GDPR art. 39

Norges Datatilsyn har udstedt en millionbøde til Telenor for manglende uafhængig DPO og utilstrækkelig dokumentation. Afgørelsen skærper kravene til funktionsadskillelse, rapportering til topledelsen og skriftlig vurdering af DPO'ens egnethed og interessekonflikter.

EDPB offentliggør en overvejende positiv, men nuanceret rapport om DPO-funktionen baseret på 17.000 svar. Anbefalingerne fokuserer på uafhængighed, ressourcer og kompetencer, mens CEF i 2024 prioriterer indsigtsretten. Nye procedureregler skal samtidig effektivisere EDPB’s arbejde.

Datatilsynet undersøger kommunale DPO’er som led i EDPB’s koordinerede indsats. Et spørgeskema skal afdække opgaver, uafhængighed og ressourcer, og resultaterne analyseres både nationalt og i EU/EØS. Indsatsen kan føre til mere målrettet vejledning til kommunerne.

EDPB iværksætter en koordineret håndhævelsesindsats om databeskyttelsesrådgiverens rolle. 26 EØS-tilsyn, herunder Datatilsynet, vurderer efterlevelsen af GDPR-krav til udpegning, uafhængighed og ressourcer for DPO’er. Initiativet er anden runde under CEF.

En koncern-DPO kan dække flere nordiske lande, men kun hvis GDPR’s krav om tilgængelighed, sprog, ressourcer og rådgivning opfyldes i hvert land. Mange vælger derfor flere DPO’er eller et DPO-team, mens outsourcing kræver klar dokumentation for fuld efterlevelse.