De fleste private virksomheder skal ikke have en DPO, og det er et fuldt lovligt svar. Datatilsynets vejledning siger, at virksomheder, der ikke er forpligtet, “kan med fordel dokumentere vurderingen, så denne kan fremvises til Datatilsynet”. Artikel 29-gruppens retningslinjer, WP243, anbefaler det samme. Forordningen kræver intet notat. En virksomhed skal dog kunne påvise, at den overholder reglerne, og et nej uden begrundelse er svært at forsvare. Et kort notat løser det, og det har også værdi, når en kunde spørger. Her er felterne, hvem der bør godkende det, og hvornår det skal tages op igen.
Hvorfor notatet er værd at skrive
Et notat gør tre ting. Det viser, at ledelsen har taget stilling. Det holder ræsonnementet fast, så det ikke afhænger af én persons hukommelse. Og det giver et sted at se efter, når virksomheden ændrer sig. Svaret gælder virksomheden, som den ser ud på datoen, og uden et notat ved ingen, hvad der blev lagt til grund.
Der er også et praktisk argument. Får I et spørgeskema fra en kunde, kan I svare præcist på, om I har en DPO, og hvorfor ikke. Læs mere om kundens spørgsmål.
Felterne i notatet
Hold det på én til to sider. Et notat, der kan læses på fem minutter, bliver også genlæst. Disse felter dækker det, der skal stå. Listen er vores forslag, og ingen myndighed har fastsat en form.
1. Virksomheden. Navn, CVR, dato og hvad I lever af. Beskriv forretningen i et par linjer, for kerneaktiviteten vurderes ud fra den.
2. Rollerne. Er I dataansvarlig, databehandler eller begge dele? Er I databehandler for andre, skal vurderingen også dække det, for kravet gælder databehandlere selvstændigt. Se vi er databehandler.
3. Behandlingerne. De vigtigste behandlinger og de kategorier af personer, de vedrører. Har I en fortegnelse, kan I henvise til den.
4. Kerneaktivitet. Er behandling af personoplysninger hovedaktivitet, eller støtter den driften? Begrund svaret, og henvis til Datatilsynets eksempler.
5. Stort omfang. Jeres egne tal for de fire kriterier: antal personer, mængde og typer af oplysninger, varighed og geografi. Skriv tallene, selv om de er omtrentlige. Læs hvordan i kerneaktivitet og stort omfang.
6. Overvågning. Følger I personers adfærd eller placering regelmæssigt og systematisk? Se regelmæssig og systematisk overvågning.
7. Følsomme oplysninger og strafbare forhold. Hvilke oplysninger efter art. 9 og 10 har I, og hvor?
8. Konklusion. Alle betingelser skal være opfyldt, for at kravet gælder. Skriv, hvilken eller hvilke der mangler. Marker usikkerhed, hvis der er nogen.
9. Godkendelse og næste gennemgang. Navn, dato og næste dato.
Hvem der skriver, og hvem der godkender
Den, der kender behandlingerne bedst, kan skrive udkastet. Det kan være en økonomichef, en IT-ansvarlig, en jurist eller en ekstern rådgiver. Godkendelsen hører hos ledelsen, for ansvaret er virksomhedens. I et selskab med bestyrelse giver det god mening at orientere den, så beslutningen også er kendt uden for IT.
Gem notatet sammen med jeres øvrige GDPR-dokumenter, så det kan findes, hvis Datatilsynet eller en kunde spørger. Sammenhængen med resten er beskrevet i GDPR-dokumentation. En skabelon ligger under tjeklister og skabeloner.
Hvornår notatet skal tages op igen
Vælg en fast dato, fx én gang om året ved gennemgangen af jeres øvrige dokumentation. Der findes ingen lovkrævet frekvens. Tag det desuden op, når noget af dette sker:
- I lancerer et nyt produkt eller en ny tjeneste med personoplysninger.
- Antallet af kunder eller brugere vokser markant.
- I begynder at følge brugeres adfærd eller placering.
- I begynder at behandle helbredsoplysninger eller andre følsomme oplysninger for andre.
- En stor kunde gør jer til databehandler for sine oplysninger.
- I går ind på nye markeder.
Et nej i dag binder jer ikke. Skifter svaret til ja, skal I udpege en DPO, offentliggøre kontaktoplysningerne og meddele dem til Datatilsynet efter art. 37, stk. 7.
Når vurderingen er tæt på
Ender I med et usikkert nej, så skriv det. Det er bedre at have en dokumenteret usikkerhed end en skråsikker konklusion. I har da tre muligheder: at få vurderingen efterprøvet af en advokat, at spørge Datatilsynet eller at udpege en DPO frivilligt. Det sidste følger art. 37 til 39 fuldt ud, så det er en beslutning med konsekvenser. Se ekstern DPO i en mindre virksomhed.
Efter nejet
Et nej til en DPO er et nej til en bestemt rolle. Alle andre GDPR-pligter gælder stadig, og nogen skal eje dem. Skriv derfor i notatet, hvem der har ansvaret, og læs uden DPO: hvem ejer så databeskyttelsen?.
Det skal I lade være med
- At skrive konklusionen uden tal · uden tal kan ingen efterprøve vurderingen senere.
- At bruge en anden virksomheds notat · betingelserne vurderes ud fra jeres faktiske behandlinger.
- At kalde en medarbejder for DPO i samme åndedrag · titlen følger med krav, se Frivillig DPO.
Det skal I kræve af den, der hjælper jer
- ☐ Et notat, der gennemgår hver betingelse med jeres egne tal.
- ☐ Tydelig markering af skøn og usikkerhed.
- ☐ En liste over de hændelser, der skal udløse en ny vurdering.
- ☐ Et nej, når et nej er det rigtige svar.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679 på dansk: art. 5, stk. 2, art. 24 og art. 37.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 3.1.
- WP243 på dansk: afsnit 2.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kerneaktivitet og stort omfang · Kunden spørger, hvem der er jeres DPO
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
