Fravælger I en DPO, forsvinder opgaverne ikke. Virksomheden er stadig dataansvarlig, ledelsen har stadig ansvaret, og nogen skal holde styr på fortegnelser, leverandører, anmodninger og brud. Den løsning, der virker bedst i de fleste mindre virksomheder, er en navngiven GDPR-ansvarlig med en beskrevet opgave og adgang til rådgivning efter behov. Rollen må gerne kaldes GDPR-ansvarlig, persondataansvarlig, GDPR-koordinator eller privacy manager, men den bør ikke kaldes DPO, for den titel følger med krav i forordningen. Alternativet, en frivillig DPO, gennemgås på ekstern-it-ledelse.dk. Her ser vi på, hvordan I placerer opgaven uden titlen.
Ansvaret og opgaven er to ting
Ansvaret ligger hos virksomheden, jf. art. 24, og i praksis hos ledelsen. Det kan ikke gives videre til en medarbejder. Selve arbejdet kan derimod godt placeres hos en person.
Det samme gælder, når virksomheden har en DPO. DPO’en er ikke juridisk ansvarlig for organisationens overtrædelser. Forskellen ligger i, at den GDPR-ansvarlige også må træffe beslutninger og føre dem ud i livet, hvis ledelsen giver mandat til det. En DPO rådgiver og kontrollerer. Den GDPR-ansvarlige udfører.
Hvad opgaven indeholder
En kort rollebeskrivelse på en halv side gør forskellen mellem en reel funktion og en titel. Den bør som minimum dække:
- Overblik · holder fortegnelsen og listen over leverandører opdateret.
- Aftaler · sikrer, at databehandleraftaler er indgået, og at nogen følger op.
- Henvendelser · modtager indsigtsanmodninger og anmodninger om sletning og styrer fristen.
- Brud · er kontaktpunkt, vurderer sammen med ledelsen og fører brudloggen.
- Ændringer · bliver spurgt, før nye systemer købes, og vurderer behovet for en konsekvensanalyse.
- Rapport · giver ledelsen en kort status én eller to gange om året.
Skriv også, hvad personen må beslutte selv, hvad der skal op til ledelsen, og hvor meget tid der er afsat til opgaven. Uden tid bliver rollen en titel. Hvor meget tid der er brug for, afhænger af jeres behandlinger, og derfor bør I se på det, når året er gået.
Hvem kan have rollen?
Forordningens krav til en DPO gælder ikke her, så reglerne om uafhængighed og interessekonflikter følger ikke med. Rollen kan derfor ligge hos en person, der også har andre opgaver, fx en økonomichef, en HR-medarbejder, en jurist eller en IT-ansvarlig. Det rigtige valg afhænger af, hvor virksomhedens persondata ligger.
Hver placering har en styrke og en svaghed. Økonomi og HR kender de vigtigste oplysninger, men ser sjældent, hvad der sker i systemerne. IT kender systemerne, men kommer let til at kontrollere sit eget arbejde. Derfor giver det mening at parre rollen med nogen, der kan stille spørgsmål. I en virksomhed uden egen IT-funktion kan det være den eksterne IT-chef, der følger op på leverandørerne.
Grænsen mod titlen DPO
Her skal I være præcise. WP243 siger, at kravene i art. 37 til 39 også gælder ved frivillig udpegelse, og at en funktion med en anden titel ikke bør kaldes DPO, hvis den ikke opfylder kravene.
Hold derfor ordene adskilt:
- Skriv ikke “DPO” eller “databeskyttelsesrådgiver” i privatlivspolitikken, i signaturen eller på hjemmesiden, medmindre I har udpeget en.
- Skriv den valgte titel i rollebeskrivelsen.
- Oplys ikke Datatilsynet om en DPO, som I ikke har.
- Svar præcist, når en kunde spørger, og forklar, hvem der har opgaven.
En rådgiver, I køber nogle timer hos, er heller ikke automatisk en DPO. Aftalen skal sige, hvad der er tilfældet.
Rådgivning efter behov
En GDPR-ansvarlig kan ikke vide alt. Der kommer spørgsmål om behandlingsgrundlag, overførsler til tredjelande og tekniske foranstaltninger, som kræver mere end almindelig erfaring. Her kan I købe rådgivning fra sag til sag eller en årlig gennemgang. Forskellen til en ekstern DPO er, at rådgiveren svarer, når I spørger, mens en DPO skal overvåge og inddrages af sig selv.
Vælg den model, der passer til risikoen. Ligger I tæt på kravet, eller stiller kunderne krav, kan det være værd at læse ekstern DPO i en mindre virksomhed. Det kan også være, at en DPO bliver nødvendig senere, og så er arbejdet med opgaver og dokumenter allerede gjort.
Det gør I nu
Sæt punktet på næste ledelsesmøde. Beslut, hvem der får rollen, hvad den skal hedde, og hvor meget tid der er afsat. Skriv halvsiden, og læg navnet i jeres notat om DPO-vurderingen. Fortæl medarbejderne, hvem de skal gå til ved en fejlsendt mail eller en underlig henvendelse.
Det skal I lade være med
- At lade opgaven ligge hos IT af vane · databeskyttelse rækker ud over systemerne.
- At bruge titlen DPO om en intern koordinator · så kan kravene blive gjort gældende.
- At give en titel uden tid · så sker der intet, før noget går galt.
Det skal I kræve af den, der hjælper jer
- ☐ Klar besked om, hvilken rolle aftalen giver rådgiveren, og hvilken titel der må bruges.
- ☐ Hjælp til en rollebeskrivelse, der passer til jeres størrelse.
- ☐ Rådgivning, der kan bruges af den, der har opgaven til daglig.
- ☐ Besked, hvis jeres behov ændrer sig, så en DPO bliver relevant.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679 på dansk: art. 5, stk. 2, art. 24 og art. 37 til 39.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 3.2 om frivillig udpegelse.
- WP243 på dansk: afsnit 2 om frivillig udpegelse og afsnit 3.3 om ansvar.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): spørgsmål og svar om ansvar.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Vi skal ikke have en DPO · Ekstern DPO i en mindre virksomhed
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
