Dataskyddsjuristens roll: uppdrag, ansvar och organisering

En dataskyddsjurist gör GDPR och närliggande regelverk till konkreta beslut i verksamheten. Hen ger råd om nya behandlingar och digitala initiativ, granskar personuppgiftsbiträdesavtal, tar fram policyer och processer, leder eller stöttar konsekvensbedömningar och är med när en incident inträffar. Till skillnad från dataskyddsombudet, som enligt GDPR ska övervaka efterlevnaden självständigt, får dataskyddsjuristen arbeta operativt och ta fram material, förslag och lösningar. Ansvaret för att reglerna följs ligger däremot alltid kvar hos organisationen. Här går vi igenom vad rollen innebär i en svensk verksamhet, var gränserna går mot ombudet och informationssäkerheten och hur ni kan organisera rollen.

Kort sagt

• Dataskyddsjuristen är den operativa juridiska resursen: avtal, styrdokument, DPIA, incidenter, AI-frågor och rådgivning till verksamheten.
• Dataskyddsombudet är en lagstadgad övervakande roll som ska vara oberoende. En och samma person kan inte alltid ha båda rollerna utan att det uppstår en intressekonflikt.
• Ansvaret för GDPR-efterlevnaden ligger hos organisationen som personuppgiftsansvarig, aldrig hos juristen eller ombudet.
• Rollen kräver både djup kunskap om dataskyddsrätt och förståelse för IT, informationssäkerhet och verksamhetens processer.
• Ni kan bemanna rollen med anställda, med en extern konsult eller med en kombination, så länge uppgiftsfördelningen är tydlig och dokumenterad.

Innehållsförteckning

• Vad en dataskyddsjurist gör i en svensk organisation
• Dataskyddsjurist, dataskyddsombud eller informationssäkerhetsspecialist?
• Ansvaret stannar hos organisationen
• Rollen i konsekvensbedömningar, gapanalyser och AI-projekt
• Kompetensen som krävs
• Så organiserar ni rollen
• Vårt perspektiv på dataskyddsjuristens roll
• Stöd när ni behöver en dataskyddsjurist
• Vanliga frågor om dataskyddsjuristens roll
• Källor

Vad en dataskyddsjurist gör i en svensk organisation

Titeln används lite olika av olika arbetsgivare, men kärnan är densamma oavsett om tjänsten finns på en myndighet, i en koncern eller hos en konsultfirma. Dataskyddsjuristen är den som svarar på frågan “får vi göra så här, och i så fall hur?” och sedan hjälper verksamheten att genomföra svaret.

En aktuell rollbeskrivning för Privacy Legal Counsel hos Vattenfall ger en bra bild av bredden. Där ingår rådgivning om behandlingar, avtal och nya digitala initiativ, granskning av personuppgiftsbiträdesavtal, utveckling av policyer och processer, utbildning, konsekvensbedömningar och riskbedömningar, incidenthantering, revisioner och ett nära samarbete med IT, informationssäkerhet och affärsområden.

I praktiken delar sig arbetet ofta i fyra spår:

1. Rådgivning i vardagen. Frågor från HR om bakgrundskontroller, från marknad om nyhetsbrev och spårning, från IT om loggning och molntjänster. Juristen bedömer rättslig grund, ändamål, lagringstid och informationsplikt.
2. Avtal och leverantörer. Personuppgiftsbiträdesavtal, gemensamt personuppgiftsansvar, tredjelandsöverföringar och granskning av leverantörers villkor. Här möts dataskydd och IT-juridik, och det är ofta här de största riskerna gömmer sig. Läs mer om hur ni gör en leverantörsbedömning enligt GDPR.
3. Styrning och dokumentation. Dataskyddspolicy, rutiner för registrerades rättigheter, registerförteckning, gallringsregler och intranätsidor. Juristen skriver, förvaltar och uppdaterar.
4. Projekt och förändring. Nya system, AI-tjänster, kamerabevakning, sammanslagningar. Juristen kommer in tidigt, gör eller stöttar en DPIA och ser till att inbyggt dataskydd blir ett krav i stället för en eftertanke.

Till detta kommer incidenter. När en personuppgiftsincident inträffar behöver någon snabbt bedöma om den ska anmälas till IMY och om de registrerade ska informeras. Det är typiskt dataskyddsjuristens bord, i samspel med informationssäkerhet och kommunikation.

Dataskyddsjurist, dataskyddsombud eller informationssäkerhetsspecialist?

De tre rollerna jobbar med samma frågor från olika håll, och det är lätt att blanda ihop dem. Den viktigaste skillnaden är att dataskyddsombudet är en lagstadgad funktion med krav på oberoende, medan dataskyddsjuristen och informationssäkerhetsspecialisten är roller som organisationen själv utformar.

IMY beskriver att dataskyddsombudets huvuduppgift är att övervaka att organisationen följer GDPR, bland annat genom att samla in information, kontrollera regler och interna styrdokument samt informera och ge råd. Ombudet ska kunna arbeta självständigt, och andra arbetsuppgifter får inte skapa en intressekonflikt. Lednings- och strategiska beslutsroller kan därför vara olämpliga.

Gränsen mellan rådgivande och operativa uppgifter syns tydligt i en kommunal befattningsbeskrivning från Hedemora kommun. Där framgår att dataskyddsombudet inte ska hantera dataskyddet operativt eller utarbeta styrdokument, utan ge råd om styrningen och granska innehållet. Det operativa arbetet ligger alltså på någon annan, och det är just där dataskyddsjuristen hör hemma.

Att detta inte är teori visar IMY:s fördjupade granskningar av dataskyddsombudens roll från juni 2024. IMY kritiserade bland annat en intressekonflikt när ett ombud samtidigt var regionjurist, och i en annan verksamhet brister i involvering, resurser och rapportering. Den som både skriver policyn och ska granska den sitter illa till. Vill ni gå djupare i skillnaden mellan ombud och andra privacy-roller har vi skrivit om dataskyddsombud eller Privacy Manager.

Ansvaret stannar hos organisationen

En vanlig missuppfattning är att ansvaret för GDPR flyttar till den som anställs eller anlitas för att jobba med frågorna. Så är det inte. IMY är tydlig med att ansvaret för efterlevnaden alltid ligger hos organisationen som personuppgiftsansvarig, och att dataskyddsombudet inte har något eget ansvar för organisationens efterlevnad. Samma logik gäller för dataskyddsjuristen: hen ger råd och genomför, men beslutet och ansvaret är ledningens.

Den personuppgiftsansvariga bestämmer ändamålen och de väsentliga medlen för behandlingen. Enligt IMY:s rapport om ansvarsroller vid finjustering av AI-applikationer bär den personuppgiftsansvariga huvudansvaret för laglighet, information, säkerhet, de registrerades rättigheter och dokumenterad efterlevnad.

För en VD, CIO eller CISO betyder det tre saker:

• Besluten måste fattas av någon med mandat. Juristen kan rekommendera, men en riskacceptans ska fattas på rätt nivå.
• Avvikelser från råd ska dokumenteras. IMY anger att organisationen bör dokumentera sina skäl när ombudets råd inte följs. Det är god ordning att göra likadant med juristens bedömningar.
• Resurser är ett ledningsansvar. En dataskyddsjurist som saknar tid, budget eller tillgång till rätt möten kan inte skydda organisationen.

Vi reder ut ansvarsfrågan mer i detalj i artikeln om dataskyddsombudets ansvar.

Rollen i konsekvensbedömningar, gapanalyser och AI-projekt

Det är i förändringsarbetet som en dataskyddsjurist gör störst nytta. En konsekvensbedömning (DPIA) är ett juridiskt dokument lika mycket som en riskanalys: den ska beskriva behandlingen, pröva nödvändighet och proportionalitet och visa vilka åtgärder som minskar riskerna för de registrerade. Juristen håller i den juridiska delen och ser till att slutsatserna går att försvara vid en tillsyn. Ombudet ska enligt IMY ge råd om konsekvensbedömningar, vilket är ytterligare ett skäl att låta två olika personer ha rollerna. Läs hur dataskyddsombudet ska agera vid en DPIA.

Gapanalyser fungerar på liknande sätt. Juristen jämför nuläget mot kraven i GDPR och närliggande regelverk, prioriterar bristerna efter risk och omsätter dem i en åtgärdsplan som IT, HR och verksamheten kan arbeta efter.

AI har gjort rollen både viktigare och svårare. Två frågor från IMY återkommer i nästan varje projekt:

• Vem är personuppgiftsansvarig? Enligt IMY:s vägledning om generativ AI är den verksamhet som använder AI för sitt uppdrag normalt personuppgiftsansvarig. En leverantör som behandlar uppgifter för verksamhetens räkning kan vara personuppgiftsbiträde, och då krävs ett personuppgiftsbiträdesavtal.
• Vad avgör rollfördelningen? IMY:s AI-rapport betonar att rollen ska bedömas utifrån den faktiska påverkan på behandlingen och separat för varje behandling. Etiketten i avtalet eller leverantörens faktiska åtkomst avgör inte ensam.

Här behövs en jurist som kan läsa både avtalet och den tekniska arkitekturen. Ett typiskt exempel: ni vill finjustera en språkmodell på egna kundärenden. Juristen behöver reda ut vilka uppgifter som används, för vilket ändamål, vem som bestämmer över träningen, om leverantören får använda datan för egna syften och hur de registrerade informeras. Svaren styr både avtalet och DPIA:n.

Dataskydd i arbetslivet är ett annat område som växer. Algoritmisk arbetsledning, GPS-spårning och övervakning vid distansarbete väcker frågor där HR, fack och jurist behöver mötas tidigt.

Kompetensen som krävs

För dataskyddsombud ställer GDPR uttryckliga krav. IMY återger artikel 37.5: ombudet ska utses på grundval av yrkesmässiga kvalifikationer, särskilt sakkunskap om dataskyddslagstiftning och praxis. IMY nämner också kunskap om nationell och EU-rättslig tillämpning, organisationens IT-system och datasäkerhet, verksamheten och dess personuppgiftsbehandling samt förmåga att främja en dataskyddskultur.

För dataskyddsjuristen finns inget motsvarande lagkrav, men profilen är i praktiken densamma, med större tyngd på att faktiskt producera:

• Juridiskt djup. GDPR, dataskyddslagen, sektorsregler, kameraövervakningslagen, offentlighets- och sekretesslagstiftning i offentlig sektor, samt EU-domstolens och IMY:s praxis.
• Angränsande regelverk. NIS2, DORA, e-privacyreglerna och AI-förordningen påverkar allt oftare samma behandlingar.
• Teknisk förståelse. Att kunna följa ett dataflöde, förstå loggning, kryptering och åtkomststyrning, och ställa rätt frågor till en molnleverantör.
• Verksamhetsförståelse. Råd som inte går att genomföra skyddar ingen. Juristen måste förstå hur säljare, rekryterare och utvecklare faktiskt arbetar.
• Kommunikation. Att förklara en risk för en ledningsgrupp på fem minuter och skriva en rutin som medarbetare faktiskt läser.

IMY:s rapport Dataskyddsarbetet i praktiken beskriver uppdraget som kunskapsintensivt och lyfter behovet av kontinuerlig kompetensutveckling. IMY påpekar dessutom att behovet av sakkunskap ökar när behandlingen är mer komplex eller omfattar större mängder känsliga uppgifter. En vårdgivare, en bank eller en myndighet med skyddade personuppgifter behöver alltså mer specialisering än ett mindre tjänsteföretag. Hur samma frågor angrips i ett annat EU-land framgår av en genomgång av dataskyddscompliance och dess skyldigheter, som visar hur lika grundkraven är över gränserna. Vi har även skrivit om vilken kompetens ett dataskyddsombud behöver.

Så organiserar ni rollen

Det finns ingen enda rätt modell. Valet beror på storlek, bransch, hur mycket som förändras och om ni måste ha ett dataskyddsombud. Är ni osäkra på det sista har vi en guide om när dataskyddsombud krävs.

Tre vanliga upplägg:

1. Intern dataskyddsjurist, externt dataskyddsombud. Juristen sköter det operativa arbetet och ombudet granskar oberoende. Upplägget löser intressekonflikten på ett enkelt sätt och passar många organisationer med över 50 anställda. IMY bekräftar att ombudet kan vara anställd eller utföra uppdraget som extern tjänsteleverantör genom tjänsteavtal.
2. Privacy office med flera roller. I större koncerner finns ofta ett team med jurister, en GDPR-koordinator, en informationssäkerhetsspecialist och ett ombud. IMY anger att en grupp kan utföra ombudsuppgifterna men rekommenderar en tydlig skriftlig uppgiftsfördelning och en utsedd huvudkontakt.
3. Extern juristresurs efter behov. När volymen inte motiverar en heltidstjänst, eller under en topp som ett AI-införande eller en NIS2-anpassning, kan en extern dataskyddsjurist eller interimsjurist täcka behovet. Läs mer om interimsjuristens roll.

