Godkendelse af udlicitering af Databeskyttelsesrådgiverfunktionen

Indstilling

Administrationen indstiller, at Byrådet
godkender en udlicitering af Databeskyttelsesrådgiverfunktionen.
bemyndiger Stab for Økonomi & Teknologi til at afdække markedet og indgå aftale
med ekstern om håndtering af funktionen.

Tidligere beslutning
Beslutning fra Økonomiudvalget, den 17. juni 2026, punkt 127:
Anbefalet.
Fraværende: Ingen.

Sagsfremstilling

Siden 2018 har Faxe Kommunes databeskyttelsesrådgiverfunktion bestået af én jurist i Stab
for Økonomi & Teknologi, der både har fungeret som kommunens databeskyttelsesrådgiver og

samtidig har løst en lang række opgaver på bl.a. databeskyttelsesområdet. Opgaverne
omfatter blandt andet strategisk rådgivning og tilsyn, konkret sagsbehandling, håndtering af
klagesager og indsigtsanmodninger, udarbejdelse af politikker, retningslinjer og
databehandleraftaler samt håndtering af sikkerhedsbrud, procesledelse og awareness
(oplæring og opmærksomhed hos medarbejdere på behandling af personoplysninger).
Den nuværende organisering giver en høj grad af kontinuitet og samler viden. Den er dog
samtidig personbåret og sårbar, fordi både viden, rådgivning, kontrol, drift og udvikling i høj
grad er samlet hos én medarbejder. Samtidig er databeskyttelsesområdet blevet mere
komplekst siden 2018. Der er stigende krav til blandt andet dokumentation,
konsekvensanalyser, leverandørstyring og håndtering af sikkerhedsbrud og henvendelser fra
borgere. Den stigende opgavemængde og større kompleksitet i opgavetyperne gør det
sværere at sikre tilstrækkelige ressourcer i praksis udelukkende ved brug af de nuværende
interne ressourcer.
Forslag til ny model
Administrationen foreslår, at databeskyttelsesrådgiverfunktionen fremover varetages af et
eksternt konsulent- eller advokathus. Den eksterne databeskyttelsesrådgiver skal blandt andet
rådgive om overholdelse af databeskyttelsesreglerne, overvåge kommunens indsats på
området, gennemføre planlagte tilsyn, afgive uafhængige vurderinger og anbefalinger, samt
udarbejde en årlig rapport om kommunens overholdelse af databeskyttelseslovgivningen.
Den eksterne databeskyttelsesrådgiver vil desuden være kontaktpunkt for Datatilsynet.
Funktionen vil også blive inddraget i principielle sager og konsekvensanalyser.
Hovedpointen i den nye model er, at den eksterne databeskyttelsesrådgiverfunktion fokuserer
på uafhængig rådgivning og kontrol, mens de interne ressourcer dedikeres til implementering,
drift og daglig forankring i fagområderne. Det mindsker risikoen for interessekonflikter og gør
den samlede indsats mindre personafhængig.
Med modellen får borgerne et eksternt og uafhængigt kontaktpunkt ved spørgsmål om deres
rettigheder. Samtidig giver den også mulighed for at opbygge en mere robust intern
understøttelse af databeskyttelsesområdet. Opgaverne kan fordeles mere tydeligt, fordi den
eksterne funktion ikke samtidig har ansvar for de udførende opgaver i kommunen.
Modellen med en ekstern databeskyttelsesrådgiver er velafprøvet, hvor bl.a. kommunerne i
Digit (Digitaliseringsforeningen Sjælland) har indgået aftale med advokathuset Bech-Bruun via
fællesudbud, og kommunerne i Den storkøbenhavnske Digitaliseringsforening der deler en
databeskyttelsesrådgiverservice.
Organisatoriske og personalemæssige forhold
Ændringen betyder, at den nuværende medarbejder i Stab for Økonomi & Teknologi ikke
længere skal være kommunens databeskyttelsesrådgiver. Medarbejderen får i stedet et tydeligt
defineret ansvar som intern GDPR-konsulent.
Politisk handlerum

Byrådet kan:
1. godkende, at databeskyttelsesrådgiverfunktionen fremover varetages eksternt, og at
administrationen gennemfører udliciteringen.
2. beslutte, at den nuværende interne model skal fortsætte.
3. bede administrationen afsøge alternative modeller og udarbejde et supplerende
beslutningsgrundlag.

Videre proces

Administrationen afdækker markedet og gennemfører anskaffelse af en ekstern
databeskyttelsesrådgiverfunktion med forventet opstart pr. 01.01.2027. Den konkrete økonomi
og det endelige omfang af ydelser fastlægges i forbindelse med anskaffelsen.
Den nuværende konstruktion samt fordele og alternativer er nærmere beskrevet i notatet
”Databeskyttelsesrådgiver funktionen. Krav, nuværende og kommende model”.

Økonomiske konsekvenser
Ingen bevillingsmæssige konsekvenser.
På baggrund af dialog med andre kommuner og markedsindsigt vurderer administrationen, at
en ekstern databeskyttelsesrådgiverfunktion vil kunne anskaffes for ca. 250.000–350.000 kr.
årligt. Den endelige pris afhænger af kravspecifikation og omfang af de serviceydelser, der
indgår i aftalen. Beløbet vil typisk dække varetagelse af databeskyttelsesrådgiverrollen,
løbende rådgivning indenfor et aftalt omfang, årlig kontrol og rapportering, undervisning,
deltagelse i faste møder samt håndtering af hastesager inden for aftalte tidsfrister.
Udgiften til ekstern databeskyttelsesrådgiver findes indenfor Stab for Økonomi & Teknologis
eksisterende budget til Informationssikkerhed og databeskyttelse.

Sagen afgøres af
Sagen fremlægges for Økonomiudvalget til anbefaling.
Sagen afgøres af Byrådet.

Beslutning

Godkendt.
Fraværende:
Ingen.