Referensnummer: UH-2026-443
Roll: Dataskyddsombudsfunktion
Uppdragets längd: 2026-11-01 till 2030-12-31
Omfattning: Basuppdraget omfattar en arbetsinsats motsvarande uppskattningsvis 30-60 procent av en heltid över tid. Denna omfattning är vägledande men utgör den nivå som basuppdraget förväntas motsvara. Utöver basuppdraget tillkommer rörliga, separat ersatta insatser. Någon viss volym eller omfattning av dessa rörliga insatser kan dock inte garanteras, och de ska därför inte räknas in i basuppdragets omfattning.
Uppdragsplats: Distans (uppstart och ev. avslut på plats i Skellefteå, enligt överenskommelse.).
Beskrivning: Vi söker nu en underleverantör som kan ta sig an ett uppdrag som Dataskyddsombudsfunktion.
Bakgrund:
Skellefteå kommun avser att avropa en extern dataskyddsombudsfunktion för kommunens och kommunkoncernens personuppgiftsansvariga nämnder och bolag. Uppdraget omfattas av två delar. Delområde 1 – Basuppdraget och delområde 2 – Rådgivning och stöd. En leverantör kommer att antas för båda delområdena.
Syftet med avropet är att frigöra intern specialistkompetens och samtidigt skapa en tydlig åtskillnad mellan det operativa dataskyddsarbetet och dataskyddsombudets oberoende övervakning och granskning. Kommunen har idag ett etablerat dataskyddsarbete. Nuvarande interna specialistkompetens kommer framöver i större utsträckning att användas för IT-juridisk rådgivning, styrning och stöd till verksamheterna.
Delområde 1 – Basuppdrag
- Uppdragets förutsättningar och avgränsningar
Uppdraget omfattar vid avtalsstart dataskyddsombudsfunktionen för totalt 23 personuppgiftsansvariga nämnder och styrelser inom kommunen och kommunkoncernen. De personuppgiftsansvariga skiljer sig väsentligt åt avseende verksamhet, regelverk, personuppgiftsbehandlingar och riskbild. Antalet personuppgiftsansvariga beskriver därför uppdragets organisatoriska omfattning men ska inte ses som ett mått på arbetsvolymen.
Kommunen har ett internt KIDA-team (kvalitet, informationssäkerhet, dataskydd och arkiv) som ger samordnat stöd inom dessa områden. Kommunens IT-jurist samt det operativa stödet för bland annat DPIA- och riskbedömningsprocesser ingår i KIDA-teamet. Kunskap och mognad inom dataskydd varierar mellan verksamheter och förvaltningsobjekt. Dataskyddsombudet behöver därför kunna kombinera kvalificerade bedömningar med ett tydligt, pragmatiskt och pedagogiskt arbetssätt.
Kommunen inför en ny riktlinje för digital förvaltning och en gemensam miniminivå i förvaltningsobjekten. Kommunen ansvarar för införandet. Dataskyddsombudet kan beakta förändringen som en del av organisationens riskbild. Kommunala bolag omfattas inte nödvändigtvis av samma interna riktlinjer och arbetssätt.
Dataskyddsombudet ska inte vara kommunens huvudsakliga operativa dataskyddsresurs. Dataskyddsombudet ska exempelvis inte äga eller driva interna dataskyddsprocesser, upprätta eller förvalta styrande dokument och registerförteckningar, genomföra beslutade åtgärder eller fatta beslut som ankommer på respektive personuppgiftsansvarig. Ansvaret för efterlevnaden av dataskyddslagstiftningen ligger hos respektive personuppgiftsansvarig. Dataskyddsombudets huvudsakliga kontaktytor är KIDA samt kommunens och bolagens ledningar. Detta begränsar inte verksamheters, medarbetares eller registrerades möjlighet att kontakta dataskyddsombudet direkt.
- Basuppdrag – fast pris
Basuppdraget omfattar dataskyddsombudsfunktionen för de personuppgiftsansvariga som omfattas av uppdraget samt riskbaserad tillsyn, rapportering och strategisk omvärldsbevakning.
Anbudsgivaren ska lämna ett fast pris per år för basuppdraget som helhet. Under avtalsperioden kan kommunens eller kommunkoncernens organisation förändras, vilket kan innebära att personuppgiftsansvariga tillkommer, tas bort eller ersätts. Det fasta priset avser basuppdraget som helhet och är inte knutet till ett visst pris per personuppgiftsansvarig.
2.1 Tillsyn, granskning och rapportering
Dataskyddsombudet ska övervaka efterlevnaden av dataskyddsförordningen, annan tillämplig dataskyddslagstiftning och relevanta interna styrande dokument. Tillsynen ska planeras och prioriteras riskbaserat. Vid prioriteringen ska dataskyddsombudet bland annat beakta behandlingarnas art, omfattning, sammanhang och ändamål, förändringar i verksamhet, teknik och regelverk, tidigare iakttagelser samt respektive verksamhetens förutsättningar och kapacitet att omhänderta rekommendationer och genomföra förbättringar. Exempelvis bör kontroll, uppföljning och återrapportering anpassas på ett sådant sätt att det är möjligt att ta hand om rekommendationerna. Detta får dock inte innebära någon inskränkning i den personuppgiftsansvariges ansvar.
Tillsynens inriktning, omfattning, frekvens och metod ska anpassas efter dessa förutsättningar. Tillsyn kan exempelvis genomföras som fördjupad granskning av en personuppgiftsansvarig, tematisk granskning av flera personuppgiftsansvariga eller på annat ändamålsenligt sätt.
Resultat och rekommendationer ska återrapporteras till berörda personuppgiftsansvariga på ett sätt som stödjer prioritering och successiv förbättring.
Dataskyddsombudet ska årligen lämna en övergripande rapport över väsentliga risker och iakttagelser, genomförd tillsyn samt prioriteringar för det fortsatta arbetet. Väsentliga risker eller brister ska rapporteras skyndsamt.
2.2 Strategisk omvärldsbevakning
Dataskyddsombudet ska följa relevant rättsutveckling, tillsynspraxis och förändringar i dataskyddsrelaterade risker samt uppmärksamma Skellefteå kommun på frågor av strategisk betydelse. Dataskyddsombudet ska en till två gånger per år medverka i kommunens informationssäkerhetsråd och motsvarande forum på koncernnivå för att redovisa relevant omvärldsutveckling, risker och strukturella iakttagelser.
2.3 Övriga uppgifter
I basuppdraget ingår även att:
- följa upp tidigare iakttagelser och rekommendationer
- vara kontaktpunkt för Integritetsskyddsmyndigheten (IMY) och registrerade
- vid behov rapportera direkt till respektive personuppgiftsansvarig
- upprätthålla den kännedom om organisationen som krävs för att fullgöra uppdraget
Delområde 2 – Rådgivning och stöd
- Rådgivning och stöd – rörligt pris
Rådgivning och stöd som lämnas på begäran av Skellefteå kommun ersätts utifrån faktiskt nedlagd tid enligt offererat timpris.
Det kan exempelvis avse:
- löpande rådgivning i dataskyddsfrågor
- konsekvensbedömningar avseende dataskydd (DPIA) och andra risk- och dataskyddsbedömningar
- bedömningar vid tredjelandsöverföringar, exempelvis TIA
- personuppgiftsbiträdesavtal och andra avtalsfrågor med koppling till dataskydd
- nya eller förändrade personuppgiftsbehandlingar, system eller tekniska lösningar, personuppgiftsincidenter
Rådgivning och rekommendationer som lämnas som en integrerad del av tillsynen och rapporteringen enligt avsnitt 2 ingår i basuppdraget. Kommunen ansvarar för att leda och genomföra de operativa processerna.
Dataskyddsombudet ska inom ramen för sitt uppdrag ge råd och lämna självständiga bedömningar men inte överta den personuppgiftsansvariges ansvar eller driva processerna operativt.
Vid personuppgiftsincidenter kan dataskyddsombudet ge råd om exempelvis riskbedömning, hantering och anmälningsskyldighet samt vid behov vara kontaktpunkt gentemot IMY. Dataskyddsombudet ansvarar inte för att utreda incidenten operativt, fatta beslut om anmälan eller information till registrerade eller genomföra anmälan till IMY.
Konsulten förväntas:
- Bidra till demonstrerbar lösning inför hackathon 2026-06-04
- Delta i Implementering av digital tvilling av byggnadens fastighetssystem fram till projektets avslut 2026-10-31
- Dokumentera arkitektur och kod för framtida utveckling
- Löpande avrapportering av progress till projektledning
Konsulterna ska:
- Uppfylla kompetensnivå 2.
- Kunna kommunicera på svenska språket såväl muntligt som skriftligt.
- Ha relevant utbildning samt aktuell yrkeserfarenhet och kunskap inom kompetensområdet
- Ha genomfört minst två uppdrag inom kompetensområdet och rollen/rollerna som efterfrågas de senaste tre åren.
Svar önskas senast: 2026-10-07
