Tavshedspligt og konkurrerende kunder hos en ekstern DPO

En DPO har tavshedspligt, men den lovbestemte regel dækker ikke alle. Databeskyttelseslovens § 24 henviser til litra b og c i art. 37, stk. 1, altså de private virksomheder med pligt til en DPO. Bestemmelsen nævner ikke den, der er udpeget frivilligt efter art. 37, stk. 4, og de kilder, vi har læst, afgør ikke, om § 24 gælder for dem. Mange private har netop en frivillig DPO. Derfor skal tavshedspligten stå i aftalen, uanset om DPO’en er lovpligtig. Det samme gælder de særlige spørgsmål, når den eksterne også rådgiver en konkurrent.

Det, loven siger

Forordningens art. 38, stk. 5, siger, at DPO’en er bundet af tavshedspligt eller fortrolighed efter EU-retten eller national ret. Forordningen fastlægger altså ikke selv pligtens indhold.

I Danmark er reglen § 24 i databeskyttelsesloven. Den forbyder DPO’en at videregive eller udnytte oplysninger uberettiget, når de er modtaget under udøvelsen af hvervet. Bemærkningerne til lovforslaget (L 68, 2017/18) forklarer, at bestemmelsen pålægger DPO’er ansat i det private tavshedspligt i det omfang, anden lovgivning ikke har regler. Overtrædelse straffes med bøde efter § 41, stk. 4.

To ord er værd at hæfte sig ved. Videregive handler om at fortælle andre. Udnytte handler om at bruge viden til egen fordel, også uden at nogen får den at vide. Det sidste er det mest interessante for en ekstern.

Hullet ved den frivillige DPO

Ordlyden er klar: § 24 henviser til litra b og c og ikke til stk. 4. De fleste læsere af denne side har ingen pligt og har valgt en DPO af andre grunde. Bestemmelsen kan godt tænkes at blive forstået bredere, men det ved vi ikke. Andre regler, fx en advokats egen tavshedspligt, kan gælde afhængigt af rådgiverens fag. Det skal I ikke regne med på forhånd.

Løsningen er enkel. Skriv en fortrolighedsbestemmelse ind i aftalen, der stiller jer lige så godt, som hvis § 24 gjaldt. Ordlyden er et spørgsmål til advokat.

Det, aftalen skal indeholde

Fortrolighedsafsnittet i en DPO-aftale skal dække mere end i en almindelig konsulentkontrakt.

• Personkredsen. Pligten gælder DPO’en og alle, der hjælper med opgaven, også afløsere og underleverandører.
• Oplysningerne. Den dækker både personoplysninger og forretningsforhold, fx planer, kontrakter og fejl.
• Tiden. Pligten fortsætter efter aftalens ophør.
• Brugen. Den eksterne må ikke udnytte det, der kommer frem, til andre kunder eller til egen fordel.
• Undtagelserne. Aftalen skal respektere art. 39, stk. 1, litra d, så DPO’en kan samarbejde med Datatilsynet. Se anmelder DPO’en os til Datatilsynet?.

Tag også stilling til de registrerede. Art. 38, stk. 4, giver dem ret til at kontakte DPO’en, og en medarbejder kan have grund til at vende sig til DPO’en om egne forhold. Skal DPO’en fortælle jer, hvem der har skrevet? Aftal, hvordan det håndteres, inden den første henvendelse kommer. Hvordan oplysningerne hos DPO’en placeres, står i er den eksterne DPO databehandler?.

Når DPO’en også rådgiver en konkurrent

En ekstern DPO har flere kunder, og i en snæver branche kan to af dem konkurrere. Forordningen og de vejledninger, vi har læst, siger ikke noget om netop det, så det følgende er vores vurdering. Spørgsmålet om eksterne, der arbejder for konkurrenter, er behandlet generelt i artiklen om konkurrenter. For DPO’en er tre forhold særlige.

For det første får DPO’en en usædvanlig bred indsigt. Den, der skal rådgive om nye systemer og kontrollere behandlinger, ser kunderegistre, marketingplaner og leverandørvalg.

For det andet er problemet sjældent, at DPO’en bevidst fortæller noget videre. Risikoen ligger i, at viden fra én kunde præger rådet til en anden. Et godt råd om et nyt marketingværktøj kan være svært at give, når man kender konkurrentens planer.

For det tredje kan branchekendskab være en fordel. WP243 og art. 37, stk. 5, lægger vægt på faglige kvalifikationer, og en DPO, der kender branchens behandlinger, starter længere fremme. Afvejningen er altså reel, og den trækker i begge retninger.

Hvad der er rimeligt, afhænger af, hvor tæt I konkurrerer, og hvor følsomme oplysningerne er.

1. Bed om besked, hvis DPO’en har kunder i samme branche, uden at de navngives, hvis fortroligheden forbyder det.
2. Aftal, hvad der sker, når en ny konkurrent bliver kunde hos DPO’en.
3. Hold materiale fra kunderne adskilt, med egne mapper og adgange.
4. Overvej en anden i teamet til jer, hvis det er muligt, se én navngiven DPO eller et team.
5. Aftal, at DPO’en siger fra på en enkelt sag, hvis den rammer begge kunder.

Sådan går I videre

Find ud af, om jeres DPO er udpeget efter pligt eller frivilligt, og læs fortrolighedsafsnittet i aftalen igennem. Dækker det ikke punkterne ovenfor, så få det udvidet. Spørg samtidig, om den eksterne har kunder i jeres branche, og aftal, hvordan det håndteres.

Det skal I lade være med

• At regne med § 24 ved en frivillig DPO · ordlyden nævner kun litra b og c.
• At forvente, at DPO’en oplyser navne på andre kunder · samme fortrolighed gælder dem.
• At sætte fortrolighed over Datatilsynets kontakt · aftalen skal kunne læses sammen med art. 39.

Det skal I kræve af den eksterne

• ☐ En skriftlig fortrolighedsbestemmelse, uanset om DPO’en er lovpligtig.
• ☐ Adskillelse af materiale fra forskellige kunder.
• ☐ Oplysning om kunder i jeres branche i den form, fortroligheden tillader.
• ☐ Besked, hvis en sag rammer en anden kunde.

Kilder

• Forordning (EU) 2016/679, dansk tekst: art. 37, stk. 1, 4 og 5, art. 38, stk. 4 og 5, og art. 39.
• Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: § 24 og § 41, stk. 4.
• L 68 (2017/18), lovforslag til databeskyttelsesloven: bemærkningerne til § 24.

Senest gennemgået: november 2026.

Næste skridt

• Vælg en ekstern DPO
• Aftalen med en ekstern DPO

Læs også: Er den eksterne DPO databehandler? · Vurder en ekstern DPO

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT