{"id":8612,"date":"2026-10-27T03:00:16","date_gmt":"2026-10-27T02:00:16","guid":{"rendered":"https:\/\/evertrust.se\/nar-kravs-dataskyddsombud\/"},"modified":"2026-10-27T03:00:19","modified_gmt":"2026-10-27T02:00:19","slug":"nar-kravs-dataskyddsombud","status":"publish","type":"post","link":"https:\/\/evertrust.se\/en\/nar-kravs-dataskyddsombud\/","title":{"rendered":"N\u00e4r kr\u00e4vs dataskyddsombud? S\u00e5 avg\u00f6r ni om kravet g\u00e4ller er"},"content":{"rendered":"<\/p>\n<p>Enligt GDPR m\u00e5ste en organisation utse ett dataskyddsombud i tre situationer. Den f\u00f6rsta \u00e4r att ni \u00e4r en myndighet eller ett annat offentligt organ. Den andra \u00e4r att er k\u00e4rnverksamhet best\u00e5r av regelbunden och systematisk \u00f6vervakning av personer i stor omfattning. Den tredje \u00e4r att er k\u00e4rnverksamhet best\u00e5r av behandling i stor omfattning av k\u00e4nsliga personuppgifter eller uppgifter om lag\u00f6vertr\u00e4delser. Antalet anst\u00e4llda och oms\u00e4ttningen spelar ingen roll. Det som avg\u00f6r \u00e4r vem ni \u00e4r och vad ni g\u00f6r med personuppgifter. Nedan g\u00e5r vi igenom varje kriterium, hur <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/dataskyddsombud\/maste-vi-utse-ett-dataskyddsombud\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Integritetsskyddsmyndigheten (IMY) tolkar dem<\/a> och hur ni g\u00f6r en bed\u00f6mning som h\u00e5ller vid en granskning.<\/p>\n<div data-blg-cta=\"after_tldr\" data-blg-cta-layout=\"banner\" style=\"margin:28px 0;font-family:-apple-system, BlinkMacSystemFont, &apos;Segoe UI&apos;, Roboto, Helvetica, Arial, sans-serif\">\n<div style=\"border-radius:26px;padding:min(22px,3.2vw);background:radial-gradient(circle at 100% 0%,#d9ebd8 0 150px,rgba(255,255,255,0) 151px),radial-gradient(circle at 0% 100%,#d9ebd8 0 130px,rgba(255,255,255,0) 131px),linear-gradient(180deg,#e6f2e5 0%,#f2f8f2 100%)\">\n<div style=\"background:#ffffff;border-radius:18px;overflow:hidden\">\n<div style=\"padding:34px 30px;text-align:center\">\n<div style=\"margin:0 0 18px\"><span style=\"display:inline-block;max-width:100%;border-radius:999px;padding:6px 13px;font-size:12px;font-weight:800;letter-spacing:0.1em;text-transform:uppercase;line-height:1.3;background:#2D8F27;color:#ffffff\">Evertrust<\/span><\/div>\n<div style=\"font-size:26px;font-weight:800;line-height:1.2;letter-spacing:-0.01em;color:#1f2937;margin:0\">F\u00e5 st\u00f6d i bed\u00f6mningen av dataskyddsombud<\/div>\n<div style=\"width:56px;height:6px;border-radius:3px;background:#2D8F27;margin:12px 0 14px;margin-left:auto;margin-right:auto\"><\/div>\n<div style=\"font-size:15px;line-height:1.55;color:#64748b;margin:0 0 24px;max-width:44em;margin-left:auto;margin-right:auto\">Evertrust erbjuder juridisk r\u00e5dgivning inom dataskydd och kan ta rollen som externt dataskyddsombud eller privacy counsel.<\/div>\n<p><a href=\"https:\/\/evertrust.se\/en\/\" style=\"display:inline-flex;align-items:center;gap:9px;border-radius:10px;font-weight:700;font-size:15px;text-decoration:none;padding:13px 22px 13px 26px;background:#2D8F27;color:#ffffff\">Bes\u00f6k Evertrust<\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n<h2 id=\"kort-sagt\" tabindex=\"-1\">Kort sagt<\/h2>\n<ul>\n<li>Myndigheter och folkvalda f\u00f6rsamlingar m\u00e5ste alltid ha ett dataskyddsombud. Privata f\u00f6retag och kommunala bolag m\u00e5ste det bara om n\u00e5got av de andra tv\u00e5 kriterierna \u00e4r uppfyllt.<\/li>\n<li>F\u00f6r f\u00f6retag avg\u00f6r k\u00e4rnverksamheten. St\u00f6dprocesser som l\u00f6n och IT-drift f\u00f6r de egna anst\u00e4llda utl\u00f6ser normalt inte kravet.<\/li>\n<li>Ordet \u201cstor omfattning\u201d bed\u00f6ms bland annat utifr\u00e5n hur m\u00e5nga personer som ber\u00f6rs och hur stort geografiskt omr\u00e5de behandlingen t\u00e4cker.