Et skift af DPO lykkes, når fire ting følger med: dokumenterne, de åbne sager, historikken over råd og beslutninger og kontaktoplysningerne. Virksomheden ejer sin fortegnelse, sine konsekvensanalyser og sin brudlog, men DPO’ens notater og vurderinger kan ligge hos DPO’en, og der kan gælde tavshedspligt for dele af dem. Derfor skal overdragelsen planlægges, helst mens begge parter stadig arbejder sammen, og den nye DPO skal se materialet med egne øjne. Her er, hvad der skal overdrages, ved skift mellem to eksterne, fra intern til ekstern og tilbage. Afslutningen af et samarbejde med en ekstern generelt står i afslutning af samarbejdet.
Før I begynder: skriv grunden ned
Et skift kan have mange gode grunde: behovet har ændret sig, virksomheden vil have en anden faglighed, eller samarbejdet fungerer ikke. WP243 regner opsigelse af andre grunde end DPO-arbejdet for legitim, men beskyttelsen i art. 38, stk. 3, gælder også ved en tjenesteydelseskontrakt. En DPO må ikke miste opgaven eller blive straffet på grund af sit arbejde som DPO. De kilder, vi har læst, rummer ingen dansk afgørelse om opsigelse af en ekstern DPO, så konkrete tvivlsspørgsmål er for en advokat.
Skriv derfor et kort notat om, hvorfor I skifter. Falder skiftet sammen med en uenighed om et råd, er notatet særligt vigtigt, og rådet skal stadig besvares. Grænsen er beskrevet i opsigelse af en ekstern DPO.
Det, der skal følge med
Lav en liste sammen med den, der stopper. Den bør rumme mindst disse punkter:
Virksomhedens egne dokumenter. Fortegnelsen, konsekvensanalyser med DPO’ens råd, brudloggen, procedurer, politikker og databehandleraftaler med noter om opfølgning. De skal ligge i jeres systemer. Findes der dokumenter, som kun ligger i den eksternes egne filer, er det nu, de skal hentes.
Åbne sager. Anmodninger fra registrerede med dato for modtagelse, så fristen i art. 12, stk. 3, ikke overses. Brud, der stadig er under vurdering. Sager hos Datatilsynet. Konsekvensanalyser og nye systemer, der venter på råd.
Råd og beslutninger. En oversigt over de anbefalinger, DPO’en har givet, og hvad ledelsen svarede. Det er god praksis efter WP243 at skrive begrundelsen ned, når et råd ikke følges. Det er præcis det, den nye DPO skal bruge for ikke at starte forfra eller gentage en drøftelse, der er afsluttet. Hvis oversigten ikke findes, så lav den nu.
Kontroller. Kontrolplanen, de seneste resultater, de områder, der ikke er nået, og de udtræk eller rapporter, kontrollerne bygger på.
Rapporter. Årsrapporter og andet materiale til ledelsen. EDPB’s rapport fra januar 2024 viser, at dokumentation af afvigelser ofte ikke sker, så forvent, at der kan være huller.
Det, der ikke uden videre følger med
Den, der har været DPO, er underlagt fortrolighed efter art. 38, stk. 5, og for lovpligtige DPO’er gælder databeskyttelseslovens § 24, hvor uberettiget videregivelse er forbudt. Bestemmelsen nævner art. 37, stk. 1, litra b og c, og spørgsmålet om frivillige DPO’er er ikke afklaret i de kilder, vi har læst. Aftal derfor på forhånd, hvad der overdrages.
Det gælder især henvendelser, hvor en medarbejder har rådført sig fortroligt med DPO’en. De bør ikke ligge i en fælles mappe, og overdragelsen bør ske direkte fra DPO til DPO, hvis det overhovedet er berettiget. Er I i tvivl, så spørg en advokat.
Aftalen med en ekstern DPO bør allerede sige, hvad der er virksomhedens materiale, og hvad der er DPO’ens arbejdsnotater. Står det ikke dér, må I aftale det nu. Se aftalen med en ekstern DPO.
Overlap og kontaktoplysninger
Lad helst de to overlappe, så den nye kan stille spørgsmål. Et enkelt overdragelsesmøde med en dagsorden efter listen ovenfor er meget værd. Rollen må ikke stå tom, hvis I har pligt til en DPO, og en klar dato for skiftet fjerner tvivlen om, hvem der er DPO.
Art. 37, stk. 7, skal opfyldes igen: de nye kontaktoplysninger meddeles Datatilsynet og offentliggøres, og den gamle adresse omstilles eller holdes under opsyn, så henvendelser ikke forsvinder. Luk derefter den tidligere DPO’s adgange. Listen over adgange og afslutningen af dem følger samme metode som ved andre eksterne.
Den nye DPO skal selv tage stilling
Overdragelsen er et grundlag, og konklusionerne går ikke automatisk i arv. Den nye DPO kan være uenig med den gamle, og art. 38, stk. 3, gælder også her: DPO’en må ikke instrueres i, hvad vedkommende skal mene. Regn med, at den nye vil gennemgå de vigtigste områder selv, og at det tager tid i starten. En kort gennemgang kan være den rigtige indledning, se GDPR-gennemgangen.
Fra intern til ekstern
Her ligger udfordringen i, at den interne person typisk bliver i virksomheden i en anden rolle. Skriv datoen ned for, hvornår personen ikke længere er DPO, og fortæl det internt. Personen skal stadig respektere fortroligheden om det, vedkommende har set som DPO. Viden, som står i personens hoved, skal skrives ned, mens den er der. Den interne kan fortsætte som kontaktperson for den eksterne, så længe det ikke giver en konflikt. Baggrunden for skiftet er ofte manglende tid, se den interne DPO har ikke tid.
Fra ekstern til intern
Når rollen hentes hjem, skal I vurdere den nye interne på samme måde som enhver anden: faglige kvalifikationer efter art. 37, stk. 5, og konflikter med det øvrige job efter art. 38, stk. 6. De øverste chefer for IT og HR er udelukket ifølge Datatilsynets vejledning. Sikr også, at den interne får tid, adgang og en direkte linje til ledelsen. En periode, hvor den eksterne støtter den interne, kan være en god overgang, hvis den er afgrænset og aftalt.
Det skal I lade være med
- At lade alt ligge hos den eksterne, til aftalen er ophørt · så kan I stå uden materialet.
- At bede om fortrolige henvendelser fra medarbejdere udleveret til ledelsen · overdragelsen skal respektere tavshedspligten.
- At skifte midt i en uenighed uden at besvare rådet · det ligner en reaktion på rådgivningen.
Det skal I kræve af den eksterne
- ☐ Medvirken til listen over materiale og åbne sager.
- ☐ En skriftlig status for råd, beslutninger og kontroller.
- ☐ Et overdragelsesmøde med den nye DPO.
- ☐ Tilbagelevering af virksomhedens materiale og sletning af det øvrige efter aftale.
- ☐ Fortsat fortrolighed efter ophøret.
Kilder
- Forordning (EU) 2016/679 på dansk: art. 12, stk. 3, og art. 37 til 39.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: § 24.
- WP243 på dansk: afsnit 2.5, 3.1 og 3.4.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 5.2.
- EDPB: Rapport om DPO’er, januar 2024.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sådan vurderer I en ekstern DPO før underskriften · Tavshedspligt hos den eksterne DPO
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
