Source: OJ L 119, 4.5.2016, pp. 1–88Consolidated text

Current language: SV

Artikel 37 Utnämning av dataskyddsombudet

Summary What does Article 37 of the GDPR regulation say?

This article establishes when controllers and processors are required to designate a Data Protection Officer (DPO).

It sets out three scenarios where designation is mandatory, then addresses the practical flexibility available to groups of undertakings and public bodies, the qualifications required of a DPO, how they may be engaged, and the requirement to make their contact details publicly available.

The article connects directly to Article 39, which governs the tasks the DPO must be capable of performing, and to Articles 9 and 10, which define the special categories of data whose large-scale processing triggers the obligation.

Important points:

  • Controllers and processors must designate a DPO if they are a public authority, carry out large-scale systematic monitoring of individuals, or process special categories of personal data on a large scale.
  • The DPO must be chosen on the basis of professional qualities and expert knowledge of data protection law and practices — they can be an internal staff member or engaged via a service contract.
  • Controllers and processors are required to publish the DPO's contact details and communicate them to the supervisory authority.

Springlex's summary of the article is a reading aid, not a substitute for the legal text.

    1. Den personuppgiftsansvarige och personuppgiftsbiträdet ska under alla omständigheter utnämna ett dataskyddsombud om

      1. behandlingen genomförs av en myndighet eller ett offentligt organ, förutom när detta sker som en del av domstolarnas dömande verksamhet,

      2. den personuppgiftsansvariges eller personuppgiftsbiträdets kärnverksamhet består av behandling som, på grund av sin karaktär, sin omfattning och/eller sina ändamål, kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning, eller

      3. ▼C1

        1. den personuppgiftsansvariges eller personuppgiftsbiträdets kärnverksamhet består av behandling i stor omfattning av särskilda kategorier av uppgifter i enlighet med artikel 9 eller personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott, som avses i artikel 10.

  2. ▼C1

    1. En koncern får utnämna ett enda dataskyddsombud om det på varje verksamhetsställe är lätt att nå ett dataskyddsombud.

    1. Om den personuppgiftsansvarige eller personuppgiftsbiträdet är en myndighet eller ett offentligt organ, får ett enda dataskyddsombud utnämnas för flera sådana myndigheter eller organ, med hänsyn till deras organisationsstruktur och storlek.

    1. I andra fall än de som avses i punkt 1 får eller, om så krävs enligt unionsrätten eller medlemsstaternas nationella rätt, ska den personuppgiftsansvarige eller personuppgiftsbiträdet eller sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden utnämna ett dataskyddsombud. Dataskyddsombudet får agera för sådana sammanslutningar och andra organ som företräder personuppgiftsansvariga eller personuppgiftsbiträden.

    1. Dataskyddsombudet ska utses på grundval av yrkesmässiga kvalifikationer och, i synnerhet, sakkunskap om lagstiftning och praxis avseende dataskydd samt förmågan att fullgöra de uppgifter som avses i artikel 39.

    1. Dataskyddsombudet får ingå i den personuppgiftsansvariges eller personuppgiftsbiträdets personal, eller utföra uppgifterna på grundval av ett tjänsteavtal.

    1. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska offentliggöra dataskyddsombudets kontaktuppgifter och meddela dessa till tillsynsmyndigheten.

Table of contents

We're continuously improving our platform to serve you better.

Your feedback matters! Let us know how we can improve.

Contact us:

springlex@springflod.se

Found a bug?

Springflod is a Swedish boutique consultancy firm specialising in cyber security within the financial services sector.

We offer professional services concerning information security governance, risk and compliance.

Crafted with ❤️ by Springflod