<\/li>\n<li>\u00c4ven ett personuppgiftsbitr\u00e4de kan beh\u00f6va ett eget ombud n\u00e4r kunden inte beh\u00f6ver det.<\/li>\n<li>Utser ni ett ombud frivilligt g\u00e4ller samma regler som vid ett obligatoriskt ombud. Dokumentera d\u00e4rf\u00f6r bed\u00f6mningen, oavsett vad ni kommer fram till.<\/li>\n<\/ul>\n<h2 id=\"innehallsforteckning\" tabindex=\"-1\">Inneh\u00e5llsf\u00f6rteckning<\/h2>\n<ul>\n<li><a href=\"#de-tre-situationer-dar-gdpr-kraver-ett-ombud\">De tre situationer d\u00e4r GDPR kr\u00e4ver ett ombud<\/a><\/li>\n<li><a href=\"#karnverksamhet-och-stor-omfattning-begreppen-som-avgor\">K\u00e4rnverksamhet och stor omfattning: begreppen som avg\u00f6r<\/a><\/li>\n<li><a href=\"#exempel-fran-svenska-verksamheter\">Exempel fr\u00e5n svenska verksamheter<\/a><\/li>\n<li><a href=\"#nar-personuppgiftsbitradet-behover-ett-eget-ombud\">N\u00e4r personuppgiftsbitr\u00e4det beh\u00f6ver ett eget ombud<\/a><\/li>\n<li><a href=\"#sa-gor-ni-bedomningen-steg-for-steg\">S\u00e5 g\u00f6r ni bed\u00f6mningen steg f\u00f6r steg<\/a><\/li>\n<li><a href=\"#frivilligt-dataskyddsombud-samma-regler-galler\">Frivilligt dataskyddsombud: samma regler g\u00e4ller<\/a><\/li>\n<li><a href=\"#vad-ombudet-gor-och-vad-det-inte-ansvarar-for\">Vad ombudet g\u00f6r och vad det inte ansvarar f\u00f6r<\/a><\/li>\n<li><a href=\"#internt-eller-externt-ombud\">Internt eller externt ombud<\/a><\/li>\n<li><a href=\"#var-syn-bedomningen-ar-viktigare-an-svaret\">V\u00e5r syn: bed\u00f6mningen \u00e4r viktigare \u00e4n svaret<\/a><\/li>\n<li><a href=\"#hjalp-med-bedomningen-eller-rollen\">Hj\u00e4lp med bed\u00f6mningen eller rollen<\/a><\/li>\n<li><a href=\"#vanliga-fragor\">Vanliga fr\u00e5gor<\/a><\/li>\n<li><a href=\"#kallor\">K\u00e4llor<\/a><\/li>\n<\/ul>\n<h2 id=\"de-tre-situationer-dar-gdpr-kraver-ett-ombud\" tabindex=\"-1\">De tre situationer d\u00e4r GDPR kr\u00e4ver ett ombud<\/h2>\n<p>IMY sammanfattar bed\u00f6mningen i tre fr\u00e5gor. R\u00e4cker det med ett ja p\u00e5 en av dem \u00e4r ni skyldiga att utse ett dataskyddsombud. Tabellen visar kriterierna och vad som brukar avg\u00f6ra dem i praktiken.<\/p>\n<table>\n<thead>\n<tr>\n<th>Kriterium<\/th>\n<th>Vem det tr\u00e4ffar<\/th>\n<th>Vad som avg\u00f6r<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Offentligt organ<\/td>\n<td>Myndigheter, riksdagen, kommun- och regionfullm\u00e4ktige<\/td>\n<td>Organisationens r\u00e4ttsliga st\u00e4llning, inte vad den behandlar<\/td>\n<\/tr>\n<tr>\n<td>Storskalig \u00f6vervakning som k\u00e4rnverksamhet<\/td>\n<td>Till exempel sp\u00e5rning, profilering och beteendebaserad reklam<\/td>\n<td>Om \u00f6vervakningen \u00e4r regelbunden och systematisk, om den \u00e4r en del av k\u00e4rnverksamheten och om den har stor omfattning<\/td>\n<\/tr>\n<tr>\n<td>Storskalig behandling av k\u00e4nsliga uppgifter eller uppgifter om lag\u00f6vertr\u00e4delser<\/td>\n<td>Till exempel sjukhus och andra akt\u00f6rer d\u00e4r s\u00e5dana uppgifter \u00e4r huvudsaken<\/td>\n<td>Om behandlingen \u00e4r en del av k\u00e4rnverksamheten och om den har stor omfattning<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3 id=\"offentliga-myndigheter-och-organ\" tabindex=\"-1\">Offentliga myndigheter och organ<\/h3>\n<p>Det h\u00e4r \u00e4r det enklaste kriteriet. I Sverige r\u00e4knas <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/dataskyddsombud\/maste-vi-utse-ett-dataskyddsombud\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">myndigheter och folkvalda f\u00f6rsamlingar som riksdagen, kommunfullm\u00e4ktige och regionfullm\u00e4ktige<\/a> som offentliga organ. F\u00f6r dem g\u00e4ller kravet oavsett hur lite eller hur mycket personuppgifter de hanterar.<\/p>\n<p>Det finns ett undantag. En myndighet beh\u00f6ver inte utse dataskyddsombud f\u00f6r behandling som ing\u00e5r i domstolarnas d\u00f6mande verksamhet. Domstolarnas administration omfattas d\u00e4remot p\u00e5 samma s\u00e4tt som andra myndigheters.