Dataskyddsombud (DPO) – behöver ditt företag ett?

Introduktion

Dataskyddsombudet (Data Protection Officer, DPO) är en central roll i GDPR-regelverket. Ombudet fungerar som en intern kontrollpunkt för hur organisationen hanterar personuppgifter och som kontaktperson gentemot tillsynsmyndigheten Integritetsskyddsmyndigheten (IMY).

I den här guiden förklarar vi när ditt företag måste utse ett dataskyddsombud, vilka uppgifter ombudet har, och hur du praktiskt går tillväga – oavsett om du väljer en intern eller extern lösning.

Vad är ett dataskyddsombud?

Ett dataskyddsombud är en person som övervakar att en organisation följer dataskyddsreglerna. Rollen regleras i artiklarna 37–39 i GDPR (Europaparlamentets och rådets förordning (EU) 2016/679) och i den svenska kompletteringslagen lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Dataskyddsombudet är inte ansvarigt för att organisationen följer GDPR – det ansvaret ligger alltid hos den personuppgiftsansvarige (organisationen själv). Ombudets roll är att informera, rådge och övervaka.

Dataskyddsombudets oberoende

En av GDPR:s grundprinciper är att dataskyddsombudet ska vara oberoende i sin roll. Det innebär att:

• Ombudet inte får ta emot instruktioner om hur det ska utföra sina uppgifter
• Ombudet inte får avsättas eller bestraffas för att det utför sina uppgifter
• Ombudet ska rapportera direkt till den högsta ledningen
• Ombudet inte får ha andra uppgifter som skapar intressekonflikter (exempelvis vara IT-chef eller HR-chef, eftersom dessa roller fattar beslut om personuppgiftsbehandling)

När måste du utse ett dataskyddsombud?

Enligt artikel 37 i GDPR är det obligatoriskt att utse ett dataskyddsombud i tre situationer:

1. Offentliga myndigheter och organ

Alla myndigheter och offentliga organ som behandlar personuppgifter måste utse ett dataskyddsombud, oavsett vilken typ av behandling som utförs. Detta gäller statliga myndigheter, kommuner, regioner och kommunala bolag.

2. Systematisk övervakning i stor omfattning

Organisationer vars kärnverksamhet innebär regelbunden och systematisk övervakning av registrerade i stor omfattning måste utse ett dataskyddsombud. Exempel på verksamheter som omfattas:

• Kameraövervakningsföretag
• Företag som bedriver profilering och beteendeanalys av kunder
• IT-säkerhetsföretag som övervakar nätverkstrafik
• Inkassobolag och kreditupplysningsföretag
• Företag som erbjuder lojalitetsprogram med detaljerad spårning av köpbeteende
• Digitala plattformar som spårar användarbeteende

3. Känsliga personuppgifter i stor omfattning

Organisationer vars kärnverksamhet innebär behandling i stor omfattning av särskilda kategorier av personuppgifter (känsliga uppgifter) eller uppgifter om lagöverträdelser måste utse ett dataskyddsombud. Särskilda kategorier av personuppgifter enligt GDPR artikel 9 inkluderar:

• Ras eller etniskt ursprung
• Politiska åsikter
• Religiös eller filosofisk övertygelse
• Medlemskap i fackförening
• Genetiska uppgifter
• Biometriska uppgifter för identifiering
• Hälsouppgifter
• Sexualliv eller sexuell läggning

Verksamheter som typiskt berörs: sjukhus, vårdcentraler, privata vårdgivare, apotek, försäkringsbolag, fackföreningar och organisationer som hanterar brottsregister.

Vad betyder "stor omfattning"?

GDPR definierar inte exakt vad "stor omfattning" innebär, men Europeiska dataskyddsstyrelsen (EDPB) har angett att följande faktorer ska beaktas:

• Antalet registrerade (absolut antal eller andel av en relevant population)
• Mängden personuppgifter som behandlas
• Behandlingens varaktighet (tillfällig eller permanent)
• Geografisk utsträckning

En enskild läkarmottagning behandlar visserligen känsliga uppgifter men normalt inte i "stor omfattning". Ett sjukhus eller en vårdkedja gör det däremot.

Frivilligt dataskyddsombud

Även om ditt företag inte är skyldigt att utse ett dataskyddsombud kan det vara klokt att göra det frivilligt. Fördelarna inkluderar:

• Intern expertis som säkerställer löpande GDPR-efterlevnad
• En tydlig kontaktpunkt för anställda, kunder och myndigheter
• Minskad risk för sanktionsavgifter
• Stärkt förtroende hos kunder och affärspartners

Om du utser ett dataskyddsombud frivilligt gäller samma krav som om det hade varit obligatoriskt – ombudet ska ha oberoende, resurser och tillgång till ledningen.

Läs mer om GDPR-grunderna i vår guide om GDPR för företag.

