Hemställan från nämnden för Intraservice att utreda personuppgiftsansvaret i samband med och efter en hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad

Kommunfullmäktige Handling 2024 nr 32 Hemställan från nämnden för Intraservice att utreda personuppgiftsansvaret i samband med och efter en hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad Till Göteborgs kommunfullmäktige Kommunstyrelsens förslag Kommunstyrelsen tillstyrker stadsledningskontorets förslag i tjänsteutlåtande den 25 januari 2024 och föreslår att kommunfullmäktige beslutar: 1. Hemställan från nämnden för Intraservice till kommunstyrelsen att utreda personuppgiftsansvaret och den rättsliga grunden för eventuell behandling och hantering av uppgifter i samband med och efter en hemtagning av Skatteverkets uppgifter i Navet till en server i Göteborgs Stad avslås. 2. Hemställan från nämnden för Intraservice att godkänna återrapporteringen av samt förklara kommunfullmäktiges uppdrag 2022-11-24 § 15 slutfört avslås. ---- Vid behandling av ärendet i kommunstyrelsen förekom skiljaktiga meningar: Axel Josefson (M) yrkade bifall till yrkande från M, D, L och KD den 13 februari 2024. Ordföranden Jonas Attenius (S) yrkade bifall till stadsledningskontorets förslag. Kommunstyrelsen beslutade utan omröstning att bifalla Jonas Attenius yrkande. Jörgen Fogelklou (SD) antecknade som yttrande en skrivelse från den 20 februari 2024. Göteborg den 21 februari 2024 Göteborgs kommunstyrelse Jonas Attenius Mathias Sköld Kommunstyrelsen Yttrande Datum 2023-02-20 KS 2023-02-21, Är: 2, Ärende nr: SLK-2023-00198 Yttrande angående – Hemställan från Nämnden för Intraservice att utreda personuppgiftsansvaret i samband med och efter en hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad. Det pågår ett arbete kring att eventuellt skapa en kopia på Skatteverkets uppgifter i folkbokföringen på en server inom Göteborgs Stad. I samband med detta arbete samt en efterföljande hemtagning av en kopia av folkbokföringen vill Sverigedemokraterna redan nu lyfta ett antal frågetecken som tydligt behöver besvaras. Det kommer allt fler larm i media om hur kriminella grupper och individer infiltrerar offentlig verksamhet på olika nivåer i samhället. Hur säkerställer Göteborgs Stad att en hemtagning av folkbokföringen inte innebär ökad tillgång till och möjligheter för kriminella (eller personer med koppling till kriminella) att exempelvis söka fram personer med skyddade eller hemliga personuppgifter samt uppgifter av annan känslig natur? Vilken skyldighet och ansvar har staden för de följder som detta eventuell resulterar i? Kommer den föreslagna servern vara helägd av och fysiskt placerad intern inom Göteborgs Stad eller kommer Göteborg köpa serverutrymme externt? OM Göteborg avser köpa extern serverkapacitet, hur säkerställer Göteborgs Stad i ett sådant fall att inte uppgifter kan komma att hackas eller spridas på ett sätt som staden inte har kontroll över? Vilken skyldighet och ansvar har staden i det fall att uppgifter som staden ansvarar för, sprids utanför och utan stadens kontroll? Hur avser staden hantera följderna av en sådan situation? Folkbokföringen är ett levande dokument med flera tusen ändringar på väldigt kort tid. Hur säkerställs att en informationen i den kopia som föreslås sparas hos kommunen ständigt är uppdaterad? Det skulle kräva en ständig uppdatering för att informationen hela tiden skall vara aktuell. Hur lång tid beräknas varje uppdatering ta uppdatering? Vad kostar det att ständigt uppdatera informationen och hålla stadens kopia aktuell i relation till att som idag hämta aktuell information av folkbokföringen vid de tidpunkter då den behövs av staden? Kommunstyrelsen Yrkande M, D, L, KD 2024-02-13 Ärende nr 2 Yrkande angående – Hemställan från nämnden för Intraservice att utreda personuppgiftsansvaret i samband med och efter en hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad. Förslag till beslut I kommunstyrelsen och kommunfullmäktige: 1. Kommunstyrelsen får i uppdrag att bistå Intraservice med det juridiska stöd som efterfrågas för att verka för ett införande av en lokaldatabas. 2. I övrigt bifalla tjänsteutlåtandet. Yrkandet Under hösten 2022 röstade M, D, L, KD, S, C och SD i enlighet med yrkandet från M, D, L, KD, C och S för “åtgärder för att upptäcka och minska folkbokföringsfel och felaktiga utbetalningar”, Intraservice fick då i uppdrag att starta en hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad. Intraservice har identifierat den tekniska lösningen i samband med en hemtagning av Navet, men efterfrågar juridisk hjälp av Stadsledningskontoret i sin hemställan. Stadsledningskontorets uppdrag är att leda, samordna och följa upp Göteborgs Stads ekonomi och utveckling, i Intraservice hemställan är frågan tydligt ställd om hjälp för att motverka eventuella sanktioner till följd av att databasen inte juridiskt håller mot dataskyddsförordningen och GDPR. Intraservice har i sin hemställan tydliggjort för de juridiska hinder som de möter och efterfrågar hjälp för att kunna slutföra de uppdrag som kommer motverka eventuella felaktiga utbetalningar. På nationell nivå stärker regeringen arbetet med att motverka felaktiga folkbokföringar. Skatteverket har tilldelats uppdrag om att genomföra 100 kontroller i veckan för att motverka felaktig folkbokföring och olovlig andrahandsuthyrning. Innebörden