Rapporten fra DPO’en: sådan læser ledelsen den

Rapporten fra DPO’en er din vej til at få et ærligt billede af databeskyttelsen uden at skulle kende reglerne. Som direktør skal du gøre tre ting: læse anbefalingerne først, spørge til det, rapporten ikke dækker, og svare på hvert punkt, så svaret står i referatet. Efter art. 38, stk. 3, skal rapporteringen gå direkte til det øverste niveau i ledelsen, men ingen regel fastsætter form eller hyppighed. Datatilsynet skriver, at en årlig opsamling kan give mening og ikke er et krav. Artiklen handler om modtageren. Hvad rapporten bør rumme set fra rollen, står i DPO’ens år: årshjul og rapporten.

Hvad du sidder med

WP243, de europæiske tilsynsmyndigheders retningslinjer, bruger en årsrapport til toppen af ledelsen som eksempel på, hvordan rapporteringen kan ske direkte. Datatilsynets tips til nye DPO’er nævner faste møder og skriftlig rapportering om status, udfordringer og anbefalinger. EDPB offentliggjorde i januar 2024 en rapport, der beder virksomheder gennemgå DPO’ens inddragelse aktivt, og årsrapporten nævnes som et af redskaberne.

Rapporten er en uafhængig vurdering. Ledelsen kan ikke instruere DPO’en i opgaverne (art. 38, stk. 3), så du kan gøre opmærksom på fejl i fakta og spørge ind, mens konklusionerne står, som DPO’en har skrevet dem. Ansvaret for at overholde reglerne ligger stadig hos virksomheden.

Læs den i denne rækkefølge

Rækkefølgen er vores forslag, og den passer til en travl læser.

1. Anbefalingerne. Hvad bedes I gøre, og hvad er vigtigst? Står de uden prioritering, så bed om én.
2. Det, der ikke blev set på. En rapport uden afgrænsning kan læses, som om alt er kontrolleret. Find ud af, hvilke systemer, afdelinger og leverandører der lå uden for.
3. Vilkårene. Har DPO’en haft tid, adgang og er blevet inddraget i tide? Art. 38, stk. 1 og 2, gør det til jeres pligt. Et forbehold her er en besked til dig personligt som leder.
4. Gengangerne. Hvad stod der også sidste år? Et åbent punkt fra sidste rapport fortæller mere end et nyt.
5. Brud og henvendelser. Se efter mønstre. Mange mails til forkert modtager peger på en proces, og en tom log kan pege på, at ingen melder noget.

Seks spørgsmål til mødet

Sæt tid af, så DPO’en selv kan fremlægge rapporten. Datatilsynets vejledning anbefaler inddragelse på øverste niveau, fx på direktions- og ledelsesmøder.

• Hvad er den største risiko for de personer, vi har oplysninger om?
• Hvad ville du undersøge, hvis du havde mere tid?
• Hvad har du set med egne øjne i systemerne, og hvad bygger på, hvad andre har sagt?
• Hvilket af dine råd blev ikke fulgt i år, og hvad skete der så?
• Hvad kan en kunde eller Datatilsynet spørge om, som vi ikke kan vise?
• Er der noget, du ikke har kunnet sige til os i løbet af året?

Svarene viser også, om samarbejdet virker. En DPO, der aldrig har fund eller uenigheder, har måske ikke fået adgang nok.

Det skal stå i referatet

Efter art. 5, stk. 2, har I bevisbyrden, og referatet er det enkleste sted at begynde. Ingen myndighed har fastlagt indholdet, så dette er vores forslag:

• rapportens dato, og at den er fremlagt for direktionen,
• for hver anbefaling, om den følges, følges delvist eller ikke følges,
• en navngiven ejer og en frist for det, der følges,
• begrundelsen for det, der ikke følges,
• hvad bestyrelsen skal have at vide.

Det sidste punkt har en kilde. I et selskab med begge organer er det ifølge Datatilsynets vejledning direktionen, der er det øverste niveau, og bestyrelsen skal så have besked fra direktionen om det væsentlige i rapporten.

Et råd, I ikke følger

I må gerne gå imod DPO’ens anbefaling. Både WP243 og Datatilsynets vejledning anbefaler, at I dokumenterer det. Forløbet og notatet finder du i artiklen når ledelsen ikke følger DPO’ens råd.

Når rapporten siger for lidt

Nogle rapporter er lister over møder og kurser. Det viser aktivitet og siger intet om, hvordan det står til. Bed om fund, risiko og prioritering, og se politik og virkelighed for forskellen på papir og systemer.

Se også på, hvordan rapporten nåede frem. Er den gået gennem IT-chefen eller andre, hvis beslutninger den omtaler, er rapporteringslinjen ikke direkte. Det norske datatilsyn gav i marts 2025 et selskab en irettesættelse for en utilstrækkelig rapporteringslinje til øverste ledelse, og tilsynets fund nævner en direkte og dokumenteret linje.

Er DPO’en også noget andet i virksomheden, er der tale om en kombi-stilling. Rapporten bør så vise, hvor DPO’en selv har været med til at gennemføre det, der vurderes, for Datatilsynets FAQ peger på netop dét som en mulig konflikt. Datatilsynets grænse står fast: DPO’en må ikke have en stilling, hvor den pågældende selv bestemmer, hvordan personoplysninger behandles. Se ekstern CISO og DPO i samme person.

Giver rapporterne ikke det, du har brug for, efter et par forsøg, er det tid til at se på rollen. Har I en intern DPO uden tid, så læs den interne DPO har ikke tid. Overvejer I at hente rollen udefra, så begynd ved vælg en ekstern DPO. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Det gør du nu

Find den seneste rapport. Marker de anbefalinger, der ikke har et svar. Sæt et punkt på næste ledelsesmøde, og giv dem en ejer. Findes der ingen rapport, så aftal med DPO’en, hvornår den første skal ligge klar.

Det skal I lade være med

• At bede om at få en konklusion ændret · det rammer selve uafhængigheden.
• At læse rapporten alene og lægge den væk · uden svar står anbefalingerne ubesvaret i jeres egne papirer.
• At lade den gå gennem dem, den handler om · rapporteringen skal være direkte.

Det skal I kræve af den eksterne

• ☐ En kort rapport med prioriterede anbefalinger og tydelig afgrænsning.
• ☐ Fremlæggelse for direktionen med tid til spørgsmål.
• ☐ Status på sidste rapports punkter.
• ☐ Melding til dig, når tid eller adgang er for knap.

Kilder

• Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 2, og art. 38, stk. 1 til 3. Læst 6. november 2026.
• Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om årsrapport, uafhængighed og evaluering af egne tiltag, læst 6. november 2026.
• Datatilsynet: Vejledning om databeskyttelsesrådgivere: inddragelse, dokumentation af råd, der ikke følges, og det øverste ledelsesniveau.
• Datatilsynet: Tips til nye databeskyttelsesrådgivere: møder og rapporter.
• WP243 på dansk: afsnit 3.1 og 3.3.
• EDPB: rapport om DPO’er, januar 2024: anbefalinger.
• Datatilsynet (Norge): afgørelse af 14. marts 2025: resumé.

Senest gennemgået: november 2026.

Næste skridt

• DPO as a service
• Når ledelsen ikke følger DPO’ens råd

Læs også: Hvor meget tid skal en DPO have? · GDPR-årshjul

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT