Dataskyddsombudet ska rådfrågas tidigt i en DPIA, ge konkreta råd om metod och skyddsåtgärder samt övervaka att processen genomförs korrekt. Det juridiska ansvaret för behandlingen ligger däremot alltid kvar hos den personuppgiftsansvarige. Ombudet rådger, dokumenterar och följer upp. Beslutet, och konsekvenserna av det, fattas och bärs av verksamheten.
Kort sagt:
- Dataskyddsombudet ska rådfrågas tidigt i DPIA för att kunna ge relevanta metoder och skyddsåtgärder, inte efter att åtgärder är beslutade.
- Rollen är rådgivande och övervakande, medan det juridiska ansvaret för behandlingar alltid ligger hos den personuppgiftsansvarige.
- DPIA bör göras i design- och kravfasen för att förebygga problem, med underlag som processkartor, datatyper och dataflöden till tredje part.
- Val av metod för DPIA påverkas av komplexitet och intern kompetens; extern hjälp rekommenderas vid tekniskt krävande eller resurskrävande behandlingar.
- Dokumentation, spårbarhet och tydliga skäl är avgörande för att visa att DPIA-processen genomförts korrekt och att avvikelser är väl motiverade.
Innehållsförteckning
- Lagrum och roll: vad artikel 35 och 39 säger om DSO i en DPIA
- Praktisk steg-för-steg: hur DSO bör medverka i en DPIA
- Val av metodik och intern vs extern DPIA-genomförande
- Rådgivning om skyddsåtgärder: tekniska och organisatoriska åtgärder att föreslå
- Dokumentation, spårbarhet och avsteg från DSO:s råd
- Förutsättningar för att DSO ska fungera: oberoende, resurser och tillgång till information
- Evertrusts checklistor och vanliga fallgropar i DPIA-arbetet
- Vad avgör om DSO faktiskt gör skillnad i en DPIA?
- Behöver du hjälp med DPIA eller ett externt dataskyddsombud?
- Källor
Lagrum och roll: vad artikel 35 och 39 säger om DSO i en DPIA
Artikel 35 reglerar när en konsekvensbedömning krävs och vad den ska innehålla: beskrivning av behandlingen, bedömning av nödvändighet och proportionalitet, riskanalys och de åtgärder som ska hantera riskerna. Artikel 39 anger dataskyddsombudets uppgifter, bland annat att övervaka efterlevnaden och ge råd när den personuppgiftsansvarige begär det, inklusive vid en DPIA.
I praktiken betyder det två saker. Dataskyddsombudet ska rådfrågas om behovet av en bedömning finns, om vilken metod som passar och om vilka skyddsåtgärder som är rimliga. Samtidigt ska ombudet ha tillgång till relevant information tidigt, inte bara få en färdig rapport att kommentera i efterhand. IMY betonar just detta: löpande samråd fungerar, ett samråd i efterhand fungerar inte.
Rollen är rådgivande och övervakande, inte beslutande. Enligt Europeiska kommissionens vägledning om dataskyddsombudets ansvar bär ombudet aldrig det juridiska ansvaret för hur en behandling utformas eller genomförs. Den personuppgiftsansvarige, alltså ledningen eller den funktion som äger behandlingen, fattar beslutet och svarar för det inför tillsynsmyndigheten. Denna gränsdragning missförstås ofta i organisationer där DSO av misstag blir den som “godkänner” en DPIA. Det är inte ombudets jobb, och det bör aldrig framställas som det i interna rutiner.
EDPB:s vägledning för dataskyddsombud kompletterar bilden med praktiska förväntningar: ombudet ska ha tillräcklig kunskap om verksamheten för att ge relevanta råd, men behöver inte själv utföra riskanalysen.
Praktisk steg-för-steg: hur DSO bör medverka i en DPIA
Timingen avgör mycket. Ett dataskyddsombud som kopplas in efter att ett system redan är byggt kan bara peka på problem, inte förebygga dem. Involvering ska ske i design- och kravfasen, innan tekniska val låsts fast.
För att kunna ge relevanta råd behöver ombudet ett visst underlag från verksamheten:
- Processkartor som visar var och hur personuppgifter samlas in, lagras och delas.
- En lista över datakategorier, särskilt om känsliga uppgifter eller uppgifter om lagöverträdelser ingår.
- Dataflöden till tredje part, inklusive underbiträden och eventuella överföringar utanför EU/EES.
- Befintliga avtal med leverantörer och deras dataskyddsvillkor.
Med det underlaget följer arbetet en tydlig ordning:
- Screening. Bedöm om behandlingen sannolikt innebär hög risk, till exempel storskalig behandling av känsliga uppgifter eller systematisk övervakning. IMY:s rättsliga tolkningsstöd listar exempel på behandlingar som normalt kräver en fullständig bedömning.
- Preliminär riskbedömning. Identifiera de största riskerna för de registrerade, inte bara för organisationen.
- Full DPIA vid hög risk. Om screeningen visar hög risk genomförs en fullständig bedömning enligt artikel 35.7: beskrivning av behandlingen, proportionalitetsbedömning, riskanalys och åtgärdsplan.
- Rekommendationer. Dataskyddsombudet lämnar konkreta förslag på tekniska och organisatoriska åtgärder, kopplade till varje identifierad risk.
- Uppföljning. Ombudet kontrollerar att beslutade åtgärder faktiskt genomförs, inte bara att de skrevs in i rapporten.
Tre leverabler bör alltid finnas kvar efter processen: en kommentarlista där ombudets synpunkter går att spåra punkt för punkt, en riskmatris som rangordnar riskerna efter sannolikhet och allvar, och en beslutslogg som visar vem som fattade vilket beslut och när. Utan dessa tre blir DPIA-processen svår att granska i efterhand, både internt och för en tillsynsmyndighet.
Val av metodik och intern vs extern DPIA-genomförande
Det finns ingen enda föreskriven metod för att göra en DPIA. Vad som avgör valet är snarare komplexiteten i behandlingen, tillgänglig kompetens och hur mycket tid som finns. En liten intern IT-förändring kan hanteras med en enklare mall. En ny AI-driven analysplattform som bearbetar känsliga uppgifter kräver en mer djupgående metod, ofta med extern hjälp.
Dataskyddsombudets roll är att ge råd om vilken metodik som passar behandlingen, snarare än att själv utföra hela bedömningen. Europeiska kommissionens vägledning om när en DPIA krävs pekar just på att rådgivningen omfattar metodval, och om genomförandet bör ske internt eller med extern part.
Extern hjälp är särskilt motiverad när:
- Behandlingen är teknisk komplex och kräver specialistkompetens som inte finns internt.
- Organisationen saknar resurser eller tid att göra en grundlig bedömning inom rimlig tidsram.
- Det finns behov av en opartisk granskning, till exempel när intern personal har ett eget intresse i utfallet.
Oavsett vem som utför arbetet ska metodvalet vara transparent. Dataskyddsombudet bör se till att valet av metod, och skälen till det, dokumenteras skriftligt, så att beslutet går att förklara senare.
Rådgivning om skyddsåtgärder: tekniska och organisatoriska åtgärder att föreslå
Skyddsåtgärderna ska stå i proportion till risken, inte vara en standardlista som kopieras mellan projekt. Ett dataskyddsombud som föreslår samma åtgärder oavsett riskbild gör i praktiken ett halvt jobb.
På den tekniska sidan handlar rådgivningen ofta om:
- Pseudonymisering eller kryptering av känsliga fält.
- Strikta åtkomstkontroller, kopplade till roll och behov.
- Loggning som gör det möjligt att spåra vem som gjort vad med uppgifterna.
På den organisatoriska sidan är rådgivningen minst lika viktig:
- Tydlig rollfördelning för vem som ansvarar för vilken del av behandlingen.
- Rutiner för incidenthantering och regelbunden granskning.
- Utbildning av personal som hanterar uppgifterna, samt minimering av vilka uppgifter som samlas in från början.
Proffstips: Koppla varje föreslagen åtgärd till en specifik rad i riskmatrisen. Om du inte kan peka på vilken risk en åtgärd faktiskt minskar, är det troligen inte rätt åtgärd för just den behandlingen.
Dokumentation, spårbarhet och avsteg från DSO:s råd
Dataskyddsombudet bidrar med flera dokument genom processen: screeningresultatet, själva DPIA-rapporten, ett riskregister och en beslutslogg. Tillsammans utgör de bevis på att processen faktiskt genomförts, inte bara att den planerades.
Det känsligaste momentet är när organisationen väljer att inte följa ombudets råd. IMY är tydlig på den punkten: avsteg från DSO:s råd bör dokumenteras, med skälen till beslutet och vem som fattade det. Utan den dokumentationen blir det senare omöjligt att visa att den personuppgiftsansvarige faktiskt tog ställning till rådet, snarare än att bara ignorera det.
Dokumentationen bör innehålla:
- Vilket råd som gavs och av vem.
- Vilket beslut som fattades i stället, och varför.
- Vem som godkände avsteget.
