Externt dataskyddsombud (DPO)
Ett externt dataskyddsombud som är oberoende, tillgängligt och rapporterar direkt till ledningen. Vi tar rollen enligt GDPR artikel 37 till 39, eller stöttar det ombud ni redan utsett.
För vem och när
Externt dataskyddsombud passar organisationer som måste eller vill ha ett ombud men saknar rätt kompetens internt, eller där en intern lösning skulle skapa intressekonflikter.
- Ni är en myndighet, ett offentligt organ eller ett bolag som enligt artikel 37 måste utse ett dataskyddsombud.
- Ni behandlar känsliga personuppgifter i stor omfattning, till exempel inom vård, skola eller HR-tjänster.
- Ert nuvarande ombud gör också det operativa GDPR-arbetet, och det är svårt att granska sitt eget arbete oberoende.
- Ni vill ha en senior kontaktpunkt mot IMY och de registrerade, med ersättare vid frånvaro.
Vad vi gör
- Uppstart och anmälan. Vi lär känna era behandlingar, roller och risker, tar fram en årsplan och anmäler ombudets kontaktuppgifter till IMY.
- Löpande rådgivning. Frågor från verksamheten besvaras inom överenskommen tid: nya behandlingar, leverantörer, registrerades rättigheter och konsekvensbedömningar.
- Granskning enligt årsplan. Vi övervakar efterlevnaden genom stickprov, granskningar och genomgångar av register, avtal och rutiner, och dokumenterar iakttagelserna.
- Incidentstöd. Vid en personuppgiftsincident bedömer vi allvaret, stöttar anmälan inom 72 timmar och dokumentationen efteråt.
- Rapportering till ledningen. Minst en gång per år får ledningen en rapport med iakttagelser, risker och rekommendationer.
Ni får
- Ett namngivet dataskyddsombud och en namngiven ersättare
- Anmälan till IMY och publicerade kontaktuppgifter
- Årsplan för granskning och dokumenterade granskningar
- Rådgivning med överenskomna svarstider
- Incidentstöd och årlig rapport till ledningen
Omfattning och pris
Ett löpande uppdrag där omfattningen anpassas till verksamhetens storlek, antalet behandlingar och hur många frågor som brukar uppstå. Vanligast är ett antal dagar per månad.
Priset varierar från uppdrag till uppdrag och beror på omfattningen. Ni får ett tydligt förslag på upplägg och månadskostnad efter det första samtalet. Uppdraget har uppsägningstid och en avtalad överlämning.
Så går det till
- Ett första samtal. Vi lyssnar på er situation och berättar hur vi brukar lägga upp arbetet. Ni får vår bedömning direkt, utan kostnad.
- Förslag med omfattning och pris. Ett kort skriftligt förslag med vad som ingår, vad ni får, vem som gör jobbet och vad det kostar.
- Genomförande och överlämning. Vi arbetar tillsammans med er organisation, rapporterar löpande och lämnar över så att ni kan förvalta resultatet själva.
Vanliga frågor
Måste vi ha ett dataskyddsombud?
Ja, om ni är en myndighet eller ett offentligt organ, om er kärnverksamhet innebär regelbunden och systematisk övervakning av registrerade i stor omfattning, eller om ni i stor omfattning behandlar känsliga personuppgifter eller uppgifter om lagöverträdelser. Andra kan utse ett ombud frivilligt och omfattas då av samma krav på rollen.
Kan ombudet också göra vårt operativa GDPR-arbete?
Helst inte. GDPR tillåter att ombudet har andra uppgifter så länge de inte skapar en intressekonflikt, men den som övervakar dataskyddsarbetet bör inte samtidigt fatta besluten om behandlingarna. Behöver ni även operativt stöd, till exempel register eller konsekvensbedömningar, gör vi det med andra konsulter och tydliga gränser.
Vad kostar ett externt dataskyddsombud?
Det varierar från uppdrag till uppdrag. Upplägget beror på verksamhetens storlek, hur många och hur känsliga behandlingarna är och hur mycket löpande stöd ni behöver. Vi går igenom vilket upplägg som passar er i ett första samtal.
Vill ni veta hur ett externt dataskyddsombud skulle fungera hos er?
Kontakta oss