Det er nemt at udpege en DPO og svært at få rollen til at virke. Tre kilder viser, hvor det går galt: Datatilsynets tilsyn med udpegning, offentliggjort i 2019, Det Europæiske Databeskyttelsesråds rapport fra januar 2024 og en afgørelse fra det norske datatilsyn fra marts 2025. Fundene peger samme vej. Tilsynene ser på, om rollen findes på papiret og i praksis, om den har tid og viden, og om vurderingerne er skrevet ned. Artiklen samler fundene og oversætter dem til det, jeres virksomhed kan tjekke.
Danmark: de formelle krav
Datatilsynet førte, som led i et fælles nordisk initiativ, tilsyn med, om offentlige myndigheder og en række private virksomheder senest 25. maj 2018 havde udpeget en DPO og meddelt kontaktoplysningerne. Resultatet blev offentliggjort 24. juni 2019.
For de private var billedet tydeligt. To virksomheder, begge privathospitaler, manglede en DPO ved fristen og fik alvorlig kritik. Fire andre fik kritik, enten fordi kontaktoplysningerne ikke var meddelt, eller fordi der ikke var en DPO. Alle private i tilsynet fik dermed en af de to reaktioner.
Lærestykket er enkelt. Pligten består af to led: at udpege og at meddele kontaktoplysningerne til Datatilsynet efter art. 37, stk. 7. Det andet led er hurtigt klaret og let at overse, især når en DPO skiftes. Den formelle del må gerne stå på en tjekliste, som nogen ejer. Hvad tilsynet kan bede om, når det melder sig, står i Datatilsynet varsler tilsyn.
Et andet tilsyn fra 2021 er værd at kende af en anden grund. Her godkendte Datatilsynet en ordning med to eksterne DPO’er på kontrakt. En ekstern DPO med flere kunder skal dog kunne stå til rådighed for hver enkelt. Modellen er altså lovlig, og rådigheden er det, der skal kunne vises.
Europa: ressourcer, viden og uafhængighed
Det Europæiske Databeskyttelsesråd (EDPB) samler EU’s tilsynsmyndigheder. I januar 2024 offentliggjorde rådet en rapport om DPO’ers udpegning og stilling, baseret på en fælles kontrol i medlemslandene. Rapporten peger bl.a. på disse udfordringer:
- utilstrækkelige ressourcer til DPO’en,
- manglende viden og uddannelse,
- risiko for interessekonflikter,
- afvigelser fra DPO’ens råd, der ofte ikke dokumenteres.
Rapporten foreslår også at formalisere DPO’ens vilkår, bl.a. i et såkaldt engagement letter, altså et skriftligt grundlag for opgaven. Det passer godt til eksterne DPO’er, hvor en kontrakt alligevel skal skrives, se aftalen med en ekstern DPO.
Læs fundene som spørgsmål til jer selv. Har DPO’en tid nok til de behandlinger, I faktisk har? Har vedkommende en anden rolle, der gør det svært at kontrollere sig selv? Hvad skete der sidst, DPO’en sagde noget, ledelsen ikke ville høre? Tid er gennemgået i hvor meget tid skal en DPO have.
Norge: rollen skal kunne dokumenteres
Det norske datatilsyn traf 14. marts 2025 afgørelse mod et norsk teleselskab. Sagen blev behandlet i samarbejde med bl.a. det danske tilsyn, og afgørelsen er derfor interessant, selv om den er norsk. Den er endelig i det administrative system, men kan indbringes for domstolene. Om det er sket, har vi ikke undersøgt.
Tilsynet fandt tre forhold:
- Virksomheden havde hverken gennemført eller dokumenteret en vurdering af rollen, uafhængigheden og den mulige konflikt.
- Der var ingen direkte og dokumenteret rapporteringslinje til øverste ledelse.
- Den interne kontrol var utilstrækkelig.
