Dataskyddsombudens roll och ställning – socialnämnden i Örebro

IMY-2023-7963 Beslut efter tillsyn enligt

dataskyddsförordningen – Socialnämnden i Örebro kommun

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten konstaterar att Socialnämnden i Örebro kommun, har överträtt artiklarna 38.1, 38.2 och 38.3 i dataskyddsförordningen genom att inte ha

- säkerställt att dataskyddsombudet på ett korrekt sätt och i god tid deltar i alla frågor som rör skyddet av personuppgifter, - stöttat dataskyddsombudet i utförandet av de uppgifter som avses i artikel 39 i dataskyddsförordningen genom att tillhandahålla de resurser som krävs för att fullgöra dessa uppgifter, samt - säkerställt att dataskyddsombudet rapporterar direkt till socialnämndens högsta förvaltningsnivå.

Integritetsskyddsmyndigheten beslutar att ge Socialnämnden i Örebro kommun en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

Redogörelse för tillsynsärendet

Bakgrund m.m.

Den europeiska dataskyddsstyrelsen (EDPB) har under 2023 genomfört en samordnad åtgärd i syfte att undersöka om dataskyddsombuden har den roll samt de resurser som förutsätts enligt artiklarna 37–39 i dataskyddsförordningen. Integritetsskyddsmyndigheten (IMY) har deltagit i den samordnade åtgärden och genomfört den i form av tillsyn mot ett femtiotal personuppgiftsansvariga. Det är mot denna bakgrund som IMY har inlett tillsyn mot Socialnämnden i Örebro kommun (härefter socialnämnden).

Frågorna har sin grund i ett frågeformulär som EDPB har skapat inom ramen för den samordnade åtgärden.

Målet med en samordnad åtgärd som denna har varit att i bred mening underlätta gemensamma åtgärder på ett flexibelt men samordnat sätt, allt ifrån att öka den gemensamma medvetenheten och samla in information till att kontrollera verkställighet och utföra gemensamma utredningar. Detta möjliggör riktad uppföljning och åtgärder både på nationell nivå och genom EDPB. Resultatet från granskningen har sammanställts i en rapport från EDPB.

Av de tillsyner som IMY inlett inom ramen för den samordnade åtgärden har myndigheten gått vidare med ett mindre urval för att göra en fördjupad granskning av några frågeställningar. Denna tillsyn är ett av dessa ärenden och IMY har sett anledning att ställa fördjupade frågor till socialnämnden, i egenskap av personuppgiftsansvarig, om artiklarna 38.1, 38.2 och 38.3 tredje meningen i dataskyddsförordningen. Syftet har varit att utreda om socialnämnden har uppfyllt sina skyldigheter i enlighet med dessa bestämmelser. IMY har inte granskat huruvida socialnämnden i övrigt uppfyller artiklarna 37–39 i dataskyddsförordningen utifrån tidigare lämnade svar.

Uppgifter från socialnämnden

Av socialnämndens yttranden daterade den 29 juni och den 12 december 2023 framgår bland annat följande.

Socialnämnden har utsett dataskyddsombud i enlighet med artikel 37.1 a i dataskyddsförordningen. Dataskyddsombudet arbetar i huvudsak, genom konsultation och rekommendationer, på ett korrekt sätt i frågor rörande personuppgiftsincidenter och för detta finns bland annat en rutin för hantering av personuppgiftsincidenter.

Vad avser frågor som rör behandling och skydd av personuppgifter i organisationen involveras och konsulteras dataskyddsombudet dock alldeles för sällan och i princip alltid för sent i processerna. Socialnämnden har till exempel varit på väg att outsourca starkt sekretesskyddade uppgifter via en molntjänstleverantör och dataskyddsombudet involverades först i slutet av pågående upphandling. Dataskyddsombudet kunde då påpeka brister och avråda från åtgärden innan nödvändiga analyser utifrån dataskydd, informationssäkerhet och sekretess genomförts. Socialnämnden bjöd därefter in dataskyddsombudet till konsekvensbedömningen med två dagars varsel, vilket ledde till att dataskyddsombudet inte hade möjlighet att övervaka genomförandet eller ge råd. Konsekvensbedömningen genomfördes i dataskyddsombudets frånvaro. Att dataskyddsombudet blir kontaktad för sent är ett problem i hela organisationen, dvs. i alla 13 nämnder. De resurser som finns är inte tillräckliga för att dataskyddsombudet ska kunna fullgöra sina uppgifter. Det finns inte heller någon struktur för dataskyddsombudets rapportering till personuppgiftsansvariga nämnder, däribland socialnämnden. Dataskyddsombudet har endast hunnit med en rapport till personuppgiftsansvariga nämnder sedan 2018, där bland annat tidsbrist har lyfts som ett problem och att det uppstår långa väntetider för de flesta verksamheterna. Det finns inte tid för att rapportera.

