Dataskyddsombudens roll och ställning – socialnämnden i Stockholm

IMY-2023-7957 Beslut efter tillsyn enligt

dataskyddsförordningen – Socialnämnden i Stockholms stad

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att utredningen i ärendet inte visar att socialnämnden i Stockholms stad har brustit i efterlevnaden av artikel 38.6 i dataskyddsförordningen .

Ärendet avslutas.

Redogörelse för tillsynsärendet

Bakgrund m.m.

Den europeiska dataskyddsstyrelsen (EDPB) har under 2023 genomfört en samordnad åtgärd med syftet att undersöka om dataskyddsombuden har den roll samt de resurser som förutsätts enligt artiklarna 37–39 i dataskyddsförordningen. Integritetsskyddsmyndigheten (IMY) har deltagit i den samordnade åtgärden och genomfört den i form av tillsyn mot ett femtiotal personuppgiftsansvariga. Det är mot denna bakgrund som IMY har inlett tillsyn mot socialnämnden i Stockholms stad (socialnämnden).

Tillsynen har inledningsvis inneburit att socialnämnden har besvarat ett trettiotal frågor om bland annat dataskyddsombudets kvalifikationer, uppgifter och ställning. Frågorna har sin grund i ett frågeformulär som EDPB har skapat inom ramen för den samordnade åtgärden.

Målet med en samordnad åtgärd som denna har varit att i bred mening underlätta gemensamma åtgärder på ett flexibelt men samordnat sätt, allt ifrån att öka den gemensamma medvetenheten och samla in information till att kontrollera verkställighet och utföra gemensamma utredningar. Detta möjliggör riktad uppföljning och åtgärder

både på nationell nivå och genom EDPB. Resultatet från granskningen har sammanställts i en rapport från EDPB.

Av de tillsyner som IMY inlett inom ramen för den samordnade åtgärden har myndigheten gått vidare med ett mindre urval för att göra en fördjupad granskning av några frågeställningar. Denna tillsyn är ett av dessa ärenden där IMY sett anledning att ställa kompletterande frågor till socialnämnden, såsom personuppgiftsansvarig, avseende artikel 38.6 i dataskyddsförordningen. Syftet har varit att utreda om det i strid med artikeln föreligger en intressekonflikt mellan rollen som dataskyddsombud och dataskyddsombudets övriga uppgifter och uppdrag inom organisationen. IMY har inte granskat huruvida socialnämnden i övrigt uppfyller artiklarna 37–39 i dataskyddsförordningen utifrån tidigare lämnade svar.

Vad socialnämnden har uppgett

Socialnämnden har i huvudsak uppgett följande. Utöver rollen som dataskyddsombud för socialnämnden är dataskyddsombudet anställd som förvaltningsjurist vid socialförvaltningen i Stockholms stad. Rollen som förvaltningsjurist innebär att vara rådgivare i förvaltningsjuridiska frågor. Det handlar främst om frågor inom förvaltningsrätt, kommunaljuridik, sekretessregler, besvarande av remisser samt delta med expertis vid framtagande av riktlinjer, hanteringsanvisningar och lokala föreskrifter. Varken rollen som förvaltningsjurist eller rollen som dataskyddsombud tillhör högsta ledningen och innebär inte att vara delaktig i beslut om ändamål och medel för personuppgiftsbehandlingar. Arbetsuppgifter som kan leda till intressekonflikter mellan rollerna har hanterats av annan, till exempel enhetschef och juridiska avdelningen vid stadsledningskontoret i Stockholms stad.

Motivering av beslutet

Tillämpliga bestämmelser m.m.

Rollen som dataskyddsombud regleras i artiklarna 37–39 i dataskyddsförordningen. Dataskyddsombudet ska bland annat informera och ge råd inom organisationen om tillämplig dataskyddslagstiftning, övervaka organisationens efterlevnad av dataskyddslagstiftningen och interna styrdokument, ge råd om konsekvensbedömningar samt vara kontaktperson för tillsynsmyndigheten. Dataskyddsombudet ska vara oberoende och självständig i utförandet av sina arbetsuppgifter, vilket framgår av skäl 97.