<\/p>\n<p>Ett vanligt misstag g\u00e4ller kommunala bolag. Enligt IMY r\u00e4knas privata f\u00f6retag, f\u00f6reningar och organisationer, samt kommunala eller region\u00e4gda bolag, inte som offentliga organ i det h\u00e4r sammanhanget. Ett kommunalt bostadsbolag eller energibolag beh\u00f6ver allts\u00e5 inte automatiskt ett ombud. Bolaget m\u00e5ste i st\u00e4llet pr\u00f6va de tv\u00e5 andra kriterierna, precis som ett privat f\u00f6retag.<\/p>\n<h3 id=\"overvakning-i-stor-omfattning-som-karnverksamhet\" tabindex=\"-1\">\u00d6vervakning i stor omfattning som k\u00e4rnverksamhet<\/h3>\n<p>Det andra kriteriet g\u00e4ller organisationer vars k\u00e4rnverksamhet kr\u00e4ver regelbunden och systematisk \u00f6vervakning av personer i stor omfattning. Europeiska dataskyddsstyrelsen (EDPB) beskriver att \u00f6vervakningen <a href=\"https:\/\/www.edpb.europa.eu\/sme\/be-compliant\/data-protection-officer_sv\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">omfattar sp\u00e5rning och profilering, till exempel f\u00f6r beteendebaserad reklam<\/a>. Den beh\u00f6ver inte ske p\u00e5 n\u00e4tet.<\/p>\n<p>I praktiken kan kriteriet tr\u00e4ffa till exempel adtech-f\u00f6retag och plattformar som bygger sina int\u00e4kter p\u00e5 beteendeprofiler. Det kan ocks\u00e5 tr\u00e4ffa leverant\u00f6rer av positionering och fordonsflottor, akt\u00f6rer som erbjuder lojalitetsprogram med individanpassade erbjudanden och bevakningsf\u00f6retag som \u00f6vervakar platser d\u00e4r m\u00e5nga m\u00e4nniskor r\u00f6r sig. Gemensamt f\u00f6r dem \u00e4r att \u00f6vervakningen inte \u00e4r en bisak. Den \u00e4r det verksamheten levererar.<\/p>\n<h3 id=\"kansliga-personuppgifter-och-lagovertradelser-i-stor-omfattning\" tabindex=\"-1\">K\u00e4nsliga personuppgifter och lag\u00f6vertr\u00e4delser i stor omfattning<\/h3>\n<p>Det tredje kriteriet g\u00e4ller behandling i stor omfattning av k\u00e4nsliga personuppgifter, som h\u00e4lsa, genetiska uppgifter, etniskt ursprung, politiska \u00e5sikter eller fackmedlemskap, eller av uppgifter om lag\u00f6vertr\u00e4delser. EU:s portal Your Europe ger ett tydligt par av exempel: den som <a href=\"https:\/\/europa.eu\/youreurope\/business\/dealing-with-customers\/data-protection\/data-protection-gdpr\/index_sv.htm\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">behandlar uppgifter om genetisk status eller h\u00e4lsotillst\u00e5nd f\u00f6r ett sjukhus<\/a> beh\u00f6ver ett dataskyddsombud, medan en privat l\u00e4karmottagning som samlar in patientuppgifter normalt inte beh\u00f6ver det.<\/p>\n<p>Skillnaden ligger i omfattningen. B\u00e5da hanterar h\u00e4lsouppgifter som k\u00e4rnverksamhet, men sjukhusets behandling \u00e4r s\u00e5 omfattande att kravet utl\u00f6ses. Det g\u00f6r den h\u00e4r kategorin sv\u00e5rast att bed\u00f6ma. En v\u00e5rdkedja med m\u00e5nga mottagningar och ett gemensamt journalsystem kan hamna p\u00e5 andra sidan gr\u00e4nsen \u00e4n en enskild mottagning.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1792915547639_Jamforelse-av-sjukhus-och-privat-lakarmottagning.jpeg\" alt=\"J\u00e4mf\u00f6relse av sjukhus och privat l\u00e4karmottagning\"><\/p>\n<h2 id=\"karnverksamhet-och-stor-omfattning-begreppen-som-avgor\" tabindex=\"-1\">K\u00e4rnverksamhet och stor omfattning: begreppen som avg\u00f6r<\/h2>\n<p>F\u00f6r privata f\u00f6retag avg\u00f6rs n\u00e4stan alltid fr\u00e5gan av tv\u00e5 begrepp. EDPB beskriver <a href=\"https:\/\/www.edpb.europa.eu\/sme\/be-compliant\/data-protection-officer_sv\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">k\u00e4rnverksamhet som behandling som \u00e4r avg\u00f6rande f\u00f6r att n\u00e5 organisationens m\u00e5l<\/a>, eller d\u00e4r behandlingen \u00e4r en ofr\u00e5nkomlig del av verksamheten.