Målsättningen är att samtliga förvaltningar inom kommunen ska vara väl införstådda med att tidig kontakt med dataskyddsombudet är en förutsättning för exempelvis de

analyser kommunen enligt dataskyddsförordningen behöver genomföra rörande frågor som hanterar skydd av personuppgifter. Ett arbete med en informationshanteringsplan för samtliga enheter är påbörjad. Ett konsultstöd finns nu också på plats och kommer att hjälpa till att utveckla stödet till kommunens samtliga nämnder och förvaltningar. Under 2024 kommer en ny dataskyddorganisation byggas upp och den blir, tillsammans med ett strukturerat arbetssätt kring bland annat årshjul för granskning, grund för fortsatt bedömning av resursåtgång för dataskyddsombudets uppdrag i hela kommunen. Vidare ska en rutin för dataskyddsombudets regelbundna rapporter till den personuppgiftsansvariges högsta förvaltningsnivå skyndsamt formuleras med målsättning att tas i bruk från 2024.

Motivering av beslutet

Tillämpliga bestämmelser

De grundläggande principerna för behandling av personuppgifter anges i artikel 5.1 i dataskyddsförordningen. Av artikel 5.2. framgår att det är den personuppgiftsansvarige som ska ansvara för och kunna visa att de grundläggande principerna i artikel 5.1 efterlevs. Detta utgör den så kallade principen om ansvarsskyldighet.

Rollen som dataskyddsombud regleras i artiklarna 37–39 i dataskyddsförordningen. Av artikel 37.1 a i dataskyddsförordningen följer att den personuppgiftsansvarige och personuppgiftsbiträdet under alla omständigheter ska utnämna ett dataskyddsombud om behandlingen genomförs av en myndighet eller ett offentligt organ, förutom när detta sker som en del av domstolarnas dömande verksamhet.

Enligt artikel 38.1 i dataskyddsförordningen ska den personuppgiftsansvarige och personuppgiftsbiträdet säkerställa att dataskyddsombudet på ett korrekt sätt och i god tid deltar i alla frågor som rör skyddet av personuppgifter.

Enligt artikel 38.2 i dataskyddsförordningen ska den personuppgiftsansvarige och personuppgiftsbiträdet stödja dataskyddsombudet i utförandet av de uppgifter som avses i artikel 39 genom att tillhandahålla de resurser som krävs för att fullgöra dessa uppgifter samt tillgång till personuppgifter och behandlingsförfaranden, samt i upprätthållandet av dennes sakkunskap.

Av artikel 38.3 i dataskyddsförordningen följer att den personuppgiftsansvarige och personuppgiftsbiträdet ska säkerställa att dataskyddsombudet inte tar emot instruktioner som gäller utförandet av dessa uppgifter. Han eller hon får inte avsättas eller bli föremål för sanktioner av den personuppgiftsansvarige eller personuppgiftsbiträdet för att ha utfört sina uppgifter. Dataskyddsombudet ska rapportera direkt till den personuppgiftsansvariges eller personuppgiftsbiträdets högsta förvaltningsnivå.

I artikel 39.1 i dataskyddsförordningen framgår minimikraven på vilka uppgifter som dataskyddsombudet ska ha. Dessa inkluderar bland annat att informera och ge råd om organisationens skyldigheter på datasskyddområdet, att övervaka organisationens efterlevnad av dataskyddsförordningen och andra tillämpliga dataskyddsbestämmelser samt att på begäran ge råd vad gäller konsekvensbedömningen avseende dataskydd och övervaka genomförandet av den. Av artikel 39.2 i dataskyddsförordningen anges att dataskyddsombudet vid utförandet av sina uppgifter ska ta vederbörlig hänsyn till de risker som är förknippade med behandling, med beaktande av behandlingens art, omfattning, sammanhang och syften.

