Dataskyddsombud (DPO): måste ditt företag ha ett?

Kort svar: Ett dataskyddsombud (på engelska Data Protection Officer, DPO) är en person som övervakar att en organisation följer GDPR och fungerar som kontaktpunkt mot Integritetsskyddsmyndigheten (IMY) och de registrerade. Enligt GDPR artikel 37 måste du utse ett dataskyddsombud om ni är en myndighet, om er kärnverksamhet innebär storskalig och regelbunden övervakning av människor, eller om ni storskaligt behandlar känsliga uppgifter. De flesta små och medelstora företag omfattas inte av kravet – men får gärna utse ett ombud frivilligt.

Vad är ett dataskyddsombud?

Ett dataskyddsombud är organisationens interna expert och vakthund för dataskydd. Rollen är oberoende: ombudet ska kunna säga ifrån utan att riskera sin ställning, rapportera till högsta ledningen och inte ha arbetsuppgifter som krockar med uppdraget (till exempel att samtidigt vara den som bestämmer hur personuppgifter behandlas).

Ombudet kan vara anställt i organisationen eller inhyrt externt (t.ex. en konsult). En och samma person kan vara dataskyddsombud för flera organisationer, till exempel inom en koncern.

Måste ni ha ett dataskyddsombud?

Enligt artikel 37.1 är det obligatoriskt i tre fall:

1. Myndigheter och offentliga organ (utom domstolar i deras dömande verksamhet). Detta gäller alltid.
2. Kärnverksamheten kräver regelbunden och systematisk övervakning av registrerade i stor omfattning. Exempel: verksamheter vars affär bygger på att spåra eller profilera människors beteende i stor skala.
3. Kärnverksamheten består av storskalig behandling av känsliga uppgifter (särskilda kategorier enligt artikel 9, t.ex. hälsa, etnicitet, religion) eller uppgifter om lagöverträdelser. Exempel: sjukhus, större vårdgivare.

Nyckelorden är kärnverksamhet och stor omfattning. Att ni har ett personalregister eller ett kundregister räknas normalt som stödverksamhet, inte kärnverksamhet – och gör alltså inte ett ombud obligatoriskt.

Exempel

• En liten webbyrå eller e-handel som hanterar vanliga kund- och personaluppgifter → måste normalt inte utse ombud.
• En kommun eller statlig myndighet → måste alltid.
• En vårdcentralskedja som storskaligt behandlar hälsouppgifter → måste.
• Ett företag vars affärsidé är att spåra och profilera användare i stor skala → måste troligen.

Är ni osäkra bör ni dokumentera er bedömning – varför ni anser att ni omfattas eller inte. Det är en del av ansvarsskyldigheten (artikel 5.2).

Frivilligt dataskyddsombud – ett bra val även utan krav

Även om ni inte måste, kan ni utse ett dataskyddsombud frivilligt. Många mindre organisationer gör det för att få ordning och en tydlig ansvarig. Observera: utser ni ett ombud – frivilligt eller ej – gäller samma krav i GDPR på oberoende och ställning. Vill ni istället bara ha en ansvarig kontaktperson utan den formella rollen kan ni kalla den något annat, t.ex. “dataskyddssamordnare”.

Vad gör ett dataskyddsombud?

Uppgifterna framgår av artikel 39. Ombudet ska bland annat:

• Informera och ge råd till organisationen och de anställda om skyldigheterna enligt GDPR.
• Övervaka efterlevnaden av GDPR och interna dataskyddsrutiner, inklusive utbildning och intern granskning.
• Ge råd om konsekvensbedömningar (DPIA) och övervaka att de genomförs.
• Samarbeta med IMY och vara myndighetens kontaktpunkt.
• Vara kontaktpunkt för de registrerade i frågor om deras personuppgifter.

Ombudet fattar inte besluten om hur personuppgifter ska behandlas – det ansvaret ligger kvar hos organisationens ledning. Ombudet rådger, granskar och larmar.

Krav på ombudet och hur ni utser det

• Kompetens. Ombudet ska ha tillräcklig kunskap om dataskyddslagstiftning och praxis, anpassat efter verksamhetens behandling.
• Oberoende och skydd. Får inte straffas eller avsättas för att ha utfört sitt uppdrag, och ska rapportera till högsta ledningen.
• Inga intressekonflikter. Kan inte samtidigt vara den som bestämmer ändamål och medel för behandlingen (t.ex. IT-chef eller VD).
• Resurser och tillgång. Ska få de resurser och den tillgång till uppgifter som krävs.
• Publicera och anmäla. Ombudets kontaktuppgifter ska publiceras (t.ex. i integritetspolicyn) och anmälas till IMY.

Hur hänger det ihop med resten av GDPR?

Ett dataskyddsombud är en del i ett större dataskyddsarbete. Även utan ombud behöver ni ha koll på grunderna:

• Vad GDPR är och kräver
• Personuppgiftsbiträdesavtal med era leverantörer
• Rutiner för personuppgiftsincidenter
• En korrekt integritetspolicy och registerförteckning

Detta är allmän information, inte juridisk rådgivning.

Vanliga frågor

Måste ett litet företag ha dataskyddsombud? Oftast inte. Kravet gäller myndigheter samt organisationer vars kärnverksamhet innebär storskalig övervakning eller storskalig behandling av känsliga uppgifter. Vanlig hantering av kund- och personaluppgifter utlöser normalt inte kravet.

Vad är skillnaden mellan dataskyddsombud och personuppgiftsansvarig? Den personuppgiftsansvarige (organisationen/ledningen) bestämmer över och ansvarar för behandlingen. Dataskyddsombudet är en oberoende rådgivare och granskare som övervakar att reglerna följs – men fattar inte besluten.

Kan man anlita ett externt dataskyddsombud? Ja. Ombudet kan vara anställt eller inhyrt på konsultbasis, och samma person kan vara ombud för flera organisationer. Kraven på kompetens och oberoende gäller oavsett.

Kan VD eller IT-chefen vara dataskyddsombud? Nej, det skapar normalt en intressekonflikt, eftersom de är med och bestämmer hur personuppgifter behandlas. Ombudet måste kunna granska verksamheten oberoende.

Vad händer om vi borde ha ombud men saknar ett? Att inte utse ett dataskyddsombud när det krävs är en överträdelse av GDPR och kan leda till sanktionsavgift. Dokumentera därför alltid er bedömning av om ni omfattas.

Vill du få ordning på ditt dataskydd? Testa vårt verktyg 14 dagar gratis eller läs om vårt juridiska dokumentpaket.

Källor

• Dataskyddsförordningen (GDPR), artiklarna 37–39 – EUR-Lex
• Integritetsskyddsmyndigheten (IMY) om dataskyddsombud
• EDPB (tidigare Artikel 29-gruppen), riktlinjer om dataskyddsombud (WP 243)