<\/p>\n<p>Alla organisationer behandlar personuppgifter om sina anst\u00e4llda, f\u00f6r l\u00f6n, fr\u00e5nvaro och beh\u00f6righeter. S\u00e5dant \u00e4r st\u00f6dprocesser som de flesta verksamheter har, och vi bed\u00f6mer att de normalt inte g\u00f6r behandlingen till k\u00e4rnverksamhet. Ett bemanningsf\u00f6retag \u00e4r ett annat fall. D\u00e4r \u00e4r personuppgifter om kandidater och konsulter sj\u00e4lva produkten.<\/p>\n<p>Om stor omfattning \u00e4r uppfyllt bed\u00f6ms bland annat utifr\u00e5n antalet ber\u00f6rda personer och den geografiska omfattningen. Det finns ingen siffra i f\u00f6rordningen. Vi brukar be kunder titta p\u00e5 fyra saker samtidigt:<\/p>\n<ol>\n<li><strong>Antal registrerade<\/strong>, b\u00e5de i absoluta tal och som andel av en relevant befolkning, till exempel alla inv\u00e5nare i en region.<\/li>\n<li><strong>M\u00e4ngd och slag av uppgifter<\/strong>, allts\u00e5 hur m\u00e5nga datapunkter ni har per person.<\/li>\n<li><strong>Varaktighet<\/strong>, det vill s\u00e4ga om behandlingen p\u00e5g\u00e5r kontinuerligt eller sker vid enstaka tillf\u00e4llen.<\/li>\n<li><strong>Geografisk r\u00e4ckvidd<\/strong>, allts\u00e5 om det r\u00f6r sig om en ort, hela landet eller flera l\u00e4nder.<\/li>\n<\/ol>\n<p>En behandling som ser liten ut p\u00e5 en av punkterna kan \u00e4nd\u00e5 bli storskalig n\u00e4r alla fyra v\u00e4gs samman.<\/p>\n<h2 id=\"exempel-fran-svenska-verksamheter\" tabindex=\"-1\">Exempel fr\u00e5n svenska verksamheter<\/h2>\n<p>Exemplen nedan visar hur bed\u00f6mningen ofta faller ut. De ers\u00e4tter inte er egen analys, men de visar vilka fr\u00e5gor som brukar avg\u00f6ra.<\/p>\n<table>\n<thead>\n<tr>\n<th>Verksamhet<\/th>\n<th>Kr\u00e4vs ombud?<\/th>\n<th>Varf\u00f6r<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Kommun eller region<\/td>\n<td>Ja<\/td>\n<td>Offentligt organ<\/td>\n<\/tr>\n<tr>\n<td>Statlig myndighet<\/td>\n<td>Ja<\/td>\n<td>Offentligt organ, utom f\u00f6r domstolarnas d\u00f6mande verksamhet<\/td>\n<\/tr>\n<tr>\n<td>Kommunalt bostadsbolag<\/td>\n<td>Beror p\u00e5<\/td>\n<td>Inget offentligt organ. Pr\u00f6va kriterium tv\u00e5 och tre<\/td>\n<\/tr>\n<tr>\n<td>Sjukhus<\/td>\n<td>Ja<\/td>\n<td>Storskalig behandling av h\u00e4lsouppgifter som k\u00e4rnverksamhet<\/td>\n<\/tr>\n<tr>\n<td>Enskild privat l\u00e4karmottagning<\/td>\n<td>Normalt nej<\/td>\n<td>H\u00e4lsouppgifter, men normalt inte i stor omfattning<\/td>\n<\/tr>\n<tr>\n<td>E-handel med beteendebaserad annonsering i egen regi<\/td>\n<td>Ofta ja<\/td>\n<td>Profilering kan vara k\u00e4rnverksamhet och ske i stor omfattning<\/td>\n<\/tr>\n<tr>\n<td>Tillverkningsf\u00f6retag med 300 anst\u00e4llda<\/td>\n<td>Normalt nej<\/td>\n<td>Personaluppgifter \u00e4r st\u00f6dprocess<\/td>\n<\/tr>\n<tr>\n<td>SaaS-leverant\u00f6r som driver HR-system \u00e5t m\u00e5nga kunder<\/td>\n<td>Ofta ja<\/td>\n<td>Bitr\u00e4dets egen k\u00e4rnverksamhet kan vara storskalig<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Tillverkningsf\u00f6retaget \u00e4r v\u00e4rt att notera. M\u00e5nga organisationer med mer \u00e4n 50 anst\u00e4llda tror att storleken i sig utl\u00f6ser kravet. Det g\u00f6r den inte. Ett f\u00f6retag med tusentals anst\u00e4llda kan sakna skyldighet, medan en liten tech-startup med en storskalig sp\u00e5rningstj\u00e4nst kan omfattas.<\/p>\n<h2 id=\"nar-personuppgiftsbitradet-behover-ett-eget-ombud\" tabindex=\"-1\">N\u00e4r personuppgiftsbitr\u00e4det beh\u00f6ver ett eget ombud<\/h2>\n<p>Kravet g\u00e4ller b\u00e5de personuppgiftsansvariga och personuppgiftsbitr\u00e4den. IMY lyfter s\u00e4rskilt att <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/dataskyddsombud\/maste-vi-utse-ett-dataskyddsombud\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">ett bitr\u00e4de kan beh\u00f6va ett dataskyddsombud<\/a> \u00e4ven n\u00e4r den personuppgiftsansvarige inte beh\u00f6ver det.