Det är en vanlig missuppfattning att IT-avdelningen eller dataskyddsombudet "äger" ansvaret. Lagstiftningen är tydlig: det är den juridiska personen, i kommunal kontext oftast respektive nämnd (t.ex. Kommunstyrelsen, Utbildningsnämnden), som är personuppgiftsansvarig (PUA).

PUA har ansvaret att:

• Laglig grund: Säkerställa att det finns stöd i lagen för alla behandlingar.
• Information: Informera de registrerade om hur deras uppgifter hanteras.
• Säkerhet: Upprätthålla säkerheten genom tekniska och organisatoriska åtgärder.
• Incidenter: Rapportera personuppgiftsincidenter till IMY.

Personuppgiftsansvarig i kommunal verksamhet

Inom kommunen är det nämnderna som är personuppgiftsansvariga för sina respektive verksamhetsområden. Detta regleras i nämndernas reglementen.

I praktiken delegeras arbetsuppgifterna till förvaltningschefer och verksamhetsansvariga, men det juridiska ansvaret stannar hos nämnden. Detta ställer krav på att förtroendevalda politiker får utbildning och regelbunden återrapportering om dataskyddsstatusen i verksamheten.

Vem bestämmer? (Kontroll och Inflytande)

Begreppet personuppgiftsansvarig avgörs inte av titel eller avtal, utan av vem som i praktiken bestämmer varför och hur personuppgifter behandlas.

Källa: EDPB, Riktlinjer 07/2020.

Alla offentliga myndigheter är skyldiga att utse ett dataskyddsombud. DSO:s roll är att vara en oberoende granskare och rådgivare, inte att utföra det operativa arbetet.

DSO:s kärnuppgifter:

För att brygga gapet mellan den strategiska nivån (Nämnden/DSO) och den dagliga verksamheten (handläggare/lärare/vårdpersonal), har många organisationer inrättat roller som dataskyddssamordnare eller datakontaktpersoner.

Dataskyddssamordnare (DSS)

Denna titel används frekvent inom universitet, regioner och större kommuner. Exempelvis har Lunds universitet, Stockholms universitet och Region Uppsala formaliserat rollen som dataskyddssamordnare.

Central DSS: Arbetar ofta på stabsnivå, nära DSO eller säkerhetsfunktionen, med ansvar för myndighetsövergripande processer, mallar och utbildningar.
Lokal DSS: Finns ute på en institution, förvaltning eller klinik. Deras fokus är implementering i den specifika verksamheten.

Varför behövs rollen? – "Missing Link"

Behovet av dataskyddssamordnare har uppstått ur en strukturell nödvändighet. DSO får inte utföra det operativa arbetet (jäv). Den ytterst ansvariga (PuA) saknar i regel den operativa förmågan och tiden. Förvaltningschefen behöver en resurs som gör jobbet. Denna resurs är dataskyddssamordnaren.

Samordnarens uppgifter:

• Registervård: Hålla registerförteckningen uppdaterad.
• Incidenthantering: Leda incidenthanteringen lokalt.
• Riskfångst: Fånga upp behov av konsekvensbedömningar (DPIA).
• Utbildning: Sprida information och utbildning från central nivå.

Samspel med Dataskyddsombudet (DSO)

• Rapportering: Samordnare förser DSO med information om förändringar i verksamheten, nya system, och incidenter.
• Stöd: DSO ger samordnaren juridisk tolkning och råd.
• Oberoende: Samordnaren måste respektera att DSO ibland måste inta en granskande roll gentemot samordnarens förvaltning.

Enligt GDPR artikel 30 måste alla myndigheter föra ett register över sina behandlingar. Detta är inte bara en lista på IT-system, utan en karta över hur och varför data flödar genom organisationen.

Utan en uppdaterad och korrekt förteckning är det i praktiken omöjligt att uppfylla andra skyldigheter i förordningen, såsom att hantera de registrerades rättigheter (artikel 15–22), utföra konsekvensbedömningar (DPIA) enligt artikel 35, eller hantera personuppgiftsincidenter enligt artikel 33. Registerförteckningen fungerar som organisationens minne och karta, vilket möjliggör transparens gentemot medborgarna och kontroll för tillsynsmyndigheten Integritetsskyddsmyndigheten (IMY).

