1. Extern remiss 1.1 Beskrivning 1.1.1 Om förfarandet Observera att detta är en EXTERN REMISS och inte en upphandlingsannons! Anbud ska alltså inte lämnas. Göteborgs Stad Intraservice vill på detta sätt ge presumtiva anbudsgivare möjlighet att inför upphandling av "Nytt Personuppgifts (PU) register" lämna synpunkter på utkastet av de krav Staden vill ställa inom detta område. För att kunna ta del av den externa remissen och lämna synpunkter ska ett användarkonto (kostnadsfritt) registreras på www.tendsign.com. Behöver du hjälp ska du kontakta TendSign support. Synpunkterna ska lämnas in via Frågor och svar -funktionen i TendSign. Synpunkterna blir inte besvarade. Observera att era synpunkter blir offentlig handling. Göteborgs Stad Intraservice går igenom samtliga inkomna synpunkter och väljer sedan om och hur synpunkterna ska beaktas. Vänligen observera att underlaget i denna externa remiss enbart är ett utkast till kommande upphandlingsdokument. Ändringar av underlaget kan komma att göras innan annonsering sker. Göteborgs Stad Intraservice har inte någon skyldighet att göra förändringar i underlaget efter de synpunkter som inkommer. Vidare föreligger inte någon skyldighet för Göteborgs Stad Intraservice att genomföra en upphandling i anslutning till eller efter en extern remiss. Deltagande är frivilligt och är inte en förutsättning eller ett hinder för att senare kunna lämna anbud i en kommande upphandling. Någon ekonomisk ersättning för deltagande i denna externa remiss utgår inte. Inkomna synpunkter kommer presenteras för upphandlingens avtalsgrupp. 1.1.2 Instruktioner Sista dag för att lämna synpunkter och kommentarer är den 4 september 2017. Vi tar endast emot dessa skriftligen via TendSign. Om ni i samband med inlämnandet av synpunkter får ett meddelande via systemet Obligatoriska krav uppfylls inte eller liknande förbise detta meddelande och skicka ändå in era svar. Det finns inga obligatoriska krav som ska uppfyllas i den externa remissen.
2. Remissfrågor 2.1 Allmänt om Personuppgiftsregister och EU:s dataskyddsförordning EU har i april 2016 beslutat om en dataskyddsförordning som blir direkt tillämplig i samtliga medlemsstater. Personuppgiftslagen (PuL) ersätts i sin helhet av förordningens betydligt strängare regelverk. Samtliga förvaltningar och bolag i Staden kommer därmed att påverkas. I dag finns ingen generell skyldighet att föra förteckning över all hantering av personuppgifter. Från och med införandet av DSF maj 2018 kommer det däremot att bli obligatoriskt med en förteckning över all hantering av personuppgifter (artikel 30). Göteborgs Stad är därför i behov av en tjänst som kan stödja såväl bolag som förvaltningar att leva upp till detta krav. 2.2 Lista över definierade krav Nedan listas definierade krav på nytt system (det kan komma att dras ifrån och läggas till krav). 1. Behörighetsmodellen måste stödja en hantering av staden som en gemensam entitet liksom att varje enskilt bolag och förvaltning är sin egen entitet när det gäller ansvaret för egen pu-behandling. Innebär bland annat att det ska gå att få en samlad bild av utförda registreringar inom förvaltningar och bolag förutsatt att man tilldelats en behörighet som tillstyrker detta. 2. Det ska vid behov och under kontrollerade former vara lätt att kopiera/ flytta över information inom och mellan olika förvaltningar och bolag i Staden. 3. Den som ansvarar för behandlingen ska kunna lägga in uppgifterna som sedan skickas för granskning på definierad sändlista där t.ex. utsett dataskyddsombud (DSO) är en given målgrupp. 4. Höga krav på ett användarvänligt och intuitivt gränssnitt. En medarbetare ska kunna förstå systemet utan större krav på särskild utbildning/genomgång. 5. Kraftfull sökfunktion med sorterings- och filtermöjligheter efter exempelvis verksamhet, informationsbärare, ansvarig person, biträde eller liknande. 6. Möjlighet att registrera flera ombud inom samma förvaltning/bolag med rätt att utföra aktuell registervård. 7. Systemet ska på ett flexibelt sätt kunna hantera olika roller i paritet med kraven som DSF ställer på detta och på det sätt som enskild förvaltning/bolag väljer att dela upp sitt ansvar för personuppgiftsbehandlingen (pu-behandling).
