När behöver ett bolag ett dataskyddsombud?

Ett dataskyddsombud (DSO), på engelska Data Protection Officer (DPO), är den person som enligt GDPR ansvarar för att övervaka att en organisation behandlar personuppgifter i enlighet med gällande regler. Frågan om när ett bolag behöver ett dataskyddsombud är central för alla företagsledare i Sverige, eftersom svaret avgör både juridisk skyldighet och strategisk riskhantering. Integritetsskyddsmyndigheten (IMY) är den svenska tillsynsmyndighet som granskar efterlevnaden, och GDPR:s artikel 37 anger de formella kriterierna. Det är inte alltid självklart om ett bolag måste utse ett DSO eller om det räcker med ett mer begränsat dataskyddsstöd. Den här artikeln ger dig ett tydligt svar.

När behöver ett bolag ett dataskyddsombud enligt GDPR?

GDPR:s artikel 37 definierar tre situationer där ett bolag är skyldigt att utse ett dataskyddsombud. Dessa kriterier gäller oavsett om verksamheten är privat eller offentlig, och de är bindande för alla organisationer som är verksamma inom EU.

De tre situationerna är:

• Offentliga myndigheter och organ. Alla myndigheter och offentliga organ, med undantag för domstolar i deras dömande verksamhet, måste utse ett DSO.
• Regelbunden och systematisk övervakning i stor skala. Bolag vars kärnverksamhet innebär att de regelbundet och systematiskt övervakar registrerade i stor skala, till exempel telekomföretag som analyserar trafikdata eller plattformar som bedriver beteendestyrd marknadsföring, är skyldiga att utse ett DSO.
• Behandling av känsliga personuppgifter i stor skala. Bolag vars kärnverksamhet innebär behandling av känsliga personuppgifter, till exempel hälsodata, genetiska uppgifter, religiös övertygelse eller uppgifter om lagöverträdelser, i stor skala måste utse ett DSO.

Begreppet “stor skala” är inte exakt definierat i GDPR, men IMY och EU:s dataskyddsstyrelse (EDPB) har gett vägledning om att faktorer som antal registrerade, geografisk utbredning, behandlingens varaktighet och mängden uppgifter alla spelar in. Det innebär att ett regionalt vårdbolag med tusentals patientjournaler med stor sannolikhet uppfyller kriteriet, medan en liten tandläkarpraktik med ett fåtal anställda och patienter troligen inte gör det.

Utöver GDPR reglerar lag (2018:218) dataskyddsombudets tystnadsplikt i Sverige. Den som fullgör uppgift som dataskyddsombud får inte obehörigen röja det den får kännedom om i uppdraget. Det här kravet gäller även externa DSO och ställer tydliga krav på hur avtal och informationsdelning regleras när uppdraget läggs ut.

Proffstips: Gör en enkel kartläggning av era personuppgiftsbehandlingar och ställ er frågan: är vår kärnverksamhet beroende av att behandla känsliga uppgifter eller systematisk övervakning i stor skala? Om svaret är ja, är ni sannolikt skyldiga att utse ett DSO.

Skillnaden mellan att vara skyldig och att behöva kvalificerat stöd

Att ett bolag inte är skyldigt att utse ett dataskyddsombud betyder inte att det saknar behov av kvalificerat dataskyddsstöd. Det är en av de vanligaste missuppfattningarna bland företagsledare i Sverige.

Dataskyddsombudsrollen har en självständig och kontrollerande funktion som övervakar efterlevnaden av GDPR och fungerar som kontaktpunkt mot tillsynsmyndigheten. Rollens bredd sträcker sig från juridisk rådgivning till operativ övervakning och utbildning. Det innebär att även bolag som inte formellt måste ha ett DSO kan ha stort nytta av liknande kompetens, strukturerad som ett konsultuppdrag eller intern resurs.

Skillnaden kan sammanfattas i tre nivåer:

1. Skyldigt att utse DSO. Bolaget uppfyller ett eller flera av GDPR:s kriterier i artikel 37 och måste formellt anmäla ett DSO till IMY.
2. Bör ha kvalificerat dataskyddsstöd. Bolaget behandlar personuppgifter i en utsträckning som kräver strukturerat arbete med registerförteckning, riskbedömningar och incidenthantering, men uppfyller inte de formella trösklarna för obligatoriskt DSO.
3. Grundläggande GDPR-rutiner räcker. Bolaget har mycket begränsad personuppgiftsbehandling och kan hantera dataskyddet med enkla rutiner och begränsad tid.

DPO-rollens utveckling visar att funktionen har gått från juridisk kontroll till strategisk rådgivare och operativt stöd i tekniska och affärsmässiga frågor. DPO behöver vara nära verksamheten för att påverka risker tidigt, till exempel vid AI-projekt och molnintegrationer. Det innebär att bolag som arbetar med datadrivna tjänster eller ny teknik kan ha ett reellt behov av DSO-kompetens långt innan de formellt är skyldiga att utse ett.

Proffstips: Fråga er inte bara om ni måste ha ett DSO. Fråga er om ni har tillräcklig kompetens och struktur för att hantera era dataskyddsrisker. Det är ofta en mer relevant fråga för er verksamhet.