Krav på innehåll och kvalitet

För att en registerförteckning ska uppfylla kraven i artikel 30 måste specifika datamängder inkluderas. Nedan följer en genomgång av de sex viktigaste komponenterna:

Att genomföra inventeringen - Tips för workshops

Verksamhetsansvariga kan sällan GDPR-terminologi. Bjud in till workshop och ställ operativa frågor som ni sedan översätter.

Strategisk Användning

En korrekt förteckning är inte byråkrati – det är er karta för att navigera rätt.

Trots förebyggande arbete sker incidenter. Det kan vara en borttappad tjänstetelefon, ett dataintrång, eller – vanligast av allt – ett brev eller mejl med känsliga uppgifter som skickas till fel mottagare ("den mänskliga faktorn").

"En säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats"

Artikel 29-gruppen har delat in personuppgiftsincidenter i tre olika kategorier: konfidentialitetsbrott, integritetsbrott och tillgänglighetsbrott. Detta brukar även kallas för CIA-triaden (Confidentiality, Integrity, Availability).

Tre typer av incidenter (CIA-triaden)

Lagkrav på hantering (Artikel 33-34)

Enligt GDPR måste organisationer ha system för att upptäcka incidenter. Om en incident inträffar avgör allvarlighetsgraden vilka åtgärder som krävs:

Incidentprocessen – Steg för steg

En av de största förändringarna med GDPR var skiftet från att söka tillstånd till att själv bedöma risker. Detta görs genom en Konsekvensbedömning avseende dataskydd (Data Protection Impact Assessment - DPIA).

När krävs en DPIA?

En konsekvensbedömning måste inte genomföras för alla typer av personuppgiftsbehandlingar. Skyldigheten inträder för sådana typer av personuppgiftsbehandlingar som definieras i artikel 35.1 GDPR. I artikeln stadgas att en DPIA krävs om en behandling sannolikt leder till en hög risk för de registrerades integritet.

För att avgöra om en konsekvensbedömning måste genomföras kan man inledningsvis kolla på artikel 35.3 i GDPR, där det listas tre olika exempel på omständigheter som innebär att personuppgiftsbehandlingen sannolikt innebär hög risk för de registrerade. Föreligger någon av dessa omständigheter ska man med andra ord genomföra en konsekvensbedömning.

Artikel 29-gruppen samt IMY har publicerat riktlinjer där de utvecklar hur den inledande riskbedömningen ska genomföras. Detta innebär att, utöver de tre områdena, omständigheterna som räknas upp ovan, och där det räcker att en är tillämplig för att kravet på en konsekvensbedömning ska bli aktuellt, så räknas i dessa riktlinjer upp ytterligare nio omständigheter som ska beaktas. Om två eller fler av dessa är tillämpliga på en personuppgiftsbehandling, så stadgas i dessa riktlinjer att det sannolikt föreligger hög risk, och att en konsekvensbedömning därmed ska genomföras. De omständigheter som räknas upp är följande:

Vad ska en konsekvensbedömning innehålla?

Enligt artikel 35.7 ska en konsekvensbedömning innehålla:

Vad händer efter bedömningen?

När konsekvensbedömningen är gjord är nästa steg att försöka åtgärda de identifierade riskerna. I de allra flesta fall kan organisationen sänka risken till en godtagbar nivå genom tekniska eller organisatoriska åtgärder, exempelvis genom kryptering eller begränsad åtkomst. Om risken framgångsrikt reduceras kan behandlingen påbörjas utan inblandning av myndigheter.

När krävs förhandssamråd? (Artikel 36)

Det finns dock situationer där konsekvensbedömningen visar att risken är hög, och där organisationen – trots försök till åtgärder – inte lyckas sänka risken. Om det föreligger en kvarstående hög risk träder kravet på förhandssamråd in.

Detta innebär att:

• Behandlingen får inte påbörjas.
• Organisationen måste kontakta Integritetsskyddsmyndigheten (IMY) för att samråda.
• IMY granskar ärendet och avgör om behandlingen får genomföras och under vilka villkor.

Lärdomar från Praxis: Analys av Sanktionsbeslut

IMY:s tillsynsbeslut fungerar som prejudikat och ger viktig vägledning.