Oavsett modell gäller några grundregler. Ombudet ska rapportera till högsta förvaltningsnivå och få aktivt stöd från ledningen, tillräcklig tid, ekonomiska resurser och rätt till vidareutbildning. Dataskyddsjuristen behöver komma in tidigt i projekten, ha en tydlig väg till beslutsfattarna och ett formellt samarbete med informationssäkerhet, IT och incidenthantering. Skriv ner vem som gör vad. En enkel RACI-matris för DPIA, incidenter, avtal och registrerades förfrågningar förebygger många missförstånd.

Vårt perspektiv på dataskyddsjuristens roll

Vi ser samma mönster hos många av de organisationer vi arbetar med. Dataskyddsfrågorna har växt från en GDPR-fråga till något som berör AI, informationssäkerhet, NIS2, DORA och leverantörsstyrning på en gång. Då räcker det inte med en person som kan förordningen. Det krävs någon som kan omsätta juridiken i beslut, avtal och processer som håller i vardagen.

Vår erfarenhet är att de mest robusta upplägget skiljer det operativa från det granskande. En dataskyddsjurist som får bygga och förvalta, och ett dataskyddsombud som får granska utan att ha skrivit materialet själv. Det är också så vi arbetar när vi går in som extern resurs: vi kan ta rollen som dataskyddsombud, som privacy counsel eller som GDPR-koordinator, men vi är noga med att rollerna inte blandas ihop.

Vi tror också på att göra arbetet synligt och spårbart. Därför har våra jurister och experter byggt Trustview, en plattform där åtgärder, bedömningar och dokumentation samlas, så att ledningen kan se var organisationen står och ombudet kan granska på riktigt.

Jesper

Stöd när ni behöver en dataskyddsjurist

Evertrust tar uppdrag som extern dataskyddsjurist, privacy counsel, GDPR-koordinator och dataskyddsombud, och vi går in som interimsresurs när ni behöver förstärkning under en period. Vi genomför också DPIA, GDPR-granskningar och säkerhetsgranskningar och utbildar era medarbetare.

Berätta vad ni behöver hjälp med, så föreslår vi ett upplägg. Läs mer om våra rådgivnings- och konsulttjänster, om DPIA och GDPR-granskningar eller om rollen som interim compliance officer. Vill ni strukturera arbetet digitalt finns vårt GRC-verktyg Trustview.

Vanliga frågor om dataskyddsjuristens roll

Kan dataskyddsjuristen också vara dataskyddsombud?

Det går i vissa fall, men det kräver försiktighet. Ombudet ska vara oberoende och får inte ha uppgifter som skapar en intressekonflikt, till exempel att själv ta fram de styrdokument hen ska granska. IMY har kritiserat just en sådan dubbelroll i tillsyn, så de flesta organisationer väljer att skilja rollerna åt.

Måste en dataskyddsjurist ha juristexamen?

Titeln förutsätter i praktiken en juristexamen, och de flesta arbetsgivare kräver det. För dataskyddsombud finns inget formellt examenskrav i GDPR, men ombudet ska ha sakkunskap om dataskyddslagstiftning och praxis. Lika viktigt är förståelse för IT, informationssäkerhet och verksamheten.

Vem bär ansvaret om juristens råd inte följs?

Organisationen som personuppgiftsansvarig bär alltid ansvaret för efterlevnaden. Om ledningen väljer att inte följa ett råd bör skälen dokumenteras. Juristen eller ombudet blir inte ansvarig för beslutet.

När lönar det sig att anlita en extern dataskyddsjurist?

När behovet inte motiverar en heltidstjänst, när ni behöver specialistkunskap i till exempel AI eller NIS2, eller när ni står inför ett större projekt eller en tillsyn. En extern resurs kan också täcka upp under en rekrytering eller en föräldraledighet.

Källor

• IMY: Din roll som dataskyddsombud
• IMY: Om dataskyddsombud i dataskyddsförordningen
• IMY: Fördjupade granskningar av dataskyddsombudens roll (2024)
• IMY: Ansvarsroller enligt GDPR vid finjustering av AI-applikationer
• IMY: GDPR vid användning av generativ AI
• IMY: Dataskyddsarbetet i praktiken
• Vattenfall: Privacy Legal Counsel, Stockholm
• Hedemora kommun: Befattningsbeskrivning kommunjurist och dataskyddsombud

Rekommendationer

• Dataskyddsombudets ansvar: vem svarar egentligen för GDPR?
• Dataskyddsombud och intressekonflikter: när uppstår de?
• Dataskyddslagen förklaring: så kompletterar den GDPR
• Vilka resurser behöver ett dataskyddsombud för att göra sitt jobb?