Integritetsskyddsmyndighetens bedömning

Enligt principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen åligger det den personuppgiftsansvarige att visa att dataskyddsreglerna efterlevs. IMY ska ta ställning till om socialnämnden har fullgjort sina skyldigheter enligt artikel 38.1, 38.2 och 38.3 tredje meningen i dataskyddsförordningen.

Dataskyddsombudets involvering

Den personuppgiftsansvarige och personuppgiftsbiträdet är enligt artikel 38.1 i dataskyddsförordningen skyldig att säkerställa att dataskyddsombudet på ett korrekt sätt och i god tid deltar i alla frågor som rör skyddet av personuppgifter.

Av kommentaren till dataskyddsförordningen framgår bland annat följande. Det är av stor vikt att dataskyddsombudet involveras i god tid. Det måste finnas en reell chans att eventuella råd eller rekommendationer från dataskyddsombudet kan implementeras innan en personuppgiftsbehandling påbörjas. Det bör finnas interna rutiner för att säkerställa att dataskyddsombudet involveras i god tid. Den personuppgiftsansvarige måste också säkerställa att dataskyddsombudet får all relevant information som han eller hon behöver för att kunna göra sin bedömning, till exempel en beskrivning av den tilltänkta behandlingen och ändamålet med den.

Vidare framgår av artikel 29-gruppens riktlinjer om dataskyddsombud bland annat följande. Det är viktigt att dataskyddsombudet görs delaktig så tidigt som möjligt i alla frågor som rör dataskydd. Att säkerställa att dataskyddsombudet informeras och rådfrågas redan från början underlättar bland annat efterlevnaden av dataskyddsförordningen. Dataskyddsombudet bör dessutom ses som en diskussionspartner inom organisationen och han eller hon bör ingå i relevanta arbetsgrupper som hanterar olika dataskyddsfrågor och/eller behandlar personuppgifter inom organisationen. Utöver detta bör den personuppgiftsansvarige säkerställa att dataskyddsombudet regelbundet bjuds in att delta i möten på högsta och mellanliggande förvaltningsnivå samt när beslut som får följder för dataskyddet fattas, så att han eller hon kan ge lämpliga råd och rekommendationer. Dataskyddsombudets åsikt ska alltid ges tillbörlig vikt.

Av EDPB:s rapport framgår att dataskyddsombudets roll inom organisationen bör framhävas för att säkerställa att han eller hon ses som ett nödvändigt och effektivt stöd för den personuppgiftsansvarige. Den personuppgiftsansvarige bör också aktivt granska och vid behov förbättra dataskyddsombudens engagemang inom organisationen.

Socialnämnden har uppgett och varit tydliga med att dataskyddsombudet har involverats för sällan och för sent i processerna vad avser frågor som rör behandling och skydd av personuppgifter i organisationen. Vid åtminstone ett tillfälle har en allt för sen kontakt med dataskyddsombudet lett till att dataskyddsombudet inte haft möjlighet att ge sina råd och rekommendationer. Att dataskyddsombudet inte ges rätt förutsättningar för att kunna fullgöra sitt uppdrag i samband med förändringar som rör skyddet för personuppgifter medför risker ur ett dataskyddsperspektiv. IMY delar socialnämndens bedömning att dataskyddsombudet inte har involverats i tillräcklig

utsträckning i frågor som rör behandling och skydd av personuppgifter i organisationen.

Mot bakgrund av vad som framkommit i ärendet bedömer IMY att socialnämnden överträtt artikel 38.1 i dataskyddsförordningen genom att inte ha säkerställt att dataskyddsombudet på ett korrekt sätt och i god tid deltar i alla frågor som rör skyddet av personuppgifter.

Resurser till dataskyddsombudet

Den personuppgiftsansvarige och personuppgiftsbiträdet är enligt artikel 38.2 i dataskyddsförordningen skyldiga att stödja dataskyddsombudet i utförandet av de uppgifter som framgår av artikel 39 genom att tillhandahålla tillräckliga resurser till honom eller henne.