Dataskyddsombudets uppgifter

Enligt artikel 39 i GDPR har dataskyddsombudet följande uppgifter:

Informera och ge råd

Ombudet ska informera och ge råd till organisationen och dess anställda om deras skyldigheter enligt GDPR och andra dataskyddsregler. Det handlar om att:

• Utbilda personalen i dataskyddsfrågor
• Delta i projekt där personuppgifter kommer att behandlas
• Granska nya processer, system och tjänster ur ett dataskyddsperspektiv
• Ge råd om konsekvensbedömningar avseende dataskydd (DPIA)

Övervaka efterlevnad

Ombudet ska övervaka att organisationen följer GDPR, inklusive:

• Granska att policyer och rutiner för dataskydd följs
• Utföra interna revisioner och kontroller
• Följa upp rapporterade incidenter och avvikelser
• Kontrollera att register över behandlingar (artikel 30) hålls uppdaterat

Kontakt med tillsynsmyndigheten

Ombudet fungerar som kontaktpunkt gentemot Integritetsskyddsmyndigheten (IMY) och ska samarbeta med myndigheten vid tillsyn och rådgivning. Vid en personuppgiftsincident som kräver anmälan till IMY (inom 72 timmar enligt artikel 33) är ombudet ofta den som hanterar rapporteringen.

Konsekvensbedömningar (DPIA)

När organisationen planerar en behandling som sannolikt innebär hög risk för de registrerades fri- och rättigheter ska en konsekvensbedömning avseende dataskydd (Data Protection Impact Assessment, DPIA) genomföras. Dataskyddsombudet ska ge råd om bedömningen, men det är organisationen som ansvarar för att den genomförs.

Intern vs extern DPO

Internt dataskyddsombud

Fördelar:

• Djup kunskap om organisationens verksamhet och processer
• Tillgänglighet och närvaro i det dagliga arbetet
• Löpande relation med medarbetare i hela organisationen

Utmaningar:

• Kräver att personen har rätt kompetens (juridisk och teknisk)
• Oberoendet kan vara svårt att upprätthålla i praktiken
• Personen får inte ha andra roller som skapar intressekonflikter
• Kostnad för utbildning och kompetensutveckling

Olämpliga kombinationer: Dataskyddsombudet bör inte samtidigt vara VD, CFO, HR-chef, IT-chef eller marknadschef, eftersom dessa roller fattar beslut om personuppgiftsbehandling och det uppstår en intressekonflikt.

Externt dataskyddsombud

Fördelar:

• Specialistkompetens inom dataskydd
• Garanterat oberoende (ingen intern lojalitetskonflikt)
• Kostnadseffektivt för mindre företag som inte behöver heltids-DPO
• Tillgång till erfarenhet från flera organisationer

Utmaningar:

• Mindre kunskap om den specifika verksamheten (initialt)
• Kan vara svårare att nå för snabba frågor
• Kräver ett tydligt avtal som reglerar uppdraget

Tips: Om du anlitar ett externt dataskyddsombud, se till att tjänsten regleras genom ett tydligt avtal. Grunden för avtal hittar du i vår guide om avtal.

Kompetenskrav

GDPR anger att dataskyddsombudet ska utses på grundval av yrkesmässiga kvalifikationer och särskilt sakkunskap om dataskyddslagstiftning och dataskyddspraxis. Det finns inga formella utbildningskrav eller certifieringar som krävs enligt lag, men i praktiken förväntas ombudet ha:

• Gedigen kunskap om GDPR och nationell dataskyddslagstiftning
• Förståelse för IT-säkerhet och tekniska skyddsåtgärder
• Kunskap om den bransch organisationen verkar i
• Förmåga att kommunicera med både ledning, teknik och juridik

Så utser du ett dataskyddsombud – steg för steg

1. Bedöm behovet

Analysera om ditt företag är skyldigt att utse ett dataskyddsombud enligt artikel 37. Om du är osäker, dokumentera din bedömning – IMY kan begära att se den.

2. Välj intern eller extern

Bedöm om det är mest ändamålsenligt med en intern medarbetare eller en extern tjänst. För mindre företag är externt ofta det mest kostnadseffektiva alternativet.

3. Säkerställ kompetens och oberoende

Den person som utses måste ha rätt kompetens och kunna verka oberoende. Kontrollera att personen inte har andra roller som skapar intressekonflikter.

4. Anmäl till IMY

Enligt GDPR ska organisationen anmäla dataskyddsombudets kontaktuppgifter till tillsynsmyndigheten. I Sverige görs detta genom att anmäla dataskyddsombudet till IMY via deras e-tjänst. Anmälan ska innehålla:

• Ombudets namn och kontaktuppgifter
• Organisationens namn och organisationsnummer

Anmälan ska uppdateras om dataskyddsombudet byts ut.

