Hvad er en DPO?

En DPO er forkortelsen af Data Protection Officer, også kaldet en databeskyttelsesrådgiver på dansk, og det er en specialist ansat i eller tilknyttet en organisation, for at sikre, at der bliver behandlet personoplysninger i overensstemmelse med databeskyttelsesloven, herunder GDPR. Formålet med rollen er at rådgive organisationen, overvåge dens databehandlingsaktiviteter og fungere som kontaktpunkt over for tilsynsmyndigheder, som Datatilsynet. En databeskyttelsesrådgiver (DPO) fungerer ofte som kontaktperson mellem databeskyttelsespolitikken og den dataansvarlige i virksomheden.

DPO’en er vigtig, fordi databeskyttelse i dag er centralt for både lovgivning og tillid. En korrekt indsat DPO bidrager til at minimere risikoen for brud på persondata, sikre lov-overholdelse, og beskytte både organisationens ry og de registreredes rettigheder.

Hvad er DPO’ens rolle?

DPO’ens rolle er bred og kan inddeles i tre grene, da rollen kræver både juridisk, teknisk og organisatorisk indsigt. Nedenfor har vi opremset de forskellige roller og opgaver, en DPO typisk vil bliver pålagt. 

Rådgivning og vejledning

DPO’en rådgiver ledelsen og medarbejderne om databeskyttelsesregler og hjælper med at forstå GDPR’s krav i praksis ved at formidle reglerne. 

Overvågning af compliance

En væsentlig del af arbejdet, er at følge med i, hvordan virksomheden behandler data, og derved sikre, at procedurer og politikker lever op til databeskyttelsesforpligtelser.

Kontaktpunkt til tilsynsmyndigheder

DPO’en skal fungere som bindeled mellem organisationen og Datatilsynet og kan blive inddraget i dialoger omkring implementeringen af reglerne.

Gennemførelse af risikovurderinger

Endnu en opgave, der er væsentlig for DPO’en, er at rådgive med konsekvensanalyser (Data Protection Impact Assessments) ved behandlinger, der kan indebære høj risiko for de registreredes rettigheder.

Uddannelse og awareness

DPO’en uddanner medarbejdere i databeskyttelse, hvilket skaber eller bidrager til en databeskyttelseskultur i virksomheden. 

Rapportering

Rollen indebærer at rapportere til ledelsen om status, risici og anbefalede tiltag regelmæssigt.

Ressourcer og uafhængighed

For at kunne udføre sine opgaver effektivt, skal DPO’en have tilstrækkelig tid, adgang til relevant information og ressourcer. DPO’en skal have direkte adgang til ledelsen og må ikke modtage instrukser i, hvordan arbejdet skal udføres. 

Uafhængighed

GDPR kræver, at DPO’en arbejder uafhængigt og uden interessekonflikter. Det betyder f.eks. at en DPO ikke bør have operative lederroller (som HR-chef eller it-chef), da det kan kompromittere objektiviteten.

Hvornår er det et krav at have en DPO?

Det er ikke alle organisationer, der er forpligtet til at udpege/ansætte en DPO,  men visse omstændigheder gør det obligatorisk:

Offentlige myndigheder og organer skal, ifølge Datatilsynet, som udgangspunkt altid have en DPO. 

For private virksomheder gælder kravet om en DPO, når tre betingelser er opfyldt samtidig:

• Når behandlingen af personoplysninger er en kerneaktivitet i virksomheden. 
• Når der behandles personoplysninger i stort omfang. Ifølge GDPR-vejledninger betyder det f.eks. mange registrerede, mange datafelter pr. person, geografisk spredning eller langvarig behandling. 
• Når behandlingen består enten af regelmæssig og systematisk overvågning af personer eller omfatter følsomme oplysninger eller oplysninger om strafbare forhold. 

Selv hvis kriterierne ikke er opfyldt, kan det være en god idé at udpege en DPO frivilligt som et strategisk led i compliance og risikostyring.

Det er vigtigt at bemærke, at det ikke er nok blot at behandle data – det handler om typen og omfanget af behandlingen.

Hvad er forskellen på en intern eller ekstern DPO?

I led med, at en virksomhed identificerer deres behov for en DPO, bør det være med i overvejelserne, om denne rolle skal varetages internt eller om det skal hyres ind eksternt, f.eks. som konsulent eller via en DPO-service.

Der er fordele og ulemper ved begge, og disse forskelle vil vi gennemgå her: 

Fordele ved en intern DPO

En intern DPO vil have kendskab til virksomhedens struktur, og dermed have nemmere ved at forstå processer og kulturen i huset, og dermed er de bedre indlejret i den daglige drift.

Der er et socialt aspekt at have in mente ved at have en intern person varetage rollen som DPO, da de har nemmere adgang til kolleger og stakeholders.

Ulemper ved en intern DPO

Der er en større risiko for interessekonflikter, især hvis DPO’en fortsat har andre roller i virksomheden, f.eks. ledelses- eller driftsposter

Fordele ved en ekstern DPO

En ekstern DPO vil typisk være mere objektiv og uafhængighed, da den eksterne rådgiver kommer udefra og ikke har interne interesser i drift eller profit

Ved at hyre en DPO ind eksternt kommer de ofte med en specialiseret ekspertise.

Ulemper ved en ekstern DPO

En ekstern DPO kan have mindre indsigt i virksomhedens interne processer, samt er der en risiko for at samarbejdet bliver ‘siloet’ hvis ikke integrationen af DPO’en bliver gjort tilstrækkeligt. 

Der er en potentielt højere pris ved at ansætte en DPO gennem f.eks. et bureau.

Uanset om DPO’en er intern eller ekstern, er uafhængighed et centralt element. GDPR-lovgivningen stiller krav til, at DPO’en ikke modtager instrukser om, hvordan opgaverne skal udføres, og at vedkommende ikke kan afskediges for at udføre sine opgaver korrekt.

Virksomheden skal sørge for at give DPO’en de nødvendige ressourcer (tid, adgang til information, budget til uddannelse osv.), og DPO’en bør have direkte adgang til ledelsen, så rådgivning og rapportering kan ske uden barrierer.

Hvordan arbejder Meo med datasikkerhed?

Hos Meo kan vi hjælpe dig med sikker overførsel af information til og fra kunder, samt et softwaresystem, der kan fungere som et administrationsværktøj til både: verifikation, kontrol og overvågning af nuværende og potentielle kunder, samt en skræddersyet risikovurdering.

Dette system, Meo Identity, hjælper dig og din DPO med at kontrollere og administrere data korrekt, og dette system og automatisering af datastyring sikrer din overholdelse af GDPR og undgår sanktioner i form af bøder eller lignende.

Vi er ISO 27001 certificeret, som GDPR og AML Compliant, hvilket betyder, at vi er internationalt godkendt og certificeret inden for informationssikkerhed og datahåndtering.