Dnr 1 (11) Uppdaterat till KOMMUNSTYRELSEN 2016-10-04 Projektet för att följa EU:s dataskyddsförordning
Dnr 2 (11) Innehåll 1 Grundläggande information... 6 1.1 Bakgrund... 6 1.2 Idé... 7 1.3 Syfte... 7 1.4 Verksamhetsstrategi... 7 2 Mål... 7 2.1 Effektmål... 7 2.2 Projektmål... 7 2.3 Förväntat resultat av Etableringsfasen... 8 3 Krav på projektet... 8 3.1 Förutsättningar... 8 3.2 Miljö... 8 3.3 Avgränsningar... 8 3.4 Kopplingar till andra projekt och verksamheter... 8 4 Tidplan... 8 5 Projektbudget... 9 5.1 Projektkostnader... 9 5.2 Projektfinansiering... 9 6 Övergripande risker... 9 7 Överlämnande... 10 8 Styrgrupp... 10 9 Projektorganisation... 11 10 Referenser och bilagor... 11
Dnr 3 (11) Dokumenthantering Ansvar Roll Namn Ägare Projektbeställare Eva Dalander/Henrik Walve Informeras Förvaltningschefer Referenser Ref Dokument ID Dokument [1] Förberedelser inför EU:s dataskyddsförordning Definitioner och förkortningar Begrepp/förkortning EU:s dataskyddsreform EU-förordning om dataskydd Förklaring I mars 2012 presenterade Europeiska kommissionen ett förslag till nya regler om dataskydd och personuppgiftsbehandling. Syftet var att modernisera reglerna i dataskyddsdirektivet och få till stånd en mer enhetlig tillämpning inom EU. Dataskyddsförordningen antogs i april 2016 av Europaparlamentet och EU:s ministerråd. Ny EU-förordning om dataskydd som ersätter den svenska personuppgiftslagen. Förordningen heter formellt Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), EUT L 119, 4.5.2016, s. 1. PUL Förordningen kallas på svenska "allmän dataskyddsförordning" Personuppgiftslagen Revisionshantering Version Summering av förändringar i förhållande till föregående version 0.9 2016-08-17 Nytt dokument - 1.0 Reviderat dokument (bakgrund, styrgrupp, n budget) Ändringar markerade (j/n)
Dnr 4 (11) 1.01 Tillägg till bakgrund, lagstiftarens syfte med dataskyddsförordningen n
Dnr 5 (11) Projektnamn: Projektet för att följa EU:s dataskyddsförordning Projektägare/beställare: Henrik Walve och Eva Dahlander Projektägaren ska vara den person som företräder den organisation/enhet som finansierar projektet. Checklista inför beslut, BP1 JA NEJ Projektägare är utsedd (finansiär) Finansiering fastställd Projektledare, Styrgrupp, Mottagare är utsedda och införstådda med åtagandet Resurserna för Etableringsfasen och projektet är säkrade Det förväntade resultatet för Etableringsfasen och projektet är dokumenterat och kopplat till verksamhetens mål och strategier Effektmålen är definierade för projektet Övergripande risker för projektets genomförande finns dokumenterade En ansvarig för diarieföring är utsedd och en akt är upprättad för projektet Kryssa i rutan för vilket alternativ som gäller; Beslut att starta Initieringsfasen, BP1 Beslut att bordlägga JA NEJ Kommentar: och underskrift av projektägare/beställare Namnförtydligande
Dnr 6 (11) 1 Grundläggande information 1.1 Bakgrund Den 25 maj 2018 kommer en ny EU-förordning om dataskydd att ersätta den svenska personuppgiftslagen. Förordningen kallas på svenska "allmän dataskyddsförordning". Förordningen antogs i april 2016 av Europaparlamentet och EU:s ministerråd efter fyra års förhandlingar. Dataskyddsförordningen kommer att gälla som lag i Sverige och ersätta PUL, personuppgiftslagen. Den kommer dock behöva kompletteras med vissa nationella regler. Regeringen har tillsatt en utredning som ska föreslå hur den svenska lagstiftningen på området bäst anpassas till förordningen. Dataskyddsförordningen innehåller stora förändringar och vissa helt nya bestämmelser. Den personuppgiftsansvariges ansvar och skyldigheter förtydligas och utökas och de registrerades rättigheter