Data Protection Officer (DPO - Offentlig)

En offentlig DPO hjælper myndigheden med at behandle borgernes personoplysninger lovligt og forsvarligt. Rollen findes blandt andet i kommuner, regioner og statslige styrelser.

DPO'en er både rådgiver og intern kontrolfunktion. DPO'en ejer ikke myndighedens GDPR-ansvar. Det gør den dataansvarlige myndighed.

En almindelig arbejdsdag kan indeholde:

• rådgivning om nye digitale løsninger, selvbetjening og fagsystemer
• gennemgang af DPIA'er før behandlinger med høj risiko
• kontrol af behandlingsaktiviteter, slettefrister og adgang til personoplysninger
• rådgivning ved sikkerhedsbrud og mulige anmeldelser til Datatilsynet
• undervisning af medarbejdere i persondata, tavshedspligt og sikker behandling
• besvarelse af spørgsmål fra borgere, ledelse og Datatilsynet

DPO'en bliver ofte involveret tidligt i nye projekter. Det kan være et nyt skole-, social-, sundheds- eller borgersystem. Datatilsynet understreger, at DPO'en skal inddrages rettidigt i spørgsmål om personoplysninger. ([Datatilsynet][1])

En vigtig del af jobbet er at gennemgå konsekvensanalyser, også kaldet DPIA'er. Her vurderes risikoen for de registrerede borgere. DPO'en rådgiver om analysen og følger op på processen.

Offentlige DPO'er arbejder også i krydsfeltet mellem GDPR og almindelig myndighedsbehandling. Aktindsigt, journalisering og partshøring kan påvirke håndteringen af personoplysninger. Folketingets Ombudsmand beskriver disse krav i sin Myndighedsguide. ([Ombudsmanden][2])

DPO'en skal kunne udfordre organisationen. Rollen må derfor ikke styres af den afdeling, som DPO'en kontrollerer. Ifølge Datatilsynet må DPO'en heller ikke have opgaver, der skaber interessekonflikter. ([Datatilsynet][3])

Hvilken lovgivning dækker denne rolle?
EU's databeskyttelsesforordning, GDPR, artikel 37-39 fastlægger kravene til DPO-funktionen. Offentlige myndigheder skal som udgangspunkt udpege en DPO. Domstole er undtaget, når de handler som domstol. ([EUR-Lex][4]) Den danske databeskyttelseslov supplerer GDPR. Forvaltningsloven og offentlighedsloven bliver desuden relevante i mange konkrete myndighedssager.

Der findes ikke én bestemt uddannelse, som gør dig til offentlig DPO. GDPR kræver i stedet relevant faglig viden om databeskyttelsesret og praksis. ([GDPR][5])

Mange kommer fra jura, offentlig administration, informationssikkerhed, compliance eller revision. En bachelor- eller kandidatuddannelse inden for disse områder er en almindelig vej.

Jurister har en fordel ved fortolkning af regler og myndighedspraksis. En teknisk baggrund kan være stærk ved systemer, sikkerhed, adgangsstyring og databehandling.

Erfaring fra det offentlige er særlig værdifuld. Du bør forstå journalisering, aktindsigt, partshøring og myndigheders dokumentationskrav.

En praktisk vej kan være:

• arbejde med GDPR eller informationssikkerhed i en offentlig organisation
• få ansvar for behandlingsfortegnelser, DPIA'er eller databrud
• lære forvaltningsloven og offentlighedsloven i praksis
• deltage i interne audits og kontrolaktiviteter
• bevæge sig mod privacy specialist, DPO-konsulent eller DPO

Certificeringer som CIPP/E eller CIPM kan dokumentere privacy-viden. De er ikke et lovkrav for at være DPO.

Det svære ved rollen er sjældent kun GDPR. Du skal kunne omsætte regler til beslutninger i komplekse offentlige organisationer.

Du skal også kunne stå fast over for ledelsen. Datatilsynet fremhæver DPO'ens uafhængighed, direkte adgang til ledelsen og nødvendige ressourcer. ([Datatilsynet][3])

En offentlig DPO arbejder mest med dokumentation, sagsstyring, kontroller og analyser. Værktøjerne afhænger derfor meget af myndigheden.

Typiske værktøjer er:

• ESDH-systemer til journalisering og dokumentation
• privacy- eller GRC-systemer til behandlingsfortegnelser og kontroller
• DPIA-skabeloner og risikovurderinger
• Microsoft 365 og Microsoft Purview til data, klassifikation og adgang
• Excel eller tilsvarende værktøjer til registre og kontrolopfølgning
• ticket-systemer til databrud, henvendelser og sikkerhedssager

DPO'en arbejder også med myndighedens fagsystemer. Det kan være systemer til børn, socialområdet, sundhed, HR eller borgerservice.

DPO'en behøver ikke selv administrere systemerne. Rollen skal forstå, hvilke oplysninger systemerne bruger, hvem der har adgang og hvorfor.

ESDH er særlig vigtigt i det offentlige. Offentlighedsloven stiller krav om journalisering af relevante dokumenter hos forvaltningsmyndigheder. Folketingets Ombudsmand beskriver journaliseringspligten i Myndighedsguiden. ([Ombudsmanden][6])