Kan en betalt ekstern DPO være uafhængig?

Ja. Forordningen forudsætter det, når den i art. 37, stk. 6, tillader en DPO på tjenesteydelseskontrakt og i art. 38, stk. 3, afskærer ledelsen fra at instruere om opgaverne. Spændingen er alligevel reel: kunden betaler honoraret, kan opsige aftalen og er den, DPO’en skal kunne sige imod. Uafhængigheden afhænger derfor af, hvordan aftalen og hverdagen er indrettet. De kilder, vi har læst, indeholder ingen dansk afgørelse om netop en ekstern DPO’s uafhængighed hos en privat virksomhed. Det følgende er derfor vores ræsonnement ud fra reglerne, og konkrete spørgsmål hører hjemme hos en advokat.

Det, kilderne giver os

Forbuddet mod instrukser og afskedigelse er gennemgået for den ansatte DPO i artiklen om beskyttelse og instruktion. For den eksterne er tre ting vigtige.

WP243, som tilsynsmyndighederne i EU står bag, siger i afsnit 2.5, at beskyttelsen også gælder ved en tjenesteydelseskontrakt, og at en kontrakt ikke må opsiges unfair på grund af aktiviteter som DPO. Afsnit 3.4 tilføjer, at jo mere stabil kontrakten er, og jo flere garantier der er mod uberettiget afskedigelse, jo mere sandsynligt kan DPO’en handle uafhængigt.

Datatilsynet har ved et tilsyn fundet brugen af eksterne DPO’er efter tjenesteydelseskontrakt inden for reglerne. Modellen er altså lovlig. Spørgsmålet er, om den er indrettet ordentligt i det enkelte tilfælde.

Endelig er ekstern placering ingen garanti. Konflikter skal vurderes konkret, også når DPO’en står uden for organisationen.

Hvor presset opstår i en betalt aftale

Afhængigheden er sjældent en direkte trussel. Den viser sig som små afvejninger, og de ligger typisk fire steder.

1. Fornyelsen. Når aftalen nærmer sig udløb, kan en kritisk rapport føles dyrere, end den gjorde i marts.
2. Rammen. Ledelsen kan skære i tiden efter en ubehagelig vurdering, uden at nogen kalder det en reaktion.
3. Kontaktpersonen. Den, der køber og betaler ydelsen, er ofte også den, hvis område bliver vurderet.
4. Tilkøb. En DPO, der anbefaler et arbejde og bagefter får honorar for det, har en interesse i egen anbefaling.

Tænkt eksempel: En ekstern DPO vurderer, at et nyt kundesystem kræver en konsekvensanalyse, som vil forsinke lanceringen. Direktøren er uenig og nævner i samme møde, at aftalen skal genforhandles. Der er ikke givet nogen instruks, og presset er der alligevel. Her skal rammen kunne bære, at DPO’en skriver sin vurdering og sender den op uændret.

Sammenlign med den interne

Det er rimeligt at sammenligne med en ansat DPO. Den ansatte får løn af samme virksomhed, har kolleger i de afdelinger, der skal vurderes, og har en karriere at tage hensyn til. Den eksterne står uden for hierarkiet og har andre kunder, så én kontrakt betyder mindre. Til gengæld har den ansatte ofte stærkere beskyttelse i ansættelsesretten, mens en servicekontrakt kan være lettere at bringe til ophør.

Ingen af modellerne er fri for afhængighed. Forskellen ligger i, hvor den sidder, og derfor er værnene forskellige.

Det, aftalen skal indeholde

Aftalen kan flytte det meste af presset væk fra den enkelte situation.

• Ingen instrukser om vurderinger. Skriv art. 38, stk. 3, ind med egne ord, så begge parter kan pege på det.
• Direkte rapportering. DPO’ens rapport går uredigeret til en navngiven modtager på øverste ledelsesniveau.
• Rammen er beskyttet. Ændringer sker kun ved en begrundet beslutning, aldrig som følge af en vurdering.
• Stabil periode og gensidigt varsel. Længden er en forretningsbeslutning, og et længere forløb styrker rollen, se opsigelse af en ekstern DPO.
• Åbenhed om tilkøb. Anbefaler DPO’en et arbejde, som DPO’en selv kan udføre, siges det, og ledelsen beslutter, hvem der løser det.
• Åbenhed om økonomiske bånd. En uvildig DPO har ingen forhandleraftaler med de leverandører, der skal vurderes, og oplyser det, hvis noget ændrer sig.

Det, der viser sig i praksis

Papiret er det mindste. Uafhængigheden prøves første gang, ledelsen er uenig. Se efter, om vurderingen stod skriftligt, om den nåede frem uændret, og om samarbejdet fortsatte på samme vilkår bagefter. Forløbet er beskrevet i artiklen om uenighed med ledelsen.

Dokumentationen tæller også hos myndighederne. Det norske datatilsyn gav i marts 2025 en sanktion til et norsk teleselskab, bl.a. fordi vurderingerne af DPO’ens rolle, uafhængighed og mulige interessekonflikt ikke var gennemført og dokumenteret, og fordi der manglede en direkte og dokumenteret rapporteringslinje til den øverste ledelse. Afgørelsen er norsk, kan indbringes for domstolene og binder ikke en dansk virksomhed. Den viser, hvad et tilsyn kan spørge efter. EDPB’s rapport fra januar 2024 peger i samme retning med fund om risiko for interessekonflikter.

Sådan går I videre

Skriv et kort notat med jeres egen vurdering af uafhængigheden: hvem DPO’en rapporterer til, hvilke andre opgaver den eksterne har, og hvad der sker ved uenighed. Gennemgå notatet med den eksterne, før aftalen underskrives, og igen hvert år. Har I allerede en aftale, er aftalens punkter et godt sted at begynde.

Det skal I lade være med

• At antage, at ekstern betyder uafhængig · konflikter vurderes konkret, uanset placeringen.
• At blande genforhandling og faglig uenighed · hold de to samtaler adskilt, også i tid.
• At lade DPO’en kontrollere arbejde, DPO’en selv er betalt for at udføre · lad en anden stå for evalueringen.

Det skal I kræve af den eksterne

• ☐ Skriftlige vurderinger, der når øverste ledelsesniveau uændret.
• ☐ Oplysning om andre opgaver og økonomiske bånd, der kan berøre rollen.
• ☐ Klar besked, hvis nogen prøver at styre en vurdering.
• ☐ En årlig gennemgang af, om rollen fortsat er uafhængig.

Kilder

• Forordning (EU) 2016/679, dansk tekst: art. 37, stk. 6, og art. 38, stk. 3 og 6.
• WP243 på dansk: afsnit 2.5 og 3.4.
• Datatilsynet: tilsyn med DPO’ens opgavevaretagelse, 2021: eksterne DPO’er efter tjenesteydelseskontrakt.
• Datatilsynet (Norge): afgørelse af 14. marts 2025: resumé og dele af afgørelsen.
• EDPB: rapport om DPO’er, januar 2024: fund om ressourcer og interessekonflikter.

Senest gennemgået: november 2026.

Næste skridt

• Vælg en ekstern DPO
• Aftalen med en ekstern DPO

Læs også: Anmelder DPO’en os til Datatilsynet? · Kan samme eksterne være både CISO og DPO?

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT