Begge dele er tilladt. Datatilsynets vejledning nævner rådgivere og andre kvalificerede eksterne parter, og WP243, de europæiske tilsynsmyndigheders fælles vejledning, beskriver i afsnit 2.5, at en tjenesteyder kan udføre funktionen som team under én ansvarlig person. WP243 anbefaler en klar opgavefordeling og én overordnet kontakt, gerne skrevet ind i kontrakten. Valget handler derfor mindre om lovlighed og mere om, hvad I får i hverdagen: hvem I ringer til, hvem der kender jer, og hvad der sker, når den person er væk. Uanset model skal I kunne pege på én, der står med ansvaret.
Det, der altid skal være på plads
Tre krav gælder begge modeller.
Der skal være en overordnet kontakt. Datatilsynets side om indmelding beder om en navngiven person sammen med virksomhedens navn, CVR, telefon og mail. Siden siger ikke, om en virksomhed kan stå som DPO. Regn derfor med, at I skal angive et navn.
DPO’en skal have de faglige kvalifikationer, art. 37, stk. 5, kræver, navnlig ekspertise i databeskyttelsesret og praksis og evne til at udføre opgaverne. Det gælder også, når opgaven løses af flere.
DPO’en skal kunne stå til rådighed. Datatilsynet har ved et tilsyn lagt vægt på, at eksterne DPO’er med flere organisationer skal kunne være til stede for hver enkelt.
Den navngivne person
Med én person får I sammenhæng. DPO’en kender jeres systemer, jeres ledelse og de beslutninger, der blev truffet sidste år. Tillid opbygges mellem mennesker, og medarbejdere kontakter lettere en, de har mødt. Ansvaret er tydeligt, for der er kun ét sted at gå hen.
Svagheden er sårbarheden. Bliver personen syg, holder ferie eller er optaget af et brud hos en anden kunde, står rollen stille. Fagligheden er også begrænset til det, én person kan. Det kan være fuldt tilstrækkeligt, men vurder det ud fra jeres behandlinger.
Vælger I en navngiven DPO, så spørg til afløseren. Hvem træder til, hvordan er personen sat ind i jeres forhold, og er personen omfattet af samme aftale?
Teamet under én ansvarlig
Et team kan samle kompetencer, som sjældent findes i én person, fx databeskyttelsesret og IT-sikkerhed. Det dækker ferie og sygdom bedre, og opgaver kan fordeles efter, hvad de kræver.
Bagsiden er risikoen for, at jeres sag bliver en bunke opgaver. Hvis en ny medarbejder hver gang skal sættes ind i tingene, forsvinder hukommelsen. Rådgivning kan blive ujævn, og ansvaret kan flyde ud, når alle har rørt ved sagen.
WP243’s anbefaling er svaret på netop det. Én person er overordnet kontakt og ansvarlig for kunden, og fordelingen er klar. Spørg derfor, hvem der møder op, hvem der skriver rapporten, og hvem der underskriver vurderingen.
Sådan sammenligner I
- Kontakt · Én navngiven DPO: Altid samme person · Team under én ansvarlig: Én overordnet kontakt, andre på delopgaver
- Fravær · Én navngiven DPO: Skal aftales særskilt · Team under én ansvarlig: Dækkes normalt internt
- Faglig bredde · Én navngiven DPO: Én persons baggrund · Team under én ansvarlig: Kan samle flere fag
- Kendskab til jer · Én navngiven DPO: Samles hos én · Team under én ansvarlig: Skal deles og dokumenteres
- Fortrolighed · Én navngiven DPO: Få med adgang · Team under én ansvarlig: Flere med adgang, kræver styring
Tabellen viser tendenser, og hver udbyder skal vurderes for sig, se vurder en ekstern DPO. Baggrunde har hver deres styrke og svaghed, se advokat, revisor eller IT-sikkerhed.
Afløser og fortrolighed
Afløseren er et punkt, der let står uklart, og det betyder mest ved et brud. Art. 33 har sin frist, uanset hvem der har ferie, og Datatilsynets brudvejledning siger, at fravær af personale generelt ikke begrunder manglende anmeldelse. Det er jeres ansvar som dataansvarlig. Beslutningen om anmeldelse ligger hos jer, så jeres procedure må ikke afhænge af, at en bestemt person tager telefonen. Aftal, hvem I kontakter, og hvordan.
Jo flere personer, jo mere skal styres. Adgang gives til de navngivne, der har brug for den, ikke til hele firmaet. Skriv personerne op, og hold listen opdateret. Tavshedspligten skal dække dem alle, se tavshedspligt og konkurrerende kunder. Konflikter skal også vurderes for dem alle. Hvis ét teammedlem har rådgivet om at indføre det, et andet skal kontrollere, kan det give de samme spørgsmål som ved grænsen for rollen.
Hvad der passer til jer
Tænkt eksempel: En mindre virksomhed med få, velkendte behandlinger og en stærk intern kontaktperson kan være godt tjent med én navngiven DPO og en aftalt afløser. En virksomhed med mange følsomme oplysninger, flere lande og hyppige indkøb kan have brug for flere fagligheder.
Se først på jeres behandlinger, og vælg bagefter model. Stil tre spørgsmål: Hvor komplekse er behandlingerne? Hvor hårdt rammes I, hvis DPO’en er væk i to uger? Og hvor vigtigt er det for jeres medarbejdere og kunder at møde samme ansigt?
Sådan går I videre
Skriv de tre svar ned, og brug dem i samtalen med den eksterne. Bed om navnet på den ansvarlige og på afløseren, og få begge dele ind i aftalen. Træn gerne overgangen ved at lade afløseren deltage i et møde.
Det skal I lade være med
- At købe et team uden en navngiven ansvarlig · ansvaret må ikke flyde ud.
- At købe én person uden afløser · fravær er et spørgsmål om hvornår.
- At give hele firmaet adgang · adgang følger de navngivne personer.
Det skal I kræve af den eksterne
- ☐ Navnet på den ansvarlige og overordnede kontakt.
- ☐ En beskrevet afløser eller opgavefordeling.
- ☐ En liste over personer med adgang, ajourført.
- ☐ Dokumentation af jeres sager, så viden ikke sidder i ét hoved.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 33 og art. 37, stk. 5 til 7.
- WP243 på dansk: afsnit 2.5 om tjenesteydelseskontrakt og team.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 5.2.
- Datatilsynet: indmeld oplysninger om DPO: oplysninger i formularen.
- Datatilsynet: tilsyn med DPO’ens opgavevaretagelse, 2021: eksterne DPO’ers rådighed.
- Datatilsynet: Håndtering af brud på persondatasikkerheden: afsnit 3.3.2 om fravær.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Aftalen med en ekstern DPO · Hvor meget tid skal en DPO have?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