<\/p>\n<p>S\u00e5 h\u00e4r kan det se ut. En enskild l\u00e4karmottagning beh\u00f6ver normalt inget ombud. Leverant\u00f6ren av mottagningens journalsystem kan d\u00e4remot ha hundratals mottagningar som kunder och behandla h\u00e4lsouppgifter om en stor del av befolkningen. F\u00f6r leverant\u00f6ren \u00e4r den behandlingen k\u00e4rnverksamhet, och omfattningen \u00e4r stor. Bitr\u00e4det kan allts\u00e5 vara skyldigt att utse ett ombud trots att ingen av kunderna \u00e4r det.<\/p>\n<p>F\u00f6r CTO:er och CIO:er p\u00e5 SaaS-, molntj\u00e4nst- och driftbolag \u00e4r det h\u00e4r ofta den viktigaste fr\u00e5gan i hela bed\u00f6mningen. Ni ska se p\u00e5 er samlade behandling f\u00f6r alla kunder, inte p\u00e5 varje kunduppdrag f\u00f6r sig.<\/p>\n<h2 id=\"sa-gor-ni-bedomningen-steg-for-steg\" tabindex=\"-1\">S\u00e5 g\u00f6r ni bed\u00f6mningen steg f\u00f6r steg<\/h2>\n<p>En bed\u00f6mning som g\u00e5r att visa upp f\u00f6r IMY, en kund eller en revisor f\u00f6ljer ungef\u00e4r den h\u00e4r ordningen:<\/p>\n<ol>\n<li><strong>Fastst\u00e4ll er r\u00e4ttsliga st\u00e4llning.<\/strong> \u00c4r ni myndighet eller folkvald f\u00f6rsamling \u00e4r svaret ja, och ni kan g\u00e5 vidare till att utse ombudet.<\/li>\n<li><strong>Kartl\u00e4gg behandlingarna.<\/strong> Utg\u00e5 fr\u00e5n registerf\u00f6rteckningen och markera vilka behandlingar som h\u00f6r till k\u00e4rnverksamheten och vilka som \u00e4r st\u00f6dprocesser.<\/li>\n<li><strong>Pr\u00f6va \u00f6vervakning.<\/strong> Finns det sp\u00e5rning, profilering, positionering eller kamerabevakning som sker regelbundet och systematiskt i k\u00e4rnverksamheten?<\/li>\n<li><strong>Pr\u00f6va k\u00e4nsliga uppgifter.<\/strong> Behandlar k\u00e4rnverksamheten h\u00e4lsouppgifter, biometri, fackmedlemskap eller uppgifter om brott?<\/li>\n<li><strong>Bed\u00f6m omfattningen.<\/strong> V\u00e4g samman antal personer, m\u00e4ngd uppgifter, varaktighet och geografi f\u00f6r de behandlingar som passerat steg 3 eller 4.<\/li>\n<li><strong>G\u00f6r samma pr\u00f6vning i rollen som bitr\u00e4de.<\/strong> R\u00e4kna samman behandlingen f\u00f6r alla kunder.<\/li>\n<li><strong>Dokumentera slutsatsen.<\/strong> Skriv ner hur ni resonerade och vem som fattade beslutet, och ta upp fr\u00e5gan igen n\u00e4r verksamheten f\u00f6r\u00e4ndras, till exempel vid en ny produkt, ett f\u00f6rv\u00e4rv eller ett nytt marknadssegment.<\/li>\n<\/ol>\n<p>Om ni landar i att ett ombud kr\u00e4vs ska ombudets kontaktuppgifter g\u00f6ras k\u00e4nda och l\u00e4mnas till IMY. Hur ni g\u00e5r vidare beskriver vi i v\u00e5r guide om <a href=\"https:\/\/evertrust.se\/en\/hur-utser-man-ett-dataskyddsombud\/\" target=\"_blank\" rel=\"noopener\">att utse ett dataskyddsombud<\/a>.<\/p>\n<h2 id=\"frivilligt-dataskyddsombud-samma-regler-galler\" tabindex=\"-1\">Frivilligt dataskyddsombud: samma regler g\u00e4ller<\/h2>\n<p>M\u00e5nga organisationer som inte omfattas av kravet utser \u00e4nd\u00e5 ett ombud, eftersom de vill ha en tydlig kontaktpunkt och n\u00e5gon som har koll p\u00e5 efterlevnaden. Det kan vara klokt, men det har en f\u00f6ljd som ofta gl\u00f6ms bort. Om ni frivilligt utser ett dataskyddsombud g\u00e4ller <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/dataskyddsombud\/om-dataskyddsombud-i-dataskyddsforordningen\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">samma krav p\u00e5 ombudets st\u00e4llning och uppgifter<\/a> som vid ett obligatoriskt ombud.<\/p>\n<p>Kallar ni n\u00e5gon dataskyddsombud g\u00e4ller allts\u00e5 kraven p\u00e5 oberoende, rapportering till h\u00f6gsta ledningen och skydd mot bestraffning. Vill ni hellre ha en mer fri roll kan ni anv\u00e4nda en annan titel, till exempel dataskyddssamordnare eller GDPR-koordinator. Den rollen kan arbeta med dataskydd utan de formella krav som f\u00f6ljer med ombudstiteln.