En DPO skal overvåge, at virksomheden overholder databeskyttelsesreglerne. Den pligt står i art. 39, stk. 1, litra b, og forordningen siger intet om, hvordan det skal foregå. Mange steder består overvågningen af gennemlæsning af politikker og samtaler med dem, der har skrevet dem. Det viser, hvad virksomheden har besluttet. Vil I vide, om beslutningen er ført ud i livet, skal nogen se på adgangslister, logudtræk, slettejob og opsætning. Det er det, mange kalder en GDPR-audit.
Denne artikel beskriver den arbejdsmetode, sitet anbefaler. Metoden er vores egen. Hverken forordningen, Datatilsynet eller de vejledninger, vi har læst, beskriver DPO’ens tekniske kontrol, så I skal læse den som en måde at løfte opgaven på og ikke som et krav fra myndighederne.
Hvad loven giver DPO’en at arbejde med
Tre bestemmelser bærer metoden. Efter art. 38, stk. 2, skal virksomheden støtte DPO’en med ressourcer og give adgang til oplysninger og behandlingsaktiviteter. Art. 39, stk. 1, litra b, nævner ansvarsfordeling, oplysningskampagner, uddannelse og revisioner som dele af overvågningen. Art. 39, stk. 2, siger, at DPO’en tager hensyn til risikoen ved behandlingerne, og det er grunden til, at kontrollen kan være stikprøver på de vigtigste systemer frem for en fuld gennemgang af alt.
Rammen har en vigtig grænse. Datatilsynet advarer i sin FAQ om konflikten, hvis DPO’en skal bedømme tiltag, vedkommende selv har hjulpet med at indføre. Derfor driver DPO’en intet. Den person, der trækker listen eller retter opsætningen, er jeres IT-medarbejder eller leverandør. DPO’en læser resultatet, stiller spørgsmål og skriver ned, hvad der blev fundet.
De fire ting, kontrollen ser på
Adgangslister. Bed om en liste over brugere og roller i ét system med mange personoplysninger, fx løn, kundedatabase eller et delt drev med HR-mapper. Sammenhold den med listen over ansatte. Er der fratrådte, eksterne konsulenter eller fællesbrugere? Hvem er administrator, og hvor mange er de? Hvor mange kan læse HR-mappen, og hvorfor?
Logudtræk. Bed om et udtræk fra samme system for en uge, DPO’en selv vælger. Formålet er at se, om loggen findes, om den dækker det, jeres risikovurdering siger, og om nogen har kigget i den. Et udtræk uden opslag i personoplysninger fortæller noget om logningen. Datatilsynets katalog over foranstaltninger nævner bl.a. opslag, søgninger, rettelser og udtræk som det, en log bør vise. Hvor længe loggen gemmes, skal passe til formålet, og sletningen af den skal ske automatisk.
Slettejob. Tag en kategori fra slettepolitikken, fx ansøgninger fra afviste kandidater. Find den ældste ansøgning i systemet, og sammenlign datoen med fristen. Et slettejob, der står i politikken, men aldrig er sat op, ses her med det samme. Spørg også, hvornår jobbet sidst kørte, og hvem der får besked, hvis det fejler. Hvad I gør, hvor systemet ikke kan slette, står i systemet kan ikke slette.
Opsætning. Få vist de få indstillinger, der bærer jeres beskyttelse: kryptering på bærbare, krav om flere faktorer ved login, deling af filer uden for virksomheden, og hvor længe mailbokse efter fratrædelse står åbne. Et skærmbillede fra den, der administrerer systemet, er nok til formålet.
Sådan foregår det i praksis
Kontrollen kan køres som en fast runde, hvor ét område tages ad gangen. Rækkefølgen følger risikoen, så systemer med følsomme oplysninger eller mange registrerede kommer først. Runden består af fire trin.
- DPO’en vælger system og spørgsmål på baggrund af fortegnelsen og risikovurderingen.
- IT eller leverandøren trækker materialet og afleverer det uden at redigere det.
- DPO’en læser det, spørger ind og beskriver hvert fund med dato, system og mulig konsekvens for de registrerede.
- Fundene går til ledelsen sammen med en anbefaling. Ledelsen beslutter, hvad der skal ske, og hvem der gør det.
Det sidste trin er det, der giver kontrollen værdi. Efter art. 38, stk. 3, går DPO’ens rapportering direkte til øverste ledelsesniveau. Et fund, der bliver hængende hos IT-leverandøren, når aldrig frem til dem, der kan prioritere det. Følger ledelsen ikke en anbefaling, er det god praksis at skrive grunden ned, som WP243 anbefaler. Rapporten med fundene er en leverance, I kan stille krav til, se Det får I.
Hvor stor adgang DPO’en selv skal have, afhænger af aftalen og af systemerne. Ofte er læseadgang til rapporter nok, og mange steder er det slet ikke nødvendigt at logge på selv. Afvejningen står i adgange til den eksterne DPO.
Hvad kontrollen kræver af DPO’en
Metoden stiller krav, jura alene ikke dækker. DPO’en skal kunne læse et logudtræk og vide, hvad en rolle i mailsystemet giver adgang til. Samtidig kræver art. 37, stk. 5, ekspertise i databeskyttelsesret og -praksis, og den ekspertise afgør, hvad et fund betyder. Har jeres DPO kun den ene side, kan den anden hentes ind, sådan som det er beskrevet i vores DPO er jurist. En teknisk baggrund er et tillæg til den juridiske viden og kan ikke stå i stedet for den. Selve afprøvningen af sikkerheden er virksomhedens opgave efter art. 32, se test af sikkerheden efter GDPR.
Hos Nielco IT starter et forløb med en gennemgang af GDPR-situationen, herunder de tekniske foranstaltninger, og en vurdering med anbefalinger prioriteret efter risiko. Derefter følger arbejdet en aftalt timeramme hver måned. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
· At lade DPO’en rette fejlene selv. Så kontrollerer vedkommende næste gang sit eget arbejde.
· At levere pænt tilrettede udtræk. Materialet skal vise systemet, som det ser ud.
· At kontrollere alt på en gang. Tag de systemer, hvor risikoen for personerne er størst.
· At lade fund blive liggende hos IT. Ledelsen skal se dem og tage stilling.
Det skal I kræve af den eksterne
- ☐ En beskrivelse af, hvilke systemer der kontrolleres, og hvorfor.
- ☐ Fund med dato, system og konsekvens for de registrerede.
- ☐ En klar adskillelse af kontrol og udførelse.
- ☐ Rapportering direkte til øverste ledelse.
- ☐ Forklaring af tekniske fund i et sprog, direktionen kan handle på.
Kilder
- Databeskyttelsesforordningen: art. 37, stk. 5, art. 38, stk. 2 og 3, og art. 39.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om evaluering af egne tiltag.
- WP243 på dansk: afsnit 3.1 om uenighed.
- Datatilsynet: Logning af brugernes anvendelser af personoplysninger: senest opdateret 20. oktober 2025.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Passende sikkerhed efter artikel 32 · Det, en DPO ikke skal lave
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
