Kommuner hanterar varje dag stora mängder personuppgifter, ibland uppgifter som kräver ett särskilt starkt skydd – från socialtjänstens orosanmälningar till skolornas åtgärdsprogram. En policy är en viktig grund, men den behöver omsättas i arbetssätt som personalen förstår och kan använda. När Integritetsskyddsmyndigheten (IMY) granskar behöver kommunen kunna visa hur den arbetar med dataskydd. Struktur för utbildning, uppföljning och dokumentation kan ge dataskyddsombud, chefer och verksamheter ett bättre underlag i det arbetet.
Från centrala riktlinjer till vardagens beslut
Dataskyddsförordningen (GDPR) har varit verklighet i många år nu, men för kommunala förvaltningar är det fortfarande ett av de mest utmanande områdena att hantera i praktiken. Många kommuner har investerat i jurister och dataskyddsombud (DSO) som har formulerat juridiska riktlinjer. Men gapet mellan de centrala riktlinjerna och den stressade pedagogens eller handläggarens vardag kan vara stort.
Personuppgiftsincidenter kan uppstå på många sätt och behöver inte handla om avancerade angrepp. IMY nämner bland annat att personuppgifter skickas till fel mottagare, att datorer med personuppgifter förloras eller stjäls och att uppgifter ändras utan tillstånd. Ett Excel-dokument med elevers specialkost som skickas till fel mottagarlista, ett borttappat USB-minne med känsliga journaler eller en oförsiktig diskussion om ett klientärende i en öppen Facebook-grupp kan därför få allvarliga konsekvenser för de registrerade och skada medborgarnas förtroende. Den personuppgiftsansvariga ska bedöma och dokumentera incidenter; vissa incidenter ska anmälas till IMY. Vid tillsyn kan IMY besluta om korrigerande åtgärder eller, efter en bedömning i det enskilda fallet, sanktionsavgift.
Att årligen skicka ut ett mejl med en länk till kommunens dataskyddspolicy kan vara ett bra komplement, men ensamt ger det sällan medarbetaren möjlighet att träna på hur riktlinjerna används i situationer som uppstår i arbetet. Det kan också vara svårt att följa upp på ett enhetligt sätt. För kommunen är frågan därför hur policyn kopplas till roll, arbetsuppgifter, lokala rutiner och uppföljning. Läs gärna Klick Datas information om integritet och personuppgifter som en utgångspunkt för den som vill fördjupa sig i hur personuppgifter behandlas på webbplatsen.
Utbildning och uppföljning behöver passa verksamheten
En lärplattform som K3 kan, när innehåll, behörigheter och funktioner har satts upp enligt kommunens behov och avtal, användas för att tilldela dataskyddsutbildning till olika målgrupper. En rektor kan behöva andra exempel och rutiner än en bygglovshandläggare. För nyanställda kan den publicerade kursen Introduktion för nyanställda i offentlig tjänst ge en grund om bland annat offentlighet, sekretess och dataskydd. För en bredare planering av återkommande kompetensinsatser är Säkerhet, beredskap och IT ett relevant utbildningsområde.
Certifikat, genomförandestatus, kunskapsfrågor och påminnelser kan vara ett stöd när kommunen vill följa upp en beslutad utbildningsinsats. Vilka funktioner som används, vilka mottagare som omfattas, godkänd nivå och hur ofta utbildning repeteras behöver dock bestämmas av kommunen utifrån risker, roller, avtal och egna rutiner. GDPR anger inte ett generellt juridiskt intervall för repetition. Om K3-konfigurationen och avtalet omfattar påminnelser kan ansvariga också använda den funktionen; se FAQ:n Så skickar du påminnelser i Klick Data KLMS för att säkerställa att kurser genomförs.
Dokumentation är ett stöd – inte en garanti
Ett LMS ersätter inte kommunens ansvar enligt GDPR, dataskyddsombudets rådgivning eller behovet av organisatoriska och tekniska skyddsåtgärder. Däremot kan en korrekt konfigurerad utbildningsinsats ge ett mer samlat underlag om exempelvis tilldelning, genomförande och resultat, i den omfattning som den valda konfigurationen och behörigheterna medger. Det kan underlätta uppföljningen av en utbildningsinsats och dialogen mellan HR, verksamhet och DSO.
När en incident inträffar behöver kommunen ändå utreda händelsen och bedöma riskerna för de registrerades rättigheter och friheter. Dokumentation av utbildning kan vara en del av kommunens samlade underlag, men den bevisar inte i sig full regelefterlevnad och den kan inte garantera ett visst tillsynsutfall eller förebygga sanktionsavgifter. Den som vill se hur en organisation har arbetat med kunskapsvalidering i K3 kan också läsa Journalartikeln IT-Hantverkarna underlättar sin kunskapsvalidering i K3.
"Att skicka ett massutskick med en länk till kommunens GDPR-policy och hoppas på det bästa är inte ensamt en tillräcklig strategi. Dataskydd behöver förankras, följas upp och repeteras utifrån verksamhetens risker och behov."
Mer om
En genomtänkt utbildningsplan gör inte efterlevnaden automatisk. Den kan däremot hjälpa kommunen att göra policyn konkret i vardagen, skapa bättre förutsättningar för återkommande lärande och dokumentera den utbildning som faktiskt har genomförts. Utgångspunkten bör alltid vara kommunens egen riskbedömning, ansvarsfördelning och lokala rutiner.
