Sådan foregår det

Et samarbejde med en ekstern DPO begynder med at finde ud af, hvor I står. Først kommer en samtale og en gennemgang, så en vurdering med det vigtigste først, og derefter et samarbejde med fast rytme og en aftalt timeramme. Her kan I se, hvordan det ser ud fra jeres side af bordet: hvad I skal stille med, hvornår DPO’en skal høre fra jer, og hvad der sker, når I er uenige.

Samtalen før aftalen

Den første samtale handler om baggrunden for henvendelsen, og om en DPO er det rigtige svar. Det kan sagtens ende med, at I ikke skal have en. Går I videre, skal tre ting aftales, før arbejdet begynder: tavshedspligten, hvad opgaven omfatter, og hvem der er kontaktperson hos jer. Punkterne er samlet på Vælg en ekstern DPO.

Gennemgangen

Gennemgangen viser, hvor I står med databeskyttelsen. Den ser på, hvilke behandlinger I har, hvilke politikker der findes, hvilke databehandleraftaler der er indgået, og hvilke tekniske foranstaltninger der er på plads. Papirerne er halvdelen. Den anden halvdel er at holde dem op mod systemerne, så I ser, om en slettefrist også bliver udført, og om adgangene passer med det, der står. Gennemgangen kan købes alene, og den kan laves, før I beslutter noget om en DPO. Indholdet står i GDPR-gennemgangen: det, I står med bagefter.

Vurderingen

I får en skriftlig vurdering med konkrete anbefalinger, prioriteret efter risiko for dem, oplysningerne handler om. Ledelsen tager stilling til, hvad der skal gøres, hvad der kan vente, og hvad I vil leve med. Virksomheden udfører. Står en anbefaling ikke til at følge, er det i orden at sige det. Beslutningen og begrundelsen skal så skrives ned.

Udpegelsen

Bliver DPO’en udpeget, skal kontaktoplysningerne offentliggøres og meddeles Datatilsynet, som art. 37, stk. 7, kræver. Datatilsynets formular spørger efter virksomhedens navn og CVR-nummer og DPO’ens navn, telefon og mail. Samtidig kan I fortælle medarbejderne, hvem DPO’en er, og hvornår de skal tage kontakt, for art. 38, stk. 4, giver de registrerede ret til at henvende sig til DPO’en. Det særlige ved de første måneder er emnet i artiklen om de første 90 dage.

Den månedlige rytme

Efter vurderingen går arbejdet over i en fast rytme med en aftalt timeramme. Omfanget følger jeres risiko og aftales konkret. Hver måned er der plads til spørgsmål, nyt siden sidst og et stykke kontrol, og den øverste ledelse får rapport efter det, I har aftalt. Indholdet er beskrevet på DPO as a service.

Hvornår DPO’en skal høre fra jer

Art. 38, stk. 1, siger, at DPO’en skal inddrages tilstrækkeligt og rettidigt. Datatilsynet regner det for rettidigt, når det sker før beslutningen om foranstaltninger i IT-systemer, før retningslinjer bliver udstedt, og før indkøb. Efter et system er købt, er det for sent. Den enkle regel er, at nye systemer, nye leverandører og nye måder at bruge oplysninger på skal forbi DPO’en, mens de stadig kan ændres.

Når der sker et brud

Akutte brud falder uden for den faste ramme, så det er vigtigt at have aftalt, hvad der gælder, før det sker. Det er den dataansvarlige, der beslutter, om et brud skal anmeldes og hvordan. Skal det anmeldes, er fristen om muligt 72 timer fra det tidspunkt, hvor I er blevet bekendt med bruddet. DPO’en behøver ikke altid at være direkte involveret, siger Datatilsynet, som til gengæld efterlyser en klar procedure for, hvornår DPO’en skal orienteres. Skriv den ned, og øv den. Selve forløbet står på Brud på persondatasikkerheden.

