burde være nået efter risikoen? Hvad fylder det primære job? Svarene skal bruges til at beslutte noget, så skriv dem ned.
Vær opmærksom på rollen. DPO’en må ikke straffes for sit arbejde som DPO (art. 38, stk. 3), og en DPO, der siger, at tiden ikke rækker, peger på noget, ledelsen skal vide. Samtalen handler om ressourcer og tilrettelæggelse, og konklusionerne forbliver DPO’ens egne.
De fire muligheder
Frigør tid. Flyt andre opgaver væk fra DPO’en, og skriv rollens andel ned. Det er den enkleste løsning, når personen er fagligt rigtig og uden konflikt. Det virker kun, hvis det primære job faktisk bliver mindre. En andel af arbejdstiden, der står i et notat, mens alle andre opgaver er uændrede, er intet værd.
Skær ned efter risiko, og sig det. Art. 39, stk. 2, giver plads til at lade de vigtigste områder gå først. En skriftlig plan, der siger, hvad der kontrolleres i år, og hvad der venter, er bedre end en plan, ingen kan følge. Grænsen går, hvor resultatet er, at væsentlige områder aldrig bliver set. Så er ressourcerne stadig for små.
Giv DPO’en støtte. Lad en medarbejder bære det praktiske, eller køb hjælp til afgrænsede områder, fx den tekniske kontrol. Datatilsynets FAQ nævner, at DPO’en kan afklare tvivl med støtte fra eksterne eksperter. Rollen bliver hos DPO’en. Støtten skal rapportere til DPO’en, og fortroligheden skal være på plads. Den tekniske side er beskrevet i vores DPO er jurist.
Flyt rollen. Er konklusionen, at personen hverken kan få tiden eller vil have opgaven, kan rollen løses på en tjenesteydelseskontrakt (art. 37, stk. 6). Datatilsynets FAQ fremhæver modellen for mindre virksomheder, og det, en sådan ydelse bør rumme, står på DPO as a service. Valget er vejet i intern eller ekstern DPO, og selve overgangen står i skift af ekstern DPO. Forlader personen rollen helt, gælder punkterne i DPO’en stopper. Skriv ned, hvorfor rollen flyttes, så skiftet ikke ligner en følge af et ubekvemt råd.
Er DPO’en frivillig, har I en femte mulighed: at fravælge titlen. Så skal I dog have en plan for, hvem der ejer opgaven, og oplysningerne om DPO’en skal rettes alle steder. Se uden DPO: hvem ejer så databeskyttelsen?. Er kravet lovbestemt, findes den vej ikke.
Sådan vælger I
Tre spørgsmål skiller mulighederne ad.
- Er personen den rigtige? Har vedkommende ekspertisen efter art. 37, stk. 5, og er der ingen konflikt med det andet job? Er svaret nej, hjælper mere tid ikke.
- Kan jobbet reelt gøres mindre? Er svaret nej, så er rollen allerede for stor til at ligge dér.
- Hvad mangler der egentlig? Er det tid, faglighed på et bestemt område eller adgang? Faglighed løses med støtte, adgang med en beslutning, tid med en af de andre.
Et tænkt eksempel: en servicevirksomhed har givet rollen til en jurist, der også står for kontrakter. Fortegnelsen er i orden, men ingen har set på adgange og sletning. Her mangler der teknisk indsigt og tid til kontrol. Ledelsen flytter en del af kontraktarbejdet og køber støtte til to kontroller om året. Rollen bliver, hvor den er.
Beslutningen bør stå i referatet med en dato for næste vurdering. I skal efter art. 5, stk. 2, kunne vise, at reglerne overholdes, og en DPO uden tid er svær at forsvare, hvis Datatilsynet spørger.
Det skal I lade være med
- At vente på, at DPO’en selv melder fra · mange siger intet, fordi rollen blev modtaget som en tjeneste.
- At skrive en andel af arbejdstiden ned uden at fjerne andet arbejde · så er intet ændret.
- At lade det primære job vurdere sig selv · hvis DPO’en skal kontrollere det, vedkommende selv har truffet beslutninger om, er problemet større end tiden.
Det skal I kræve af den eksterne
Hvis I køber støtte eller flytter rollen:
- ☐ En klar grænse mellem den eksternes opgaver og DPO’ens.
- ☐ Skriftlig fortrolighed om alt, den eksterne ser.
- ☐ En vurdering af, hvad der er nået, og hvad der mangler, før omfanget aftales.
- ☐ Rapportering til DPO’en, hvis rollen bliver hos jer, og til øverste ledelse, hvis den flyttes.
Kilder
- Forordning (EU) 2016/679 på dansk: art. 5, stk. 2, art. 37, stk. 4 til 6, art. 38 og art. 39, stk. 2.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om tid, ekstern DPO og afklaring af tvivl.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 5.2 og 5.3.
- WP243 på dansk: afsnit 2 om frivillig udpegelse.
- EDPB: Rapport om DPO’er, januar 2024.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Syv tegn på, at GDPR-arbejdet er gået i stå · Hvornår skal DPO’en inddrages?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