När ni anlitar en extern part för att behandla personuppgifter måste ni teckna ett PUB-avtal.

Kravet enligt Artikel 28.3:
Kravet att ingå ett så kallat personuppgiftsbiträdesavtal med sina personuppgiftsbiträden framgår av artikel 28.3 i GDPR. Där framgår att om personuppgifter ska behandlas av ett personuppgiftsbiträde så ska hanteringen av personuppgifter regleras genom ett avtal eller en annan rättsakt.

Vad är ett personuppgiftsbiträde?

Vad måste avtalet innehålla? (Artikel 28.3)

Enligt artikel 28.3 i GDPR ska följande omständigheter regleras i personuppgiftsbiträdesavtalet:

• att personuppgiftsbiträdet endast får behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvarige,
• att personuppgiftsbiträdet säkerställer att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt,
• att lämpliga säkerhetsåtgärder enligt artikel 32 i GDPR vidtas,
• att personuppgiftsbiträdet enbart får anlita underbiträden med ett allmänt eller ett särskilt skriftligt tillstånd från den personuppgiftsansvarige,
• att personuppgiftsbiträdet vid anlitandet av ett underbiträde säkerställer att denne åläggs samma skyldigheter som ålagts personuppgiftsbiträdet enligt personuppgiftsbiträdesavtalet,
• att personuppgiftsbiträdet med tanke på behandlingens art, ska hjälpa den personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder, i den mån detta är möjligt, så att den personuppgiftsansvarige kan fullgöra sin skyldighet att svara på begäran om utövande av den registrerades rättigheter,
• att personuppgiftsbiträdet ska bistå den personuppgiftsansvarige med att se till att skyldigheterna enligt artiklarna 32–36 fullgörs, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå,
• att personuppgiftsbiträdet vid avslutat förhållande antingen ska återlämna eller radera personuppgifterna beroende på vad den personuppgiftsansvarige väljer, och
• att personuppgiftsbiträdet ska ge den personuppgiftsansvarige tillgång till all information som krävs för att visa att de skyldigheter som fastställs i denna artikel har fullgjorts samt möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av den personuppgiftsansvarige eller av en annan revisor som bemyndigats av den personuppgiftsansvarige.

Samordnarens checklista:

• Finns PUB-avtal för alla externa tjänster?
• Är leverantörens säkerhetsåtgärder granskade?
• Följer vi upp biträdena (tillsyn)?

Vad är en dataskyddskultur?

Dataskyddskultur handlar om de gemensamma värderingar, attityder och beteenden som finns i en organisation gällande hantering av personuppgifter. Man brukar säga att dataskydd handlar till 90% om beteende och bara 10% om teknik.

Hur bygger man en dataskyddskultur?

Enligt forskning och vägledning från bland annat IMY och eSam, bygger man kultur genom följande steg:

Konkreta Aktiviteter

För att säkerställa att alla moment genomförs regelbundet bör arbetet styras via ett årshjul. Baserat på praxis från bland annat Stockholms stad kan ett årshjul struktureras enligt följande:

Historiskt har säkerhetsarbete inom offentlig sektor ofta varit synonymt med tekniska barriärer – brandväggar, antivirus och nätverkssegmentering. KLASSA representerar ett paradigmskifte där fokus flyttas från tekniken till informationen i sig. Genom att anamma ett informationscentrerat perspektiv tvingas verksamheten först definiera vad som ska skyddas innan man beslutar om hur det ska skyddas. Detta är i linje med ISO/IEC 27000-serien, som utgör den internationella standarden för ledningssystem för informationssäkerhet (LIS), och som KLASSA är byggt för att stödja.

Systematiken i KLASSA bygger på insikten att all information inte är likvärdig. En matsedel för en skola har inte samma skyddsbehov som en orosanmälan inom socialtjänsten eller data om kritisk infrastruktur för vattenförsörjning. Att applicera samma höga säkerhetsnivå på all information skulle vara ekonomiskt ohållbart och hämma verksamhetens effektivitet. Omvänt skulle en för låg säkerhetsnivå på kritisk information kunna leda till katastrofala konsekvenser för individers integritet och samhällets funktionalitet. KLASSA fungerar därmed som ett verktyg för resursallokering och riskstyrning, där målet är att hitta den "lämpliga säkerhetsnivån" som efterfrågas i GDPR artikel 32.

