Dataskyddsombud – Utnämning, uppdrag, oberoende & Excel | Word/PDF

Utnämning av dataskyddsombud (DPO) enligt GDPR – ett praktiskt dokumentpaket för svenska organisationer som behöver utse, dokumentera och följa upp en dataskyddsombudsfunktion. Mallarna hjälper verksamhetsledning, dataskyddsansvariga och compliancefunktioner att organisera beslut, resurser, oberoende, kontaktuppgifter och löpande rapportering. Leveransen innehåller redigerbara Wordfiler, sökbara PDF-filer och Excel. Viktigt: paketet avgör inte automatiskt om er organisation är skyldig att utse DPO och ersätter inte IMY:s anmälan.

När passar mallpaketet?

För personuppgiftsansvariga och personuppgiftsbiträden i Sverige som ska upprätta beslutsunderlag för en obligatorisk eller frivillig DPO-utnämning och ordna arbetet enligt artiklarna 37–39 i dataskyddsförordningen. Dokumenten är inte ett externt dataskyddsombudsavtal, en allmän integritetspolicy eller ett myndighetsbeslut. Det krävs en separat saklig prövning av eventuella nationella specialregler, yrkeskvalifikationer, självständighet och intressekonflikter.

Fil för fil – vad får du?

Excelverktyg – nio flikar

Arbetsboken innehåller Översikt, Organisation, Årsplan, Rådgivning, Kontroller, DPIA, IMY och kontakt, Beslut samt Läs mig. En översikt räknar registrerade aktiviteter och råd samt manuellt statusmarkerade avslut och kontroller. Formlernas beräkningar har funktionstestats. Statuslistorna gör det lättare att organisera arbetet, men vare sig en ifylld rad, ett utfört moment eller Excel-status innebär i sig rättslig efterlevnad. Ingen makro behövs.

Så används mallarna

1. Dokumentera om utnämningen är obligatorisk enligt GDPR artikel 37 eller frivillig.
2. Bedöm om kandidaten uppfyller kompetenskrav, är oberoende och saknar olösta intressekonflikter.
3. Fatta behörigt beslut och dokumentera uppdrag, rapporteringsväg och resurser.
4. Publicera kontaktuppgifter och meddela dem till IMY via rätt kanal; dokumentera kvittens separat.
5. Upprätta årsplan och använd Excel för faktisk uppföljning av råd, kontroller och beslut.

Juridiska förutsättningar

GDPR artikel 37 reglerar bland annat när ett dataskyddsombud ska utses, vilka yrkeskvalifikationer som krävs och offentliggörande samt meddelande av kontaktuppgifter till tillsynsmyndigheten. Artikel 38 ställer krav på DPO:s ställning, tidig delaktighet, resurser, självständighet, rapportering och frånvaro av intressekonflikter. Artikel 39 beskriver DPO:s kärnuppgifter, bland annat rådgivning och övervakning. Ett frivilligt formellt utsett DPO omfattas också av dessa krav. Bedömningarna måste göras utifrån verklig verksamhet och faktiskt mandat. Paketet innehåller ingen myndighetsblankett och är inte godkänt av IMY.

Vanliga frågor

Måste alla företag utse ett dataskyddsombud?

Nej. Kravet beror på den behandling och verksamhet som omfattas av artikel 37.1 och annan tillämplig rätt. Även om utnämningen är frivillig behöver en formellt utsedd DPO-funktion följa relevanta regler.

Är beslutsmallen samma sak som anmälan till IMY?

Nej. Det är ett internt dokumentationsunderlag. Offentliggörande och meddelande av DPO:s kontaktuppgifter måste utföras separat i verkligheten.

Kan en chef samtidigt vara DPO?

Det beror på chefens faktiska roller. Uppdrag som innebär att personen bestämmer ändamål och medel för personuppgiftsbehandling kan skapa en otillåten intressekonflikt. En konkret bedömning behövs.

Får jag engelska huvudmallar?

Nej. De fem arbetsdokumenten är svenska. En English User Guide beskriver hur de svenska handlingarna används; produkten är avsedd för GDPR/Sverige.

Är PDF-filerna ifyllningsbara?

PDF-filerna är sökbara och utskrivbara, men inte interaktiva formulär. Använd Word-versionerna för redigering.

Relaterade mallar

Vid en faktiskt inträffad dataskyddsincident behövs andra arbetsdokument, exempelvis mallpaket för personuppgiftsincidenter. För generell dataskyddsadministration kan du också se Mallbutikens GDPR- och dataskyddsmallar. DPO-paketet ersätter inte ett personuppgiftsbiträdesavtal, en DPIA eller ett incidentförfarande.

Källor, version och granskning

Rättslig ram: Dataskyddsförordningen (EU) 2016/679, artiklarna 37–39; IMY:s vägledning om DPO. Produktversion 1.0. AI-assisterad rättskällekontroll utförd 1 november 2026. Ingen fristående extern juristgranskning av denna produktversion är dokumenterad. Digital ZIP levereras genom butikens ordinarie lösning först efter att produkten publicerats och leveransfilen kopplats.

Relaterad guide: Läs DPIA och konsekvensbedömning enligt GDPR – när krävs den? för att förstå när dataskyddsombudet ska ge råd vid en riskbedömning. En DPIA är ett separat arbetsmoment och ersätter inte beslut om dataskyddsombud.