är jag skyldig att utse en dataskyddsombud för mitt företag

För de flesta små och medelstora företag och egenföretagare gäller ingen skyldighet

En dataskyddsamansvarig, förkortad DSA, är för vanliga små och medelstora företag och de flesta egenföretagare vanligtvis ingen skyldighet. GDPR anger ett antal specifika situationer där en DSA är obligatorisk, och utanför dem är det upp till en organisation att själv utse en, utan att lagen föreskriver det. I praktiken är en obligatorisk DSA främst relevant för offentliga organisationer och för företag vars kärnverksamhet består av storskalig, systematisk övervakning av människor eller av storskalig behandling av känsliga personuppgifter, såsom hälsouppgifter.

En webbutik, ett rådgivningsföretag, en entreprenör eller en egenföretagare med ett bokföringsprogram och ett par SaaS-verktyg faller i de flesta fall utanför dessa kategorier. Det betyder inte att det inte finns något att göra: även utan DSA gäller skyldigheten att kunna visa vilka personuppgifter som behandlas och för vilket ändamål, till exempel i behandlingsregistret, och denna skyldighet gäller lika mycket för en enpersonsfirma. Den som är osäker på om den egna verksamheten verkligen faller under kategorin "storskalig" eller "systematisk" får mer vägledning från frågan när en DPIA är nödvändig, eftersom samma riskanalys ofta uppstår tillsammans med frågan om DSA.

Detta baseras på: artikel 2 och 30 GDPR

GDPR fastställer i artikel 2 förordningens materiella tillämpningsområde, och artikel 30 reglerar behandlingsregistret med de undantag som gäller för det — DSA-skyldigheten i sig finns på annat håll i förordningen, men omfattningen och arten av behandlingen som är relevant där följer samma kriterier som för registret och DSA-skyldigheten. Del av denna bedömning är faktisk: hur många personer övervakas, hur systematiskt, och vilken typ av uppgifter är det fråga om. Datainspektionen publicerar ytterligare vägledning för den nederländska praktiken, medan frågan om en DSA är obligatorisk är densamma i hela EU enligt samma förordning — dock kan den nationella tillsynsmyndigheten, i Sverige Datainspektionen och i andra medlemsstater tillsynsmyndigheten i det landet, använda egen vägledning eller ytterligare registreringskrav kring utseende av en DSA.