For en privat virksomhed afgøres DPO-kravet som regel af to udtryk i art. 37, stk. 1: kerneaktivitet og stort omfang. Behandling af personoplysninger skal være hovedaktiviteten, og den skal ske i stort omfang. Oven i det skal der være tale om overvågning eller om følsomme oplysninger eller strafbare forhold, så alle tre betingelser skal være opfyldt. Forordningen definerer ingen af ordene, og Datatilsynet har ingen talgrænse. Betingelserne er forklaret her. Denne artikel bruger Datatilsynets momenter på private brancher med tænkte eksempler.
Spørgsmålet bag kerneaktivitet
Datatilsynets vejledning skelner mellem det, virksomheden lever af, og det, der støtter driften. Behandling af personoplysninger kan være kerneaktivitet på to måder. Virksomhedens produkt eller tjeneste kan bestå af behandlingen, eller produktet kan være uløseligt forbundet med den. Vejledningen nævner marketingsundersøgelser baseret på personoplysninger og cloud, når det indebærer lagring af personoplysninger, som eksempler på det første og forsikringsselskaber og privathospitaler som eksempler på det andet.
Et enkelt spørgsmål hjælper: kan virksomheden levere det, kunderne betaler for, uden at behandle oplysninger om personer? Spørgsmålet er vores eget hjælpemiddel og ingen juridisk test. Er svaret ja, er behandlingen formentlig en biaktivitet.
Hvorfor HR-data sjældent udløser kravet
Vejledningen nævner HR, kundekontakt, salg, kundekartotek, onlinebooking, bonuskort, IT-support og klientoplysninger hos revisorer og advokater som biaktiviteter. Størrelsen på virksomheden ændrer ikke det billede. Tilsynets oversigt har netop større virksomheder, hvor behandlingen kun er en biaktivitet, med blandt dem, der kun opfylder nogle af betingelserne.
Tænk på en håndværksvirksomhed med mange ansatte. Lønsystemet indeholder fagforeningskontingent og sygefravær, altså følsomme oplysninger, og personalet tæller mange. Alligevel er behandlingen en støttefunktion. Håndværk, forsyning, hotel og restaurant, service og detailhandel står som udgangspunkt uden for kerneaktivitet i vejledningen.
Det betyder ikke, at oplysningerne er ligegyldige. GDPR gælder fuldt ud for dem, og et nej til en DPO fjerner ingen andre pligter. Se uden DPO: hvem ejer så databeskyttelsen?.
De fire kriterier for stort omfang
Vejledningens afsnit 3.1.2 peger på fire forhold:
- antallet af personer, oplysningerne handler om,
- mængden og typerne af oplysninger,
- hvor længe behandlingen varer,
- hvor stort et geografisk område den dækker.
Ingen af dem afgør sagen alene, og der findes ikke et antal, hvor kravet slår til. Datatilsynets eksempler viser retningen. Et mindre forsikringsselskab i en enkelt landsdel ligger uden for, mens et landsdækkende selskab ligger inden for. En lægepraksis med få tilknyttede læger ligger uden for, en stor praksis med mange læger formentlig inden for.
Vurderingen er konkret, så I skal bruge jeres egne tal. Skriv ned, hvor mange personer der er tale om, hvor meget der behandles om hver, og om behandlingen er løbende. Så kan en anden følge ræsonnementet senere. Sådan gør I i notatet i vi skal ikke have en DPO.
Tre tænkte virksomheder
Webbureauet. Bureauet bygger hjemmesider og driver et par kundeportaler. Personoplysninger ligger i baggrunden, men kunderne betaler for design og udvikling. Behandlingen er sandsynligvis en biaktivitet. Billedet kan skifte, hvis bureauet begynder at hoste data for sine kunder i stor stil, for hosting står som eksempel på kerneaktivitet. Bureauets rolle for kundernes data afgøres efter dataansvarlig eller databehandler. Se vi er databehandler.
Bureauet for kundeanalyser. Virksomheden sælger analyser af forbrugeres adfærd til andre virksomheder. Produktet er behandlingen, så kerneaktiviteten er opfyldt. Omfanget afgøres af antal personer og varighed, og overvågningsbetingelsen af metoden. Se regelmæssig og systematisk overvågning.
Klinikken. En privat klinik kan ikke behandle patienter uden helbredsoplysninger, så her er behandlingen uløseligt forbundet med tjenesten, og oplysningerne er følsomme. Tilbage står omfanget. Vejledningen peger på antal patienter og tilknyttede læger. Se private klinikker.
Når alt står og falder med omfanget
Mange virksomheder lander netop dér, hvor kerneaktiviteten er opfyldt, og omfanget er usikkert. I de tilfælde hjælper det at se på udviklingen. Vokser I med flere kunder, nye lande eller længere opbevaring, kan et nej i dag være et ja om et år. Gå vurderingen igennem, når et af de fire forhold ændrer sig.
Er I fortsat i tvivl, kan I vælge en frivillig DPO eller få vurderingen efterprøvet af en advokat. Datatilsynets vejledning er det bedste, I har, men den afgør ikke en konkret sag for jer.
Det skal I lade være med
- At opfinde en grænse · der findes hverken et antal personer eller ansatte, som afgør det.
- At tælle kun medarbejdere · det er personerne i behandlingen, der tæller, fx patienter eller slutbrugere.
- At stoppe ved følsomme oplysninger · de udløser ikke kravet uden kerneaktivitet og stort omfang.
- At se bort fra rollen som databehandler · kravet gælder også dér.
Det skal I kræve af den eksterne
- ☐ En vurdering af hver betingelse for sig med jeres egne tal.
- ☐ Klar markering af, hvor vurderingen er et skøn.
- ☐ Oplysning om, hvad der vil ændre svaret.
- ☐ Ærlig besked, når svaret er, at I ikke er forpligtet.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679 på dansk: art. 37, stk. 1, litra b og c.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 3.1.1 til 3.1.3 og oversigten over betingelserne.
- WP243 på dansk: afsnit 2.1.2.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Regelmæssig og systematisk overvågning · Ekstern DPO i en mindre virksomhed
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
