En jurist er et godt valg som DPO, og mange af reglernes sværeste spørgsmål er juridiske. Kravet om overvågning i art. 39, stk. 1, litra b, gælder dog også de tekniske foranstaltninger, og her må en juridisk DPO ofte stole på det, som IT eller leverandøren oplyser. Det hul kan I lukke på tre måder: DPO’en lærer at stille de rigtige spørgsmål, en intern medarbejder uden konflikt hjælper med at læse svarene, eller I køber teknisk støtte til DPO’en. Rollen og konklusionerne bliver hos DPO’en i alle tre tilfælde, og ledelsen skal stille ressourcerne til rådighed (art. 38, stk. 2).
Hvor hullet viser sig
Det kommer sjældent frem i hverdagens rådgivning. Det viser sig, når DPO’en skal vurdere, om noget faktisk sker. Fire situationer går igen.
Svaret fra leverandøren. DPO’en spørger, om data er krypteret, og får et ja. Men krypteret hvor og med hvilke nøgler? Datatilsynets vejledning om brud viser, at nøglen og styrken afgør, om kryptering af et stjålet medie hjælper, og at nøglerne ikke må være tilgængelige for tyven. Et ja besvarer ikke det spørgsmål.
Adgangslisten. En politik siger, at adgang gives efter behov. Listen fra systemet har roller, grupper og arv, som kræver kendskab til systemet for at læse. Datatilsynets katalog over foranstaltninger har punkter om bl.a. periodisk kontrol af adgangsrettigheders aktualitet, som kun giver mening, når nogen kan læse listen.
Logs ved et brud. I Datatilsynets eksempel om ransomware afhænger vurderingen af, om det kan dokumenteres, fx via logs, at uvedkommende ikke har haft adgang. Hvis logs mangler, kan DPO’en ikke rådgive sikkert om, hvad der er sket.
Erklæringen. En leverandør sender en erklæring som svar på spørgsmål om tilsyn. Hvilke tjenester dækker den? Hvad er undtaget? Gælder den de systemer, I bruger? Der skal en vis rutine til for at se det.
Det er en svaghed ved alle baggrunde, at de har noget, de ikke selv kan læse. Sammenligningen af dem står i advokat, revisor eller IT-sikkerhed.
Hvorfor “det har IT sagt” ikke er nok
I C-340/21 slog EU-Domstolen fast, at bevisbyrden for passende foranstaltninger ligger hos den dataansvarlige, selv om bruddet alene ikke dokumenterer, at de var for svage. Den bevisbyrde løftes ikke af en mundtlig forsikring. Art. 5, stk. 2, kræver også, at I kan påvise, at reglerne overholdes.
Der er også en rolleproblematik. Hvis IT-chefen selv forklarer DPO’en, at IT’s arbejde er i orden, har ingen kontrolleret noget. Datatilsynets FAQ beskriver interessekonflikter, når nogen både skal rådgive om og evaluere tiltag, de selv har været med til at indføre. Samme logik gælder den, der forsyner DPO’en med vurderingen. IT skal levere tal og udtræk. Vurderingen skal laves af en anden.
Tre måder at lukke hullet på
Bedre spørgsmål. En juridisk DPO kan nå langt med faste spørgsmål, der kræver dokumentation: Vis mig udtrækket. Hvornår blev det sidst kontrolleret? Hvad sker der, når en medarbejder stopper? Hvad er undtaget? Det virker til det basale, og det er den enkleste løsning. Grænsen går, når svaret kommer tilbage, og ingen kan se, om det er godt.
En intern hjælper uden konflikt. En medarbejder med IT-indsigt, der ikke selv har ansvaret for den pågældende drift, kan læse svarene sammen med DPO’en. Datatilsynets vejledning nævner, at ledende IT-medarbejdere uden det øverste ansvar kan være DPO, så det er muligt i et vist omfang. Det kræver, at personen har tid, og at den øverste IT-ansvarlige ikke står for vurderingen.
Ekstern teknisk støtte. DPO’en kan få hjælp udefra til afgrænsede kontroller. Datatilsynets FAQ nævner støtte fra eksterne eksperter, når DPO’en skal afklare tvivl. Det passer til virksomheder, hvor kun en lille del af arbejdet er teknisk, eller hvor der ikke findes nogen intern uden konflikt.
Sådan sætter I den tekniske støtte op
Det vigtigste er, at rollen ikke bliver delt. DPO’en er stadig DPO, og art. 38, stk. 3, gælder DPO’en. Den, der støtter, leverer et fagligt bidrag, som DPO’en bruger og selv tager stilling til. Tre ting skal være aftalt:
- Hvem bestiller? DPO’en vælger, hvad der skal kontrolleres, så kontrollen ikke kan styres af dem, der bliver kontrolleret.
- Hvem får resultatet? Det går til DPO’en. DPO’en afgør, hvad der går videre i rapporten til ledelsen.
- Hvad er fortroligt? Den, der støtter, ser det samme som DPO’en og skal have en aftale om tavshed og om, hvordan oplysningerne håndteres.
Lad støtten pege på afvigelser og forklare, hvad de betyder. Selve rettelsen hører til hos IT eller leverandøren. Hvis den, der kontrollerer, også sætter tingene op, er kontrollen væk. Hvordan en kontrol kan foregå, er vist under kontrollen i systemerne, og de typiske afvigelser under politik og virkelighed.
Et tænkt eksempel: en mellemstor virksomhed har en jurist som DPO. Hun beder om en ekstern vurdering af adgange og logning i to systemer med følsomme oplysninger og af en leverandørs seneste erklæring. Hun får en kort notits med fund og forklaringer, bruger den i sin rapport og beholder selv konklusionen.
Når I skal vælge
Begynd med at spørge DPO’en, hvad vedkommende ikke kan se i dag. Det er ingen kritik. Svaret er grundlaget for, hvor meget støtte der er behov for, og om det er et ressourcespørgsmål efter art. 38, stk. 2. Hos Nielco IT er teknisk støtte til en intern DPO en ydelse, hvor rollen og konklusionerne bliver hos jeres DPO. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At lade IT vurdere sig selv for DPO’en · IT leverer udtræk, og vurderingen hører til et andet sted.
- At flytte rollen, fordi teknikken mangler · en god juridisk DPO kan få støtte, så længe rollen fungerer i øvrigt.
- At lade støtten rapportere uden om DPO’en · så er det reelt to DPO’er uden klar ansvarsfordeling.
Det skal I kræve af den eksterne
- ☐ En afgrænset opgave, bestilt af DPO’en.
- ☐ Fund med forklaring, som DPO’en kan bruge uden teknisk baggrund.
- ☐ Besked om, hvad der ikke kunne vurderes.
- ☐ Skriftlig fortrolighed og afklaring af, hvilke oplysninger der ses.
- ☐ Ingen drift eller opsætning af det, der kontrolleres.
Kilder
- Forordning (EU) 2016/679 på dansk: art. 5, stk. 2, art. 32, art. 38 og art. 39, stk. 1, litra b.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om interessekonflikter og eksterne eksperter.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 5.2.
- Datatilsynet: Vejledning om håndtering af brud på persondatasikkerheden, opdateret 14. maj 2025: eksemplerne om flytbart medie og ransomware.
- Datatilsynet: Katalog over foranstaltninger.
- EU-Domstolen: C-340/21 af 14. december 2023.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Den interne DPO har ikke tid · Tekniske foranstaltninger
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