av hemtagningen är att motverka felaktiga utbetalningar och folkbokföring, vilket ligger i linje med det som Skatteverket nu genomför. Vi hoppas att en bred majoritet i kommunfullmäktige fortsatt står bakom det tidigare förslaget. Stadsledningskontoret Tjänsteutlåtande Handläggare Utfärdat 2023-01-25 Magnus Junsäter Ärendenummer SLK-2023-01098 Telefon: 031-368 02 27 E-post: magnus.junsater@stadshuset.goteborg.se Hemställan från nämnden för Intraservice att utreda personuppgiftsansvaret i samband med och efter en hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad Förslag till beslut I kommunstyrelsen och kommunfullmäktige: 1. Hemställan från nämnden för Intraservice till kommunstyrelsen att utreda personuppgiftsansvaret och den rättsliga grunden för eventuell behandling och hantering av uppgifter i samband med och efter en hemtagning av Skatteverkets uppgifter i Navet till en server i Göteborgs Stad avslås. 2. Hemställan från nämnden för Intraservice att godkänna återrapporteringen av samt förklara kommunfullmäktiges uppdrag 2022-11-24 § 15 slutfört avslås. Sammanfattning Nämnden för Intraservice (Intraservice) har, utifrån uppdrag från kommunfullmäktige 2022-11-24 § 15, utrett möjlighet att starta hemtagning av Skatteverkets folkbokföringsuppgifter i Navet till en lokal server inom Göteborgs Stad. I Intraservice återredovisning av uppdraget beskrivs tekniska lösningar för att hantera en sådan hemtagning och fortsatt hantering gällande lagring. Vidare problematiseras det kring juridiska utmaningar gällande behandling av data, men det ges inga svar på hur dessa juridiska hinder skulle kunna mötas. Intraservice bedömning är att kommunstyrelsen behöver involveras för att en juridisk utredning ska bli möjlig. Intraservice föreslår därför att en utredning av ansvar för, och hantering av, handlingar och personuppgifter ska genomföras under stadsledningskontorets ledning. Stadsledningskontoret anser att återredovisningen av uppdraget inte svarar på uppdraget i sin helhet. För att kommunfullmäktige ska kunna ta ställning till en eventuell fortsatt hantering av uppdraget behöver det vara klargjort såväl de tekniska aspekterna som de juridiska. Det går inte särskilja dessa två områden och se dem som separata uppdrag. Stadsledningskontoret bedömer att Intraservice har ansvaret för att de juridiska frågorna utreds utifrån tidigare givet uppdrag. Stadsledningskontoret har möjlighet bidra med kompetens och är gärna en del av den juridiska utredningen om Intraservice bedömer att det behövs. Stadsledningskontoret föreslår att Intraservice hemställan om fortsatt juridisk utredning med ledning av stadsledningskontoret samt hemställan om fullgjort uppdrag till kommunfullmäktige avstyrks. Bedömning ur ekonomisk dimension Göteborgs Stad köper idag in utdrag ur Navet som engångsuttag via tredjepartsleverantörer. Intraservice bedömning är att det på sikt finns en betydande besparingspotential att i stället hämta en kopia på Skatteverkets folkbokföringsdatabas till en lokal server. Det skapar även möjlighet till tillgång till aktuella data oftare utan att det påverkar kostnad. Lösningen skulle därmed innebära kvalitetssäkrade data till en minskad kostnad. Intraservice ser dock en risk för tillkommande kostnader i form av administration och eventuella sanktioner till följd av felaktig hantering av information. Stadsledningskontorets bedömning är att hur vi kan arbeta med riskminimering i samband med hantering av register för personuppgifter bör utredas närmare i den föreslagna juridiska utredningen. Bedömning ur ekologisk dimension Stadsledningskontoret har inte funnit några särskilda aspekter på frågan utifrån denna dimension. Bedömning ur social dimension Intraservice bedömer att den tekniska lösning som presenteras förväntas ge en kvalitetshöjning som uppstår när verksamheter i staden har tillgång till aktuell och korrekt personuppgiftsinformation. Det skulle kunna resultera i snabbare och bättre service, säkrare underlag för beslut och en mer rättvis behandling av medborgare och övriga som berörs av kommunens verksamheter. Av Intraservice tjänsteutlåtande framgår det att det finns juridiska aspekter som behöver fortsatt utredning. Det hänger främst ihop med om den tekniska lösningen och dess tillämpning bryter mot lagstiftning kopplat till hantering av handlingar och behandling av personuppgifter. Lösningen är tänkt att hantera en stor mängd uppgifter om staden invånare, och en felaktig hantering av personuppgifter riskerar leda till intrång och skador i enskildas integritet samt skada allmänhetens förtroende för kommunen och dess företrädare. Bilaga Nämnden för Intraservice handlingar 2023-11-22 § 205 Ärendet Intraservice har, utifrån uppdrag från kommunfullmäktige 2022-11-24 § 15, sett över möjligheterna att starta hemtagning av Skatteverkets folkbokföringsuppgifter i Navet till en lokal server inom Göteborgs Stad för att sedan möjliggöra för förvaltningar och bolag att beställa utdrag ur innehållet. Detta har resulterat i ett tjänsteutlåtande med bilagor, där dels uppdraget föreslås förklaras fullgjort, men det även föreslås att kommunstyrelsen ska fortsätta utreda juridiska aspekter utifrån personuppgiftsansvar och laglig grund för behandling av personuppgifter. Beskrivning av ärendet Intraservice erbjuder idag stadens förvaltningar och bolag