DPO as a Service

70 13 63 23

Vælg en ekstern DPO

En hånd lægger to mapper uden tekst side om side på et mødebord hos en grossist

En ekstern DPO skal vurderes på andet end en pæn præsentation. Fem ting afgør valget: om personen kan reglerne og jeres systemer, hvad der gør rollen uafhængig, hvad aftalen siger, om der er tid nok, og hvilke andre opgaver udbyderen har hos jer. Læs også, hvad der gælder for enhver ekstern leder. Her står det, der er særligt for en DPO. Er I i tvivl om behovet, så start på Skal vi have en DPO?.

Kvalifikationerne

Art. 37, stk. 5, kræver faglige kvalifikationer, især ekspertise i regler og praksis på området, og evnen til at løse opgaverne. Datatilsynet nævner en advokat, en revisor og andre kvalificerede eksterne parter som mulige, og ydelsen skal kunne forenes med de etiske regler, der gælder for den type rådgiver. Bed om at se, hvordan viden om reglerne bliver holdt ved lige, og bed samtidig kandidaten forklare, hvordan en logning eller en adgangsstyring vil blive kontrolleret hos jer.

En ekstern DPO har flere kunder, og hver af dem skal kunne få fat i personen. Det har Datatilsynet lagt vægt på i et tilsyn. Spørg derfor, hvad der sker, når to kunder har travlt på én gang. Spørg også, om I får en navngiven person eller et team. WP243, retningslinjerne om DPO’er, tillader et team under én ansvarlig person, hvis opgaverne er fordelt klart, og der er én overordnet kontakt.

Uafhængigheden

Instrukser om opgaverne er forbudt efter art. 38, stk. 3, og DPO’en er beskyttet mod straf og afskedigelse for at udføre dem. Beskyttelsen gælder også ved en tjenesteydelseskontrakt. Der er stadig en virkelighed, I skal se i øjnene, for I betaler den, der skal fortælle jer, hvad der er galt. Vi har ikke fundet en dansk afgørelse, der siger, hvordan det skal håndteres hos en ekstern DPO, så det følgende er vores ræsonnement. Jo mere stabil kontrakten er, og jo tydeligere den skiller opgaven fra andre interesser, desto lettere er det at sige noget ubehageligt. WP243 trækker samme vej. Skriv ind, at råd bliver fulgt op skriftligt, og at DPO’en kan gå direkte til den øverste ledelse.

Konflikter skal vurderes konkret. En ekstern udbyder er ikke fri for dem af sig selv. Uvildighed kan I teste ved at spørge til forhandleraftaler og anden tilknytning til de leverandører, DPO’en skal vurdere.

Andre opgaver hos jer

Andre opgaver er tilladt efter art. 38, stk. 6, så længe de holder sig fri af interessekonflikter, og reglen skelner ikke mellem ansatte og eksterne. De øverste ansvarlige for IT og HR er udelukket efter Datatilsynets vejledning, og i tilsynets nyere svar står ledende stillinger som it-chef opført som noget, DPO-rollen ikke bør kombineres med. Tilsynets side siger desuden, at en DPO ikke må have en stilling, hvor personen bestemmer, hvordan oplysninger behandles. EU-Domstolen har i C-453/21 sagt, at DPO-rollen i princippet kan forenes med andre funktioner, så længe personen ikke får opgaver, hvor formål og hjælpemidler bliver lagt fast. Det vurderes i hver enkelt sag. Spørg derfor enhver udbyder, hvad de ellers laver eller vil lave hos jer. Holder en anden rolle hos samme eksterne sig på rette side af grænsen, kaldes det en kombi-stilling, og kontrakten skal sige det tydeligt.

CISO og DPO i samme person

Det kan lade sig gøre, at én ekstern er både CISO og DPO. Kombinationen rummer en risiko for konflikt, så tre ting skal være på plads. Personen må aldrig vurdere det, vedkommende selv har besluttet. Kombinationen skal være gennemgået hos netop jer. Og beslutningen ligger hos ledelsen. CISO-opgaven skal desuden have karakter af rådgivning, for vælger personen selv hjælpemidlerne til behandlingen, er vi tilbage ved problemet med en IT-chef. Datatilsynet peger på en rollebeskrivelse med klar adskillelse af rådgivning og evaluering. Mere i Kan samme eksterne være både CISO og DPO?.

