Spørgsmålet kommer typisk i et leverandørskema eller i en kontrakt, og det kræver et sandfærdigt svar. Har I en DPO, oplyser I kontaktoplysningerne. Har I ingen, siger I det, og I forklarer, hvorfor I ikke er forpligtet, og hvem der har ansvaret for databeskyttelse hos jer. Den forklaring dækker ofte det, kunden vil vide. Hvis kunden stiller en DPO som krav i aftalen, eller hvis I har mange kunder, der spørger, kan en ekstern DPO være det rigtige svar. Mange virksomheder har ikke pligt til en DPO, og kundens spørgsmål ændrer ikke på det.
Det, kunden sandsynligvis vil vide
Spørgsmålet ser ud til at handle om en person. Vores vurdering er, at kunden som regel leder efter en sikkerhed for, at nogen hos jer har styr på persondata, når kunden sender sine oplysninger jeres vej. Bag ordet DPO ligger typisk fire underliggende spørgsmål.
- Er der en navngiven person, vi kan kontakte om databeskyttelse?
- Har I vurderet, om I skal have en DPO?
- Kan I leve op til det, vi aftaler i databehandleraftalen?
- Hvad sker der, hvis der opstår et brud hos jer?
Er I databehandler for kunden, er det tredje og fjerde spørgsmål de tungeste, for de vedrører pligter, kunden selv skal holde øje med efter art. 28. Sådanne spørgsmål kan besvares fuldt ud, uanset om I har en DPO.
Når I ikke har en DPO
Et godt svar har tre dele. Først oplyser I, at I ikke har udpeget en DPO, fordi I efter jeres vurdering ikke er omfattet af art. 37, stk. 1. Derefter nævner I, hvem der har ansvaret for databeskyttelse, med navn og kontaktoplysninger. Til sidst tilbyder I at vise notatet om vurderingen.
Det forudsætter, at notatet findes. Datatilsynet siger, at virksomheder uden pligt med fordel kan dokumentere vurderingen, og artikel 29-gruppens vejledning WP243 anbefaler det samme. Opskriften på notatet finder I under vi skal ikke have en DPO.
Skriv ikke en anden persons navn i feltet, fordi feltet skal udfyldes. Skriver I, at kontorchefen er jeres DPO, har I udpeget en DPO med alt, hvad det indebærer. Reglerne i art. 37 til 39 gælder ifølge WP243 også for den frivillige udpegelse. Personen skal så have uafhængighed, ressourcer og direkte adgang til øverste ledelse, og art. 37, stk. 7, kræver, at kontaktoplysningerne gøres offentlige og sendes til Datatilsynet. WP243 skelner mellem en udpeget DPO og personale eller eksterne rådgivere, der hjælper med databeskyttelse uden at være udpeget. Det er helt lovligt, og det skal stå klart i al kommunikation, at titlen ikke er DPO. Skriv derfor ansvarlig for databeskyttelse. Hvem der kan have ansvaret, er beskrevet i uden DPO: hvem ejer GDPR?.
Når kunden kræver en DPO
Kunder kan stille krav, der går videre end loven. Et krav i en aftale er et aftalekrav, og det binder jer, hvis I skriver under. Læs formuleringen, før I svarer. Der er forskel på, om kunden kræver en udpeget DPO efter art. 37, eller om kunden blot vil have en navngiven kontakt. Bed gerne kunden præcisere det, og spørg, om jeres dokumentation kan dække behovet. Rækkevidden af en sådan aftalebestemmelse er et spørgsmål til advokat.
Hvis kravet står fast, har I tre veje.
- Tag diskussionen. Vis notatet og den ansvarlige person, og foreslå en anden formulering.
- Udpeg en intern DPO. Det kræver en medarbejder uden en rolle, der støder mod hvervet. Datatilsynets FAQ fraråder at lægge rollen sammen med en ledende stilling som it-chef eller HR-chef.
- Køb rollen eksternt. Art. 37, stk. 6, tillader en tjenesteydelseskontrakt. Datatilsynets FAQ peger på netop den model for mindre virksomheder. Se ekstern DPO i en mindre virksomhed. Indholdet af modellen er beskrevet på DPO as a service.
Hvornår en DPO er det rigtige svar
Vi vil vurdere en frivillig DPO som rimelig i tre situationer. Den første er, når flere kunder spørger, og tiden til at svare begynder at fylde. Den anden er, når I som databehandler har kunder med følsomme oplysninger og står i en gråzone efter art. 37. Den tredje er, når I har svaret ja til en række krav, men ingen fast person ejer opfølgningen. Det er ét råd og ingen lovregel. En DPO, der kun findes for at udfylde et felt, giver ikke kunden det, kunden søger, og den bliver dyr i tid, fordi rollen også skal fungere.
Afvej det over for det, I i forvejen har. Spørgsmål om sikkerhed og persondata kommer ofte i samme skema. Svarene fra jeres sikkerhedsarbejde kan genbruges, og hvordan skemaet håndteres som ledelsesopgave, står under sikkerhedsspørgeskemaet fra kunden.
Sådan svarer I, når I har en DPO
Oplys det, der er offentliggjort, og lad DPO’en se svaret, inden det sendes. Art. 38, stk. 3, betyder, at ledelsen ikke kan instruere DPO’en i dennes vurderinger. Lover I kunden noget om databeskyttelse, er det virksomheden, der lover. Har I en ekstern DPO, så aftal, om skemaer sendes til DPO’en, og hvordan svar godkendes.
Sådan går I videre
Lav ét standardsvar nu, mens I har tid: om I har en DPO, hvem der er kontaktperson, og hvor notatet ligger. Hvis svaret peger mod en ekstern DPO, går Nielco IT først jeres GDPR-arbejde igennem og giver anbefalinger ordnet efter risiko. Bagefter aftales en fast timeramme for hver måned. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At sætte et tilfældigt navn i feltet · det kan gøre personen til jeres DPO med alle krav.
- At svare ja for at komme videre i salget · svaret kan ende i aftalegrundlaget.
- At købe rollen uden at læse kravet · ofte vil kunden noget andet.
Det skal I kræve af den eksterne
- ☐ En skriftlig vurdering af, om I er omfattet af art. 37, stk. 1.
- ☐ Rådgivning om, hvordan kundens krav skal læses.
- ☐ En klar aftale om, hvem der svarer på kundens spørgsmål.
- ☐ Et svar, der passer med det, I faktisk gør.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 28 og art. 37 til 39.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): spørgsmål og svar om rollen.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 3.1 og 5.2.
- WP243 på dansk: afsnit 2 om frivillig udpegelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ekstern DPO i en mindre virksomhed · Kunden vil føre tilsyn med os
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