personuppgiftstjänster exempelvis i form av PersonSök. Inom staden finns det behov som kräver att vi kan göra bredare och strukturerade utsökningar. Exempelvis vid framtagande av statistik, för utskick och kontroller av olika slag, såsom befolkningsdata, åldersspann vid utskick (som erbjudande av broddar) eller vid utförande av olika beslutade uppdrag i staden som kontroller av hyresbeståndet mot befintliga folkbokföringsdata för bättre registervård och signalfångst. För att kunna vidga sökmöjligheter behöver informationen finnas tillgänglig lokalt i en databas. Detta är möjligt genom att kopiera den data som finns i Navet till en lokal server inom Göteborgs Stad. Att förvara data från Navet i en lokal server ger även andra fördelar, såsom möjlighet att anpassa sökningar efter verksamheters behov samt utökade möjligheter att se hur sökningar genomförs gentemot folkbokföringen. Utifrån ett ekonomiskt perspektiv bör det även vara fördelaktigt, då sökningar genom direktuppslag ofta innebär en kostnad per sökning, och sökningar gentemot en lokal server borde innebära lägre kostnader för staden som stort. I Intraservice tjänsteutlåtande beskrivs lösningsförslag för det tekniska genomförandet av att hämta informationen från Navet till en lokal server. Enligt lösningsförslagen är det fullt möjligt att tekniskt genomföra att ha informationen från Navet på en lokal server i Göteborgs Stad, för att sedan förvaltningar eller bolag ska kunna genomföra sökningar via databasen på den lokala servern i stället för att söka via exempelvis PersonSök. Av Intraservice utredning framgår att det finns en del juridiska aspekter som behöver klargöras. Detta främst utifrån legala krav på behandling av personuppgifter som finns i EU:s allmänna dataskyddsförordning (EU/2016/679), även kallad GDPR samt i lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, även kallad dataskyddslagen. I Intraservice utredning ges inte svar utifrån de juridiska aspekterna, utan det anges att det behövs en omfattande utredning av den föreslagna behandlingen av personuppgifter och hur ansvaret ska fördelas i staden. Intraservice bedömning är att för att en sådan utredning ska bli möjlig behöver kommunstyrelsen involveras. Det föreslås därmed att kommunstyrelsen ska utreda personuppgiftsansvaret och den rättsliga grunden för eventuell behandling och hantering av uppgifter i samband med, och efter, en hemtagning av Skatteverkets folkbokföringsuppgifter i Navet till en lokal server i Göteborgs Stad. Stadsledningskontorets bedömning Intraservice fick i uppdrag av kommunfullmäktige att se över möjligheterna att starta en hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad och sedan möjliggöra för förvaltningar och bolag att beställa utdrag ur innehållet. Stadsledningskontoret ser att detta är en viktig fråga, då det på sikt bedöms mer hållbart att ha lokal kopia av Skatteverkets uppgifter att kontrollera folkbokföring gentemot än att förlita sig på andra webtjänster eller tredjepartstjänster. En central lagring av data och loggningsmöjligheter ger en bättre kontroll att registret nyttjas på ett korrekt sätt. Det finns även ekonomiska aspekter, att det inte behöver köpas in eller upphandlas särskilda lösningar från tredjepartstillverkare. Vidare finns även en kvalitetsaspekt att alla förvaltningar eller bolag har möjlig tillgång till senaste data utifrån verksamhetens behov. Stadsledningskontoret har även uppmärksammat att det finns särskilda uppdrag som är svåra att fullgöra utifrån den lösning som finns idag, exempelvis de uppdrag som Förvaltnings AB Framtiden har gällande att upptäcka och minska folkbokföringsfel och felaktiga utbetalningar. Inom detta uppdrag ingår att med 1-3 årsintervall göra kontroller av hyresbeståndet mot befintliga folkbokföringsdata för bättre registervård, signalfångst samt systematiska kontroller. Förvaltnings AB Framtiden menar att en förutsättning för att kunna göra kontrollerna på ett effektivt sätt och i större omfattning är att Intraservice levererar en teknisk lösning. I Intraservice återredovisning av uppdraget redogörs för hur tekniska lösningar skulle kunna möta upp detta. Vidare problematiseras det kring juridiska aspekter av behandling av denna data, men det ges inga svar på hur dessa juridiska hinder skulle kunna mötas. Stadsledningskontoret bedömer att återredovisningen av uppdraget inte svarar på uppdraget i sin helhet. För att kommunfullmäktige ska kunna ta ställning till en fortsatt hantering av uppdraget behöver det vara klargjort såväl de tekniska aspekterna som de juridiska. Det går inte särskilja dessa två områden och se dem som separata uppdrag. Intraservice beskriver att för att en juridisk utredning ska bli möjlig behöver kommunstyrelsen involveras. Det föreslås därför att en utredning av ansvar för och hantering av handlingar och personuppgifter ska genomföras under stadsledningskontorets ledning, där Intraservice samt tänkta användare av databasen medverkar. Stadsledningskontoret bedömer att en utredning av de juridiska frågorna, oavsett om de är kommuncentrala eller inte, kan, och ska, ledas av Intraservice utifrån tidigare givet uppdrag. Stadsledningskontoret har möjlighet bidra med kompetens och är gärna en del av den juridiska utredningen om Intraservice bedömer att det behövs. Stadsledningskontorets bedömning är att Intraservice ”hemställan till