Aftalen

Forordningen siger meget om rollen og næsten intet om kontrakten. Disse punkter bør stå der:

  • Opgaver og grænser · hvad der er rådgivning og kontrol, og hvad I selv udfører.
  • Tid og prioritering · omfanget afgøres konkret og efter risiko. Skriv, hvad der sker, når tiden ikke rækker.
  • Tavshedspligt · databeskyttelseslovens § 24 nævner DPO’er udpeget efter pligten i art. 37, stk. 1. Den frivillige står ikke i ordlyden, så tavshedspligten skal i aftalen, uanset om rollen er lovpligtig.
  • Adgange · art. 38, stk. 2, giver DPO’en adgang til oplysninger og behandlingsaktiviteter. Aftal, hvad det betyder hos jer, og hvordan adgangen lukkes igen.
  • Opsigelse · forordningen siger ikke, hvordan en DPO kan afskediges eller erstattes, og WP243 taler imod unfair opsigelse af en tjenesteydelseskontrakt. Formuleringen er et spørgsmål til advokat.
  • Databehandler eller ej · ingen dansk kilde afgør, om en ekstern DPO er databehandler. Art. 38, stk. 3, passer dårligt med databehandlerens instruks, så vores vurdering er, at I bør tage stilling og skrive det ned.
  • Overdragelse · hvad der følger med, når samarbejdet slutter.

På ekstern-it-ledelse.dk er aftalen om ekstern IT-ledelse beskrevet generelt.

Ti spørgsmål til udbyderen

  1. Hvem bliver vores DPO, og hvordan kan vi se vedkommendes viden om databeskyttelsesret?
  2. Hvordan kontrollerer I, at det, vi skriver, også passer i systemerne?
  3. Hvilke opgaver ud over DPO-rollen har I eller vil I have hos os?
  4. Hvad binder jer til de leverandører, vi bruger?
  5. Hvordan gør I, når ledelsen ikke vil følge et råd?
  6. Hvilke adgange har I brug for, og hvad kan I klare med læseadgang?
  7. Hvordan fordeler I tiden, når I har flere kunder i samme situation?
  8. Hvem møder vi, hvis den faste person er væk?
  9. Hvordan får vi materialet tilbage, når samarbejdet stopper?
  10. Hvilke opgaver vil I sige nej til, fordi de skal ligge hos os?

Lyt efter det sidste svar. En udbyder, der lover at lave det hele, har ikke tænkt rollen igennem.

Artikler om valget

Hvis Nielco IT skal være en af dem, I taler med

Nielco IT tilbyder ekstern DPO med baggrund i IT-sikkerhed og kan påtage sig rollerne som CISO og DPO hos den samme kunde efter de tre krav ovenfor. I så fald står det i aftalen som en kombi-stilling. Der er ingen forhandleraftaler, og rådgivningen er uvildig og uafhængig. Stil os de samme spørgsmål som alle andre. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Spørgsmål, der ofte kommer

Det skal I lade være med

  • At vælge efter titel alene · bed om at se, hvordan arbejdet bliver udført.
  • At antage, at ekstern betyder fri for konflikter · det skal vurderes konkret.
  • At købe DPO-rollen hos den, der driver jeres systemer, uden at vurdere det · så skal en kontrollere sig selv.
  • At underskrive uden en grænse for opgaverne · så bliver rådgiveren til en ekstra medarbejder.

Det skal I kræve af den eksterne

  • ☐ En navngiven ansvarlig person og en plan for fravær.
  • ☐ Tilknytning til leverandører oplyst skriftligt.
  • ☐ Tavshedspligt i aftalen, også når rollen er frivillig.
  • ☐ En rollebeskrivelse, der viser, hvad DPO’en ikke selv udfører.
  • ☐ Direkte rapportering til den øverste ledelse.

Kilder

Senest gennemgået: november 2026.

Næste skridt

Læs også: Det får I · DPO as a service

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT

Mangler I en DPO?

Fortæl kort, hvad der fylder: et kundekrav, en konsekvensanalyse, et brud eller en DPO, der stopper. Rådgivningen er uvildig og uden bindinger til leverandører, så svaret tager udgangspunkt i jeres situation.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Seneste artikler

Et tomt skrivebord med en flyttekasse med mapper og en bordkalender uden synlige tal i et kontor med dagslys fra et vindue

Midlertidig DPO, mens I finder den faste løsning

6. november 2026

To hænder bladrer i en fælles mappe med uskarpe papirer på et bord i et mødelokale i en mellemstor virksomhed

Intern GDPR‑ansvarlig og ekstern DPO: sådan deler I arbejdet

6. november 2026

En tyk ringmappe med uskarpe faneblade står på et skrivebord i et softwarefirma ved siden af en bærbar computer med lukket låg

Databehandler og tilbud: det GDPR‑materiale, kundens indkøb spørger efter

6. november 2026