En certifiering kan vara ett sätt att visa kunskap om dataskydd, men GDPR kräver inte ett visst certifikat för att någon ska utses till dataskyddsombud. Börja därför med uppdragets innehåll och den kompetens som saknas. Välj sedan utbildning eller certifiering som faktiskt hjälper personen att utföra arbetet.
Den här guiden jämför juridisk, organisatorisk och teknisk inriktning och visar hur en svensk arbetsgivare eller kandidat kan dokumentera sitt val. Resultatet blir en kompetensprofil, ett relevant arbetsprov och en utvecklingsplan. Priser, arbetsmarknadsandelar och löneeffekter behöver verifieras i det enskilda valet; de är inget tillförlitligt mått på om personen kan fullgöra uppdraget.
Vad måste dataskyddsombudet kunna?
Artikel 37.5 i GDPR knyter valet till yrkesmässiga kvalifikationer, sakkunskap om dataskyddslagstiftning och praxis samt förmågan att utföra uppgifterna i artikel 39. Kunskapen behöver alltså kunna användas i verksamheten. En kurs i förordningens rubriker räcker inte automatiskt för ett komplext ombudsuppdrag.
IMY:s kommentarer om dataskyddsombud lyfter även kunskap om organisationens IT-system, säkerhet, verksamhetsområde och faktiska behandlingar. Mer komplicerad behandling och större mängder känsliga uppgifter kräver mer sakkunskap, stöd och resurser. En kandidat kan därför passa ett uppdrag och behöva komplettera sin kunskap för ett annat.
Frågan om ni måste utse ett ombud och hur rollen ska organiseras behandlas i guiden dataskyddsombud – när krävs det?. Här ligger fokus på att jämföra kompetens och välja en meningsfull utvecklingsväg.
Tre certifieringsinriktningar att skilja på
Börja med innehållsförteckningen och kunskapskraven för den aktuella examen. Följande IAPP-certifieringar illustrerar tre olika inriktningar. Beskrivningarna bygger på utfärdarens aktuella information; de innebär inte att någon av dem är obligatorisk eller generellt bäst för svenska ombud.
| Inriktning | Exempel | Vad den kan bidra med | Vad ni behöver kontrollera separat |
|---|---|---|---|
| Europeisk dataskyddsrätt | CIPP/E | Struktur för europeiska regler, begrepp och överföringar | Svensk sektorrätt och praktisk tillämpning i verksamheten |
| Ledning av dataskyddsarbete | CIPM | Organisering och underhåll av ett dataskyddsprogram | Förmågan att ge oberoende råd och granska verkliga brister |
| Dataskydd i teknik | CIPT | Förståelse för tekniska risker och inbyggt dataskydd | Juridisk analys och det aktuella systemlandskapet |
IAPP beskriver CIPP/E som inriktad på europeisk och nationell dataskyddsrätt samt centrala begrepp. CIPM behandlar hur ett dataskyddsprogram etableras och hanteras över tid. CIPT fokuserar på dataskydd i teknik, produkter och processer. Jämför därför den faktiska kompetensluckan med respektive kunskapsplan, i stället för att samla förkortningar utan ett tydligt syfte.
Det finns också andra utbildningar och nationellt inriktade certifieringar. Kontrollera vem som utfärdar intyget, vilken prövning som görs och vilken lagstiftning som ingår. Ett intyg om närvaro på en kurs visar något annat än en examination. En beteckning som är relevant i ett annat land ger inte automatiskt sakkunskap om svenska regler.
Gör kompetensprofilen före kursbeställningen
Lista återkommande uppgifter under det kommande året. Ska ombudet ge råd om ett nytt personalsystem, granska informationsskyldigheten eller följa upp vårdens åtkomstkontroller? Beskriv vilket underlag ombudet behöver förstå och vilket råd eller granskningsresultat som förväntas.
En verksamhet med stora mängder tekniska integrationer behöver någon som kan läsa en systemkarta och ställa relevanta frågor om åtkomst, mottagare och dataflöden. En organisation som ofta gör internationella överföringar behöver kompetens att bedöma underlaget i en överföringsanalys. Dessa behov kan delvis mötas genom olika utbildningar, men behöver också övas på verkliga eller realistiska fall.
Dela upp nivån i sådant personen kan utföra självständigt, sådant som kräver stöd och sådant som ligger utanför nuvarande kompetens. Dokumentera vilket stöd som finns tillgängligt. Det är bättre att en kandidat kan ange när specialistkunskap behövs än att samma person påstår sig behärska varje rättsområde och teknisk plattform.
Ifyllt val för en jurist som går in i ombudsrollen
Anta att en jurist i ett svenskt tjänsteföretag har arbetat med avtal och grundläggande dataskyddsfrågor. Personen kan analysera rättsliga grunder men har begränsad erfarenhet av att följa upp incidentrutiner och tekniska skydd. Organisationen planerar ett nytt kundsystem med flera integrationer.