8. Möjlighet att registrera olika behörigheter i systemet utifrån definierade roller eller på individnivå där grundläggande är att kunna särskilja på läs och skrivrättigheter till olika delar i registret. 9. Verktyg för uppföljning som är tids- eller händelsestyrda och att i samband med sådan händelse ha möjlighet att per automatik skicka påminnelser eller frågor till ansvarig avseende en specifik pu-behandling 10. Arkiveringsmöjlighet för en pu-behandling som upphör 11. Att registreringen följer lagstiftningens krav och därmed aktivt stöttar användaren i att nödvändig information blir registrerad per aktuell personuppgiftbehandling. 12. Färdiga svarsalternativ att bocka i när så är relevant och möjlighet till logik kopplat till gjort val t.ex. om man svarat Ja på en fråga kan detta medföra krav på tillkommande information som måste fyllas i och detta ska då systemet ge stöd för. 13. Funktion som underlättar vid begäran om registerutdrag och information för olika pu-behandlingar i enlighet med dataskyddsförordningens krav såsom att kunna möta upp till den registrerades rättigheter i detta avseende. 14. Att logiken i systemet överlag stöder en processorienterad informationshantering. Innebär bland annat att man både ska kunna få: a. en top-down vy när så önskas och man vill se vilka personuppgifter och informationsbärare som omfattas av en enskild behandling. b. bottom-up vy, där man vill kunna se vilka personuppgifter liksom vilka behandlingar som en enskild informationsbärare omfattas av. Utöver ovanstående bedöms det behövas någon typ av rättsdatabasfunktion som bland annat innebär: 15. stöd i rättstillämpningen 16. stöd i arbetsmetoder 17. mallar/ blanketter/ rutiner 18. juridisk frågetjänst
2.3 Remissfrågor Utifrån den definierade listan över krav (2.2 ovan) så har staden ett antal övergripande specifika frågor som vi önskar svar på och då i det kontext som hela kravlistan definierar. Svaren ska utgå från att ett system ska kunna vara installerat och implementerat senast maj, 2018. Fråga 1: Bedömer ni att det går att leverera ett enhetligt system för hela staden som en enskild entitet dvs. en gemensam installation för hela staden? Fråga 2: Med en gemensam installation för staden är bedömningen att förvaltningsmodellen måste klara av minst fem nivåer (hierarkier) och eventuellt fler. Den översta nivån förväntas utgöras av DSOorganisationen (dataskyddsombud) som då ska kunna ges åtkomst till valfri organisatorisk delmängd i staden. Nivån under DSO bedöms utgöras av en verksamhetsnivå där noderna utgörs av bolag, förvaltningar och stiftelser. På detta förväntas ytterligare ett behov av upp till 3 förvaltningsnivåer under denna struktur per verksamhet där varje nivå ska klara av att hantera i vilket fall upp till 10 olika noder. a) Ser ni något problem med att kunna hantera ovan krav? b) Om problem med något gränsvärde, ange vad ni anser ni kan klara av att hantera? c) Om angivna gränsvärden är OK för er så önskar vi veta om de trots detta utgör en utmaning för er dvs. hur exakta behöver staden vara i en upphandling när det gäller detta krav? Fråga 3: Då vår bedömning är att dataskyddsförordningen ställer nya krav på stödfunktioner runt själva registerhanteringen så finns en osäkerhet från stadens sida om marknaden är redo att möte dessa krav. Med denna RFI söker vi därför att få till stånd en förståelse av marknadens leveransförmåga. Vi vill därför att ni anger om någon funktion i kravlistan bedöms utgöra ett problem för er. Om problem ser vi gärna att ni svarar med en bedömning som utgår från hanterbart men kommer driva kostnad till eventuellt potentiell show stopper. Då kraven i listan ännu inte är graderade är det väsentligt inför en upphandling av få denna bedömning gjord så att ett eventuellt svårhanterat krav kan ställas i relation till nyttan. Fråga 4: Utan att i detta läge efterfråga några priser så är staden intresserad av att förstå hur ni ser på en licenserings modell av ett system i paritet med vad denna RFI definierar. Då vår bedömning är att installerad bas på marknaden av system som detta inte når upp till den volym och funktion som nu efterfrågas, så behöver staden inför en upphandling förstå hur en prismodell kan se ut och vad som
är kostnadsdrivande som t.ex. antalet användare, mängden registrerad information, antal hierarkier/ förvaltningsnivåer i systemet, antalet entiteter (bolag/förvaltningar/stiftelser) etc. Eventuell sekretess Offentliga myndigheters verksamhet omfattas av offentlighetsprincipen. Undantag från offentlighetsprincipen är om delar av de uppgifter som lämnats omfattas av s.k. kommersiell sekretess. En leverantör som anser att uppgifter som lämnats som synpunkter uppfyller villkoren för kommersiell sekretess (31 kap. 16 offentlighets- och sekretesslagen (2009:400) om affärs- och driftsförhållanden) behöver ange en begäran om sekretess. En sådan begäran ska vara preciserad med vilka uppgifter som avses samt vilken skada som leverantören skulle lida om uppgifterna lämnas ut. Eventuell sekretessbegäran med preciseringar och motivering ska anges i nedanstående fält. En sekretessbedömning sker alltid i samband med att en uppgift begärs ut och Göteborgs Stad Intraservice kan inte garantera att en begäran om sekretess inte medför att handlingen kan komma att lämnas ut. Ett sekretessbeslut kan även komma att prövas av domstol.