förstärks. De nya kraven kan komma att medföra stora förändringar i verksamheten. För att hinna anpassa verksamheten på ett effektivt och kostnadsbesparande sätt, är det är därför viktigt att redan nu börja fundera över vilka konsekvenser förordningen kommer att få. En viktig utgångspunkt för den nya förordningen är att man vill stärka individens rättigheter och skydd. Man lägger stor vikt vid skyddet för fysiska personer vid behandling av deras personuppgifter. Oavsett medborgarskap eller hemvist ska grundläggande rättigheter och friheter respekteras, särskilt rätten till skydd av personuppgifter. Syftet med den nya förordningen är också att skapa enhetliga dataskyddsregler inom EU, vilket underlättar för företag att verka på hela unionens inre marknad. Dataskyddsförordningen lägger stor vikt vid den personuppgiftsansvariges skyldighet att kunna visa att förordningen följs. Ett antal aktiviteter måste därför utföras i Falu kommun (liksom i alla offentliga myndigheter och företag) för att säkerställa att Falu kommun uppfyller kraven i den nya dataskyddsförordningen. Det handlar översiktligt om att skapa medvetenhet i organisation och hos beslutsfattare, att skapa kontroll över i vilka sammanhang personuppgifter lagras, hur processerna ser ut för hanteringen och vilken dokumentation som finns. Detta kommer att få stor påverkan i frågor om budget, it-system, personal, styrning och kommunikation. Datainspektionen har tagit fram vägledningar för personuppgiftsansvariga och personuppgiftsbiträden. Ansvaret är viktigt att göra tydligt i arbetet med att följa den nya dataskyddsförordningen. Kommunstyrelsen har ansvar för övergripande samordning och Ledningsförvaltningen/stadskansliet har administrativt samordningsansvar. Däremot ligger det formella juridiska ansvaret på respektive nämnd som därmed även har ansvaret för personbiträdesavtal samt för underbiträden. I dag har nämnderna tillsatt personuppgiftsombud under förordnande av datainspektionen.
Dnr 7 (11) Personuppgiftsombuden har bland annat till uppgift att föra förteckningar över behandlingar av personuppgifter 1.2 Idé Tanken och visionen med projektet är att driva på arbetet för att Falu kommun ska följa den nya dataskyddsreformen. Nyttan med projektet är främst att kommunen följer lagen, undviker stora kostnader i form av viten och juridiska processer, samt för att underlätta hanteringen av personuppgifter. 1.3 Syfte Syftet med projektet är att säkerställa att kommunen uppfyller EU:s nya dataskyddsförordning och kommande svensk lag som träder ikraft 2018. 1.4 Verksamhetsstrategi Projektet stödjer verksamhetens strategi så tillvida att kommunen måste följa de lagar som gäller. 2 Mål 2.1 Effektmål Statens syfte med den stärkta lagstiftningen är givetvis att garantera kommuninvånarna att personuppgifter hanteras på ett systematiskt rättssäkert sätt. De konkreta effekterna av projektet för Falu kommun är mycket svåra att mäta kvantitativt. Största nyttan är att Falu Kommun kan följa lagen och därmed undvika stora kostnader i form av viten. Den nya dataskyddsförordningen innebär att tillsynsmyndigheten (i Sveriges fall Datainspektionen) kan utdöma höga administrativa sanktionsavgifter upp till 20 miljoner euro eller 4 % av omsättningen när organisationen missköter sin behandling av personuppgifter. Det finns också risker med höga kostnader vid eventuella rättegångar, samt badwill om Falu kommun skulle hamna i en sådan situation. 2.2 Projektmål Senast den 25 maj 2018 ska projektet ha genomfört inventering av system och rutiner, föreslagit förbättringar och säkerställt att dessa förändringar är genomförda så att kraven i dataskyddsförordningen uppfylls.