<\/p>\n<h2 id=\"vad-ombudet-gor-och-vad-det-inte-ansvarar-for\" tabindex=\"-1\">Vad ombudet g\u00f6r och vad det inte ansvarar f\u00f6r<\/h2>\n<p>Ombudets uppgifter \u00e4r att <a href=\"https:\/\/www.edpb.europa.eu\/sme\/be-compliant\/data-protection-officer_sv\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">informera och ge r\u00e5d, \u00f6vervaka efterlevnaden av GDPR<\/a>, vara kontaktpunkt f\u00f6r de registrerade och samarbeta med tillsynsmyndigheten. Ombudet ska rapportera direkt till h\u00f6gsta ledningen och utf\u00f6ra sina uppgifter oberoende, utan instruktioner om hur uppgifterna ska utf\u00f6ras och utan risk f\u00f6r bestraffning.<\/p>\n<p>Ombudet ska ocks\u00e5 ge r\u00e5d n\u00e4r ni g\u00f6r konsekvensbed\u00f6mningar (DPIA) f\u00f6r behandlingar med h\u00f6g risk. D\u00e4rf\u00f6r b\u00f6r ombudet vara med tidigt n\u00e4r nya system och projekt planeras, inte bara l\u00e4sa igenom besluten i efterhand.<\/p>\n<p>Ombudet \u00e4r d\u00e4remot inte ansvarigt f\u00f6r att GDPR f\u00f6ljs. Det ansvaret ligger alltid kvar hos organisationen. Den skillnaden g\u00e5r vi igenom i artikeln om <a href=\"https:\/\/evertrust.se\/en\/dataskyddsombud-ansvar\/\" target=\"_blank\" rel=\"noopener\">dataskyddsombudets ansvar<\/a>. D\u00e4r finns ocks\u00e5 en mer utf\u00f6rlig genomg\u00e5ng av <a href=\"https:\/\/evertrust.se\/en\/what-does-a-data-protection-officer-do\/\" target=\"_blank\" rel=\"noopener\">vad ett dataskyddsombud g\u00f6r<\/a> i vardagen.<\/p>\n<h2 id=\"internt-eller-externt-ombud\" tabindex=\"-1\">Internt eller externt ombud<\/h2>\n<p>GDPR till\u00e5ter b\u00e5de en anst\u00e4lld och en extern resurs med tj\u00e4nsteavtal. Valet handlar mest om tre saker.<\/p>\n<ul>\n<li><strong>Intressekonflikter.<\/strong> En intern person som ocks\u00e5 \u00e4r CISO, IT-chef eller HR-chef kan hamna i att granska sina egna beslut. Ombudet kan ha andra uppgifter, men inte s\u00e5dana d\u00e4r personen sj\u00e4lv best\u00e4mmer \u00f6ver \u00e4ndam\u00e5l och medel f\u00f6r behandlingen.<\/li>\n<li><strong>Kompetens.<\/strong> Ombudet ska ha kunskap om dataskyddsr\u00e4tt och praxis som motsvarar er behandling. Det kr\u00e4ver mer av ett ombud p\u00e5 ett sjukhus \u00e4n p\u00e5 ett mindre tj\u00e4nstef\u00f6retag. L\u00e4s mer om <a href=\"https:\/\/evertrust.se\/en\/vilken-kompetens-behover-ett-dataskyddsombud\/\" target=\"_blank\" rel=\"noopener\">vilken kompetens ett dataskyddsombud beh\u00f6ver<\/a>.<\/li>\n<li><strong>Kontinuitet.<\/strong> Ombudet ska vara n\u00e5bart \u00e4ven vid semester och sjukdom. F\u00f6r en ensam intern resurs blir det l\u00e4tt en s\u00e5rbarhet.<\/li>\n<\/ul>\n<p>Ett externt ombud l\u00f6ser ofta konflikt- och kontinuitetsfr\u00e5gan, medan ett internt ombud har n\u00e4rhet till verksamheten. M\u00e5nga v\u00e4ljer en mellanform med en intern kontaktperson och ett externt ombud. Vad ni b\u00f6r kr\u00e4va av en extern leverant\u00f6r beskriver vi i guiden om att <a href=\"https:\/\/evertrust.se\/en\/hur-valjer-man-externt-dataskyddsombud\/\" target=\"_blank\" rel=\"noopener\">v\u00e4lja r\u00e4tt externt dataskyddsombud<\/a>.<\/p>\n<h2 id=\"var-syn-bedomningen-ar-viktigare-an-svaret\" tabindex=\"-1\">V\u00e5r syn: bed\u00f6mningen \u00e4r viktigare \u00e4n svaret<\/h2>\n<p>I v\u00e5ra uppdrag som externt dataskyddsombud och privacy counsel ser vi samma m\u00f6nster g\u00e5ng p\u00e5 g\u00e5ng. Organisationer l\u00e4gger mycket energi p\u00e5 fr\u00e5gan om de m\u00e5ste ha ett ombud, men har s\u00e4llan dokumenterat varf\u00f6r de kom fram till sitt svar. Vid en tillsyn, en kundrevision eller en upphandling \u00e4r det just resonemanget som efterfr\u00e5gas.