Projektförlängning 2018: Dataskyddsförordningen

Sid 1(12) KOMMUNLEDNINGSKONTORET Karlstad 2017-08-17 Stefan Johannesen, 054-540 12 60, 070-0016428 stefan.johannesen@karlstad.se Projektspecifikation Beskrivning av projektets krav, mål och omfattning, genomförande och avslut. Projektförlängning 2018: Dataskyddsförordningen Karlstads kommun Webbplats karlstad.se E-post karlstadskommun@karlstad.se Organisationsnr 212000-1850 Postadress Karlstads kommun 651 84 Karlstad Besöksadress Kontaktcenter Västra Torggatan 26 Telefon 054-540 00 00 Fax 054-18 34 10 Bankgiro 405-2213

Sid 2(12) Innehållsförteckning 1 Översikt... 3 1.1 Bakgrund till projektförlängningen... 3 1.2 Projektets syfte... 3 2 Projektmål... 4 2.1 Projektresultat... 4 2.2 Tid och kostnad... 4 3 Intressentsituation Intressentanalys... 5 4 Projektets omfattning... 5 4.1 Krav på projektresultatet... 5 4.2 Avgränsningar... 5 4.3 Acceptanskriterier... 5 5 Projektstrategier... 6 5.1 Framgångsfaktorer... 6 5.2 Riskhantering Riskanalys... 6 5.3 Valda strategier... 6 6 Planer... 7 6.1 Projektaktiviteter... 7 6.2 Beroenden... 8 6.3 Uppskattning av resursåtgång... 8 6.4 Tidplan... 8 7 Projektorganisation... 9 7.1 Roller, ansvar och befogenheter... 9 8 Kommunikation och informationsspridning... 11 8.1 Kommunikationsplan... 11 8.2 Projektplats... 11 8.3 Ändringshantering... 11 9 Överlämning av projektresultat och avslutning... 12 9.1 Överlämning till intern förvaltande mottagare... 12 9.2 Avslutning av projektet... 12

Sid 3(12) 1 Översikt 1.1 Bakgrund till projektförlängningen DSF-projektet har pågått under år 2017 och avslutas den 31 december 2017. Den nya dataskyddsförordningen träder i kraft den 25 maj 2018. Syftet med en förlängning av projektet är att fortsätta det systematiska förberedelsearbetet mellan årsskiftet och förordningens ikraftträdande. Projektförlängningen pågår fram till och med den 20 juni 2018. Fördelen med att genomföra förberedelserna i projektform är att det underlättar samordning och att det går att använda det upparbetade projektets kontaktytor i hela koncernen. 1.2 Projektets syfte Projektets syfte är att koncernen ska vara väl förberedd inför de nya reglernas ikraftträdande under år 2018. Syftet med förlängningen är att fortsätta förberedelserna genom att åtgärda de behov som har identifierats genom projektarbetet.

Sid 4(12) 2 Projektmål 2.1 Projektresultat a. Handbok hantering av personuppgifter b. Krav på system c. Rutin begäran av registerutdrag d. Rutin informationsplikt e. Rutin för incidenthantering f. Mall för personuppgiftsbiträdesavtal g. Registerverktyg h. Arrangera ett utbildningstillfälle för koncernen. i. Vid behov vidareutveckla webbutbildningen. j. Beslutsunderlag dataskyddsombud. k. Kommunicera löpande med berörda målgrupper och överlämna projektresultat. Projektförlängningen innebär att de insatser som pågått under 2017, och som inte specificeras ovan, upphör. 2.2 Tid och kostnad 2.2.1 Tidsram Projektförlängningen pågår från den 1 januari 2018 till och med den 20 juni 2018. Projektresultat överlämnas och avrapporteras till dataskyddsombudet senast den 25 maj 2018. Slutrapport överlämnas till projektbeställaren senast den 20 juni 2018. 2.2.2 Kostnadsram Kommunikationsinsatser (informationsmaterial, träffar, etc): 70 000 kr. Kostnader utöver ram beslutas av styrgruppen.