kommunstyrelsen att utreda personuppgiftsansvaret och den rättsliga grunden för eventuell behandling och hantering av uppgifter i samband med och efter en hemtagning av Skatteverkets uppgifter i Navet till en server i Göteborgs Stad” ska avstyrkas. Vidare bör även Intraservice ”hemställan till kommunfullmäktige att godkänna återrapporteringen av uppdraget från KF 2022-11-24 § 15 samt förklara det slutfört” att avstyrkas. Detta med anledning av att det fortfarande finns viktiga juridiska aspekter som är helt avgörande för att kunna ta ställning till en eventuell fortsatt hantering av uppdraget. Jonas Kinnander Eva Hessman Direktör Ärende och utredning Stadsdirektör Kommunfullmäktige Utdrag ur Protokoll Sammanträdesdatum: 2022-11-24 Åtgärder för att upptäcka och minska folkbokföringsfel och felaktiga utbetalningar § 15, 0064/22 Beslut Enligt kommunstyrelsens förslag: 1. Nämnden för Intraservice får i uppdrag att se över möjligheterna att starta en hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad och sedan möjliggöra för förvaltningar och bolag att beställa utdrag ur innehållet. 2. Förvaltnings AB Framtiden får följande uppdrag (a-d): a. Med 1–3 årsintervall göra kontroller av hyresbeståndet mot befintlig folkbokföringsdata för bättre registervård och signalfångst. b. Skapa rutiner för personal i bostadsområden, som bovärdar och liknande, gällande impulser till Störningsjouren i syfte att nå enhetlig rapportering om oriktiga hyresförhållanden. c. Inom stadens bostadsbestånd genomföra kontroll enligt den modell med systematiskt kontrollarbete som Gårdstensbostäder genomfört. d. Genomföra fysiska kontrollbesök efter impulser i samverkan med andra förvaltningar inom staden som till exempel miljöförvaltningen och räddningstjänsten. Handling 2022 nr 206. Yrkanden Alfred Johansson (S), Kalle Bäck (KD), Axel Josefson (M), Martin Wannholt (D) och Jörgen Fogelklou (SD) yrkar bifall till kommunstyrelsens förslag. Jonas Nilsson (V) och Björn Åhlin (MP) yrkar avslag på kommunstyrelsens förslag. Propositionsordning Ordföranden ställer propositioner på bifall respektive avslag på kommunstyrelsens förslag och finner att det har bifallits. Omröstning begärs. Omröstning Godkänd voteringsproposition: ”Ja för bifall och Nej för avslag på kommunstyrelsens förslag.” Omröstningen utfaller med 63 Ja mot 18 Nej. Hur var och en röstar framgår av bilaga 5. Kommunfullmäktige Protokollsutdrag skickas till Nämnden för Intraservice Förvaltnings AB Framtiden Dag för justering 2022-12-06 Vid protokollet Sekreterare Mathias Sköld Ordförande Aslan Akbas Justerande Justerande Anneli Rhedin Håkan Eriksson Justerande Lisbeth Sundén Andersson Kommunfullmäktige Bilaga 5 Ärende: 15 Ärendemening: Åtgärder för att upptäcka och minska folkbokföringsfel och felaktiga utbetalningar Antal Ja: 63 Antal Nej: 18 Antal Avstår: 0 Antal Frånv: 0 Antal Kvittade: 0 Namn Parti Plats Funktion Resultat Aslan Akbas S 1 Ordförande Ja Bettan Andersson V 19 Ledamot Nej Oskar Andersson S 44 Ersättare Ja Margareta Andersson Broang M 31 Ledamot Ja Robert Andersson S 62 Ledamot Ja Hammarstrand Hans Arby C 49 Ledamot Ja Mats Arnsmar S 60 Ledamot Ja Jonas Attenius S 56 Ledamot Ja Hanan Baalbaki S 47 Ledamot Ja Kristina Bergman Alme L 15 Ersättare Ja Daniel Bernmar V 10 Ledamot Nej Åke Björk M 30 Ledamot Ja Jessica Blixt D 54 Ledamot Ja Jenny Broman V 9 Ledamot Nej Marie Brynolfsson V 24 Ledamot Nej Kalle Bäck KD 35 Ledamot Ja Emmyly Bönfors Jansson C 51 Ledamot Ja Sara Carlsson Hägglund V 23 Ledamot Nej Axel Darvik L 18 Ledamot Ja Monica Djurner V 21 Ledamot Nej Håkan Eriksson V 3 2:e v Ordf Nej Rickard Eriksson M 32 Ledamot Ja Krista Femrell SD 72 Ersättare Ja Lena Ferm SD 68 Ledamot Ja Grith Fjeldmose V 8 Ledamot Nej Ann Catrine Fogelgren L 17 Ledamot Ja Kommunfullmäktige Jörgen Fogelklou SD 73 Ledamot Ja Edwin Friedlaender M 28 Ersättare Ja Pär Gustafsson L 16 Ledamot Ja Anna Sara Hansson Perslow C 50 Ersättare Ja Klara Holmin MP 39 Ledamot Nej Blerta Hoti S 59 Ledamot Ja Mariette Höij Risberg D 52 Ledamot Ja Patrik Höstmad D 53 Ledamot Ja Alfred Johansson S 76 Ledamot Ja Marina Johansson S 57 Ledamot Ja Axel Josefson M 5 Ledamot Ja Karin Karlsson V 43 Ledamot Nej Agneta Kjaerbeck SD 71 Ledamot Ja Hannah Klang V 22 Ledamot Nej Jörgen Knudtzon KD 34 Ledamot Ja Lena Landén-Olsson S 45 Ledamot Ja Elisabet Lann KD 36 Ledamot Ja Tony Liljendahl SD 67 Ledamot Ja Staffan Lindström S 75 Ledamot Ja Lena Lindström Olinder M 12 Ersättare Ja Hampus Magnusson M 6 Ledamot Ja Anders Moberg S 46 Ledamot Ja Simona Mohamsson L 14 Ledamot Ja Jonas Nilsson V 25 Ledamot Nej Claudia Nistor Pedrini S 77 Ledamot Ja Kristina Norén Lallo KD 33 Ersättare Ja Helena Norin MP 41 Ledamot Nej Toni Orsulic M 11 Ledamot Ja Bosse Parbring MP 38 Ledamot Nej Karin Pleijel MP 37 Ledamot Nej Rasmus Ragnarsson SD 70 Ledamot Ja Parisa Rezaeivar S 74 Ledamot Ja Anneli Rhedin M 2 1:e v Ordf Ja Annelie Schagerström S 80 Ledamot Ja Kommunfullmäktige Henrik Sjöstrand M 29 Ersättare Ja Andreas Sjöö S 79 Ledamot Ja Yvonne Stafrén SD 69 Ledamot Ja Lisbeth Sundén Andersson D 4 Ledamot Ja Anders Svensson M 26 Ledamot Ja Claes Söderling S 81 Ersättare Ja Bruno Tiozzo M 7 Ersättare Ja Per-Eric Trulsson SD 65 Ledamot Ja Viktoria Tryggvadottir Rolka S 58 Ledamot Ja Mattias Tykesson M 13 Ledamot Ja Sarah Ullmark M 48 Ledamot Ja Kochar Wallad Begi S 64 Ersättare Ja Martin