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/10\/1792915592836_Var-syn-bedomningen-ar-viktigare-an-svaret-overview-diagram.jpeg\" alt=\"V\u00e5r syn: bed\u00f6mningen \u00e4r viktigare \u00e4n svaret \u2014 overview diagram\"><\/p>\n<p>Vi ser ocks\u00e5 att kravet ofta underskattas p\u00e5 tv\u00e5 st\u00e4llen. Det f\u00f6rsta \u00e4r leverant\u00f6rer som bara ser sig som \u201cIT-leverant\u00f6r\u201d och missar att de \u00e4r bitr\u00e4den med storskalig behandling. Det andra \u00e4r verksamheter som gradvis byggt in profilering i sin produkt, d\u00e4r det som b\u00f6rjade som analys har blivit k\u00e4rnverksamhet. \u00c5t andra h\u00e5llet ser vi f\u00f6retag som utsett ett frivilligt ombud utan att ge personen oberoende och mandat. D\u00e5 har de skapat ett formellt ansvar de inte lever upp till.<\/p>\n<p>V\u00e5rt r\u00e5d \u00e4r d\u00e4rf\u00f6r enkelt. G\u00f6r bed\u00f6mningen med utg\u00e5ngspunkt i registerf\u00f6rteckningen, skriv ner den och ta upp den igen n\u00e4r verksamheten f\u00f6r\u00e4ndras. Det tar s\u00e4llan mer \u00e4n n\u00e5gra arbetsdagar, och det ger er ett svar som h\u00e5ller.<\/p>\n<blockquote>\n<p><em>\u2014 Jesper<\/em><\/p>\n<\/blockquote>\n<h2 id=\"hjalp-med-bedomningen-eller-rollen\" tabindex=\"-1\">Hj\u00e4lp med bed\u00f6mningen eller rollen<\/h2>\n<p>Evertrust tar uppdrag som externt dataskyddsombud, privacy counsel och GDPR-koordinator. Vi g\u00f6r ocks\u00e5 GAP-analyser, GDPR-granskningar och konsekvensbed\u00f6mningar f\u00f6r organisationer som vill veta var de st\u00e5r. Beh\u00f6ver ni ett ombud, eller vill ni ha en dokumenterad bed\u00f6mning av om ni beh\u00f6ver ett, kan ni l\u00e4sa mer om <a href=\"https:\/\/evertrust.se\/en\/radgivning-och-konsulttjanster\/\" target=\"_blank\" rel=\"noopener\">dataskyddsombud som konsulttj\u00e4nst<\/a>. Vill ni b\u00f6rja med en kartl\u00e4ggning finns v\u00e5ra <a href=\"https:\/\/evertrust.se\/en\/tjanster-gap-analyser\/\" target=\"_blank\" rel=\"noopener\">GDPR-granskningar och DPIA<\/a>. F\u00f6r att h\u00e5lla ordning p\u00e5 registerf\u00f6rteckningen och efterlevnaden \u00f6ver tid har vi tagit fram GRC-plattformen <a href=\"https:\/\/evertrust.se\/en\/plattform\/\" target=\"_blank\" rel=\"noopener\">Trustview<\/a>.<\/p>\n<h2 id=\"vanliga-fragor\" tabindex=\"-1\">Vanliga fr\u00e5gor<\/h2>\n<h3 id=\"kravs-dataskyddsombud-for-foretag-med-fler-an-50-anstallda\" tabindex=\"-1\">Kr\u00e4vs dataskyddsombud f\u00f6r f\u00f6retag med fler \u00e4n 50 anst\u00e4llda?<\/h3>\n<p>Nej, antalet anst\u00e4llda avg\u00f6r inte. Det som avg\u00f6r \u00e4r om ni \u00e4r ett offentligt organ eller om er k\u00e4rnverksamhet inneb\u00e4r storskalig \u00f6vervakning eller storskalig behandling av k\u00e4nsliga uppgifter. Ett stort tillverkningsf\u00f6retag kan sakna skyldighet, medan ett litet techbolag kan omfattas.<\/p>\n<h3 id=\"maste-kommunala-bolag-ha-ett-dataskyddsombud\" tabindex=\"-1\">M\u00e5ste kommunala bolag ha ett dataskyddsombud?<\/h3>\n<p>Inte automatiskt. Enligt IMY r\u00e4knas kommunala och region\u00e4gda bolag inte som offentliga organ i det h\u00e4r sammanhanget. De ska pr\u00f6va \u00f6vervaknings- och k\u00e4nslighetskriterierna p\u00e5 samma s\u00e4tt som privata f\u00f6retag.<\/p>\n<h3 id=\"vad-kravs-for-att-bli-dataskyddsombud\" tabindex=\"-1\">Vad kr\u00e4vs f\u00f6r att bli dataskyddsombud?<\/h3>\n<p>GDPR kr\u00e4ver ingen s\u00e4rskild examen eller certifiering. Ombudet ska ha kunskap om dataskyddsr\u00e4tt och praxis och kunna utf\u00f6ra uppgifterna. Kunskapsniv\u00e5n ska st\u00e5 i proportion till hur k\u00e4nslig och omfattande behandlingen \u00e4r, och personen f\u00e5r inte ha uppgifter som skapar intressekonflikter.<\/p>\n<h3 id=\"kan-flera-bolag-i-en-koncern-dela-pa-ett-dataskyddsombud\" tabindex=\"-1\">Kan flera bolag i en koncern dela p\u00e5 ett dataskyddsombud?