Dnr 8 (11) 2.3 Förväntat resultat av Etableringsfasen I etableringsfasen tas en projektplan fram. 3 Krav på projektet 3.1 Förutsättningar Förutsättningarna för projektet är vad som beskrivits ovan om den nya dataskyddsförordningen. 3.2 Miljö Inledningsvis ses ingen miljöaspekt eller påverkan i detta projekt. 3.3 Avgränsningar I projektet ingår inte att säkerställa att samtliga it-system och tjänster har giltiga avtal och korrekta upphandlingar. Vid åtgärder av system kommer dock hänsyn tas till sådana fall. I projektet ingår inte att förbättra funktionalitet av system, såvida inte det ä r direkt kopplat till att följa den nya dataskyddsförordningen 3.4 Kopplingar till andra projekt och verksamheter Projektet har kopplingar till ordinarie verksamhet och i stort sett alla projekt eftersom det kräver resurser som sannolikt är uppbokade på andra aktiviteter. Projektet har kopplingar till projektet med e-tjänster, eftersom dessa i olika former hanterar personuppgifter. 4 Tidplan Nedanstående tidplan är övergripande och uppsatt mycket grovt. En mer detaljerad tidplan per förvaltning kommer sättas upp senare.
Dnr 9 (11) 2016 2017 2018 Analysfas Utbildningsinsatser Inventeringar Analyser Åtgärdsplanering Åtgärdsplaner klara Åtgärdsfas Projektet avslutas Ny lagstiftning börjar gälla 5 Projektbudget 5.1 Projektkostnader Kostnaderna för projektet estimeras mycket grovt nedan: Projektledning: ca 1000 h Projektdeltagare (systemförvaltare och personuppgiftsansvariga): 300 h/person 5.2 Projektfinansiering Projektet finansieras på det sätt kommunstyrelsen beslutar. 6 Övergripande risker En riskanalys kommer att genomföras när projektorganisation är uppbyggd och på plats. Övergripande risker är: - Finansiering: projektet är inte med i budget 2016 eller 2017. Finansiering kan därmed endast lösas antingen genom omprioriteringar eller genom ett medvetet och godkänt överdrag av budget. o Åtgärd: godkännande av projektet och dess budget i KS och i kommunens tjänstemannaledningsgrupp. - Resursbrist många nyckelresurser är uppbokade på andra aktiviteter o Åtgärd: Resurser bokas från linjeverksamhet och resurskontrakt upprättas. Eventuella resurskonflikter hanteras med respektive chef och i styrgrupp.
Dnr 10 (11) 7 Överlämnande Projektet överlämnas vid projektavslut till styrgrupp i form av en slutrapport (med eventuella förslag på hantering i löpande verksamhet). 8 Styrgrupp Projektet har en politisk styrgrupp bestående av KSL. Projektet har också en tjänstemannastyrgrupp bestående av förvaltningschefer inom Serviceförvaltningen och Ledningsförvaltningen. Dessutom ingår där kanslichef, ITchef, kommunjurist och projektledare. Till arbetsgrupp finns representanter från varje förvaltning samt eventuell expertis inom olika områden, t ex juridik. Arbetet styrs av projektledaren. Till styr- och arbetsgrupperna kan adjungeras resurspersoner när så krävs. Förvaltningscheferna får i kommundirektörens ledningsgrupp löpande information om projektets status.
Dnr 11 (11) 9 Projektorganisation 10 Referenser och bilagor Referenser: - Förberedelser inför EU:s dataskyddsförordning Datainspektionen - Datainspektionens information om EU:s dataskyddsförordning: http://www.datainspektionen.se/lagar-och-regler/eusdataskyddsreform/