TJÄNSTESKRIVELSE
TJÄNSTESKRIVELSE
Datum
Dnr
Sida
1(2)
Verksamhetsstöd
2019-08-14
KS 2019/000392
Sydarkivera - Uppsägning av avtal gällande dataskyddsombud
Beskrivning av ärendet
Mörbylånga kommun har sedan 1 maj 2018 köpt tjänsten dataskyddsombud från kommunalförbundet Sydarkivera. Beslut måste fattas om kommunen även i fortsättningen ska köpa tjänsten från Sydarkivera eller om avtalet ska sägas upp. Om avtalet ska sägas upp måste det göras före september månads utgång.
Beslutsunderlag
Tjänsteskrivelse, daterad den 14 augusti 2019.
Förvaltningens överväganden
Överväganden förvaltningens huvudförslag
Förutsättningarna som gäller är att kommunen antingen hittar en annan lösning när det gäller dataskyddsombud eller förlänger avtalet med Sydarkivera, vilket i så fall kommer att gälla i minst tre år.
I den utredning som gjordes innan Sydarkivera beslutade att erbjuda tjänsten dataskyddsombud angavs att man räknade med att en person skulle kunna vara dataskyddsombud för 5-7 organisationer. Idag har Sydarkivera en person som dataskyddsombud för 27 organisationer. Dessutom är samma person förbundsjurist för Sydarkivera och bedriver viss utbildningsverksamhet som delägare i ett privat företag. Utöver dataskyddsombudet finns ytterligare två personer i ett dataskyddsteam som har specialistkunskaper inom informationssäkerhet och IT.
I varje kommun som är ansluten till den här tjänsten ska det finnas en dataskyddssamordnare som ska göra mycket av det praktiska arbetet på plats under ledning av eller i samråd med dataskyddsombudet. I praktiken har det visat sig att datsskyddssamordnaren gör mycket av dataskyddsombudets arbete men utan att ha mandatet för det, vilket har lett till att arbetet gått långsamt och ofta stannat av i väntan på besked från dataskyddsombudet.
Den enligt Datainspektionen kanske viktigaste uppgiften för dataskyddsombudet är att kontrollera att organisationen följer dataskyddsförordningen (GDPR) och att regelbundet rapportera till den högsta ledningen. Trots att det nu gått över ett år sedan GDPR trädde i kraft har inte någon plan presenterats för hur denna kontroll ska gå till. I avtalet står att dataskyddssamordnaren ska sköta rapporteringen till ledningen i samråd med dataskyddsombudet. Det har ännu inte presenterats någon plan för hur dessa samråd ska gå till, vilket inneburit att den rapportering som krävs i GDPR inte sker.
Mörbylånga kommun
Datum
2019-08-14
Dnr
KS 2019/000392
Sida
2(2)
Ett dataskyddsombud behöver ha god kunskap om organisationen och den verksamhet som bedrivs. Dataskyddsombudet ska också bidra till att en god kultur när det gäller integritet och dataskydd skapas, vilket är mycket svårt att göra om man inte är närvarande i organisationen. Hittills har dataskyddsombudet besökt Mörbylånga kommun en gång, vilket är förståeligt med tanke på att ombudet har 27 organisationer att sköta, men som gör att uppdraget inte utförs på ett sätt som är i linje med GDPR.
Förvaltningen anser att avtalet med Sydarkivera bör sägas upp och att ett dataskyddsombud anställs av kommunen, antingen genom att nuvarande dataskyddssamordnare blir dataskyddsombud eller genom extern rekrytering. Om dataskyddssamordnaren utses till dataskyddsombud behöver en ny dataskyddssamordnare utses.
Kostnaden för eget dataskyddsombud blir troligen större än om tjänsten köps från Sydarkivera.
Alternativa förslag till beslut med detaljerade överväganden
Alternativet till att anställa ett eget dataskyddsombud är att avtalet med Sydarkivera förlängs. Vi vet idag inte hur Sydarkivera tänker lägga upp arbetet i framtiden. Om fler dataskyddsombud anställs så att det blir ett dataskyddsombud på fem till sju organisationer så skulle det kunna fungera bra tillsammans med den kompetens gällande informationssäkerhet och IT som finns hos Xxxxxxxxxxx.
Kommunikation av förslaget till beslut
Ärendet är inte av sådan art att förslaget till beslut behöver kommuniceras enligt reglerna i förvaltningslagen.
Övervägande enligt § 2 i kommunstyrelsens reglemente
Förslaget till beslut påverkar inte något av perspektiven i § 2 i kommunstyrelsens reglemente.
Förvaltningens förslag till beslut
Avtalet med Sydarkivera om köp av tjänsten dataskyddsombud sägs upp så att avtalet upphör att gälla den 31 december 2019.
Xxxxxxxxx Xxxxxxxxx Verksamhetsområdeschef Verksamhetsstöd
Xxx Xxxxxxxxxx Xxxxxxxx
Fattat beslut expedieras till: Verksamhetsområdeschef Verksamhetsstöd Dataskyddssamordnaren