Dataskyddsombudet får enligt artikel 38.6 i dataskyddsförordningen fullgöra andra uppgifter och uppdrag utöver rollen som dataskyddsombud. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska se till att sådana uppgifter inte leder till en intressekonflikt.

Av artikel 29-gruppens riktlinjer om dataskyddsombud framgår följande om artikeln:

Kravet att det inte får föreligga intressekonflikter är nära kopplat till kravet att dataskyddsombuden ska kunna agera på ett oberoende sätt. Även om dataskyddsombud får ha andra funktioner, kan de anförtros andra uppgifter och uppdrag endast på villkor att de inte ger upphov till intressekonflikter. Detta innebär särskilt att dataskyddsombudet inte kan inneha en sådan tjänst inom

organisationen som innebär att han eller hon fastställer ändamålen med och medlen för behandlingen av personuppgifter. Detta måste avgöras från fall till fall beroende på hur organisationen är strukturerad.

Som en tumregel kan motstridiga befattningar inom organisationen vara befattningar i högsta ledningen (t.ex. verkställande direktör, högste verkställande beslutsfattare, finansdirektör, chefsläkare, marknadsföringschef, personalchef eller it-chef), men även andra funktioner lägre i organisationsstrukturen, om sådana befattningar eller funktioner innebär att dataskyddsombudet fastställer ändamålen med och medlen för behandlingen av personuppgifter.

EU-domstolen har i målet X-FAB Dresden förtydligat att dataskyddsombudet inte kan anförtros uppgifter och uppdrag som kan skada fullgörandet av de uppgifter som han eller hon utför i egenskap av dataskyddsombud. Detta eftersom artikel 38.6 i dataskyddsförordningen syftar till att bevara dataskyddsombudets funktionella oberoende och därmed säkerställa effektiviteten hos bestämmelserna i dataskyddsförordningen. Bedömningen av om ett visst uppdrag riskerar att leda till en intressekonflikt med uppdraget som dataskyddsombud ska göras utifrån relevanta omständigheter i det enskilda fallet, bland annat mot bakgrund av den personuppgiftsansvariges eller personuppgiftsbiträdes organisatoriska struktur och dess interna regler/policys.

Integritetsskyddsmyndighetens bedömning

Den fråga som IMY ska ta ställning till är om det föreligger en intressekonflikt mellan rollen som dataskyddsombud för socialnämnden och rollen som förvaltningsjurist vid socialförvaltningen i Stockholms stad.

Av utredningen i ärendet framgår att dataskyddsombudet även arbetar som förvaltningsjurist vid socialförvaltningen, vilket enligt socialnämnden innebär rådgivande arbetsuppgifter som främst rör förvaltningsjuridiska frågor. Rollen som förvaltningsjurist innebär därför inte i normalfallet att frågor om dataskydd aktualiseras och hanteras. I den mån dataskyddsfrågor skulle aktualiseras ser IMY en möjlig intressekonflikt genom att dataskyddsombudet i dessa fall skulle involveras i det dataskyddsarbete som denne i rollen som dataskyddsombud har i uppdrag att granska. Socialnämnden har dock beskrivit att när nämnden har identifierat en sådan risk har åtgärder vidtagits i form av att till exempel en enhetschef eller annan avdelning inom organisationen har hanterat arbetsuppgifterna knutna till dataskydd. IMY understryker vikten av att eventuella situationer där det kan föreligga en intressekonflikt mellan de olika rollerna uppmärksammas och ser positivt på att socialnämnden har arbetssätt för att hantera sådana situationer.

Mot bakgrund av ovanstående bedömer IMY att det inte föreligger en intressekonflikt mellan rollen som dataskyddsombud för socialnämnden och rollen som förvaltningsjurist vid socialförvaltningen. Utredningen i ärendet visar därmed inte att socialnämnden i Stockholms stad har brustit i efterlevnaden av artikel 38.6 i dataskyddsförordningen.

Ärendet avslutas.

Detta beslut har fattats av enhetschefen Nidia Nordenström efter föredragning av juristen Shirin Daneshgari Nejad. Vid den slutliga handläggningen har även tillförordnade rättschefen Cecilia Agnehall medverkat.

Nidia Nordenström, 2024-06-27 (Det här är en elektronisk signatur)

Kopia till

Dataskyddsombudet

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.