Vilka bolag kan klara sig med begränsat dataskyddsstöd?

Många bolag i Sverige behöver inte ett formellt dataskyddsombud och kan hantera sina GDPR-skyldigheter med ett begränsat stöd. Det handlar ofta om några timmar per månad och grundläggande rutiner för att uppfylla GDPR-kraven.

Typiska exempel på sådana bolag är:

• Mindre B2B-bolag som huvudsakligen behandlar kontaktuppgifter till affärskontakter och anställda, utan känsliga uppgifter eller systematisk profilering.
• Konsultbolag och tjänsteföretag med ett begränsat antal kunder och anställda, där personuppgiftsbehandlingen är förutsägbar och återkommande.
• Tillverkningsbolag med fokus på produkter snarare än kunddata, där HR-uppgifter och leverantörskontakter utgör merparten av behandlingen.
• Bolag utan känsliga uppgifter som inte hanterar hälsodata, ekonomisk information, politiska åsikter eller andra kategorier som GDPR klassificerar som känsliga.

Dessa bolag kan ändå upprätthålla god GDPR-efterlevnad genom att dokumentera sina behandlingar i en registerförteckning, ha tydliga rutiner för incidenthantering och genomföra en enkel riskbedömning en gång per år. Det kräver inte ett heltidsuppdrag, men det kräver struktur och kontinuitet.

Vilka organisationer behöver ofta ett omfattande DSO-stöd?

Organisationer med hög riskprofil, stora datamängder eller komplex verksamhet behöver ett DSO-stöd som matchar den faktiska belastningen. Att utse ett DSO på pappret utan att ge rollen tillräckliga resurser och mandat är en vanlig felbedömning som gör rollen ineffektiv i praktiken.

Dataskyddsombudet ska ges tillräckliga resurser och mandat för att klara sina uppgifter effektivt. Brist på mandat, resurser och ledningsförankring gör oftast rollen svag även om en DSO är formellt utsedd. Det är ett problem som återkommer i organisationer som underskattar uppdraget.

Organisationer som regelmässigt behöver ett starkare DSO-stöd, ibland på heltid, inkluderar:

• Vårdgivare och hälsobolag som behandlar patientjournaler, diagnoser och hälsodata i stor skala. Dessa är skyldiga att utse dataskyddsombud och hanterar löpande DPIA:er, incidentrapportering och leverantörsstyrning.
• Finansbolag och banker med stora volymer kunddata, kreditinformation och transaktionshistorik som kräver kontinuerlig riskanalys.
• Techbolag med datadrivna tjänster som profilerar användare, kör AI-modeller eller hanterar beteendedata. Dessa bolag behöver ett DSO som förstår tekniken och kan påverka produktutvecklingen tidigt.
• Stora konsumentbolag med miljontals kunder i register, aktiva marknadsföringsprogram och komplexa samtyckestrukturer.
• Koncerner med flera bolag och marknader där DSO-funktionen behöver koordinera arbetet över juridiska enheter, länder och olika regulatoriska krav.

Proffstips: Räkna antalet aktiva DPIA:er, pågående leverantörsbedömningar och incidenter under det senaste året. Om summan överstiger tio till femton ärenden, är ett deltidsuppdrag sannolikt otillräckligt för att hålla kvaliteten.

Hur bör ett DSO-uppdrag dimensioneras efter er verksamhet?

Dimensionering av dataskyddsombudsuppdraget är inte en engångsbedömning. Det är en löpande process som bör följa verksamhetens förändring i risk, komplexitet och mognad.

En strukturerad ansats för behovsbedömning kan se ut så här:

1. Kartlägg behandlingsaktiviteterna. Identifiera alla personuppgiftsbehandlingar, klassificera dem efter känslighet och volym, och bedöm vilka som kräver aktiv riskhantering.
2. Bedöm riskprofilen. Vilka behandlingar kan orsaka störst skada för de registrerade om något går fel? Hög risk motiverar mer resurser och tätare uppföljning.
3. Inventera intern kompetens. Finns det redan juridisk, teknisk eller operativ kompetens internt som kan bära delar av dataskyddsarbetet? Det påverkar hur mycket externt stöd som behövs.
4. Välj rätt stödform. Externt eller internt DSO är en central fråga. Ett externt DSO kan anlitas på interim basis eller för kontinuerligt stöd, ofta till lägre kostnad än en intern anställning, och passar bolag som saknar intern kompetens eller vill ha flexibilitet.
5. Förankra rollen i ledningen. DSO ska rapportera direkt till högsta ledningsnivå och ha mandat att agera utan att behöva godkännande för varje åtgärd. Utan den förankringen fungerar rollen inte.

DSO-uppdraget bör anpassas till verksamhetens mognad, riskbild och komplexitet för att ge maximal nytta. En dynamisk roll som kombinerar operativt ansvar, utbildning, riskanalys och strategisk rådgivning hjälper verksamheter att effektivt hantera dataskydd. Det innebär att ett bolag som växer snabbt eller tar in ny teknik bör revidera sin dimensionering minst en gång per år.

