Digitalchef får godkänna dataskyddskontroller själv
Delegation avseende fastställande av konsekvensbedömningar enligt Dataskyddsförordningen (GDPR)
Kommunstyrelsen · 11 augusti 2026 · § 231 · Dnr KS-2026-000366
I korthet
En tjänsteperson, CDO, får rätt att besluta om kontroller som ska skydda personuppgifter, istället för att kommunstyrelsen gör det. Kommunstyrelsen har ändå kvar ansvaret.
Kommunstyrelsens beslut
CDO (Chief Digital Officer) får delegation att fastställa konsekvensbedömningar avseende dataskydd för kommunstyrelsens räkning.
Utan votering. Ingen begärde att rösterna skulle räknas, så protokollet säger inte hur varje parti ställde sig.
Sammanfattning
Varje personuppgiftsansvarig ska göra konsekvensbedömningar avseende dataskydd vid personuppgiftsbehandlingar som sannolikt leder till hög risk för registrerades fri- och rättigheter.
På Integritetsskyddsmyndighetens hemsida kan man bland annat läsa följande angående konsekvensbedömning: Syftet med en konsekvensbedömning är att förebygga risker och att skydda människors fri- och rättigheter vid behandling av personuppgifter. Exempel på detta kan vara diskriminering, skadat anseende och identitetsstöld.
Processen behöver enbart göras vid behandlingar av personuppgifter som kan leda till höga risker (högriskbehandlingar). Det är inte en engångsaktivitet med ett tydligt avslut. Processen ger ett stöd i att bedöma risker med en planerad behandling och avgöra om riskerna är proportionerliga i förhållande till syftet med behandlingen. En väl utförd och dokumenterad konsekvensbedömning är en viktig del i att följa GDPR och visa detta. En konsekvensbedömning ska i regel utföras före personuppgiftsbehandlingen påbörjas, varav en effektiv hantering är viktig.
Läs hela sammanfattningen
Konsekvensbedömningar är ett omfattande specialistarbete som behöver genomföras och uppdateras löpande när nya IT-system införs, befintliga system förändras eller nya risker identifieras. Bedömningarna innehåller analyser av juridiska, organisatoriska och tekniska risker samt förslag på skyddsåtgärder. För att säkerställa en effektiv och rättssäker hantering krävs specialistkompetens inom digitalisering, informationssäkerhet, systemförvaltning och dataskydd.
Vid överträdelser av dataskyddsförordningen så har Integritetsskydds-myndigheten (IMY) möjlighet att utdela sanktionsavgift, en icke fastställd konsekvensbedömning av en behandling (oftast i ett IT-system) kan vara en sådan överträdelse.
Behovet av delegation har ökat till följd av att den snabba tekniska utvecklingen som gör att nya funktioner lanseras löpande i systemen som behandlar personuppgifter samtidigt som kraven, omvärldsläget och lagstiftning har skärpts.
Delegationen innebär inte att det personuppgiftsansvariges ansvar flyttas från nämnden.