Wannholt D 55 Ledamot Ja Camilla Widman S 61 Ledamot Ja Linnea Wikström S 78 Ledamot Ja Maria Wåhlin V 42 Ledamot Nej Roshan Yigit S 63 Ledamot Ja Emma Yllivallo Altenhammar SD 66 Ledamot Ja Johan Zandin V 20 Ledamot Nej Björn Åhlin MP 40 Ledamot Nej Hakan Önal M 27 Ledamot Ja Bilaga 2 - Fältlista Objekt Fält Sparas i DB Identitetsbeteckning identitetsbeteckning Ja Identitetsbeteckning typ av Identitetsbeteckning Ja Skydd av personuppgifter sekretessmarkering Ja Skydd av personuppgifter skyddad folkbokföring Ja Hänvisningsnummer hänvisningsnummer Ja Namn förnamn Ja Namn kod för tilltalsnamn Ja Namn mellannamn Ja Namn efternamn Ja Namn aviseringsnamn Ja Styrkta uppgifter förnamn styrkt Ja Styrkta uppgifter mellannamn styrkt Ja Styrkta uppgifter efternamn styrkt Ja Styrkta uppgifter födelseort utland styrkt Ja Styrkta uppgifter medborgarkap styrkt Ja Samordningsnummeruppgifter tilldelningsdatum Ja Samordningsnummeruppgifter vilandeförklaringsdatum Ja Samordningsnummeruppgifter förnyelsedatum Ja Samordningsnummeruppgifter avliden datum Ja Samordningsnummeruppgifter identitetsstatus Ja Samordningsnummeruppgifter identitetsstatusdatum Ja Samordningsnummeruppgifter orsak identidetsstatus Ja Folkbokföringsfastighet län Ja Folkbokföringsfastighet kommun Ja Folkbokföringsfastighet församling Ja Folkbokföringsfastighet folkbokföringsdatum Ja Folkbokföringsfastighet fastighetsbeteckning Ja Folkbokföringsfastighet - Historik län Ja Folkbokföringsfastighet - Historik kommun Ja Folkbokföringsfastighet - Historik församling Ja Folkbokföringsfastighet - Historik folkbokföringsdatum Ja Folkbokföringsfastighet - Historik fastighetsbeteckning Ja Folkbokföringsfastighet - Historik folkbokföringstyp Ja Relation relationstyp Ja Relation relationsdatum fr.o.m. Ja Relation relationsdatum t.o.m Ja Relation vårdnadsdatum fr.o.m Ja Relation vårdnadsdatum t.o.m. Ja Relation relationsstatus Ja Aldrig folkbokförd relationsperson förnamn Ja Aldrig folkbokförd relationsperson mellannamn Ja Aldrig folkbokförd relationsperson efternamn Ja Aldrig folkbokförd relationsperson födelsetid Ja Dödfött barn antal barn per börd Nej Dödfött barn kön dödfött barn Nej Dödfött barn födelsedatum Nej Dödfött barn fader personnummer Nej Dödfött barn fader namn Nej Ingivare dödsfall ingivare Oklart Ärende ärendetyp kod Ja Avregistrerad avregistrreringsorsak Ja Avregistrerad datumför avregistrering Ja Avregistrerad datumför anträffad död Ja Avregistrerad som försvunnen avregistreringsorsak Ja Födelsedatum födelsedatum Ja Födelsehemort Sverige län Ja Födelsehemort Sverige födelsehemort Ja Födelseort i utlandet födelseland Ja Födelseort i utlandet födelseort Ja Medborgarskap medborgarskapsland Ja Medborgarskap medborgarskap fr.o.m-datum Ja Medborgarskap medborgarskap t.o.m-datum Ja Utvandring utvandringsland Ja Invandringsuppgifter invandringsdatum Ja Invandringsuppgifter uppehållsrätt Ja Invandringsuppgifter invandringsland Ja Invandringsuppgifter invandringsort Norden Ja Invandringsuppgifter nordiskt personnummer Danmark Oklart Invandringsuppgifter nordiskt personnummer Finland Oklart Invandringsuppgifter nordiskt personnummer Färöarnna Oklart Invandringsuppgifter nordiskt personnummer Island Oklart Invandringsuppgifter nordiskt personnummer Norge Oklart Civilstånd civilstånd Ja Civilstånd civilståndsdatum Ja Postadress/Folkbokföringsadress care of Ja Postadress/Folkbokföringsadress utdelningsadress2 Ja Postadress/Folkbokföringsadress utdelningsadress1 Ja Postadress/Folkbokföringsadress postnummer Ja Postadress/Folkbokföringsadress postort Ja Postadress/Folkbokföringsadress/Distrikt distriktskod Ja Postadress/Folkbokföringsadress/ Ja Id för fastighet, adress och lägenhet UUID för fastighet Ja Postadress/Folkbokföringsadress/ Ja Id för fastighet, adress och lägenhet UUID för adress Ja Postadress/Folkbokföringsadress/ Ja Id för fastighet, adress och lägenhet UUID för lägenhet Ja Postadress/Särskild postadress care of Ja Postadress/Särskild postadress utdelningsadress2 Ja Postadress/Särskild postadress utdelningsadress1 Ja Postadress/Särskild postadress postnummer Ja Postadress/Särskild postadress postort Ja Postadress/Utlandsadress utdelningsadress1 Ja Postadress/Utlandsadress utdelningsadress2 Ja Postadress/Utlandsadress utdelningsadress3 Ja Postadress/Utlandsadress land Ja Postadress/Utlandsadress Ja Postadress/Utlandsadress/Rösträtt Nej Postadress/Föregående folkbokföringsadress care of Ja Postadress/Föregående folkbokföringsadress utdelningsadress2 Ja Postadress/Föregående folkbokföringsadress utdelningsadress1 Ja Postadress/Föregående folkbokföringsadress postnummer Ja Postadress/Föregående folkbokföringsadress postort Ja Intraservice Bilaga 3 - Översiktsbild Göteborgs Stads riktlinje för styrning, samordning och finansiering av digital utveckling och förvaltning Göteborgs Stads styrsystem Om Göteborgs Stads styrande dokument Göteborgs Stads styrande dokument är våra förutsättningar för att vi ska göra rätt saker på rätt sätt. De anger vad nämnder/styrelser och förvaltningar/bolag ska göra, vem som ska göra det och hur det ska göras. Styrande dokument är samlingsbegreppet för dessa dokument. Stadens grundläggande principer såsom demokratisk grundsyn, principer om mänskliga rättigheter och icke-diskriminering omsätts i praktisk verksamhet genom att de integreras i stadens ordinarie beslutsprocesser. Beredning