Av artikel 29-gruppens riktlinjer om dataskyddsombud framgår bland annat följande. Dataskyddsombudet behöver ett aktivt stöd från organisationens högsta ledning avseende dataskyddsombudets arbete och roll inom organisationen. Det är också viktigt att dataskyddsombudet ges tillräckligt med tid att utföra sina uppgifter. Även stöd och information från andra delar av organisationen kan behövas för att hjälpa dataskyddsombudet med frågor som han eller hon ställs inför men inte själv har tillräcklig kunskap om, till exempel rörande IT eller säkerhet. Dataskyddsombudet behöver också få möjlighet, och uppmuntras, till fortbildning för att behålla och utveckla sin expertkunskap. Även ekonomiska resurser, infrastruktur (till exempel lokaler och utrustning) och i förekommande fall personal behövs. Beroende på organisationens storlek och struktur kan det vara nödvändigt att skapa en dataskyddsgrupp. Generellt sett gäller att ju mer komplex och/eller känslig behandlingen är, desto mer resurser bör den personuppgiftsansvarige ge dataskyddsombudet.

Av EDPB:s rapport framgår bland annat att den personuppgiftsansvarige eller personuppgiftsbiträdet måste göra en bedömning från fall till fall vilka resurser som dataskyddsombudet behöver. Dessa bedömningar bör även dokumenteras. Resursbehovet bör därefter också utvärderas, för att se om samma behov kvarstår eller om förändringar behöver göras.

Socialnämnden har uppgett att det inte funnits tillräckliga resurser för att dataskyddsombudet ska kunna fullgöra sina uppgifter. Socialnämnden har dock inte, trots att IMY ställt frågor om detta och efterfrågat ett förtydligande, uppgett på vilket sätt resurserna inte har varit tillräckliga. Något klargörande i övrigt angående hur socialnämnden har arbetat med resurstilldelning har inte heller lämnats. Utifrån vad som framkommit i ärendet är det dock klart att det till exempel inte funnits tid att rapportera till den högsta förvaltningsnivån. IMY konstaterar att de resurser som tilldelats dataskyddsombudet, såvitt framkommit, inte varit tillräckliga vilket också stämmer överens med socialnämndens egen bedömning.

Mot bakgrund vad som framkommit i ärendet bedömer IMY således att socialnämnden överträtt artikel 38.2 i dataskyddsförordningen genom att inte ha stöttat dataskyddsombudet i utförandet av de uppgifter som avses i artikel 39 i dataskyddsförordningen genom att tillhandahålla de resurser som krävs för att fullgöra dessa uppgifter.

Rapportering till högsta förvaltningsnivån

Dataskyddsombudet ska enligt artikel 38.3 tredje meningen i dataskyddsförordningen rapportera direkt till den personuppgiftsansvariges eller personuppgiftsbiträdets högsta förvaltningsnivå.

Av artikel 29-gruppens riktlinjer om dataskyddsombud framgår bland annat följande. I artikel 38.3 i dataskyddsförordningen fastställs vissa grundläggande garantier för att säkerställa att dataskyddsombudet kan fullgöra sitt uppdrag och utföra sina uppgifter på ett tillräckligt självständigt sätt inom organisationen. En del i detta är dataskyddsombudets rapporteringsskyldighet. Om den personuppgiftsansvarige eller personuppgiftsbiträdet fattar beslut som är oförenliga med dataskyddsförordningen och dataskyddsombudets råd bör dataskyddsombudet klargöra sin avvikande ståndpunkt genom att skriva ett yttrande riktat till den högsta förvaltningsnivån och till dem som fattar besluten. Sådan direkt rapportering säkerställer att den högsta ledningen är medveten om dataskyddsombudets råd och rekommendationer, som en del av hans eller hennes uppdrag enligt artikel 39.1. Ett annat exempel på direkt rapportering är att dataskyddsombudet upprättar en årlig rapport om sin verksamhet som sedan överlämnas till den högsta ledningen.

Vidare anges bland annat följande i EDPB:s rapport. Det finns inte något hinder mot att rapporteringen sker muntligt, men en skriftlig rapportering ger bland annat en bättre spårbarhet. Om rapportering inte sker regelbundet finns det en risk att den högsta ledningen inte får tillräcklig information om dataskyddsombudets arbete eller avseende dataskyddsfrågor generellt, vilket kan bli problematiskt för den personuppgiftsansvarige eller personuppgiftsbiträdet då dessa vid överträdelser av dataskyddsförordningen kan drabbas av tillsynsmyndighetens korrigerande befogenheter.

