Hoppa till huvudinnehåll

Introduktion

Inledning

2020-talet kallas i Bryssel för ”EU:s Digital Decade”. Ett stort antal nya lagar på IT-området har redan kommit, och fler är att vänta under de kommande tre åren (fram till 2028). Flera av dessa kommer att utgöra komplement till, och nyanseringar av, GDPR.

Dessa lagar medför en ökad juridisk komplexitet som försvårar tolkning och tillämpning. Man kan förenklat sammanfatta det såhär. GDPR behöver tolkas i ljuset av både en viss verksamhets art, hur den är organiserad, och hur den använder IT-system. Detta är skälet till att det är svårt att kopiera färdiga tillämpningslösningar både mellan branscher och mellan kommuner (som ju är olika stora, organiserade på olika vis och har olika IT-system). Med dessa nya lagar läggs det nu alltså till flera nya lager av ökad komplexitet i den juridiska tolkningen och tillämpningen av GDPR. Exempelvis blir både definitioner och ansvarsfördelningar mer nyanserade än tidigare. Se Bild 1 för en visualisering av hur olika lagstiftningar berör varandra.

Se också Bilaga 1 för en tidslinje ifråga om ikraftträdande för ett antal av de nya EU-lagar som är på väg.

Vad innebär detta för en kommun?

Denna ökade komplexitet ställer ökade krav på både vår interna dataskyddsorganisations kompetens, vilka roller som bör ingå i denna, och hur många medarbetare som bör ingå i den.

Till detta bör läggas perspektivet att i en GDPR-mogen organisation kommer det ”bara” att bli fler nyanser att tolka och tillämpa, vilket kräver ökad skärpa i analys och beslutsfattande. Men i en GDPR-omogen organisation kommer den ökade komplexiteten att riskera ställa till med:

  • juridisk och organisatorisk oreda,
  • onödigt dyra och säkerhetsmässigt riskabla investeringar i IT, och
  • dysfunktionella och infekterade arbetsrelationer mellan beslutsfattare och (de utsedda) sakkunniga.

Det nu sagda kommer i sin tur kommer att påverka arbetsmiljö negativt, liksom avtalsrelationer med leverantörer, attraktivitet som arbetsgivare, och överhuvudtaget öka klyftorna både säkerhetsmässigt och ekonomi-effektivt mellan de bättre och de sämre aktörerna. Det finns också en risk i denna utveckling att den mest kompetenta expertisen sannolikt inte kommer att söka jobb där de behövs som bäst, eftersom efterfrågan på sådan kompetens idag är både hög och växande, och de aktörer som har störst behov inte med självklarhet kommer att kunna erbjuda de bästa anställningsförhållandena.

 

Hur tar vi oss an dessa nya lagar på bästa sätt?

Undertecknad har själv analyserat och tagit fram ett strukturkapital för att implementera hur en kommun kan efterleva AI-förordningen. I samarbete med andra duktiga dataskyddare i mitt nätverk har jag även kunnat ta del av huvudsakliga bedömningar av Data Act och Data Governance Act.

Min uppfattning är att flera – kanske alla – av dessa lagar kommer att behöva implementeras organisatoriskt för att kunna tillämpas på avsett vis. Detta handlar då om att ta fram nya processer, rutiner och riktlinjer, uppdatera gamla sådana, och utbilda berörda medarbetare i de nya arbetssätten.

För AI-förordningen, liksom för andra av dessa lagar, kommer det att behöva initieras och genomdrivas implementationsprojekt. De flesta kommuner – som i sig är mångfacetterade organisationer med många olika slags verksamheter – kommer sannolikt inte att orka driva implementeringen av dessa nya lagar helt själva. De flesta kommuner har ännu inte tagit sig an AI-förordningen ordentligt, fastän den trädde i kraft i augusti 2024 med vissa relevanta ytterligare krav gällande för kommuner fr.o.m. februari 2025.

Mot bakgrund av allt detta rekommenderar jag att vi i Sundbyberg stad:

  • Tillsätter minst en dataskyddssamordnare per sektor (gärna två under kommunstyrelsen) som huvudansvarig för att hålla ihop och driva arbetet med efterlevnaden av gällande dataskyddslagstiftning inom aktuella verksamheter. Personen ifråga behöver ha både relevant kompetens (specifik för aktuell verksamhet, erfarenhet av aktuella IT-system och projektledarkompetens) och tid att jobba med efterlevnadsarbetet. Samtliga dataskyddssamordnare bör ha en angiven procent av en heltid vikt åt dataskyddsarbetet (den nya kommande lagstiftningen ihop med andra behov för denna roll gör att minst 20% och gärna heltid behöver läggas per dataskyddssamordnare).
  • Förstärker med IT-rättslig stödkompetens, antingen internt eller på konsultbasis.
  • Beroende på resurssättandet av de två föregående punkterna, tar in konsult(er) som förändringsledare som underlättar för våra interna nyckelpersoner i förändringen att agera reaktivt och lärande vid sidan om sina ordinarie arbetsuppgifter.

 

Läs mer här: