Dataskyddsombud

Krav på dataskyddsombud? Vi löser det!

Ett dataskyddsombud, även kallat DPO, hjälper verksamheten att arbeta rätt med GDPR och dataskydd. Rollen handlar framför allt om att ge stöd, vägledning och kontrollera att personuppgifter hanteras på ett tryggt och korrekt sätt.

Dataskyddsombudets uppdrag omfattar flera viktiga delar. Det kan till exempel handla om att informera verksamheten om nyheter och förändringar som påverkar personuppgiftsbehandling, ge råd i frågor som rör GDPR, följa upp hur verksamheten arbetar med dataskydd och samarbeta med IMY vid behov. Ett dataskyddsombud kan också vara kontaktperson vid utredningar och hjälpa till att bedöma risker, bland annat genom en risk- och konsekvensanalys.

För att etablera ett välfungerande efterlevnadsarbete arbetar vi utifrån ett systematiskt arbetssätt, ofta i form av ett årshjul. Syftet är att genom återkommande åtgärder, granskningar och uppföljning kunna påvisa ett strukturerat dataskyddsarbete.

Vi vet att alla organisationer har olika behov. Därför utformar vi ett tjänsteupplägg som möter din organisations krav kopplat till dataskydd och samtidigt speglar ambitionsnivån i dataskyddsarbetet.

Externt dataskyddsombud med juridisk och teknisk kompetens

Vi hjälper dig att få ett tryggt och strukturerat dataskyddsarbete. Som externt dataskyddsombud, även kallat DPO, kombinerar Secify juridisk kompetens med kunskap inom IT- och informationssäkerhet. Det gör att du får stöd både i den löpande rådgivningen och i mer komplexa frågor som rör GDPR, personuppgifter och informationssäkerhet.

• Uppföljning av GDPR och relevant dataskyddslagstiftning
• Rapportering till ledning om risker, brister och förbättringsområden
• Stöd vid personuppgiftsincidenter, dataintrång och kontakt med IMY
• Rådgivning vid nya tjänster, system och förändringar som påverkar personuppgifter
• Rådgivning vid DPIA, TIA och andra dataskyddsbedömningar
• Omvärldsbevakning inom GDPR och angränsande regelverk
• Årlig dataskyddsanalys med genomgång av rutiner och riktlinjer

Vad säger lagen om dataskyddsombud?

Vissa organisationer behöver utse ett dataskyddsombud enligt GDPR. Det gäller framför allt verksamheter som regelbundet och systematiskt övervakar personer i stor omfattning, eller som behandlar känsliga personuppgifter eller uppgifter om brott i stor omfattning.

När behöver du utse ett dataskyddsombud?

Krav på dataskyddsombud kan till exempel bli aktuellt om din organisation arbetar med omfattande behandling av personuppgifter, övervakning, profilering eller känsliga uppgifter.

• Privata vårdgivare och verksamheter som behandlar hälsouppgifter
• Fackförbund och organisationer som behandlar medlemsuppgifter
• Banker, försäkringsbolag och aktörer som gör riskbedömningar eller profilering
• Teleoperatörer och verksamheter inom elektronisk kommunikation
• Organisationer som arbetar med kamerabevakning eller positionsspårning
• Verksamheter med lojalitetsprogram, datadriven marknadsföring eller beteendestyrd annonsering

Att anlita ett externt dataskyddsombud kan vara ett effektivt sätt att få rätt kompetens inom GDPR, dataskydd och informationssäkerhet utan att behöva bygga upp hela funktionen internt.

Läs mer om dataskyddsombud på Integritetsskyddsmyndighetens webbplats.

Vad gör ett dataskyddsombud?

Ett dataskyddsombud – på engelska även känt som Data Protection Officer eller DPO – är en roll som har inrättats enligt Europeiska unionens allmänna dataskyddsförordning (GDPR). Personen som blivit tilldelad rollen ska övervaka och främja efterlevnaden av dataskyddslagstiftningen inom en organisation.

Här är några av de huvudsakliga uppgifterna för ett dataskyddsombud:

• Övervakning och rådgivning: Ansvarar för att övervaka organisationens efterlevnad av dataskyddslagstiftningen, inklusive GDPR. De ger råd och vägledning till organisationen och dess anställda för att säkerställa att personuppgifter behandlas i enlighet med lagstiftningen.
• Utbildning och medvetenhet: Kan ansvara för att organisera utbildningar och workshops för att höja medvetenheten om dataskydd och GDPR bland organisationens anställda. Det kan inkludera att informera om rättigheter och skyldigheter, datahanteringsprinciper och hur man hanterar incidenter som involverar personuppgifter.
• Hantering av förfrågningar: Kontaktpunkt för både interna och externa parter som har frågor eller förfrågningar om dataskydd. De svarar på frågor om behandling av personuppgifter, rättigheter enligt GDPR och hanteringen av eventuella incidenter eller dataintrång.
• Register över behandlingsaktiviteter: Hjälper till att upprätta och underhålla register över behandlingsaktiviteter inom organisationen. Detta innebär att dokumentera vilken typ av personuppgifter som behandlas, syftet med behandlingen, rättslig grund, eventuella mottagare av uppgifterna och hur länge de kommer att lagras.
• Incidenthantering: Bistår vid hantering av dataincidenter och dataintrång. De hjälper till att utreda och rapportera incidenter enligt de lagstadgade skyldigheterna och samarbetar med relevanta myndigheter vid behov.
• Samarbete med tillsynsmyndigheter: Kontaktpunkt för integritetsskyddsmyndigheten och samarbetar med dem vid behov. De bistår vid utredningar och eventuella revisioner av dataskyddspraxis inom organisationen.

Ansvarsområdena varierar beroende på organisationens storlek, verksamhet och arten av den personuppgiftsbehandling som utförs.

Vem kan vara dataskyddsombud?

Enligt Europeiska dataskyddsförordningen (GDPR) kan en organisation utse en intern eller extern person som dataskyddsombud (DSO). Det kan vara en anställd i organisationen eller en extern konsult. Här är några kriterier för dataskyddsombud:

• Professionell kompetens: Utsedd person bör ha tillräcklig kunskap om dataskyddslagstiftningen och praxis för att kunna fullgöra sina uppgifter. Det kan vara juridisk kompetens eller teknisk kunskap, beroende på organisationens behov.
• Oberoende: ett DSO bör kunna utföra sina uppgifter oberoende och utan påverkan från organisationens ledning. De ska inte få instruktioner om hur de ska utföra sina uppgifter och bör ha skydd mot uppsägning eller bestraffning för att utföra sitt arbete.
• Resurser: En DSO bör ges tillräckliga resurser, inklusive tid, personal och utbildning, för att kunna fullgöra sina uppgifter på ett adekvat sätt.
• Kontakt: En DSO bör vara tillgänglig för både den personuppgiftsansvariga och de registrerade för att svara på frågor och ge råd om dataskyddsfrågor.

Inte alla organisationer är skyldiga att utse ett dataskyddsombud enligt GDPR. Det beror på olika faktorer, som exempelvis organisationens storlek och typen av
behandling av personuppgifter som utförs

Ni behöver exempelvis utse ett dataskyddsombud om ni erbjuder era kunder lojalitetsprogram, tillhandahåller uppkopplade apparater (t.ex. smarta bilar eller anordningar för hemautomatisering) eller om er verksamhet avser tjänster för telekommunikationsnät eller telekommunikation. Ni ska också ha ett dataskyddsombud om er huvudsakliga verksamhet innefattar:

• övervakning med hjälp av kameror
• spårning och profilering på internet
• datadriven eller beteendestyrd marknadsföring
• positionsspårning (t.ex. i mobilappar)
• övervakning av hälsa, träning och övrigt mående (t.ex. genom hälsoappar eller aktivitetsarmband)
• profilering och poängsättning för riskbedömningar för bestämmande av kreditvärdighet eller nivå på försäkringspremie.

Ofta saknar dessa verksamheter intern kompetens eller ekonomiska resurser att tillgodose kraven. Att anlita ett externt dataskyddsombud för att fylla denna position kan många gånger vara både mer effektivt för verksamhetens arbete med dataskydd, samt mindre kostsamt. Vi på Secify kan agera som konsult och ert externa dataskyddsombud.

Läs mer om detta på integrationsmyndighetens webbplats.