Sid 5(12) 3 Intressentsituation Intressentanalys Se projektets kommunikationsplan. 4 Projektets omfattning 4.1 Krav på projektresultatet Primärt är att koncernen vid projektets utgång är förberett inför de nya regelverkens ikraftträdande i maj 2018. Berörda parter skall ha haft möjlighet att tillgodose sig relevant information och kunskap om de nya reglerna med syfte att skapa förtrogenhet med vad eventuella förändringar innebär i termer av krav, arbetssätt, organisation och verksamhet. 4.2 Avgränsningar Projektet hanterar inte aktiviteter eller det resursbehov som krävs i respektive förvaltning/bolag eller de kostnader som uppkommer vid nödvändiga förändringar inom IT-infrastruktur, IT- eller verksamhetssystem samt verksamhetsprocesser. Projektet ansvarar inte för genomförande och implementering i koncernens verksamheter, utan ansvarar för att ta fram förslag och gemensamma dokument. Respektive förvaltning och bolag ansvarar för att uppfylla och hantera de krav och förändringar som regelverken kan komma att innebära. 4.3 Acceptanskriterier Projektresultaten, se punkt 2.1. ovan, ska vara genomförda och överlämnade till dataskyddsombudet.

Sid 6(12) 5 Projektstrategier 5.1 Framgångsfaktorer Primärt är att koncernen vid projektets utgång är förberett inför de nya regelverkens ikraftträdande i maj 2018. Berörda parter skall ha försetts med information och kunskap om de nya reglerna samt vara bekväma i vad eventuella förändringar innebär i termer av krav, arbetssätt, organisation och verksamhet. Information om projektet ska regelbundet kommuniceras till berörda parter med stöd av en kommunikationsplan. 5.2 Riskhantering Riskanalys Risk Information om projektet och dess aktiviteter når inte mottagaren på rätt sätt. Verksamheterna prioriterar inte erforderliga resurser. Nyckelpersonsberoende. Målen uppfylls inte/otydligt resultat. Åtgärd Kommunikationsplan tas fram. Tydlig och regelbunden information. Förankring hos FD/VD. Tydlig dokumentation innan, under och efter projektet. Målen är nedbrutna, tydliga och konkretiserade i en aktivitetsplan. 5.3 Valda strategier Projektet kvalitetssäkras genom kommunens projektmodell som används som stöd för beslut, resurstillsättning, kommunikation och dokumentation. Genom utbildning, kunskap och information underlättas projektets måluppfyllelse.

Sid 7(12) 6 Planer 6.1 Projektaktiviteter Ta fram förslag på: a. Handbok hantering av personuppgifter Handboken ska utgöra en guide riktad till alla medarbetare och innehålla information om vad som är viktigt att tänka på när man hanterar personuppgifter. En miniguide ska också tas fram. b. Krav på system Identifiera vilka krav dataskyddsförordningen ställer på våra viktigaste system. c. Rutin begäran av registerutdrag Utreda och dokumentera hur begäran om registerutdrag bör hanteras i koncernen. Rutinen ska testas. d. Rutin informationsplikt Utreda och dokumentera hur vi informerar enskilda om personuppgiftsbehandling. Ta fram generella formuleringar som kan användas i olika sammanhang. Lisa huvudansvarig e. Rutin för incidenthantering Utreda och dokumentera hur incidenter och incidentrapportering hanteras. Rutinen ska testas. f. Mall för personuppgiftsbiträdesavtal g. Registerverktyg Föreslå ett verksamhetssystem för personuppgiftsregister. Utbilda och stödja nämnder och bolag genom att: h. Arrangera ett utbildningstillfälle för koncernen. i. Vidareutveckla webbutbildning, vid behov. j. Beslutsunderlag dataskyddsombud. k. Kommunicera löpande med berörda målgrupper och överlämna projektresultat.

