Dataskyddsombud enligt GDPR – när krävs DSO och hur utses det? Guide 2026

Källkontroll: 2 november 2026 · GDPR och svensk myndighetsvägledning · Redaktionell kontroll, inte särskild juristgranskning.

En organisation måste utse dataskyddsombud (DSO eller DPO) i de fall som anges i artikel 37 GDPR. Kravet gäller myndigheter och offentliga organ (med ett undantag för domstolars dömande verksamhet) samt vissa verksamheter med omfattande systematisk övervakning eller omfattande behandling av känsliga personuppgifter eller brottsuppgifter som kärnverksamhet. Ombudet ska kunna arbeta oberoende och vara kontaktpunkt för registrerade och tillsynsmyndigheten.

När är dataskyddsombud obligatoriskt?

Artikel 37.1 i dataskyddsförordningen (EU) 2016/679 anger tre huvudsituationer. För privata företag är det särskilt viktigt att skilja normal personaladministration från omfattande behandling som utgör själva kärnverksamheten.

Det finns ingen generell regel att varje aktiebolag, arbetsgivare eller organisation med ett kundregister måste utse ett ombud. Se IMY:s vägledning om när ombud krävs.

Vad gör ett dataskyddsombud enligt artikel 39?

Dataskyddsombudet ska informera och ge råd om reglerna, övervaka efterlevnaden, ge råd om konsekvensbedömningar och samarbeta med IMY. Ombudet ska arbeta riskbaserat. Ombudet övertar inte organisationens ansvar för GDPR. Det är den personuppgiftsansvarige och i förekommande fall personuppgiftsbiträdet som ska uppfylla sina skyldigheter.

• Ge råd vid införande av nya system som behandlar personuppgifter.
• Övervaka utbildning, ansvarsfördelning och interna dataskyddskontroller.
• Ge råd om en DPIA, utan att själv behöva fatta verksamhetens beslut.
• Vara kontaktpunkt för registrerade och IMY.
• Rapportera risker och iakttagelser till högsta ledningen.

Fördjupning: konsekvensbedömning enligt GDPR och registerförteckning enligt artikel 30.

Oberoende, resurser och intressekonflikter

Artikel 38 kräver att dataskyddsombudet involveras i god tid, får nödvändiga resurser och inte får instruktioner om hur de lagstadgade uppgifterna ska utföras. Ombudet ska rapportera direkt till högsta förvaltningsnivån. Andra arbetsuppgifter är tillåtna endast om de inte skapar intressekonflikter.

Exempel: En chef som själv beslutar om ändamål och medel för omfattande personuppgiftsbehandling kan vara olämplig som DSO för samma organisation. Det krävs en bedömning av den faktiska rollen, inte enbart titeln. Se IMY:s kommentarer till artiklarna 37–39.

Så dokumenterar ni utnämningen – sex steg

1. Behovsbedömning: dokumentera om artikel 37.1 är tillämplig och vilka behandlingar som ligger bakom slutsatsen.
2. Kompetens: kontrollera kunskaper om dataskydd, verksamhetens system och risker.
3. Oberoende: kartlägg övriga roller och eventuella intressekonflikter.
4. Beslut: dokumentera uppdrag, organisatorisk placering, rapporteringsväg och resurser.
5. Kontaktuppgifter: offentliggör kontaktvägen och meddela IMY enligt artikel 37.7.
6. Uppföljning: dokumentera utbildning, kontroller och förändringar i uppdraget.

Praktiska exempel och vanliga misstag

Mindre företag med löne- och kundadministration

Enbart vanlig personal- och kundadministration medför inte automatiskt krav på DSO. Företaget måste ändå uppfylla andra tillämpliga GDPR-regler. Dokumentera behovsbedömningen och ompröva den om verksamheten förändras.

Verksamhet med omfattande övervakning

Om kärnverksamheten innebär regelbunden och systematisk övervakning av personer i stor omfattning kan artikel 37.1 b vara tillämplig. Bedöm bland annat behandlingens art, omfattning och syften.

Vanliga misstag: att utse en person utan att pröva intressekonflikter, att inte ge ombudet tid och resurser, att glömma anmälan till IMY eller att tro att ombudet ensamt ansvarar för att verksamheten följer GDPR.

Vanliga frågor

Måste små företag utse dataskyddsombud?

Inte enbart på grund av sin storlek. Bedöm de specifika kriterierna i artikel 37.

Kan dataskyddsombudet vara en extern konsult?

Ja. Artikel 37.6 tillåter både anställda och externa uppdragstagare, förutsatt att kraven uppfylls.

Kan en koncern ha ett gemensamt dataskyddsombud?

Ja, om det är lätt att nå ombudet från varje verksamhetsställe. Resurser och eventuella intressekonflikter måste också bedömas.

Är DSO ansvarigt för alla personuppgiftsincidenter?

Ombudet ger råd och kan involveras i incidentarbetet, men organisationens egna skyldigheter kvarstår. Läs guiden om personuppgiftsincidenter.

Dokumentmallar och relaterad vägledning

Läs även skillnaden mellan personuppgiftsansvarig och personuppgiftsbiträde.

Rättskällor och avgränsning

• GDPR (EU) 2016/679, artiklarna 37–39, svensk fulltext.
• IMY – Måste vi utse ett dataskyddsombud?.
• IMY – Om dataskyddsombud i dataskyddsförordningen.
• IMY – Anmäla dataskyddsombud.

Källkontroll genomförd 2 november 2026 mot angivna officiella källor. Ingen särskild juristgranskning av artikeln är dokumenterad. Allmän information om GDPR och svensk tillsynspraxis, inte individuell juridisk rådgivning.