Utforska Evertrusts tj\u00e4nster<\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n Ett vanligt missf\u00f6rst\u00e5nd \u00e4r att den som har \u201cdataskydd\u201d i sin rollbeskrivning ocks\u00e5 b\u00e4r det juridiska ansvaret. S\u00e5 fungerar det inte. Personuppgiftsansvarig \u00e4r den som best\u00e4mmer \u00e4ndam\u00e5len och medlen f\u00f6r behandlingen. I ett f\u00f6retag \u00e4r det bolaget och i offentlig sektor myndigheten eller n\u00e4mnden. Enligt IMY m\u00e5ste den personuppgiftsansvarige se till att behandlingen f\u00f6ljer dataskyddsf\u00f6rordningen<\/a> och vidta l\u00e4mpliga tekniska och organisatoriska \u00e5tg\u00e4rder utifr\u00e5n riskerna f\u00f6r de registrerade.<\/p>\n IMY beskriver ocks\u00e5 att den personuppgiftsansvarige har det yttersta ansvaret f\u00f6r att kraven uppfylls<\/a>, enligt principen om ansvarsskyldighet i artikel 5.2. Det inneb\u00e4r att ni ska kunna visa att reglerna f\u00f6ljs, inte bara f\u00f6lja dem.<\/p>\n Ansvaret ligger allts\u00e5 hos organisationen, och ledningen f\u00f6retr\u00e4der organisationen. Att organisationen ytterst ansvarar betyder \u00e4nd\u00e5 inte att CIO:n och CISO:n saknar ansvar. De har ett delegerat ansvar: organisationen ger dem uppdrag att genomf\u00f6ra delar av det som GDPR kr\u00e4ver. Det delegerade ansvaret \u00e4r verkligt, men det fungerar bara om det f\u00f6ljs av befogenheter. Mer om var det juridiska ansvaret slutar och rollerna tar vid finns i v\u00e5r genomg\u00e5ng av vem som egentligen svarar f\u00f6r GDPR<\/a>.<\/p>\n CIO:n \u00e4ger it-milj\u00f6n som personuppgifterna finns i. D\u00e4rf\u00f6r hamnar en stor del av de tekniska skydds\u00e5tg\u00e4rderna i GDPR i praktiken hos CIO:n. Det g\u00e4ller oftast fem saker:<\/p>\n CIO:n best\u00e4mmer d\u00e4remot inte varf\u00f6r personuppgifterna behandlas. \u00c4ndam\u00e5len, r\u00e4ttslig grund och vilka uppgifter verksamheten beh\u00f6ver \u00e4r verksamhetens beslut. CIO:n f\u00f6rverkligar de besluten tekniskt och s\u00e4ger ifr\u00e5n n\u00e4r en l\u00f6sning inte g\u00e5r att g\u00f6ra s\u00e4ker.<\/p>\n CISO:n leder informationss\u00e4kerhetsarbetet och har ofta st\u00f6rst \u00f6verlapp med GDPR:s s\u00e4kerhetskrav i artikel 32. MSB beskriver informationss\u00e4kerhetssamordnarens roll som att driva arbetet och st\u00f6tta ledningen<\/a> och de andra rollerna som har ansvar f\u00f6r informationss\u00e4kerheten. Ansvaret f\u00f6r informationen ligger kvar hos risk\u00e4garen. Det \u00e4r skrivet f\u00f6r offentlig sektor men fungerar lika bra i ett privat bolag.<\/p>\n F\u00f6r CISO:n inneb\u00e4r det i praktiken att:<\/p>\n S\u00e4kerhets\u00e5tg\u00e4rderna ska enligt MSB m\u00f6ta de risker som organisationen inte accepterar. Vilka risker som accepteras \u00e4r ett beslut f\u00f6r ledningen, inte f\u00f6r CISO:n. Det \u00e4r skillnaden mellan att driva arbetet och att \u00e4ga risken.<\/p>\n Tabellen visar en f\u00f6rdelning som fungerar i de flesta organisationer med fler \u00e4n 50 anst\u00e4llda. Titlarna skiljer sig \u00e5t mellan organisationer, men gr\u00e4nserna mellan rollerna brukar se ut s\u00e5 h\u00e4r.<\/p>\nKort sagt<\/h2>\n
\n
Inneh\u00e5llsf\u00f6rteckning<\/h2>\n
\n
Ansvaret ligger hos organisationen, inte hos titeln<\/h2>\n
![\"Ansvaret](\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/11\/1793709220021_Ansvaret-ligger-hos-organisationen-inte-hos-titeln.jpeg\")
<\/p>\nVad CIO:n faktiskt ansvarar f\u00f6r<\/h2>\n
\n
CISO:ns ansvar f\u00f6r GDPR och informationss\u00e4kerhet<\/h2>\n
\n
S\u00e5 f\u00f6rdelas ansvaret mellan rollerna<\/h2>\n
![\"Vad](\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/11\/1793709238058_Vad-otydligt-ansvar-kan-kosta.jpeg\")
<\/p>\n![\"Evertrust\"](\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/08\/1786093780170_evertrust.jpg\")
<\/p>\n