Forløbet viser, hvor langt det kan række. Efter tilsynets forhåndsvarsel meddelte selskabet, at DPO-rollen ville ophøre. Tilsynet påbød derfor selskabet at vurdere og dokumentere, om det overhovedet havde pligt til en DPO, og at bringe fortegnelsen ajour. Var pligten der, skulle de organisatoriske foranstaltninger på plads. Rapporteringslinjen gav en irettesættelse, og de manglende foranstaltninger og retningslinjer for rollen gav en bøde. I formildende retning talte, at der ikke var påvist en konkret skade for de registrerede, og at sagen havde taget lang tid.
Vigtigst for læseren er, hvad der blev påtalt. Virksomheden havde en DPO, og problemet lå i organiseringen og dokumentationen af rollen. Art. 38, stk. 3, placerer DPO’ens rapportering hos den øverste ledelse, og stk. 6 forbyder andre opgaver, der skaber en interessekonflikt. Begge dele skal kunne vises.
Det gennemgående mønster
Læst sammen viser de tre kilder en stigende grad af krav. Først spørger tilsynet, om DPO’en er udpeget og meddelt. Så spørger det, om rollen har ressourcer og viden. Til sidst spørger det, om uafhængighed og rapportering er vurderet og skrevet ned.
Det kan oversættes til en kort kontrol af jeres egen DPO-ordning:
- Udpegning. Datoen og beslutningen ligger gemt, og kontaktoplysningerne er meddelt og opdateret.
- Rolle. Der findes en beskrivelse, der adskiller rådgivning og kontrol fra drift og beslutning.
- Konflikt. Der er lavet en konkret vurdering af DPO’ens øvrige opgaver, som Datatilsynet anbefaler. Den gælder interne og eksterne DPO’er. En ekstern DPO er ikke fri for vurderingen, fordi vedkommende er ekstern.
- Rapportering. DPO’en møder ledelsen fast, og møderne fremgår af referater.
- Afvigelser. Når et råd ikke følges, står årsagen skrevet.
- Tid. Omfanget er vurderet ud fra risikoen, og vurderingen tages op igen, når behandlingerne ændrer sig.
Listen er vores sammenfatning og ingen officiel opgørelse. Har I ingen DPO, og er det med vilje, er det tilsvarende dokument notatet om vurderingen, se vi skal ikke have en DPO.
Det gør I nu
Tag listen ovenfor og sæt ja eller nej ud for hvert punkt, med henvisning til det dokument, der viser det. Et nej er en opgave. Find de to punkter, der ville være sværest at vise frem, og aftal en ejer. Står DPO’en selv for at skrive vurderingen af sin egen uafhængighed, bør ledelsen læse den kritisk, for beslutningen er ledelsens. Peger svarene på, at rollen skal løses på en anden måde, står overvejelserne i Vælg en ekstern DPO.
Det skal I lade være med
- At tro, at en udpegning er hele opgaven · tilsynene ser også på, om rollen virker.
- At lade rapporteringen gå gennem en mellemleder · linjen skal gå til øverste ledelse.
- At lade uenighed forsvinde i en mundtlig samtale · skriv den ned.
Det skal I kræve af den eksterne
- ☐ En skriftlig rollebeskrivelse, der skiller rådgivning fra drift.
- ☐ En konkret vurdering af interessekonflikter, opdateret ved ændringer.
- ☐ Faste møder med øverste ledelse og referat af dem.
- ☐ Dokumentation af, at DPO’en kan stå til rådighed for jer, også med andre kunder.
Kilder
- Datatilsynet: nyhed af 24. juni 2019 om tilsyn med udpegning af DPO’er: læst 5. november 2026.
- Datatilsynet: tilsyn med DPO’ens opgavevaretagelse, 2021: eksterne DPO’er.
- EDPB: rapport om DPO’er, januar 2024: anbefalinger og uddrag.
- Datatilsynet (Norge): afgørelse af 14. marts 2025: resumé og dele af afgørelsen.
- Forordning (EU) 2016/679, dansk tekst: art. 37 og 38.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): konkret vurdering af konflikter.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kan en betalt DPO være uafhængig? · Intern DPO uden tid
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