Kompetensbedömningen blir: juridisk analys är en styrka, systemförståelse och praktisk granskning behöver utvecklas. Arbetsgivaren väljer en introduktion till organisationens dataflöden, handledd medverkan i en återställningsövning och därefter en tekniskt inriktad utbildning att jämföra med CIPT:s kunskapsplan. En ytterligare allmän juridisk certifiering prioriteras inte enbart för att den är välkänd.
Det planerade arbetsprovet är att läsa en förenklad arkitektur och lämna fem relevanta frågor om åtkomst, lagring och mottagare. Handledaren går igenom resonemanget och vilka antaganden som behöver kontrolleras. Efter utbildningen görs ett nytt prov med ett annat flöde. Exemplet beskriver ett lokalt beslut, inte en generell rekommendation att jurister alltid ska välja samma examen.
Ifyllt val för en IT-specialist
En teknisk specialist har erfarenhet av identiteter, loggning och säkerhetsåtgärder men behöver fördjupa analysen av rättslig grund, registrerades rättigheter och ombudets oberoende. Personen vill gå mot ett ombudsuppdrag i en internationell organisation.
Här kan en europeiskt juridisk inriktning vara mer relevant som nästa steg. Kandidaten jämför CIPP/E:s kunskapsplan med tidigare utbildning och planerar samtidigt handledning i svenska tillämpningsfrågor. Ett arbetsprov ska visa hur personen skiljer säkerhet från laglighet: att en teknisk lösning är väl skyddad innebär inte i sig att organisationen får använda personuppgifterna för ett nytt ändamål.
Arbetsgivaren kontrollerar även om kandidatens andra ansvar kan skapa en intressekonflikt. En examen undanröjer inte en konflikt mellan att bestämma hur en behandling ska utformas och att självständigt granska den. Kompetensvalet och rollens organisatoriska förutsättningar måste alltså bedömas var för sig.
Bedöm praktisk förmåga med ett arbetsprov
Använd ett fiktivt fall och ge alla kandidater samma underlag. Exempelvis kan en leverantör vilja lägga till en funktion som analyserar kunders ärendetext. Be kandidaten ange vilka fakta som saknas, vilka frågor som behöver bedömas och vilket råd som kan ges redan nu. Bedöm förmågan att avgränsa och prioritera, inte bara antalet artikelnummer.
En stark genomgång skiljer planerad användning från fakta, identifierar mottagare och frågar om underlaget behöver en konsekvensbedömning. Den ger inte ett kategoriskt godkännande enbart för att leverantören säger att tjänsten följer GDPR. Kandidaten bör kunna uttrycka osäkerhet begripligt och föreslå ett konkret nästa kontrollsteg.
Be även om en kort förklaring till en verksamhetschef. Ombudet behöver kunna göra juridiska och tekniska frågor förståeliga utan att dölja begränsningarna. Ett relevant prov kan därför innehålla både ett detaljerat granskningsunderlag och ett kort råd som går att använda i ett beslutsmöte.
Jämför hela kostnaden och villkoren
Begär aktuella uppgifter om kursavgift, examensavgift, material, omprov och eventuella avgifter eller fortbildningskrav för att behålla beteckningen. Kontrollera valuta, skatt, språk, giltighet och vad som faktiskt ingår. Ange datum för prisuppgiften. Blanda inte en självstudieväg med ett helt utbildningspaket när alternativen jämförs.
Räkna även intern tid och täckning av arbetet under studierna. En kort kurs kan kräva omfattande förberedelser, medan en längre utbildning kan innehålla moment personen redan behärskar. Be leverantören beskriva förkunskaper och hur kunskapen prövas. Utgå inte från ett marknadsfört kursantal som bevis för att sakkunskapen automatiskt är tillräcklig.
Sätt ett mål som går att följa upp, exempelvis att personen efter utbildningen ska kunna granska en informationsrutin eller formulera relevanta kontrollfrågor till IT. En förväntad löneökning eller generell återbetalningstid är inget säkert resultat av en certifiering.
Planera fortbildning och stöd i uppdraget
Kunskapen behöver hållas aktuell när rättspraxis, teknik och verksamhet förändras. Sätt av tid för relevanta IMY- och EDPB-källor, erfarenhetsutbyte och genomgång av organisationens nya behandlingar. Utgå från riskerna i uppdraget, inte enbart från hur många utbildningstimmar som krävs av en certifieringsutfärdare.
Låt ombudet arbeta med en konkret utbildningsplan för medarbetare som en del av sin rådgivning och uppföljning. Förmågan att förklara vardagsfrågor är en annan kompetens än att klara en flervalsfråga. Dokumentera utvecklingen med relevanta arbetsresultat som inte röjer konfidentiella uppgifter från tidigare arbetsgivare eller klienter.
Avsluta valet med en skriftlig motivering: uppdragets behov, befintlig kompetens, vald utbildning, praktisk övning, budget och tid för fortsatt lärande. Då kan både kandidaten och arbetsgivaren se varför satsningen gjordes och om den förbättrade förmågan att utföra just detta ombudsuppdrag.