Giver en ekstern DPO et forkert råd, og I følger det, står virksomheden stadig selv over for Datatilsynet og de registrerede. Forordningens ansvar flytter sig ikke med rollen. Det, en fejl kan udløse, er rådgiverens ansvar over for jer, og det afgøres af aftalen og af dansk rets almindelige regler. Den generelle forklaring på, hvem der hæfter for databeskyttelsen, står et andet sted. Her er emnet aftalen med leverandøren: de fejl, der kan ske, og de spørgsmål, en ledelse bør stille enhver udbyder, før der skrives under. Konkrete krav og kontraktvilkår er et spørgsmål til jeres advokat.
Det, der ikke flytter sig
Datatilsynets vejledning er klar. Det er den dataansvarlige, der sanktioneres, når reglerne ikke overholdes, også når årsagen er ukorrekt rådgivning fra DPO’en. FAQ’en på tilsynets side siger det samme: ansvaret for overtrædelser ligger hos den dataansvarlige.
Art. 82 peger samme vej. Retten til erstatning retter sig mod den dataansvarlige eller databehandleren, og reglen i stk. 5 om at kræve en del tilbage gælder mellem dem. En DPO er ikke nævnt. Vores læsning er derfor, at et krav mod jeres eksterne DPO for et forkert råd må bygge på kontrakten og den almindelige erstatningsret. Forordningen hjælper jer ikke dér.
Fire slags fejl
Ordet fejl dækker over forskellige ting, og de bør behandles hver for sig i aftalen.
- Forkert råd. DPO’en vurderer fx, at en behandling ikke kræver en konsekvensanalyse, og ledelsen følger det.
- Opgave ikke udført. Den aftalte kontrol blev aldrig lavet, eller rapporten til ledelsen udeblev. Her handler det om leverancen, og det er derfor vigtigt, at aftalen med den eksterne DPO beskriver den.
- Brud på fortroligheden. Oplysninger fra jobbet slipper ud. Tavshedspligten i databeskyttelseslovens § 24 nævner ikke frivilligt udpegede DPO’er, så pligten bør stå i aftalen.
- Brud hos DPO’en selv. Notater eller adgange kompromitteres i leverandørens egne systemer. Rollen for de oplysninger skal være afklaret på forhånd, se er den eksterne DPO databehandler?.
Et råd, ledelsen valgte ikke at følge, er ingen fejl hos DPO’en. Heller ikke et tab, der skyldes, at det besluttede aldrig blev gennemført. Skriftlige råd og notater om uenighed gør det muligt at se forskellen bagefter.
Spørgsmål til enhver leverandør
Stil de samme spørgsmål til alle udbydere, og få svarene på skrift.
Ansvarsgrundlag. Hvad regner aftalen som en fejl? Står der, at rådgivning alene er vejledende, og hvad betyder det i praksis for jer?
Ansvarsbegrænsning. Er der en grænse for leverandørens ansvar, og hvordan er den beregnet? Hvilke tab er undtaget? Gælder grænsen alle fire slags fejl, eller er fortrolighed og forsæt holdt udenfor? Passer grænsen til det, I behandler, frem for at være en standardtekst fra en anden type rådgivning?
Ansvarsforsikring. Har leverandøren en ansvarsforsikring, og dækker den netop DPO-opgaven? Bed om en skriftlig bekræftelse af, hvad der er omfattet, og hvad der er undtaget. Spørg også, om dækningen gælder for krav, der først rejses, efter samarbejdet er slut. En cyberforsikring er en anden type forsikring, så spørg konkret.
Tredjemand. Kommer et krav fra en registreret eller en kunde, retter det sig mod jer. Hvad siger aftalen om, hvordan I giver leverandøren besked, og om leverandøren skal medvirke med dokumentation?
Team og underleverandører. Arbejder flere på opgaven, skal én person stå som ansvarlig kontakt, jf. retningslinjerne WP243 fra EU’s tilsynsmyndigheder. Gælder aftalens ansvar for alles arbejde, også en eventuel underleverandør?
Reklamation og ophør. Hvornår skal en fejl senest påtales? Beholder I råd og rapporter, når samarbejdet slutter, så I kan dokumentere forløbet?
Svarene kan lægges ved siden af de øvrige kriterier, når I vælger en ekstern DPO. Et forbehold er ikke i sig selv et dårligt tegn. Det vigtige er, at I kender det og kan se, hvad der er tilbage hos jer.
Ansvaret må ikke blive en straf
Art. 38, stk. 3, siger, at en DPO ikke må straffes for at udføre sine opgaver. WP243 regner også en tjenesteydelseskontrakt med og siger, at sanktioner kan være indirekte, og at en trussel kan være nok. Vores læsning er, at aftalen ikke må kunne bruges mod en DPO, der bringer en ubehagelig konklusion. Det kan ske, hvis betaling, forlængelse eller et erstatningskrav gøres afhængigt af, om ledelsen kan lide vurderingen.
Grænsen går ved sagen. En rådgiver kan godt stå til ansvar for et råd, der var fagligt forkert. En uenighed om, hvor hårdt en vurdering er formuleret, er ingen fejl. Skriv derfor reglerne, så de handler om det faktisk leverede, og lad en reklamation gå til det øverste ledelsesniveau, så den, hvis område blev vurderet, ikke selv afgør sagen.
Hvis fejlen er sket
Begynd med personerne og reglerne, og tag økonomien bagefter. Er der tale om et brud på persondatasikkerheden, løber fristerne uafhængigt af, hvem der tog fejl. Ret behandlingen, og skriv ned, hvad der skete, og hvad der blev rådet.
Lad en anden end DPO’en vurdere selve fejlen. Datatilsynets FAQ beskriver en interessekonflikt, når en DPO skal bedømme sine egne tiltag. Giv leverandøren besked skriftligt med det samme, og tag fat i advokaten, før I modregner eller opsiger. En opsigelse har sine egne hensyn, se opsigelse af en ekstern DPO.
Det gør I nu
Find ansvarsafsnittet i jeres aftale, eller i det tilbud, I sidder med, og sæt de fire slags fejl ud for det. Står en af dem ikke beskrevet, så tag spørgsmålet op, mens samarbejdet fungerer.
Det skal I lade være med
- At regne en DPO som en garanti · virksomheden står selv over for tilsynet.
- At skrive under uden at læse ansvarsgrænsen · den afgør, hvad I kan rejse krav om.
- At antage, at en forsikring dækker · bed om svaret på skrift.
- At bruge aftalen som pres · ubehagelige konklusioner er en del af rollen.
Det skal I kræve af den eksterne
- ☐ Skriftlige råd, så det kan ses, hvad der blev sagt.
- ☐ Klar besked om ansvarsgrænsen og det, den ikke omfatter.
- ☐ Skriftligt svar på, hvilken forsikring der gælder for opgaven.
- ☐ Tavshedspligt i aftalen, også ved frivillig udpegelse.
- ☐ Straks at sige til, hvis et tidligere råd viser sig at være forkert.
Kilder
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 2.1 og 5.3, læst 6. november 2026.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om ansvar og interessekonflikter, læst 6. november 2026.
- Artikel 29-gruppen: WP243, dansk udgave: afsnit 2.5, 3.2, 3.3 og 3.4, læst 6. november 2026.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: § 24 og 40, læst 6. november 2026.
- Forordning (EU) 2016/679, dansk tekst: art. 37, 38, 39 og 82, læst 6. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Når ledelsen ikke følger DPO’ens råd · Opsigelse af en ekstern DPO
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