Eskalering blir relevant när riskerna kvarstår trots invändningar. Om ledningen upprepade gånger avviker från råd som rör hög risk för registrerade, bör dataskyddsombudet lyfta frågan högre i organisationen och, i sista hand, informera om möjligheten att kontakta tillsynsmyndigheten.
Förutsättningar för att DSO ska fungera: oberoende, resurser och tillgång till information
Ett dataskyddsombud som saknar tid, budget eller mandat kan inte ge de råd som artikel 39 kräver. Riktlinjerna från artikel 29-gruppen, som IMY hänvisar till, slår fast att ombudet ska ges tillräckliga resurser: tid att sätta sig in i projekt, budget för fortbildning och tillgång till relevant expertis.
Oberoendet är lika centralt. Ombudet ska rapportera direkt till högsta ledningen och aldrig hamna i en situation där denne granskar sitt eget arbete, exempelvis genom att samtidigt äga IT-driften för det system som bedöms.
I praktiken kräver detta tydliga spelregler: dataskyddsombudet bjuds in till möten där beslut med dataskyddskonsekvenser fattas, inte informeras efteråt. Kommissionens vägledning lyfter just detta: ombudet bör med i strategiska diskussioner, inte bara i granskningen av färdiga beslut.
Evertrusts checklistor och vanliga fallgropar i DPIA-arbetet
Evertrust arbetar löpande som externt dataskyddsombud och genomför DPIA:er åt företag inom flera branscher, från vårdgivare till teknikbolag. Jesper, som leder mycket av detta arbete hos Evertrust, ser samma mönster återkomma i kundprojekt: organisationer som gör en DPIA för sent, eller som behandlar den som ett formulär snarare än en riskanalys.
Tre punkter från Evertrusts checklista är värda att lyfta särskilt:
- Skriv ner behovsbedömningen även när slutsatsen blir att ingen DPIA krävs. Det skyddar organisationen om bedömningen senare ifrågasätts.
- Koppla varje riskpost till en namngiven ägare, inte bara till “IT” eller “verksamheten” i allmänhet.
- Följ upp åtgärderna efter tre till sex månader. En DPIA som aldrig granskas igen tappar sitt värde snabbt.
Den vanligaste fallgropen Evertrust ser är att dataskyddsombudet kopplas in för sent, när tekniska val redan är låsta och ändringar blir dyra.
Vad avgör om DSO faktiskt gör skillnad i en DPIA?
Den vanligaste missuppfattningen om dataskyddsombudets roll är att den handlar om att skriva en rapport. Det gör den inte. Rapporten är en biprodukt. Det som faktiskt avgör om DPIA-arbetet gör skillnad är om ombudet får komma in tidigt nog för att påverka valen, inte bara kommentera dem.
Konventionell rådgivning fokuserar ofta på metodval och mallar, som om rätt formulär löser problemet. I praktiken är den svagaste länken nästan alltid governance: om ombudet bjuds in till möten där beslut faktiskt fattas, och om avsteg från råd dokumenteras ärligt i stället för att tystas ner. En organisation kan ha en perfekt DPIA-mall och fortfarande missa poängen helt, om ombudets röst aldrig når ledningsgruppen förrän efter att beslutet redan är taget.
Om du bara kan prioritera en sak: se till att dataskyddsombudet sitter med när projekt startar, inte när de är klara att granskas. Allt annat, metodval, riskmatriser, dokumentationsrutiner, bygger vidare på den enda förutsättningen. Utan den blir resten pappersarbete.
— Jesper
Behöver du hjälp med DPIA eller ett externt dataskyddsombud?
Många organisationer upptäcker att de saknar tid, kompetens eller opartiskhet internt för att driva en DPIA hela vägen, från screening till uppföljning. Evertrust tar den rollen konkret: som externt dataskyddsombud, som utförare av hela DPIA-processen, eller som stöd i enskilda steg där ni redan har kommit halvvägs.
Utöver rådgivning och genomförande erbjuder Evertrust workshops för DSO-team och verksamhetsägare, färdiga mallar för riskmatriser och beslutsloggar, samt GRC-plattformen Trustview för att hålla ordning på dokumentation och uppföljning över tid. För organisationer som samtidigt förbereder sig inför nya krav är det värt att se hur DPIA-arbetet hänger ihop med NIS2-kraven som gäller nu. Den som vill komplettera den interna kompetensen med praktisk utbildning kan även se en stegvis genomgång av GDPR-implementering som ett bra komplement till det juridiska rådgivningsarbetet.
Boka en inledande konsultation med Evertrust för att gå igenom var er organisation står i DPIA-arbetet och vad som konkret behöver göras härnäst, Evertrust.
