Skal vi have en DPO?

For en privat virksomhed er kravet smalt, og det er ledelsen, der skal tage stilling. Tre betingelser skal være opfyldt på samme tid, og mangler én af dem, er der ingen pligt. Mange virksomheder ender derfor med et nej, og så er opgaven at skrive vurderingen ned. Andre vælger en DPO alligevel, fordi kunderne spørger, eller fordi arbejdet er gået i stå. Betingelserne er gennemgået i bredden på ekstern-it-ledelse.dk under pligten til en DPO. Her står vejen gennem beslutningen, som en ledelse kan følge den på et enkelt møde.

Beslutningsvejen

Tag spørgsmålene i denne rækkefølge, og stop ved det første nej. Offentlige myndigheder har deres egen regel, som denne side ikke handler om.

1. Er behandlingen af personoplysninger hovedaktiviteten? Kundekontakt, HR, salg, kundekartotek, onlinebooking og IT-support regnes som biaktiviteter. Som udgangspunkt er forsyning, håndværk, hotel og restaurant, service og detailhandel heller ikke omfattet. Cloud computing, hosting, privathospitaler og forsikringsselskaber er Datatilsynets eksempler på det modsatte.
2. Sker det i stort omfang? Tilsynet ser på antal personer, volumen og typer af oplysninger, varighed og geografisk udstrækning. Der findes ingen fast grænse. En stor lægepraksis er formentlig omfattet, mens det modsatte gælder en praksis med et begrænset antal læger.
3. Er der tale om overvågning eller om særlige oplysninger? Det skal enten være regelmæssig og systematisk overvågning, fx kreditvurdering, lokationstracking eller adfærdsbaseret annoncering, eller følsomme oplysninger eller oplysninger om strafbare forhold.

Tre gange ja betyder, at I skal have en DPO. Ordene er uddybet i Kerneaktivitet og stort omfang og Regelmæssig og systematisk overvågning. Ligger I på grænsen, er det et spørgsmål til advokat, og I kan også spørge Datatilsynet.

Når svaret er nej

Virksomheder uden pligt kan med fordel dokumentere vurderingen, så den kan vises til Datatilsynet, skriver tilsynet i sin vejledning. Det behøver ikke fylde meget. Notatet bør sige, hvilke behandlinger I har set på, hvordan de tre spørgsmål er besvaret og hvorfor, hvem der har besluttet det, og hvornår I ser på det igen. En ny forretningsgren eller et nyt system kan ændre svaret. Skabelonen står i Vi skal ikke have en DPO.

Et nej fjerner ingen af de øvrige regler. Fortegnelser, databehandleraftaler, sikkerhed og rettigheder gælder stadig, og nogen skal eje dem. Hvem det kan være, står i Uden DPO: hvem ejer så databeskyttelsen?.

Når I vælger en DPO frivilligt

Art. 37, stk. 4, giver adgang til at udpege en DPO, selv om I ikke har pligt. Vælger I det, gælder kravene i art. 37 til 39 også for jer, herunder uafhængighed, inddragelse og ressourcer. Det er værd at vide, før titlen bliver sat på en medarbejder. En funktion, der ikke opfylder kravene, bør ikke hedde DPO, så hvis I vil have en GDPR-ansvarlig med andre opgaver, skal den have en anden titel. På ekstern-it-ledelse.dk står mere om den frivillige DPO.

Spørg jer selv, hvad I vil opnå. Har I brug for en, der holder arbejdet i gang og kan kontrollere det, kan rollen give mening i en mindre virksomhed. Har I få og enkle behandlinger, kan det være for meget. Afvejningen står i Ekstern DPO i en mindre virksomhed.

Når I er databehandler

Kravet gælder databehandlere selvstændigt. Behandler I oplysninger for kunder, er cloud og hosting netop de eksempler, Datatilsynets vejledning bruger om kerneaktivitet, når det indebærer lagring af personoplysninger. Stort omfang og følsomme oplysninger skal stadig vurderes, så en leverandør bliver ikke omfattet af sin branche alene. Se Vi er databehandler: gælder DPO-kravet også for os?.

