Ledelsen må godt beslutte noget andet, end DPO’en anbefaler. DPO’en rådgiver og kontrollerer, og ansvaret for at overholde reglerne ligger hos den dataansvarlige, så beslutningen er virksomhedens. Til gengæld skal I kunne begrunde valget. WP243, de europæiske tilsynsmyndigheders fælles vejledning, anbefaler som god praksis, at I skriver årsagerne ned, når et råd ikke følges. Et kort beslutningsnotat løser det meste. Artiklen beskriver, hvad der skal ske, når I er uenige, og hvordan notatet kan se ud.
Uenighed er en del af aftalen
En DPO, der altid er enig med ledelsen, har måske ikke set efter. Rollen er bygget til, at nogen uden for beslutningen stiller spørgsmål ved den. DPO’en har heller ingen beføjelse til at standse noget. Datatilsynets FAQ siger, at det er ledelsen, der træffer de endelige beslutninger, og at det juridiske ansvar for overtrædelser ligger hos den dataansvarlige.
Det har to følger. Ledelsen kan ikke flytte ansvaret over på DPO’en ved at sige, at vedkommende var med på råd. Og DPO’en kan ikke overtage beslutningen ved at nægte at acceptere den.
Der er forskel på en vurdering og en beslutning. Vurderingen er DPO’ens egen og må ikke påvirkes, jf. art. 38, stk. 3. Beslutningen er jeres. I kan sagtens sige, at I er uenige i vurderingen, og I kan bede DPO’en se på nye oplysninger. Det, I ikke kan, er at bede om en anden konklusion.
Forløbet, når I er uenige
Tænkt eksempel: DPO’en anbefaler, at en ny løsning til medarbejderdata først tages i brug efter en konsekvensanalyse. Projektlederen vil gå i luften om tre uger, og direktøren er enig med projektlederen. Sådan kan forløbet se ud.
- Vurderingen står skriftligt. DPO’en skriver kort, hvad rådet er, hvilken regel det bygger på, og hvilken risiko der ses.
- I taler sammen. Mange uenigheder forsvinder, når begge parter ser de samme fakta. Datatilsynets FAQ opfordrer til en åben, saglig og dokumenteret dialog, og DPO’en dokumenterer de faglige drøftelser.
- Sagen når det øverste ledelsesniveau. Art. 38, stk. 3, giver DPO’en en direkte rapporteringsvej, og beslutningen skal tages af en, der må tage den.
- Beslutningen skrives ned. Ledelsen noterer, hvad der er besluttet og hvorfor.
- Der følges op. Hvis valget indebar en risiko, skal den ses efter på et aftalt tidspunkt.
Det hele behøver ikke fylde meget. Pointen er, at rækkefølgen ligger fast, så ingen skal opfinde den midt i en konflikt.
Beslutningsnotatet
Ansvarligheden i art. 5, stk. 2, betyder, at I selv skal kunne vise jeres overholdelse, og art. 24 lægger ansvaret hos den dataansvarlige. Notatet er jeres del af det bevis. Ingen myndighed har fastlagt en form, så det følgende er vores forslag.
- Sagen og datoen
- DPO’ens råd med henvisning til den skriftlige vurdering
- Ledelsens beslutning
- Begrundelsen for ikke at følge rådet, fx hvilke fakta eller hvilken regel ledelsen lægger vægt på
- Den risiko, I accepterer, og de foranstaltninger, der mindsker den
- Hvem der har besluttet
- Hvornår beslutningen tages op igen
Begrundelsen er det afgørende punkt. Der skal stå, hvorfor I mener, at det valgte er lovligt eller forsvarligt. At løsningen er billigere eller hurtigere, kan være en del af forklaringen, men det svarer ikke på, om reglerne er overholdt. En version af notatet ligger på tjeklister og skabeloner. Handler uenigheden om en konsekvensanalyse, hører begrundelsen også til i selve analysen, se skal vi lave en DPIA?.
Notatet er også en hjælp ved tilsyn. Har I valgt med åbne øjne og en saglig begrundelse, står I bedre, end hvis rådet blot er forsvundet.
Når det gentager sig
Én uenighed er normal. Mange uenigheder er et signal. Måske har DPO’en en for streng linje, måske har I en vane med at tage risici. Begge dele kan drøftes, når ledelsen ser dem samlet i rapporteringen. Hvad rapporten til ledelsen bør vise, står under Det får I.
Et mønster kan også ramme rollen. Bliver DPO’en holdt ude af møder, eller får vurderingerne ikke svar, kan det stride mod art. 38, stk. 1, om inddragelse. Bliver rammen beskåret efter en kritisk rapport, er det et spørgsmål om uafhængighed, se kan en betalt ekstern DPO være uafhængig?. Mener DPO’en, at uafhængigheden er truet, nævner Datatilsynet muligheden for at kontakte tilsynet, efter at sagen er forsøgt afklaret internt. Se anmelder DPO’en os til Datatilsynet?.
Sådan går I videre
Aftal forløbet med DPO’en, før det bliver nødvendigt, og skriv det i rollebeskrivelsen. Tag skabelonen til notatet med i jeres ledelsessystem, og find de seneste råd fra DPO’en frem. Er der nogle, som ikke blev fulgt, og som ikke er begrundet, så lav notatet nu.
Det skal I lade være med
- At lade et råd stå ubesvaret · et svar kan være nej, og det skal stå skriftligt.
- At bede DPO’en om at ændre rapporten · bed om en ny vurdering på nye fakta, og lad konklusionen være DPO’ens.
- At skrive forretningshensyn som eneste begrundelse · notatet skal svare på, hvorfor valget holder efter reglerne.
Det skal I kræve af den eksterne
- ☐ Skriftlige råd med henvisning til regel og risiko.
- ☐ Klar skelnen mellem det, der er lovkrav, og det, der er god praksis.
- ☐ Direkte adgang til det øverste ledelsesniveau ved uenighed.
- ☐ Opsamling på ikke fulgte råd i den faste rapport.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 2, art. 24 og art. 38, stk. 1 og 3.
- WP243 på dansk: afsnit 3.1 om dokumentation ved uenighed.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om uenighed og ansvar.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 5.3 om uenighed ved konsekvensanalyser.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvornår skal DPO’en inddrages? · Anmelder DPO’en os til Datatilsynet?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
