Dataskyddsombud är en särskild funktion som övervakar efterlevnaden av dataskyddsregler och ger råd i organisationer som måste eller väljer att utse ett sådant ombud.
Dataskyddsombud är en del av dataskyddsreglerna och blir relevant när ett företag behandlar uppgifter som kan kopplas till en fysisk person. GDPR bygger bland annat på att behandlingen ska ha ett tydligt ändamål, en rättslig grund och inte omfatta fler uppgifter än vad som behövs.
Ett vanligt exempel är ett företag som hanterar kundregister, personaluppgifter eller uppgifter i ett digitalt system. Om dataskyddsombud är aktuellt behöver företaget kunna förklara varför uppgifterna behandlas, hur länge de sparas och vilka som får tillgång till dem.
Dataskydd handlar därför både om juridik och om praktiska rutiner. Företaget bör dokumentera sina bedömningar, begränsa åtkomsten och se till att uppgifter raderas eller ändras när reglerna kräver det. Det är också viktigt att skilja på den personuppgiftsansvariges ansvar och uppgifter som utförs av ett personuppgiftsbiträde.
Praktisk tillämpning
Personuppgifter ska begränsas till vad som är adekvat, relevant och nödvändigt för det angivna syftet. Verksamheten bör kartlägga vilka uppgifter som samlas in, varför de behövs, vem som får tillgång och när de raderas. Dataminimering ska tillämpas redan när formulär, system och integrationer utformas. Ett dataskyddsombud ska arbeta oberoende, ge råd och övervaka efterlevnad men tar inte över organisationens ansvar. Roller, rapporteringsväg och resurser behöver vara tydliga. Dokumentera bedömningar och följ upp dem när syfte, teknik eller risk förändras. Registrerade ska få begriplig information och onödiga uppgifter ska inte sparas för säkerhets skull. Bedömningen bör följas upp regelbundet. Viktiga antaganden, beslut och ändrade förutsättningar ska dokumenteras så att en annan person kan förstå underlaget. Det ger bättre jämförelser över tid och gör det lättare att upptäcka fel innan de får ekonomiska, rättsliga eller praktiska konsekvenser. Kontrollpunkter, ansvariga och datum bör anges i en enkel rutin som hålls aktuell. Rutinen ska även beskriva hur avvikelser rapporteras, rättas och kontrolleras på nytt efter åtgärd.