av och beslut om styrande dokument har en stor betydelse för förverkligandet av dessa principer i stadens verksamheter. Utgångspunkterna för styrningen av Göteborgs Stad är lagar och författningar, den politiska De styrande dokumenten ska göra det tydligt viljan och stadens invånare, brukare och kunder. både för organisationen och för invånare, För att förverkliga utgångspunkterna behövs brukare, kunder, leverantörer, samarbetspartners förutsättningar av olika slag. Stadens politiker och andra intressenter vad som förväntas av har möjlighet att genom styrande dokument förvaltningar och bolag. De styrande beskriva hur de vill realisera den politiska viljan. dokumenten ligger till grund för att utkräva Inom Göteborgs Stad gäller de styrande ansvar när vi inte arbetar i enlighet med vad som dokument som antas av kommunfullmäktige och är beslutat. kommunstyrelsen. Därutöver fastställer nämnder och bolagsstyrelser egna styrande dokument för sin egen verksamhet. Kommunfullmäktiges budget är det övergripande och överordnade styrande dokumentet för Göteborgs Stads nämnder och bolagsstyrelser. förvaltning Dokumentnamn: Göteborgs Stads riktlinje för styrning, samordning och finansiering av digital utveckling och förvaltning Beslutad av: Gäller för: Diarienummer: Datum och paragraf för Kommunfullmäktige Nämnder och 0437/2020 beslutet: bolagsstyrelser 2021-11-25 §29 Dokumentsort: Giltighetstid: Senast reviderad: Dokumentansvarig: Riktlinje 2023-01-01 - tills vidare KF 2022-12-08 § 7 Direktör Utveckling av stadens verksamheter Innehåll Inledning ............................................................................................................ 4 Syftet med denna riktlinje ................................................................................. 4 Vem omfattas av riktlinjen ................................................................................ 4 Bakgrund ......................................................................................................... 4 Lagbestämmelser ............................................................................................ 4 Koppling till andra styrande dokument ............................................................. 5 Riktlinje .............................................................................................................. 6 Roller och ansvar ............................................................................................. 6 Kommunfullmäktige ...................................................................................... 6 Kommunstyrelsen......................................................................................... 6 Nämnder och bolagsstyrelser ....................................................................... 6 Nämnder med särskilt ansvar för gemensamma tjänster .............................. 7 Samordning ..................................................................................................... 8 Styrning ........................................................................................................... 9 Behov och kravställning................................................................................ 9 Prioritering och beslut................................................................................. 10 Realisera och följa upp nytta och effekter ................................................... 11 Avsteg från riktlinjen ................................................................................... 12 Finansiering ................................................................................................... 12 Tjänster och förändringsinsatser ................................................................ 12 Bilaga ............................................................................................................ 14 förvaltning Inledning Syftet med denna riktlinje Denna riktlinje anger nämnders och bolagsstyrelsers ansvar i det arbete som ska ske inom ramen för styrning, samordning och finansiering av stadens digitala utveckling och förvaltning. Vem omfattas av riktlinjen Riktlinjen gäller tillsvidare och tillämpas på nämnd och helägda bolagsstyrelser. Riktlinjen tillämpas även i delägda bolag där Göteborgs Stad är majoritetsägare. Bakgrund Göteborgs Stads riktlinje för styrning, samordning och finansiering av digital utveckling och förvaltning har tagits fram som en del av kommunstyrelsens uppdrag från kommunfullmäktiges budget 2020, att ta fram en ny styr-, samordnings-, och finansieringsmodell för verksamhetsutveckling med hjälp av digitalisering. I Göteborgs Stads policy för digitalisering och IT fastställs att digitaliseringsarbetet inom nämnder och bolagsstyrelser i Göteborgs Stad ska drivas med fokus på realisering av beslutade mål. Denna riktlinje tydliggör roller och ansvar för styrning, samordning och finansiering av stadens digitala utveckling och förvaltning. Göteborgs Stad bedriver gemensamt förändringsarbete för att säkerställa likvärdig service och kostnadseffektiva lösningar ur ett hela staden perspektiv. Förändringsinsatserna är ofta omfattande och många parter är inblandade. Nyttorealisering ger stöd i arbetet med att styra investeringar och att säkerställa realisering av nyttor och effekthemtagning. Det innebär ett systematiskt tillvägagångssätt där man specificerar, kvantifierar