Varför jag ska ha ett dataskyddsombud?

Ett dataskyddsombud är den person som granskar att din organisation följer GDPR och som Integritetsskyddsmyndigheten (IMY) kontaktar när något händer. För många verksamheter är ombudet ett lagkrav. Den som borde ha ett men saknar det riskerar en sanktionsavgift på upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen.

Även när det inte är ett krav kan ett ombud göra stor skillnad. IMY tar emot fler klagomål än någonsin, och en tillsyn som börjar med ett enda klagomål kan bli en granskning av hela organisationens dataskyddsarbete.

När måste du ha ett dataskyddsombud?

Enligt artikel 37 i GDPR måste din organisation utse ett dataskyddsombud om något av följande stämmer:

• Organisationen är en myndighet eller ett offentligt organ, till exempel en kommun eller region.
• Kärnverksamheten innebär regelbunden och systematisk övervakning av personer i stor omfattning, som spårning, profilering eller kameraövervakning.
• Kärnverksamheten innebär behandling i stor omfattning av känsliga personuppgifter, till exempel hälsouppgifter, eller uppgifter om brott.

Typiska exempel är vårdgivare, försäkringsbolag, banker, teleoperatörer och plattformar som följer sina användare. ”Stor omfattning” är inte definierat i siffror, vilket gör att många företag gör en egen bedömning och landar fel.

En koncern kan dela på ett ombud. Ombudets kontaktuppgifter ska anmälas till IMY och publiceras, och ombudet ska kunna arbeta oberoende utan att granska sitt eget arbete.

Så arbetar IMY

IMY:s tillsyn startar oftast med ett klagomål, en anmäld personuppgiftsincident eller ett eget initiativ. Trycket ökar snabbt. Under 2025 tog IMY emot 8 229 klagomål och tips om dataskydd, nästan dubbelt så många som året innan (4 241). Myndigheten inledde drygt 320 tillsynsärenden och avslutade nästan 500.

En tillsyn kan sluta med en reprimand, ett föreläggande eller en sanktionsavgift. Ett föreläggande innebär att din organisation måste rätta bristerna inom en viss tid, och följer den inte föreläggandet kan det bli vite.

Dataskyddsombud har granskats särskilt två gånger:

• 2018 kontrollerade Datainspektionen, som IMY hette då, 362 verksamheter som borde ha ett ombud. Brister fanns hos 59 av dem, cirka 16 procent. Värst var teleoperatörerna, där fyra av åtta saknade ombud eller inte hade anmält det. Samtliga fick en reprimand eller ett föreläggande.
• 2023 genomförde IMY ett 40-tal tillsyner om ombudens roll och resurser, som en del av en samordnad granskning i hela EU. Sex fall granskades på djupet och ledde bland annat till förelägganden.

328 miljoner kronor i sanktionsavgifter

Mellan 2019 och 2026 har IMY beslutat om sanktionsavgifter på sammanlagt cirka 328 miljoner kronor. Bland dem som har fått betala finns Spotify (58 miljoner kronor), Apoteket (37 miljoner) och Trygg-Hansa (35 miljoner).

Avgifterna drabbar inte bara storbolag. Kommuner, regioner, skolor, en räddningstjänst och en bostadsrättsförening har också fått betala. Under 2026 har avgifterna kommit efter dataintrång, där IMY bedömt att säkerheten brustit.

Vad händer om du saknar ett ombud?

Att sakna ett dataskyddsombud när det krävs är en överträdelse av artikel 37. Den kan ge en sanktionsavgift på upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen, beroende på vilket som är högst. För svenska myndigheter är taket 5 miljoner kronor.

När Datainspektionen granskade ombuden 2018 skrev myndigheten uttryckligen att det kan leda till sanktionsavgift att inte utse och anmäla ett dataskyddsombud. Att det då stannade vid reprimander motiverades med att GDPR var så ny. Det skälet finns inte längre.

I andra EU-länder har det blivit böter:

• Glovo, Spanien 2020: 25 000 euro för att budföretaget saknade ombud trots att det behandlade personuppgifter i stor omfattning. Glovo hade en egen dataskyddskommitté och utsåg ett ombud under processen, men det räckte inte.
• Facebook, Tyskland 2019: 51 000 euro till det tyska dotterbolaget för att det inte hade anmält sitt ombud till tillsynsmyndigheten.

Det största problemet är ofta inte avgiften för själva ombudet. Saknas ett ombud saknas också någon som upptäcker andra brister i tid, och det är de bristerna som brukar ge de stora avgifterna.

Mer än ett krav

Ett bra dataskyddsombud ger råd innan du startar ett nytt system, ser till att registret över behandlingar stämmer och hjälper till när en incident ska anmälas inom 72 timmar. När IMY hör av sig finns det redan någon som vet var dokumentationen finns.

Så kommer du igång:

1. Gör en bedömning. Gå igenom om din organisation omfattas av artikel 37 och skriv ner hur du har kommit fram till svaret, även om det blir nej.
2. Utse ombudet. Det kan vara en anställd eller en extern tjänst. Många kommuner och mindre bolag köper tjänsten utifrån.
3. Anmäl till IMY. Kontaktuppgifterna ska anmälas till IMY och publiceras, till exempel på din webbplats.
4. Ge rätt förutsättningar. Ombudet behöver tid, resurser och direkt kontakt med ledningen. Se till att ombudet inte granskar beslut som det själv har fattat.
5. Ta in ombudet tidigt. Låt ombudet vara med när nya system, leverantörer och behandlingar planeras, inte först när något har gått fel.

Behöver din organisation ett dataskyddsombud?

Secify kan vara ditt externa dataskyddsombud, eller hjälpa dig att bedöma om din organisation behöver ett. Läs mer om vår tjänst för dataskyddsombud.