Sammanfattning: En dataskyddskonsult ska lämna efter sig något som går att förvalta: ett register över behandlingar, bedömningar som håller för granskning, rutiner som verksamheten faktiskt använder och en tydlig överlämning. Den här guiden går igenom när ni behöver hjälp, vad ni ska kräva i leverans, sju frågor som avslöjar skillnaderna mellan leverantörer och vilka varningstecken ni ska vara uppmärksamma på.

Marknaden för dataskyddskonsulter är bred. Här finns juristbyråer, IT-bolag, renodlade GDPR-konsulter och breda säkerhetsbolag. Alla säger ungefär samma sak: vi hjälper er att följa GDPR. Skillnaderna syns först i det som levereras och i hur det fungerar ett år senare.

Den här guiden är skriven för den som ska köpa dataskyddsstöd för första gången, eller byta leverantör, och vill kunna jämföra på ett rimligt sätt.

När behöver ni en dataskyddskonsult?

Behovet uppstår sällan för att någon läst GDPR. Det uppstår när något händer i verksamheten. Några vanliga utlösare:

En kund eller upphandling kräver bevis. Ni ska visa register, personuppgiftsbiträdesavtal eller en konsekvensbedömning innan avtal kan skrivas.
En ny behandling ska införas. Ett nytt system, en ny tjänst eller ny teknik som kan innebära hög risk för de registrerade och därmed kräver en konsekvensbedömning (DPIA).
Ni vet inte var alla personuppgifter finns. Dokumentationen är ofullständig eller inaktuell och ingen äger frågan.
En incident har inträffat, eller en kund, en registrerad eller Integritetsskyddsmyndigheten (IMY) har ställt frågor.
Organisationen växer och det som fungerade med tjugo anställda fungerar inte med tvåhundra.
Dataskyddsombudet behöver avlastning. Ombudet ska granska och ge råd, inte göra allt operativt arbete. Det arbetet behöver någon annan äga.

Vad ska konsulten faktiskt leverera?

Be alltid om en lista över konkreta leveranser innan ni jämför pris. Ett seriöst uppdrag inom dataskydd brukar bestå av några av följande delar:

En nulägesanalys med identifierade gap och en prioriterad åtgärdsplan som ledningen kan besluta om.
Ett register över behandlingar enligt artikel 30, kopplat till system, ändamål, rättslig grund och gallringstider.
Konsekvensbedömningar (DPIA) för behandlingar med hög risk, med dokumenterade åtgärder och restrisk.
Granskade personuppgiftsbiträdesavtal och en rutin för att bedöma nya leverantörer.
Rutiner för de registrerades rättigheter: registerutdrag, rättelse, radering och invändningar, med tidsfrister och ansvar.
En incidentrutin som klarar bedömning och anmälan inom 72 timmar, gärna testad i en övning.
Utbildning för de som hanterar personuppgifter i vardagen.
En överlämning som gör att ni kan förvalta dokumentationen själva, med tydliga roller och en årsplan.

Det sista är det som oftast saknas i offerter. En leverans utan överlämning blir en pärm som ingen öppnar.

Sju frågor att ställa innan ni väljer

Vilka konkreta dokument och rutiner får vi när uppdraget är klart? Svaret ska vara en lista, inte en beskrivning av arbetssättet.
Kan vi se ett avidentifierat exempel på ett register eller en konsekvensbedömning ni gjort? Kvaliteten syns i exemplet.
Vem gör arbetet hos oss, och vilken erfarenhet har den personen? Säljaren och konsulten är inte alltid samma person.
Hur arbetar ni med juridik, teknik och verksamhet samtidigt? Dataskydd kräver alla tre. En leverantör som bara kan en av delarna lämnar resten till er.
Hur ser överlämningen ut, och vad krävs av oss för att förvalta resultatet? Fråga efter årsplan, roller och hur många timmar det tar per år.
Hur prissätts uppdraget, och vad ingår inte? Fast pris, timpris eller en kombination fungerar alla, men ni måste veta var gränsen går.
Hur hanterar ni sekretess och de uppgifter ni får tillgång till hos oss? En dataskyddskonsult är ofta själv personuppgiftsbiträde. Då behövs ett avtal.

Varningstecken

Mallpaket utan anpassning. Policyer som inte nämner era system, era behandlingar eller era leverantörer är inte dokumentation, det är text.
Löften om att bli ”GDPR-certifierad” eller ”hundra procent compliant”. Det finns ingen sådan certifiering att köpa, och efterlevnad är ett tillstånd som ska underhållas.
Ingen plan för överlämning. Om ni är beroende av konsulten för varje registerutdrag har ni inte fått ett fungerande dataskyddsarbete.
Allt hänger på en person. Fråga vad som händer vid sjukdom, semester eller om personen byter arbetsgivare.
Ingen koppling till informationssäkerhet. GDPR kräver lämpliga tekniska och organisatoriska säkerhetsåtgärder. En konsult som inte kan prata om behörigheter, loggning och kryptering täcker bara halva kravet.

Så jämför ni offerter

Kriterium	Vad ni tittar på	Varför det spelar roll
Leveranser	Namngivna dokument, rutiner och bedömningar	Det är detta ni kan visa för kunder, revisorer och IMY
Metod	Intervjuer, systemgenomgång, dokumentgranskning	Ett register byggt bara på intervjuer missar det som ligger i systemen
Kompetens	Erfarenhet från er typ av verksamhet, relevanta certifieringar	Vård, kommun, finans och SaaS har olika risker och olika krav
Bredd	Juridik, teknik och verksamhet i samma team	Annars faller frågor mellan stolarna
Förvaltning	Överlämning, årsplan, utbildning	Avgör om resultatet lever efter uppdraget
Pris	Vad som ingår, vad som kostar extra, hur ändringar hanteras	Jämför bara offerter med samma omfattning

Förbered det första samtalet

Ni får bättre offerter om ni själva kan beskriva läget. Ta med vilka typer av personuppgifter ni behandlar och om ni behandlar känsliga uppgifter, vilka system som bär dem, vad som utlöste behovet, vilken dokumentation som redan finns och när ni behöver vara klara. Det räcker att det är ungefärligt. En bra konsult ställer resten av frågorna.

Vill ni veta hur vi arbetar med det här? Läs om vårt område dataskydd och integritet eller kontakta oss för ett första samtal.

Källor: Dataskyddsförordningen (GDPR), bland annat artikel 24 om den personuppgiftsansvariges ansvar, artikel 28 om personuppgiftsbiträden, artikel 30 om register över behandling, artikel 32 om säkerhet, artikel 33 om anmälan av personuppgiftsincidenter och artikel 35 om konsekvensbedömning; Integritetsskyddsmyndigheten (IMY), vägledningar för verksamheter.

Den här texten är allmän information och utgör inte juridisk rådgivning i ett enskilt ärende.