Proffstips: Sätt ett årligt möte i kalendern där ni utvärderar DSO-uppdraget mot verksamhetens faktiska aktiviteter och riskbild. Det tar en timme och förhindrar att ni hamnar i en situation där rollen är antingen överdimensionerad eller otillräcklig.

Sammanfattande punkter

Ett bolag måste utse ett dataskyddsombud när GDPR:s kriterier i artikel 37 är uppfyllda, men behovet av kvalificerat dataskyddsstöd sträcker sig långt bortom den formella skyldigheten och bör alltid dimensioneras efter verksamhetens faktiska riskprofil och komplexitet.

Jespers perspektiv: Rätt nivå är svårare än rätt svar

Det vanligaste misstaget jag ser är inte att bolag struntar i dataskyddet. Det är att de antingen utser ett DSO för att bocka av ett krav, utan att ge rollen något reellt mandat, eller att de underskattar sitt behov och hanterar dataskyddet ad hoc tills något går fel.

Jag har sett bolag med formellt utsedda DSO som inte har tid, verktyg eller tillgång till ledningen för att göra ett meningsfullt arbete. Det är sämre än att inte ha ett DSO alls, eftersom det skapar en falsk trygghet. Och jag har sett snabbväxande techbolag som behandlar miljontals användarprofiler utan att ha en enda person med ansvar för dataskyddsfrågorna, för att de inte trodde att de uppfyllde GDPR:s formella kriterier.

Det som faktiskt fungerar är när ledningen förstår att dataskydd inte är en juridisk formalitet utan en del av hur verksamheten hanterar risk. Det kräver inte alltid ett heltidsuppdrag. Men det kräver alltid tydlighet om vem som ansvarar, vilka resurser de har, och hur de rapporterar uppåt. Den frågan är mer värdefull att ställa än “måste vi ha ett DSO?”.

Oberoende och rätt kompetens är viktigare än att enbart kunna GDPR:s paragrafer för att rollen ska bli effektiv. Det gäller oavsett om ni väljer ett internt eller externt DSO, och oavsett om ni är skyldiga att utse ett eller inte. Läs gärna mer om när DSO gör verklig skillnad för att förstå när funktionen faktiskt påverkar utfallet.

— Jesper

Trustview hjälper dig att dimensionera rätt dataskyddsstöd

Trustview är en compliance-plattform som samlar juridiskt, operativt och styrningsrelaterat arbete på ett ställe. Oavsett om ditt bolag behöver ett externt dataskyddsombud, ett strukturerat complianceprogram eller ett verktyg för att hantera registerförteckning, DPIA:er och incidentrapportering, ger Trustview dig överblick och kontroll.

Trustview erbjuder externt DSO som tjänst med flexibel dimensionering, från några timmar per månad för mindre bolag till heltidsuppdrag för komplexa organisationer. Kombinerat med plattformens arbetsflöden och automatisering minskar det den administrativa bördan och ger ledningen löpande insyn. Ta nästa steg och läs om hur du kan bygga ett hållbart complianceprogram eller hur du upprättar en åtgärdsplan för ditt dataskyddsarbete.

FAQ

Måste alla bolag i Sverige ha ett dataskyddsombud?

Nej. Enligt GDPR artikel 37 är skyldigheten begränsad till offentliga organ, bolag som systematiskt övervakar registrerade i stor skala, och bolag som behandlar känsliga personuppgifter i stor skala. Övriga bolag kan välja att utse ett DSO frivilligt.

Vad gör ett dataskyddsombud i praktiken?

Ett dataskyddsombud övervakar att organisationen följer GDPR, ger råd om dataskyddsfrågor, genomför och stödjer konsekvensbedömningar (DPIA:er), och fungerar som kontaktpunkt mot IMY och registrerade.

Kan ett litet bolag anlita ett externt dataskyddsombud?

Ja. Ett externt DSO är ofta en praktisk lösning för bolag som saknar intern kompetens eller vill ha flexibilitet. Uppdraget kan anpassas till några timmar per månad och regleras i ett avtal som täcker tystnadsplikt och mandat enligt lag (2018:218).

Hur vet jag om mitt bolag behandlar känsliga uppgifter i “stor skala”?

IMY och EDPB vägleder att faktorer som antal registrerade, geografisk utbredning, behandlingens varaktighet och mängden uppgifter avgör om tröskeln är uppnådd. En kartläggning av era behandlingsaktiviteter ger vanligtvis ett tydligt svar.

Vad händer om ett bolag inte utser ett DSO trots att det är skyldigt?

IMY kan utfärda sanktionsavgifter för bristande efterlevnad av GDPR:s krav på dataskyddsombud. Avgifterna kan uppgå till upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen, beroende på vilket belopp som är högst.

Rekommendation

• Dataskyddsombud eller intern GDPR-kompetens: vad krävs? – TrustView
• Fem situationer där ett dataskyddsombud gör verklig skillnad – TrustView
• Externt eller internt dataskyddsombud: vad är bäst? – TrustView
• Dataskyddsombuds konsulter i Stockholm: Hitta rätt extern DPO