2. Metodologiskt Ramverk för Informationsklassning

Informationsklassning är kärnprocessen i KLASSA och utgör fundamentet för allt efterföljande säkerhetsarbete. Processen syftar till att värdera informationstillgångar utifrån konsekvenserna av en potentiell säkerhetsincident. Det är en kvalitativ process som kräver djup verksamhetskunskap, varför ansvaret för klassningen alltid ligger på informationsägaren (ofta en verksamhetschef), inte på IT-avdelningen.

2.1 CIA-triaden (KRT) i Praktiken

Analysen i KLASSA struktureras kring de tre universella säkerhetsaspekterna inom informationssäkerhet, ofta benämnda CIA-triaden (Confidentiality, Integrity, Availability), eller på svenska KRT (Konfidentialitet, Riktighet, Tillgänglighet). För varje informationstillgång måste verksamheten besvara frågan: "Vilka blir konsekvenserna om denna aspekt brister?"

En fjärde aspekt, Spårbarhet, behandlas ofta integrerat i kravkatalogerna snarare än som en separat klassningsvariabel i huvudmatrisen, men är likväl kritisk för efterlevnad av GDPR och OSL.

2.2 Konsekvensnivåernas Taxonomi

KLASSA använder en fyrgradig skala (0-3 eller 1-4 beroende på version och lokal anpassning, men standardmodellen följer MSB/SIS) för att gradera konsekvenserna. Denna taxonomi är avgörande för att skapa jämförbarhet mellan olika förvaltningar och organisationer.

Nivå	Benämning	Beskrivning av Konsekvens	Exempel
0	Försumbar	Ingen eller marginell påverkan. Inga personuppgifter eller endast harmlös information.	Externa webbnyheter, matsedlar, öppen data, allmänna broschyrer.
1	Måttlig	Viss störning i verksamheten som kan hanteras med befintliga rutiner. Mindre ekonomisk förlust. Ingen bestående skada för individen.	Interna mötesanteckningar, icke-känsliga personuppgifter (t.ex. e-postlistor), administrativa dokument.
2	Betydande	Påtaglig störning som kräver extra resurser. Risk för förtroendeskada. Integritetsincidenter som kan leda till obehag eller materiell skada för individen men ej livshotande.	Löneuppgifter, elevhälsodata, avtal under förhandling, infrastrukturdata (ej kritisk).
3	Allvarlig	Kritisk störning av samhällsviktig verksamhet. Allvarlig skada på individ (liv, hälsa, omfattande integritetsintrång). Stora ekonomiska förluster / viten.	Patientjournaler, känsliga personuppgifter (GDPR art. 9), uppgifter om skyddad identitet, kritisk infrastruktur.

2.3 Aggregeringseffekter och Systemberoenden

En av de mer komplexa delarna i KLASSA-metodiken är hanteringen av aggregeringseffekter. En enskild uppgift (t.ex. ett namn och en adress) kanske har lågt skyddsvärde (Nivå 1). Men om en databas innehåller namn och adresser till alla invånare i en kommun, inklusive de med skyddad identitet, höjs skyddsvärdet drastiskt till Nivå 3. KLASSA stöder användaren i att identifiera dessa risker, särskilt vid analys av molntjänster där stora mängder data ofta centraliseras.

Aggregering kan ske på flera sätt:

• Mängd: Volymen av data ökar konsekvensen av ett läckage.
• Kombination: Två ofarliga uppgifter (t.ex. en fastighetsbeteckning och en lista över larmkunder) kan tillsammans avslöja var sårbara individer bor.
• Tid: Historiska data över lång tid kan möjliggöra profilering som är mer integritetskänslig än enstaka datapunkter.

Från analys till kravställning

När klassningen är gjord översätts den till en skyddsnivå. Denna nivå styr direkt vilka krav vi ställer vid upphandling och systemförvaltning.

Genom att använda KLASSA säkerställer vi att verksamheten och IT talar samma språk och att vi lägger resurserna på rätt skyddsåtgärder – varken för lite eller för mycket.