Når I er uenige

Der vil komme råd, ledelsen ikke vil følge. Ledelsen må gerne vælge noget andet, for beslutningen er dens. WP243 kalder det god praksis at dokumentere årsagerne, når rådet ikke følges, og DPO’en bør dokumentere de faglige drøftelser. Ifølge EDPB’s rapport fra januar 2024 sker det ofte ikke. Et kort beslutningsnotat er nok, og det kan vise tilsynet, at spørgsmålet blev taget alvorligt.

Mange spørger, om DPO’en så anmelder dem. De kilder, vi har læst, nævner ingen pligt til at anmelde sin egen organisation, og Datatilsynet siger, at tvivl og uenighed altid bør søges afklaret internt først. DPO’en kan kontakte tilsynet i bestemte situationer, fx ved høj risiko eller hvis uafhængigheden er truet, og det skal I vide, før I skriver under.

Når samarbejdet slutter

Et skift af DPO skal være til at gennemføre. Materialet ligger i jeres systemer, så den næste kan fortsætte, og åbne sager, planen for året og tidligere råd bliver overdraget. Kontaktoplysningerne skal rettes, og adgangene lukkes.

Artikler om samarbejdet

• GDPR-gennemgangen: det, I står med bagefter Indholdet af gennemgangen, og hvad den kan bruges til.
• De første 90 dage med en ekstern DPO Det særlige ved at starte op i en DPO-rolle.
• Skift af ekstern DPO: sådan overdrages arbejdet DPO-materialet, når rollen flytter.
• Når ledelsen ikke følger DPO’ens råd Dokumentation af uenighed, og hvem der beslutter.
• Anmelder DPO’en os til Datatilsynet? Det, kilderne siger om kontakten med tilsynet.
• Hvornår skal DPO’en inddrages? Art. 38, stk. 1 i hverdagen Faste anledninger i et almindeligt år.
• Det, en DPO ikke skal lave for jer Grænsen mellem rådgivning og udførelse.

Forløbet hos Nielco IT

Hos Nielco IT følger samarbejdet de trin, siden her beskriver. Det begynder med gennemgangen, og vurderingen kommer skriftligt med anbefalingerne prioriteret efter risiko. Derefter fortsætter arbejdet månedligt inden for den aftalte timeramme. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Det skal I lade være med

• At inddrage DPO’en, når kontrakten er underskrevet · så er rådet kun til pynt.
• At vente med brudproceduren, til den skal bruges · aftal rollerne på forhånd.
• At lade uenighed forsvinde i en mail · beslutningen og begrundelsen skal kunne findes igen.
• At lægge alt materiale hos den eksterne · det skal ligge i jeres egne systemer.

Det skal I kræve af den eksterne

• ☐ En skriftlig vurdering med anbefalinger i rækkefølge efter risiko.
• ☐ Klar besked om, hvordan I kontakter jeres DPO ved et brud, og hvad der gælder uden for rammen.
• ☐ Besked i god tid, hvis timerammen ikke slår til.
• ☐ Dokumenterede råd, så uenighed kan spores.
• ☐ En plan for overdragelse, der virker, uanset hvem der stopper samarbejdet.

Kilder

• Forordning (EU) 2016/679 på EUR-Lex: art. 33, art. 37, stk. 7, og art. 38, stk. 1 og 4.
• Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 5.3 om rettidig inddragelse.
• Datatilsynet: Databeskyttelsesrådgivere (DPO’er): om brud, uenighed og kontakt med tilsynet, læst november 2026.
• Datatilsynet: Indmeld oplysninger om DPO.
• Retningslinjer om databeskyttelsesrådgivere, WP243, på dansk: afsnit 3.1.
• EDPB: Rapport om databeskyttelsesrådgivere, januar 2024.

Senest gennemgået: november 2026.

Næste skridt

• GDPR-gennemgangen: det, I står med bagefter
• Det får I

Læs også: Vælg en ekstern DPO · DPO as a service

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT