Sammanfattning: Ett externt dataskyddsombud ska vara oberoende, tillgängligt och kunna rapportera direkt till högsta ledningen. Priset varierar med verksamhetens storlek och behandlingarnas komplexitet, men det som skiljer leverantörer åt är oftast något annat: hur granskningen dokumenteras, hur snabbt ni får svar, vad som händer vid en incident och vem som tar över om ombudet inte är tillgängligt. Här är åtta kriterier och de frågor som hör till.

Måste ni ha ett dataskyddsombud?

Enligt artikel 37 i GDPR ska ett dataskyddsombud utses om ni är en myndighet eller ett offentligt organ, om er kärnverksamhet innebär regelbunden och systematisk övervakning av registrerade i stor omfattning, eller om ni i stor omfattning behandlar känsliga personuppgifter eller uppgifter om lagöverträdelser. Andra organisationer kan utse ett ombud frivilligt.

Två saker är värda att veta. Den som utser ett ombud frivilligt omfattas av samma krav på rollen som den som måste. Och ombudets kontaktuppgifter ska offentliggöras och anmälas till Integritetsskyddsmyndigheten (IMY).

Vad rollen får och inte får göra

Artiklarna 38 och 39 beskriver ombudets ställning och uppgifter. Ombudet ska informera och ge råd, övervaka efterlevnaden, ge råd vid konsekvensbedömningar, samarbeta med IMY och vara kontaktpunkt för myndigheten och de registrerade. Ombudet ska rapportera direkt till högsta förvaltningsnivån, får inte ta emot instruktioner om hur uppgifterna ska utföras och får inte ha en roll som leder till intressekonflikt.

Det är därför ombudet inte ska äga det operativa GDPR-arbetet. Den som skriver registret, godkänner leverantörerna och beslutar om behandlingarna kan inte samtidigt vara den som oberoende granskar dem. Verksamheten äger behandlingen. Ombudet granskar, utmanar och ger råd.

Internt eller externt ombud?

	Internt ombud	Externt ombud
Verksamhetskännedom	Hög från start	Byggs upp under det första året
Oberoende	Kräver att rollen hålls isär från operativt ansvar, vilket är svårt i mindre organisationer	Inbyggt, så länge leverantören inte också gör det operativa arbetet
Kompetensbredd	Beror på en person	Tillgång till ett team med juridik, teknik och sektorkunskap
Kontinuitet	Sårbart vid frånvaro och personalbyte	Ersättare ska ingå i avtalet
Kostnad	Del av en lön plus utbildning och tid	Ett avtalat arvode, ofta lägre än en deltidstjänst

Många organisationer väljer en kombination: ett externt ombud som granskar och rapporterar, och en intern dataskyddssamordnare som äger det dagliga arbetet. Rollerna kompletterar varandra och ska hållas åtskilda.

Åtta kriterier när ni jämför externa dataskyddsombud

Oberoende. Gör leverantören också det operativa arbetet hos er? Då behöver ni veta hur intressekonflikten hanteras, till exempel genom skilda personer och dokumenterade gränser.
Tillgänglighet och svarstider. Hur snabbt får ni svar på en vanlig fråga, och vad gäller vid en incident kvällar och helger? Skriv in det i avtalet.
Sektorkunskap. Vård, kommun, skola, finans och SaaS har olika rättsliga grunder, olika tillsyn och olika risker. Fråga efter erfarenhet från er sektor.
Rapportering till ledningen. Hur ofta, i vilket format och med vilket innehåll? En årlig rapport med iakttagelser, risker och rekommendationer är ett minimum.
Dokumenterad granskning. Be att få se hur en granskning dokumenteras. Det är den dokumentationen ni visar IMY om frågan kommer.
Incidentstöd. Vem bedömer allvaret, vem skriver anmälan och hur säkras 72-timmarsgränsen? Fråga hur många incidenter leverantören hanterat.
Kontinuitet. Vem ersätter det utsedda ombudet vid frånvaro, och hur överförs kunskapen om er verksamhet?
Överlämning och avslut. Vad händer med dokumentationen om ni byter leverantör eller tar rollen internt? Allt som rör er ska vara ert.

Prismodeller på marknaden

Externa dataskyddsombud prissätts på några olika sätt. Det vanligaste är ett fast månads- eller årsarvode som speglar verksamhetens storlek och hur komplexa behandlingarna är. Vissa leverantörer arbetar med en timbank som fylls på, andra med ett lågt fast arvode och rörlig debitering för det som ligger utanför. För avgränsade uppdrag, som en konsekvensbedömning eller en granskning, är fast pris per uppdrag vanligt.

Ingen modell är rätt för alla. Det som avgör är vad som ingår. Jämför därför alltid offerter på samma omfattning: antal behandlingar, antal system, hur många frågor per månad, incidentstöd och rapportering. Ett lågt arvode med lite innehåll blir dyrt den dag något händer.

Frågor att ställa

Vem blir vårt namngivna ombud, och vem är ersättare?
Hur många uppdrag som ombud har den personen samtidigt?
Hur ser en årsplan för granskning ut hos er?
Hur hanterar ni kontakten med IMY och med registrerade som vänder sig till ombudet?
Vad ingår i arvodet, och vad debiteras separat?
Hur ser uppsägningstid och överlämning ut?

Varningstecken

Ombudet skriver och godkänner sin egen dokumentation. Då granskar ingen.
Ombudet har så många uppdrag att ni får svar först efter flera dagar.
Ingen anmälan till IMY och inga publicerade kontaktuppgifter.
Rapporteringen går till IT-chefen eller HR i stället för till högsta ledningen.
Avtalet saknar ersättare, svarstider och regler för avslut.

Vill ni diskutera hur ett externt dataskyddsombud skulle fungera hos er? Läs om vårt område dataskydd och integritet eller kontakta oss för ett första samtal.

Källor: Dataskyddsförordningen (GDPR) artiklarna 37–39 om dataskyddsombudets utnämning, ställning och uppgifter samt artikel 33 om anmälan av personuppgiftsincidenter; Integritetsskyddsmyndigheten (IMY), vägledning om dataskyddsombud.

Den här texten är allmän information och utgör inte juridisk rådgivning i ett enskilt ärende.