Hjälp med GDPR när dataskyddsombud inte krävs

Behöver ni hjälp med GDPR men är osäkra på om ni måste ha ett formellt dataskyddsombud (DSO)? Alla företag som behandlar personuppgifter omfattas av dataskyddsförordningen (GDPR) – men det är inte alla som behöver utse en DSO enligt lagen. Lagkravet gäller exempelvis myndigheter och verksamheter som systematiskt övervakar personer eller hanterar känsliga uppgifter i stor skala. För många små och medelstora företag finns inget formellt krav, men ansvaret för att efterleva GDPR kvarstår oförändrat. Ett strukturerat dataskyddsarbete är därför nödvändigt för att undvika sanktionsavgifter, skador på varumärket och förlorad kundförtroende.

Så arbetar ni systematiskt med dataskydd utan DSO

Företag som inte omfattas av kravet på DSO måste ändå kunna visa att personuppgifter hanteras korrekt och enligt GDPR:s principer. Principen om ansvarsskyldighet i artikel 5.2 GDPR innebär att ni måste dokumentera och kunna redovisa åtgärder vid en eventuell tillsyn från Integritetsskyddsmyndigheten. Därför är det klokt att fördela ansvaret internt och se till att kompetensen hålls uppdaterad. Många bolag utser en kontaktperson eller ett mindre team som samordnar dataskyddsarbetet, svarar på frågor och ser till att rätt rutiner finns. Genom att bygga en tydlig struktur minskar ni risken för misstag och kan hantera frågor från registrerade på ett professionellt och effektivt sätt.

Fem viktiga steg för att uppfylla GDPR

Här är fem grundläggande åtgärder som hjälper er att uppfylla GDPR även när ni inte måste utse ett dataskyddsombud:

• Tydliggör ansvar: Bestäm vem som har det interna huvudansvaret för dataskydd och säkerställ att den personen har mandat och tid att följa upp frågor.
• Dokumentera behandlingen: Upprätta en aktuell förteckning över vilka personuppgifter som behandlas, i vilket syfte och med vilket lagstöd.
• Skapa fungerande rutiner: Ta fram rutiner för rättighetsförfrågningar, radering, incidentrapportering och gallring av information.
• Utbilda personalen: Se till att alla medarbetare som kommer i kontakt med personuppgifter vet vilka regler som gäller och hur de ska agera.
• Förankra i ledningen: Informera ledningen regelbundet om status för dataskyddsarbetet och avsätt resurser för löpande förbättringar.

När är det klokt att ta extern hjälp?

Även utan krav på dataskyddsombud kan det vara klokt att ta in extern kompetens. Exempelvis när nya system införs, verksamheten växer eller samarbeten med nya leverantörer inleds. En GDPR-konsult kan analysera avtal, ta fram policys och rutiner samt fungera som ett stöd vid incidenter eller frågor från Integritetsskyddsmyndigheten. För många små och medelstora företag är detta en kostnadseffektiv lösning jämfört med att bygga upp full intern kompetens. Det ger dessutom en extra trygghet i att dataskyddsarbetet ligger på rätt nivå oavsett hur verksamheten utvecklas.

Vi stöttar er – oavsett om DSO krävs eller inte

Morling Consulting erbjuder praktisk GDPR-rådgivning anpassad för företag som inte omfattas av det formella DSO-kravet. Vi hjälper er att skapa ordning, upprätta viktiga dokument och utbilda personalen. Vi kan också fungera som extern GDPR-partner som svarar på frågor löpande och stödjer er vid tillsyn eller incidenter. Med vårt stöd kan ni fokusera på kärnverksamheten – utan att riskera brister i dataskyddet. Kontakta oss för en kostnadsfri behovsanalys och ta nästa steg mot en trygg och effektiv efterlevnad av GDPR.