En ekstern DPO vurderes på fem ting: ekspertise i databeskyttelsesret og -praksis, hvordan arbejdet faktisk udføres, om der er interessekonflikter, om personen er til at få fat i, og om I kan forstå det, der bliver sagt. Art. 37, stk. 5, kræver, at DPO’en udpeges på grundlag af sine faglige kvalifikationer, og forpligtelsen hviler på jer. Derfor skal I kunne begrunde valget. Stil spørgsmålene herunder, og bed om at se eksempler. De bedste svar ligger i de ting, en kandidat kan lægge på bordet, og sjældent i det, der står i tilbuddet.
Fagligheden
Art. 37, stk. 5, nævner navnlig ekspertise i databeskyttelsesret og -praksis og evnen til at udføre opgaverne. Det gælder enhver, uanset baggrund. Datatilsynets vejledning nævner både advokater, revisorer og andre kvalificerede, så titlen afgør det ikke. Kravet retter sig mod det, personen kan.
Stil spørgsmål, der kræver et konkret svar:
- Hvordan vil du afgøre, om vi skal lave en konsekvensanalyse af det system, vi lige har købt?
- Hvordan vurderer du, om et brud skal anmeldes, når vi ikke ved, om oplysningerne er kopieret?
- Hvad ville du se på i vores aftale med en amerikansk leverandør?
- Hvad har ændret sig i praksis det seneste år, og hvad er kun forslag?
Det sidste spørgsmål er nyttigt. Der er forslag til ændringer af reglerne på vej, og en god rådgiver kan skelne det gældende fra det foreslåede uden at slå det op.
Sæt ikke certifikater øverst. De kan vise en vilje til at holde sig opdateret, men art. 37, stk. 5, nævner intet bestemt bevis, og et bevis siger intet om, hvordan personen arbejder. Hvilken baggrund der passer til jer, er vejet i advokat, revisor eller IT-sikkerhed.
Arbejdsmetoden
Her skilles tilbuddene ad. Art. 39, stk. 1, litra b, siger, at DPO’en skal overvåge, om reglerne overholdes. Det kan ikke gøres fra en mappe med politikker alene.
- Hvordan begynder du hos en ny kunde?
- Hvad kontrollerer du det første år, og hvordan vælger du det?
- Hvilke adgange og udtræk har du brug for?
- Må vi se en rapport til en ledelse, hvor kunden er gjort ukendelig?
- Hvordan følger du op på et råd, vi ikke har fulgt?
En god kandidat kan beskrive et forløb og pege på, hvad der er resultatet af det. Hvad I kan forvente måned for måned, står i det, ydelsen bør indeholde.
Spørg også, hvordan personen vil holde sig på den rigtige side af grænsen. Beskriver tilbuddet, at DPO’en laver jeres konsekvensanalyser, skriver jeres aftaler og sætter jeres systemer op, så har I en konsulent, der skal kontrollere sit eget arbejde. Datatilsynets FAQ advarer netop mod, at DPO’en evaluerer tiltag, som personen selv har indført.
Konflikter
Skriv aldrig under på, at der ingen konflikter er. Konflikter skal vurderes konkret, og Datatilsynets FAQ siger, at hver organisation skal foretage den vurdering selv. Efter art. 38, stk. 6, må andre opgaver ikke føre til en interessekonflikt, og EU-Domstolen fastslog i X-FAB (C-453/21), at det afgøres fra sag til sag.
- Hvilke andre opgaver har du eller dit firma hos os?
- Er du også vores IT-leverandør, sikkerhedsansvarlige eller advokat?
- Rådgiver du konkurrenter?
- Får du provision eller har du forhandleraftaler med leverandører?
- Hvad gør du, hvis du opdager en konflikt undervejs?
En ledende stilling med beslutninger om IT eller persondata hos jer passer dårligt med rollen. Efter Datatilsynets vejledning kan en DPO ikke være den øverste IT-ansvarlige eller øverste HR-ansvarlige, og tilsynets side regner it-chef blandt de stillinger, rollen ikke kan forenes med. WP243 peger på samme type stillinger. Har kandidaten en anden rolle hos jer inden for den grænse, er det en kombi-stilling, som skal stå tydeligt i kontrakten. Den er gennemgået under CISO og DPO i samme person. Advokater og revisorer skal desuden sikre, at ydelsen er forenelig med deres egne etiske regler.
Hertil kommer selve uafhængigheden. I betaler, og I kan opsige. Spørg, hvordan kandidaten har det med at give ledelsen ubehagelige svar, og læs kan en betalt ekstern DPO være uafhængig?.
Tilgængelighed og kontinuitet
En ekstern DPO med flere kunder skal kunne stå til rådighed for hver enkelt. Spørg, hvem der møder op, og hvad der sker ved ferie og sygdom. Art. 37, stk. 6, tillader en tjenesteydelseskontrakt, og WP243 tillader et team under én ansvarlig person med klar opgavefordeling og én overordnet kontakt. Det er fint, men I skal vide, hvem personen er.
Spørg også til brud: hvordan når I personen, og hvilket arbejde falder uden for rammen? Bliv skeptiske, hvis nogen lover en reaktionstid uden at forklare, hvordan den kan holdes.
Sproget
DPO’en skal rådgive jeres ledelse, jeres medarbejdere og tale med registrerede. Bed kandidaten forklare en konkret regel, fx 72-timersfristen, så en direktør kan følge med. Forstår I svaret, er det et godt tegn. Forstår IT det også, er det endnu bedre.
Advarselstegn
- Tilbuddet er en standardpakke, uden at nogen har set på jeres behandlinger.
- Kandidaten vil ikke have adgang til systemer eller udtræk.
- Skabeloner bliver leveret uden gennemgang af, hvad I faktisk gør.
- Der loves, at I bliver compliant, eller at der ingen konflikter er.
- Kandidaten kan ikke sige, hvad der ikke er med.
- Tilbuddet siger intet om, hvordan tiden er fastsat.
Skriv vurderingen ned, når I har valgt: hvem I har talt med, og hvorfor valget faldt, som det gjorde. EDPB lægger i sin rapport op til, at vilkårene formaliseres i et engagementsbrev, og et kort notat om valget hører til samme tanke. Hvad der skal stå i kontrakten, står i aftalen med en ekstern DPO.
Det skal I lade være med
- At vælge på titlen alene · hverken advokat, revisor eller sikkerhedsekspert er nok i sig selv.
- At tage en standardpakke uden gennemgang · en DPO skal kende jeres behandlinger.
- At undlade referencer på arbejdsmetode · spørg til fremgangsmåden, også når kunderne er fortrolige.
Det skal I kræve af den eksterne
- ☐ En konkret beskrivelse af, hvordan ekspertisen er opnået og vedligeholdes.
- ☐ Et eksempel på en rapport eller kontrol, hvor kunden er gjort ukendelig.
- ☐ En skriftlig redegørelse for andre roller og mulige konflikter.
- ☐ Besked om, hvem der møder op, og hvem der afløser.
- ☐ Klar afgrænsning af, hvad der ikke er med.
Kilder
- Forordning (EU) 2016/679 på dansk: art. 37, stk. 5 og 6, art. 38, stk. 6, og art. 39.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): FAQ om konflikter og ledende stillinger.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere, december 2017: afsnit 5.2.
- WP243 på dansk: afsnit 2.5 og 3.5.
- EU-Domstolen: C-453/21 af 9. februar 2023: præmis 45.
- EDPB: Rapport om DPO’er, januar 2024.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Én navngiven DPO eller et team? · Hvor meget tid skal en DPO have?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
