Sammanfattning: Dataskyddsombudet (DPO) ska övervaka, granska och ge råd – inte äga hela GDPR-arbetet. När ombudet blir organisationens GDPR-funktion urholkas både oberoendet och verksamhetens eget ansvar. Lösningen är en tydlig ansvarsfördelning: verksamheten äger behandlingen, en operativ dataskyddsfunktion driver arbetet och dataskyddsombudet granskar och rapporterar till ledningen.

Många organisationer utser ett dataskyddsombud och andas ut. Någon får rollen, ofta vid sidan av sitt ordinarie arbete. Sedan kommer frågorna: Kan du skriva vår registerförteckning? Kan du godkänna den här leverantören? Kan du göra DPIA:n? Kan du ta incidenten?

Plötsligt har dataskyddsombudet blivit GDPR-funktionen. Det är ett problem – både juridiskt och praktiskt.

Skillnaden mellan att äga och att övervaka

Dataskyddsombudets roll enligt GDPR är att informera, ge råd, övervaka efterlevnaden och vara kontaktpunkt mot tillsynsmyndigheten och de registrerade. Ombudet ska inte fatta besluten om hur personuppgifter behandlas. Det ansvaret ligger hos den personuppgiftsansvarige – alltså organisationen och dess verksamhet.

Verksamheten äger behandlingen.
Organisationen ansvarar för efterlevnaden.
Dataskyddsombudet granskar, utmanar och ger råd.

Det är verksamheten som ska kunna svara på:

Varför behandlar vi de här uppgifterna?
Vilken rättslig grund har vi?
Hur länge sparar vi dem?
Vem har åtkomst?
Vilka leverantörer är inblandade?
Vilka risker finns för de registrerade?

Dataskyddsombudet ska i stället kunna ställa frågorna: Är det här nödvändigt? Är det proportionerligt? Har ni bedömt riskerna? Är det här dokumenterat? Hur vet ni att det fungerar?

Om samma person både bygger lösningen och sedan ska granska den har ni tappat oberoendet. Då granskar ombudet sig själv.

Då behövs ofta en operativ dataskyddsfunktion

Det är här många missar ett steg. GDPR-arbetet behöver ofta två roller – inte en: en operativ funktion som driver arbetet och ett ombud som övervakar det. Den operativa funktionen kan vara:

en GDPR- eller privacy manager
en dataskyddssamordnare
juridik med dataskyddsansvar
informationssäkerhet med tydliga dataskyddsuppgifter
utpekade privacy coordinators i verksamheten
externt operativt stöd

Den operativa funktionen driver registerförteckningen, samordnar konsekvensbedömningar (DPIA), håller i leverantörsgranskningar, koordinerar personuppgiftsincidenter, utbildar och följer upp. Dataskyddsombudet granskar att det görs, ger råd och rapporterar till högsta ledningen.

I en mindre organisation kan gränserna behöva vara pragmatiska. Men principen bör vara tydlig: den som ska övervaka bör inte samtidigt vara den som äger besluten.

DPO-stöd kan också vara externt

Det är fullt möjligt att ha ett externt dataskyddsombud eller externt stöd till ett internt ombud. Fördelarna är ofta specialistkompetens, oberoende, erfarenhet från flera organisationer och mindre risk för intressekonflikter.

Men även ett externt DPO-stöd behöver en tydlig motpart i organisationen. Någon måste äga arbetet internt. Annars blir det externa ombudet en brevlåda för frågor som ingen på insidan tar ansvar för.

En praktisk ansvarsfördelning

Ledningen – beslutar om prioriteringar, resurser och risktolerans. Ansvarar för att dataskyddsarbetet finns och fungerar.
Verksamhets- och processägare – äger behandlingarna, ändamålen, rättslig grund, gallring och åtkomst i sina processer.
Operativ dataskyddsfunktion – samordnar, dokumenterar, stödjer, utbildar och följer upp.
Informationssäkerhet och IT – ansvarar för tekniska och organisatoriska skyddsåtgärder.
Dataskyddsombud – övervakar, ger råd, granskar och rapporterar oberoende till ledningen.

När den här fördelningen är tydlig blir dataskyddsombudet en styrka. När den saknas blir ombudet en flaskhals.

Så arbetar Kristensson i Skåne

Vi stödjer organisationer både med operativ GDPR-samordning och med DPO-stöd – men vi är tydliga med att rollerna inte ska blandas ihop. Beroende på behov kan vi bidra med:

operativ GDPR-samordning
DPO-stöd till ett internt dataskyddsombud
extern specialistkompetens inom dataskydd
konsekvensbedömningar (DPIA)
registerförteckningar
riskbedömningar
hantering av personuppgiftsincidenter
leverantörsgranskningar
privacy governance och ansvarsfördelning
utbildning
löpande uppföljning

Det viktiga är inte titeln. Det viktiga är att någon äger arbetet, att någon granskar det och att ledningen ser skillnaden.

Ett dataskyddsombud som gör allt själv har inte löst GDPR-frågan. Det har bara flyttat problemet.

Vill ni se över er ansvarsfördelning för dataskydd? Läs mer om vårt erbjudande inom dataskydd och integritet eller kontakta oss för ett förutsättningslöst samtal.

Källor: Dataskyddsförordningen (GDPR) artiklarna 37–39 om dataskyddsombudets utnämning, ställning och uppgifter; Integritetsskyddsmyndigheten (IMY), vägledning om dataskyddsombud.

Den här texten är allmän information och utgör inte juridisk rådgivning i ett enskilt ärende.

Vill ni ha stöd i det här? Läs om hur vi arbetar som dataskyddskonsult, från nulägesanalys och GDPR-program till externt dataskyddsombud, på sidan Dataskydd och integritet.