<\/h3>\n<p>Ja, en koncern kan utse ett gemensamt ombud om ombudet \u00e4r l\u00e4tt att n\u00e5 fr\u00e5n varje bolag. Myndigheter kan p\u00e5 motsvarande s\u00e4tt dela ombud med h\u00e4nsyn till sin organisation och storlek. I praktiken m\u00e5ste ombudet ha tid och resurser f\u00f6r hela uppdraget.<\/p>\n<h3 id=\"nar-galler-inte-dataskyddsforordningen-alls\" tabindex=\"-1\">N\u00e4r g\u00e4ller inte dataskyddsf\u00f6rordningen alls?<\/h3>\n<p>GDPR g\u00e4ller inte f\u00f6r behandling som en privatperson g\u00f6r f\u00f6r rent personliga \u00e4ndam\u00e5l eller i sitt hush\u00e5ll. Den g\u00e4ller inte heller f\u00f6r uppgifter som verkligen \u00e4r anonymiserade. Organisationer som behandlar personuppgifter i sin verksamhet omfattas d\u00e4remot n\u00e4stan alltid, \u00e4ven n\u00e4r de inte beh\u00f6ver n\u00e5got ombud.<\/p>\n<h2 id=\"kallor\" tabindex=\"-1\">K\u00e4llor<\/h2>\n<p><a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/dataskyddsombud\/maste-vi-utse-ett-dataskyddsombud\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: M\u00e5ste vi utse ett dataskyddsombud?<\/a><br \/>\n<a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/dataskyddsombud\/om-dataskyddsombud-i-dataskyddsforordningen\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Om dataskyddsombud i dataskyddsf\u00f6rordningen<\/a><br \/>\n<a href=\"https:\/\/www.edpb.europa.eu\/sme\/be-compliant\/data-protection-officer_sv\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">EDPB: Dataskyddsombud, dataskyddsguide f\u00f6r sm\u00e5 f\u00f6retag<\/a><br \/>\n<a href=\"https:\/\/europa.eu\/youreurope\/business\/dealing-with-customers\/data-protection\/data-protection-gdpr\/index_sv.htm\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Your Europe: Uppgiftsskydd enligt GDPR<\/a><\/p>\n<h2 id=\"rekommendationer\" tabindex=\"-1\">Rekommendationer<\/h2>\n<ul>\n<li><a href=\"https:\/\/evertrust.se\/en\/vilken-kompetens-behover-ett-dataskyddsombud\/\" target=\"_blank\" rel=\"noopener\">Vilken kompetens beh\u00f6ver ett dataskyddsombud?<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/dataskyddsombud-ansvar\/\" target=\"_blank\" rel=\"noopener\">Dataskyddsombudets ansvar: vem svarar egentligen f\u00f6r GDPR?<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/what-does-a-data-protection-officer-do\/\" target=\"_blank\" rel=\"noopener\">Vad g\u00f6r ett dataskyddsombud? Guide f\u00f6r ansvariga<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/hur-utser-man-ett-dataskyddsombud\/\" target=\"_blank\" rel=\"noopener\">Hur du utser ett dataskyddsombud: guide f\u00f6r beslutsfattare<\/a><\/li>\n<\/ul>","protected":false},"excerpt":{"rendered":"<p>GDPR kr\u00e4ver dataskyddsombud i tre situationer. H\u00e4r \u00e4r kriterierna, exempel fr\u00e5n svenska verksamheter och en steg-f\u00f6r-steg-bed\u00f6mning ni kan dokumentera.<\/p>","protected":false},"author":2,"featured_media":8613,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"content-type":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[107],"tags":[9],"class_list":["post-8612","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sverige","tag-gdpr-specialist"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8612","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/comments?post=8612"}],"version-history":[{"count":1,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8612\/revisions"}],"predecessor-version":[{"id":8616,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8612\/revisions\/8616"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media\/8613"}],"wp:attachment":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media?parent=8612"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/categories?post=8612"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/tags?post=8612"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}