Når kunden spørger

Et spørgeskema eller en kontrakt kan spørge efter jeres DPO, selv om loven ikke kræver en. Har I ingen, og viser vurderingen, at I ikke skal have en, så er det svaret. Kundens krav er en aftalesag, og I skal svare sandt på det, I bliver spurgt om. Lad være med at sætte en titel på en medarbejder for at kunne krydse af. Fremgangsmåden står i Kunden spørger, hvem der er jeres DPO.

Når I har en DPO, og det ikke virker

Art. 38, stk. 2, siger, at virksomheden skal give DPO’en ressourcer og adgang. Har den interne DPO ikke tid, står rollen på papiret, og det er jeres ansvar. Spørg også, om personen har andre opgaver, der giver konflikt, og om valget af en ekstern er bedre, som det er drøftet i Intern eller ekstern DPO.

Artikler om beslutningen

• Kerneaktivitet og stort omfang: de ord, der afgør DPO-kravet Hovedaktivitet eller biaktivitet, og de fire kriterier.
• Regelmæssig og systematisk overvågning: rammer det jeres virksomhed? Fra adfærdsanalyse på nettet til sporing af lokation.
• Vi skal ikke have en DPO: sådan dokumenterer I vurderingen Notatet, tilsynet kan få at se.
• Uden DPO: hvem ejer så databeskyttelsen? Ansvaret, når ingen har titlen.
• Ekstern DPO i en mindre virksomhed: hvornår er det for meget? Når rollen passer, og når den er for stor.
• Vi er databehandler: gælder DPO-kravet også for os? Kravet set fra leverandørens side.
• Kunden spørger, hvem der er jeres DPO Svaret i spørgeskemaer og kontrakter.
• Private klinikker og sundhedsvirksomheder: hvor går grænsen for DPO-kravet? Datatilsynets eksempler, og hvad tilsynet fandt i 2019.
• Den interne DPO har ikke tid: tegnene, og hvad I gør Tegnene, og valget mellem at give tid og at skifte.
• Syv tegn på, at GDPR-arbejdet er gået i stå Det, der viser sig, før nogen spørger.

Hvis I gerne vil have det efterprøvet

Har I besluttet at gå videre, kan Nielco IT begynde med en gennemgang af jeres GDPR-situation, som kan købes alene. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Det skal I lade være med

• At læse kravet bredere, end det er · alle tre betingelser skal være opfyldt.
• At lade et nej stå uden notat · uden dato og begrundelse er vurderingen svær at bevise.
• At lade titlen følge med opgaven · DPO er en rolle med krav, og ordet skal bruges derefter.
• At bruge DPO-spørgsmålet som hele GDPR-arbejdet · det er kun ét af punkterne.

Det skal I kræve af den eksterne

• ☐ En ærlig vurdering, også når svaret er, at I ikke skal have en DPO.
• ☐ Begrundelse for hver af de tre betingelser, skrevet ned.
• ☐ Klar besked, når spørgsmålet hører til hos en advokat.
• ☐ Henvisning til Datatilsynets eksempler frem for egne tærskler.

Kilder

• Forordning (EU) 2016/679 på EUR-Lex: art. 37, stk. 1 og 4, og art. 38, stk. 2.
• Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 3.1 og 3.2.
• Datatilsynet: Databeskyttelsesrådgivere (DPO’er).
• Retningslinjer om databeskyttelsesrådgivere, WP243, på dansk: afsnit 2.

Senest gennemgået: november 2026.

Næste skridt

• Vi skal ikke have en DPO: sådan dokumenterer I vurderingen
• Vælg en ekstern DPO

Læs også: DPO as a service · Sådan foregår det

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT