Dataskyddsombud

Ett dataskyddsombud (DSO), tidigare uppgiftsskyddsombud eller personuppgiftsombud, är en fysisk eller juridisk person som enligt Europeiska unionens dataskyddsförordning (GDPR) ansvarar för vissa rådgivande och övervakande uppgifter gällande skydd av personuppgifter inom en personuppgiftsbehandlande organisation (till exempel ett företag eller en myndighet). Till dataskyddsombudets uppgifter hör bland annat att ge information och råd till den uppdragsgivande organisationen och dess anställda i frågor som rör dataskydd, att övervaka efterlevnaden av tillämpliga dataskyddsbestämmelser samt att samarbeta med ansvarig tillsynsmyndighet i frågor som rör behandling av personuppgifter. Ett dataskyddsombud har även till uppgift att svara på frågor från registrerade om behandlingen av deras personuppgifter och utövandet av deras rättigheter. Därutöver får ett dataskyddsombud fullgöra andra uppgifter och uppdrag inom sin organisation, så länge det inte leder till en intressekonflikt. Dataskyddsombudet är inte självt ansvarigt för att den uppdragsgivande organisationen följer dataskyddsförordningen, utan detta ansvar ligger alltid hos själva organisationen.

Enligt dataskyddsförordningen måste personuppgiftsbehandlande myndigheter och offentliga organ (utom domstolar i sin dömande verksamhet) samt organisationer vars kärnverksamhet består av behandling av personuppgifter i stor omfattning som ”kräver regelbunden och systematisk övervakning av de registrerade” eller som omfattar känsliga personuppgifter (till exempel uppgifter om hälsa) eller uppgifter om brott, utnämna ett dataskyddsombud. Även andra organisationer kan, enligt andra bestämmelser i unionsrätten eller i en medlemsstats nationella lagstiftning, behöva utse ett dataskyddsombud. För övriga organisationer är det frivilligt, men om ett dataskyddsombud utses måste det ske i enlighet med dataskyddsförordningens bestämmelser. En koncern kan utnämna ett enda dataskyddsombud om ombudet är enkelt att nå på samtliga verksamhetsställen. Även myndigheter och offentliga organ får i vissa fall utnämna gemensamma dataskyddsombud.

Ett dataskyddsombud ska enligt dataskyddsförordningen utses på grundval av sina yrkesmässiga kvalifikationer, särskilt vad gäller dess sakkunskaper i dataskyddsfrågor och förmåga att fullgöra sina uppgifter enligt förordningen. Kontaktuppgifterna till ombudet måste offentliggöras och meddelas till ansvarig tillsynsmyndighet. Dataskyddsombudet får ingå i den uppdragsgivande organisationens personal (men kan också anlitas externt), men organisationen måste säkerställa att ombudet har en oberoende ställning och inte blir påverkad av andra inom organisationen. Ett dataskyddsombud får inte avsättas eller bli föremål för sanktioner för att ha utfört sina uppgifter. Ombudet ska rapportera direkt till den uppdragsgivande organisationens högsta förvaltningsnivå.

I det tidigare dataskyddsdirektivet fanns möjlighet för medlemsstaterna att i nationell lagstiftning föreskriva bestämmelser om ”uppgiftsskyddsombud”. Vissa bestämmelser om uppgiftsskyddsombud fanns till exempel i den svenska personuppgiftslagen, där de kallades ”personuppgiftsombud”. Genom dataskyddsförordningen, som ersatte dataskyddsdirektivet den 25 maj 2018, infördes istället de nuvarande enhetliga bestämmelserna om ”dataskyddsombud”.

Se även 
 Dataskyddsförordningen
 Europeiska dataskyddsstyrelsen
 Europeiska datatillsynsmannen
 Skydd av personuppgifter inom Europeiska unionen

Referenser

Externa länkar 
 Riktlinjer om dataskyddsombud antagna av artikel 29-arbetsgruppen för skydd av personuppgifter

Skydd av personuppgifter inom Europeiska unionen