Sid 8(12) 6.2 Beroenden Projektet kan ha gemensamma beröringspunkter med SISO-projektet (Samarbetsrum I Sharepoint Online) respektive LASO-projektet (LagringsAlternativ till Sharepoint Online). 6.3 Uppskattning av resursåtgång 6.3.1 Resursåtgång i projektet Projektledare 40 % 7 månader Kommunikatör 10 % 6 månader Projektgrupp (per individ) 20 % 6 månader Personalresurser bekostas inom ramen för respektive verksamhets budget. 6.3.2 Resursåtgång i verksamheterna Varje verksamhet har redan tillsatt interna personella resurser i form av en kontaktperson till projektet. Verksamheterna behöver även beredskap att kunna genomföra åtgärder i den egna verksamheten inom ramen för det egna personuppgiftsansvaret. Kostnader för detta hanteras av respektive verksamhet. 6.4 Tidplan Projektets tidsplan och resultat avrapporteras kontinuerligt till styrgruppen.

Sid 9(12) 7 Projektorganisation 7.1 Roller, ansvar och befogenheter PROJEKTBESTÄLLARE Ulf Nyqvist STYRGRUPP Carina Wiberg Lotta Wahlén Leif Carlson PROJEKTLEDARE Stefan Johannesen REFERENSGRUPP FD/VD PROJEKTGRUPP Emelie Wastelius Dan Tågmark Leif Carlson Marie Edwinson Lisa Berg Pia Garpelin VERKSAMHETSNIVÅ (organisation efter behov) Kontaktperson Kontaktperson Kontaktperson

Sid 10(12) 7.1.1 Projektägare och projektbeställare Projektbeställaren kan i samråd med styrgruppen besluta om ändringar eller avbryta projektet i förtid. 7.1.2 Styrgrupp Styrgruppen har till uppgift att svara för beslutsfattande inom projektet. 7.1.3 Projektledare Projektledaren ansvarar för allt som ligger inom projektets ramar enligt projektspecifikation. 7.1.4 Projektgrupp Projektgruppen genomför projekts operativa arbete. 7.1.5 Referensgrupp FD/VD referensgruppens roll är att vara informationsbärare och ansvarar för att relevanta beslut tas i respektive verksamhet. 7.1.6 Kommunikatör En kommunikatör ansvarar för kommunikationsinsatserna inom ramen för projektet. 7.1.7 Kontaktperson/delprojekt på verksamhetsnivå En kontaktperson är länken mellan projektet och respektive verksamhet. Ansvarar för eventuellt verksamhetsanknutet operativt arbete.

Sid 11(12) 8 Kommunikation och informationsspridning 8.1 Kommunikationsplan En kommunikatör ingår i projektgruppen. Kommunikatören ansvarar för att kommunikationsplanens aktiviteter utförs, att resultaten följs upp och att planen ändras vid behov. 8.2 Projektplats Alla projektdokument kommer att publiceras på Solsidan. Dokument som ingår i projektmodellen kommer att diarieföras i kommunens ärendehanteringssystem. 8.3 Ändringshantering Ändringar i projektet kan medföra förändringar av tid, kostnader och resultat. Projektets styrgrupp godkänner och beslutar om ändringar. Om styrgruppen inte hinner sammankallas har projektbeställaren rätt att godkänna förändringar i projektet.

Sid 12(12) 9 Överlämning av projektresultat och avslutning 9.1 Överlämning till internt förvaltande mottagare Dataskyddsombudet är internt förvaltande mottagare. Överlämning till dataskyddsombudet sker i samråd mellan projektledaren och dataskyddsombudet i samband med att projektet avslutas, eller om möjligt i takt med att projektets olika mål uppfylls. Överlämning sker senast den 25 maj juni 2018. 9.2 Avslutning av projektet Projektet avslutas när styrgruppen har godkänt slutrapporten. Ulf Nyqvist projektbeställare Stefan Johannesen projektledare