5. Kommunicera internt och externt

Informera alla medarbetare om vem som är dataskyddsombud och hur de kan kontakta denne. Publicera dataskyddsombudets kontaktuppgifter så att registrerade (kunder, användare) kan nå ombudet – detta är ett krav enligt GDPR.

6. Ge resurser

Säkerställ att dataskyddsombudet har:

• Tillräcklig arbetstid för uppdraget
• Tillgång till relevant information om personuppgiftsbehandlingar
• Möjlighet att delta i möten och projekt som berör dataskydd
• Budget för kompetensutveckling
• Direkt rapporteringsväg till ledningen

Om du hanterar personuppgifter genom personuppgiftsbiträden, se till att personuppgiftsbiträdesavtalen är uppdaterade och korrekta.

Sanktioner vid bristande efterlevnad

Att inte utse ett dataskyddsombud när det krävs kan leda till administrativa sanktionsavgifter enligt GDPR artikel 83. Överträdelser av bestämmelserna om dataskyddsombud kan ge böter på upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen, beroende på vilket belopp som är högst.

IMY har i flera beslut påtalat brister kopplade till dataskyddsombud, bland annat:

• Att organisationer inte utsett dataskyddsombud trots skyldighet
• Att dataskyddsombudet inte anmälts till IMY
• Att dataskyddsombudet saknat oberoende eller tillräckliga resurser

Även om stora sanktionsavgifter hittills främst riktats mot stora organisationer finns det inget som hindrar att även mindre företag drabbas.

Praktisk checklista

Här är en sammanfattning av de viktigaste stegen:

1. Kartlägg vilka personuppgiftsbehandlingar ditt företag utför
2. Bedöm om ni är skyldiga att utse dataskyddsombud enligt artikel 37
3. Dokumentera er bedömning oavsett utfall
4. Utse ett dataskyddsombud med rätt kompetens och oberoende
5. Anmäl ombudet till IMY via deras e-tjänst
6. Kommunicera ombudets kontaktuppgifter internt och externt
7. Ge resurser – tid, information och tillgång till ledningen
8. Följ upp regelbundet att ombudet har förutsättningar att utföra sina uppgifter

Vanliga frågor om dataskyddsombud

Måste dataskyddsombudet vara anställd i organisationen?

Nej, dataskyddsombudet kan vara antingen en anställd eller en extern tjänst. GDPR tillåter uttryckligen att dataskyddsombudet fullgör sina uppgifter enligt ett tjänsteavtal. Många företag, särskilt mindre, anlitar externa dataskyddsombud som en köpt tjänst.

Kan samma person vara dataskyddsombud för flera organisationer?

Ja, en och samma person kan vara dataskyddsombud för flera organisationer, förutsatt att personen har kapacitet att fullgöra uppdraget för samtliga. Detta är vanligt för externa dataskyddsombud som erbjuder sina tjänster till flera kunder.

Vad händer om vi inte utser ett dataskyddsombud trots att vi är skyldiga?

Att inte utse ett dataskyddsombud när det krävs utgör en överträdelse av GDPR och kan leda till sanktionsavgifter på upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen. Utöver böter riskerar ni bristande efterlevnad i övriga dataskyddsfrågor, eftersom ombudet fyller en viktig övervakande funktion.

Behöver småföretag med 5–10 anställda ett dataskyddsombud?

Det beror inte på antalet anställda utan på vilken typ av personuppgiftsbehandling ni utför. Ett litet företag som arbetar med hälsodata, kreditupplysningar eller storskalig profilering kan vara skyldigt att utse ett dataskyddsombud. Ett större företag som bara behandlar anställdas och kunders grundläggande kontaktuppgifter behöver kanske inte det.

Kan vi utse vår IT-chef som dataskyddsombud?

Det rekommenderas starkt att inte göra det, eftersom IT-chefen fattar beslut om personuppgiftsbehandling (val av system, säkerhetsåtgärder, leverantörer) och det därmed uppstår en intressekonflikt. Samma gäller för VD, HR-chef, ekonomichef och marknadschef. IMY och EDPB har tydligt uttalat att sådana kombinationer normalt inte är förenliga med GDPR:s krav på oberoende.

Sammanfattning

Dataskyddsombudet är en viktig funktion för att säkerställa GDPR-efterlevnad och bygga förtroende hos kunder och myndigheter. Bedöm noggrant om ditt företag är skyldigt att utse ett ombud, och överväg att göra det frivilligt om ni hanterar personuppgifter i någon betydande omfattning.

Behöver du hjälp att bedöma om ditt företag behöver ett dataskyddsombud? Hitta en kvalificerad rådgivare som kan stötta dig i dataskyddsfrågor.

---

Källor och referenser

• Riksdagen – Aktiebolagslagen
• Bolagsverket – Lagar och regler
• IMY – Dataskydd för företag