och värderar de förväntade nyttorna för de inblandade intressenterna. Lagbestämmelser En stor mängd av stadens verksamhet styrs av lagstiftning. Grundläggande krav och lag- bestämmelser som har påverkan eller kopplingar till denna riktlinje finns i till exempel: • Kommunallag • Aktiebolagslagen • Årsredovisningslagen • Offentlighets- och sekretesslagen • Förvaltningslagen • Arkivlagen • Dataskyddsförordningen • Lagen om offentlig upphandling • Lag om kommunal bokföring och redovisning • Lag om tillgänglighet till digital offentlig service • Lag med kompletterande bestämmelser till EU:s dataskyddsförordning förvaltning Koppling till andra styrande dokument Riktlinjen har tydliga kopplingar till flera befintliga planerande och reglerande styrande dokument inom områden som berör sakfrågan. Det gäller exempelvis inom ekonomi, styrning, uppföljning, inköp, upphandling och säkerhet och informationssäkerhet. Göteborgs Stads innovationsprogram, Göteborgs Stads program för attraktiv arbetsgivare, Göteborgs Stads riktlinje för styrning, uppföljning och kontroll, Göteborgs Stads riktlinje för informationssäkerhet samt Göteborgs Stads riktlinje för god ekonomisk hushållning samt resultatutjämningsreserv utgör några viktiga styrande dokument med påverkan på denna riktlinje. De styrande dokumenten kompletterar varandra och ger en helhetsbild över aktuell styrmiljö för området. Respektive nämnd och styrelses grunduppdrag regleras i berörda nämnders reglementen och bolags ägardirektiv. förvaltning Riktlinje Digitaliseringen ska ses som en metod för verksamhetsutveckling och ska drivas med fokus på realisering av beslutade mål. Digitalisering är aldrig ett mål i sig. Digitalisering kräver balansering mellan innovation och effektivitet för att säkerställa såväl kortsiktiga som långsiktiga målsättningar och nyttor. Digitalisering medför nya möjligheter för individer, verksamheter och system att inhämta, utbyta och analysera information. Digitalisering består av digital utveckling och förvaltning. Nämnder och bolagsstyrelser ska enligt Göteborgs Stads policy för digitalisering och IT ta ett aktivt ansvar för sitt digitaliseringsarbete samt systematiskt planera och följa upp arbetet. Nyttorealisering ska tillämpas och innebär ett aktivt och systematiskt arbete att säkerställa nyttan med de förändringar som avses genomföras. För att en införd digital lösning ska användas som tänkt, och ge förväntad nytta, behöver arbetssätt alltid förändras. Roller och ansvar Kommunfullmäktige Kommunfullmäktige beslutar om de övergripande målsättningarna med stadens digitaliseringsarbete. De yttersta ramarna beslutas utifrån årligt budgetbeslut. Kommunstyrelsen Kommunstyrelsen har ansvar för att driva stadens digitalisering på strategisk nivå. Det innebär att leda, samordna samt utveckla och följa upp de processer som omfattar styrning, samordning och finansiering av digitalisering på en övergripande stadennivå. Kommunstyrelsen ska ha en strategisk samordningsgrupp som ska värdera och prioritera befintliga och nya förändringsinsatser och gemensamma tjänster. Strategisk samordningsgrupp ansvarar för att det finns gemensamma kategorier och kriterier för arbetet med värdering och prioritering. Arbetet ska bidra till en strategiskt balanserad bedömning på föreslagna ramar för förvaltning och utveckling av gemensamma tjänster och förändringsinsatser. Den strategiska samordningsgruppen ska ledas av stadsledningskontoret och representeras av utsedda deltagare från förvaltningar och bolag. Nämnder och bolagsstyrelser Enligt stadens riktlinje för styrning, uppföljning och kontroll ska varje nämnd och bolagsstyrelse bedriva en ändamålsenlig och effektiv verksamhet med fokus på kvalitet för dem verksamheten riktar sig till. Till detta hör att aktivt följa och agera på förändring och utveckling kopplat till ansvarsområdet, i syfte att förbättra verksamhet och arbetsformer. förvaltning Varje nämnd och bolagsstyrelse ansvarar för sig egen verksamhetsutveckling och för att ha systematiska arbetssätt så att den kan bedrivas på ett genomtänkt och kostnadseffektivt sätt. Nämnd och bolagsstyrelse ska använda stadens gemensamma bastjänster och följa de ramverk för arkitektur och infrastruktur som staden anger som krav för att få en fungerande och ändamålsenlig digitalisering. Detta för att säkerställa övergripande nytta för hela kommunkoncernen, det vill säga samtliga nämnder och bolagsstyrelser. Nämnd och bolagsstyrelse kan använda stadens gemensamma tilläggs- och specialisttjänster utifrån behov och överenskommelse med respektive leverantör. För verksamhetsspecifika system och tjänster ansvarar respektive nämnd och bolagsstyrelse för att säkerställa en effektiv förvaltning, liksom utveckling som stödjer beslutade mål. Varje nämnd och bolagsstyrelse ska planera organisationens digitala utveckling och förvaltning utifrån verksamhetens behov, utvecklingsområden och inkludera i budget, affärsplan eller verksamhetsplan, så att nödvändiga förändringar kan genomföras på ett ändamålsenligt sätt. Nämnd och bolagsstyrelse har ansvar för riskhantering samt realisering av nyttor, effekthemtagning och utvärdering av genomförda förändringsinsatser och ska integrera detta i ordinarie styrnings- och uppföljningsarbete. I verksamhetsansvaret för respektive nämnd och bolagsstyrelse ingår bland annat att säkerställa