Socialnämnden har uppgett att det inte finns någon struktur för dataskyddsombudets rapportering till den högsta förvaltningsnivån och att det bara har upprättats en rapport till de personuppgiftsansvariga nämnderna sedan 2018. Det har visserligen inte framkommit om eller hur dataskyddsombudet på något annat sätt, dvs. utöver en rapport, har rapporterat till den högsta förvaltningsnivån, men socialnämnden har uppgett att det utöver att struktur för rapportering saknas inte finns tid att rapportera. IMY konstaterar därför att det inte har skett någon regelbunden eller tillräcklig rapportering till den högsta förvaltningsnivån samt att, såvitt framkommit, det inte heller funnits interna rutiner som säkerställer att dataskyddsombudet rapporterar och har direkt tillgång till den högsta förvaltningsnivån.

Mot bakgrund av detta bedömer IMY att socialnämnden överträtt artikel 38.3 i dataskyddsförordningen genom att inte ha säkerställt att dataskyddsombudet rapporterar direkt till socialnämndens högsta förvaltningsnivå.

Socialnämndens åtgärder med anledning av IMY:s tillsyn

IMY noterar avseende de konstaterade överträdelserna att socialnämnden, enligt vad som uppgetts i yttrandet den 12 december 2023, har anlitat ett konsultstöd och påbörjat ett arbete med att bygga upp en dataskyddorganisation samt avser att utvärdera dataskyddsombudets resursbehov. Vidare har socialnämnden påbörjat ett arbete med en informationshanteringsplan med målsättningen att samtliga förvaltningar inom kommunen ska känna till att en tidig kontakt med dataskyddsombudet krävs i frågor som rör skydd av personuppgifter. Socialnämnden

har även uppgett att det nu har inletts ett arbete med att upprätta en intern rutin för dataskyddets regelbundna rapporter till den högsta förvaltningsnivån.

Val av ingripande

IMY har gjort bedömningen att socialnämnden har överträtt artiklarna 38.1, 38.2 och 38.3 i dataskyddsförordningen. Av artikel 58.2 och 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra en administrativ sanktionsavgift. Beroende på omständigheterna i det enskilda fallet ska en administrativ sanktionsavgift påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel ett föreläggande eller ett förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om en administrativ sanktionsavgift ska påföras och vid bestämmande av avgiftens storlek. Om det är frågan om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY konstaterar följande relevanta omständigheter.

De konstaterade överträdelserna har pågått under i vart fall sex månader; mellan den 29 juni 2023, när socialnämndens första yttrande är daterat, och den 12 december 2023, när socialnämndens kompletterande yttrande är daterat.

Att dataskyddsombudet inte getts möjlighet att uppfylla sitt uppdrag enligt dataskyddsförordningen har enligt IMY medfört risker för personuppgiftsbehandlingen inom organisationen. Det gäller inte minst i en organisation som socialnämnden, där det kan bli fråga om behandlingar av både komplex och känslig natur. IMY konstaterar dock att de konstaterade överträdelsernas varaktighet är relativt begränsad. Vidare beaktar IMY att socialnämnden till följd av den aktuella tillsynen inlett vissa åtgärder för att framgent säkerställa efterlevnaden av artiklarna 38.1–3 i dataskyddsförordningen. Det kan även konstateras att socialnämnden inte tidigare, i nu relevant avseende, överträtt dataskyddsbestämmelserna.

Mot denna bakgrund bedömer IMY att det är fråga om mindre överträdelser i den mening som avses i skäl 148 i dataskyddsförordningen. Socialnämnden ska därför ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för de konstaterade överträdelserna.

Detta beslut har fattats av enhetschefen Nidia Nordenström efter föredragning av juristen Mika Kortzon. Vid den slutliga handläggningen har även den tillförordnade rättschefen Cecilia Agnehall deltagit.

Nidia Nordenström, 2024-06-27 (Det här är en elektronisk signatur)

Kopia till

Socialnämndens dataskyddsombud

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.