att tillämpliga lagar, föreskrifter, styrande dokument och beslut följs samt att skyddsbehov och accepterad risk- och säkerhetsnivå uppfylls. Detta gäller oavsett om verksamhetens göromål och/eller information hanteras av en underleverantör, verksamhetsspecifik eller gemensam tjänst. Respektive nämnd och bolagsstyrelse ska tydliggöra behov och krav till leverantörer av gemensamma tjänster. Respektive nämnd och styrelse är personuppgiftsansvarig och ska fastställa instruktioner gällande leverantörers behandling av personuppgifter. Nämnder med särskilt ansvar för gemensamma tjänster Nämnden för Intraservice, nämnden för Demokrati- och medborgarservice samt Inköp och upphandlingsnämnden har ett särskilt ansvar som leverantör av gemensamma tjänster och samordning av nationella digitala tjänster och standarder. Gemensamma tjänster kan levereras som bas-, tilläggs- eller specialisttjänst, se vidare under rubriken Tjänster och förändringsinsatser. Tilläggs- och specialisttjänster kan också utföras av annan leverantör i de fall nämnd och bolagsstyrelse värderat att ett sådant alternativ bättre säkerställer en effektiv förvaltning och utveckling. Leverantörer som anges ovan ansvarar för att förvalta och utveckla tjänster inom främst styr- och stödprocesser och ska upprätta tjänstekatalog där pris, tjänstens omfattning, servicenivå, målgrupp och informationssäkerhetsnivå liksom krav på kunden för att kunna ansluta sig till tjänsten, tydligt ska framgå. Tjänsterna ska levereras inom tidsplan och enligt överenskommen kvalitet och servicenivå. De gemensamma tjänsterna ska minst uppfylla stadens grundsäkerhetsnivå, se Göteborgs Stads riktlinje för informationssäkerhet. Leverantörens ansvar omfattar hela tjänstens livscykel. förvaltning I de fall leverantörer är personuppgiftsbiträde till en styrelse eller nämnd, får de endast behandla personuppgifter i enlighet med gällande lagar och förordningar samt de fastställda instruktioner som respektive nämnd/styrelse beslutat om. Leverantör ansvarar för att det digitala informationsutbytet med omvärlden sker samordnat samt med rätt säkerhet och via standardiserade funktioner och format. Leverantör ansvarar dessutom för att: • löpande följa upp att tillämpliga lagar, föreskrifter, styrande dokument och beslut följs samt att beslutad säkerhetsnivå uppfylls, • löpande följa upp väsentliga störningar och brister avseende säkerhet, • direkt rapportera nyupptäckta avvikelser mot säkerhetskrav till berörda verksamheter samt beredningsfunktionen för den strategiska samordningsgruppen, • årligen formellt presentera en uppföljningsrapport för berörda verksamheter och den strategiska samordningsgruppen. Rapporten ska omfatta en beskrivning över följsamheten gentemot det som nämns i första punkten ovan samt en sammanställning och konsekvensanalys gällande det som nämns i punkt två ovan. Nämnden för Intraservice ansvarar för förvaltning och utveckling av kommunkoncernens gemensamma digitala infrastruktur, samt att det finns ramverk/regler för stadens arkitektur och infrastruktur för nämnder och bolagsstyrelse att tillämpa. Detta gäller för gemensamma såväl som för verksamhetsspecifika system och tjänster. Samordning För att uppnå effektivitet och ändamålsenlig samordning krävs ansvarstagande på flera nivåer. Samordningsmodellen som illustreras nedan syftar till att främja en god kundrelation, utveckla samarbetet samt att säkerställa att tjänster och digital infrastruktur levereras effektivt och ändamålsenligt. Kontakter mellan kund och leverantörer kan ske på olika nivåer. Med kund i detta sammanhang avses förvaltningar och bolag. Varje ärende ska hanteras på den nivå där rätt kunskap och förutsättning finns för att lösa frågan. Figur 1, stadens samordningsmodell för digital utveckling och förvaltning förvaltning Styrning För att möjliggöra en effektiv och ändamålsenlig digital förvaltning och utveckling har en styrmodell tagits fram som ska säkerställa att styrning och finansiering utgår från beslutade mål och med utgångspunkt i att stadens digitala service och tjänster ska skapa värde och vara enkla, effektiva, säkra och efterfrågade av boende, besökare, näringsliv och medarbetare. Styrmodellen ska bidra till en förstärkt styrning av kommunkoncernen, det vill säga samtliga nämnder och bolagsstyrelser i staden. Styrmodellen innehåller tre huvudaktiviteter som beskrivs närmare var för sig. Digital infrastruktur utgör en grundläggande möjliggörare för den kommungemensamma såväl som den verksamhetsnära utvecklingen. Digital infrastruktur beskrivs som en bottenplatta i figur 2. Behov och kravställning Prioritering och beslut Realisera nytta och effekter Figur 2, stadens styrmodell för digital utveckling och förvaltning Behov och kravställning Den första huvudaktiviteten i styrmodellen benämns Behov och kravställning. Den första huvudaktiviteten är generell och gäller båda spåren. Figur 3, huvudaktivitet 1 i stadens styrmodell för digital utveckling och förvaltning Verksamhetsspecifika system, tjänster och förändringsinsatser Förvaltning/bolag samlar in behov utifrån sitt verksamhets- och bolagsspecifika uppdrag och målgrupper. förvaltning Förvaltning/bolag genomför kostnads- och nyttoanalys samt säkerställer om befintliga lösningar inom staden kan återanvändas inför beslut om eventuella verksamhets- förändringar med stöd av digitala lösningar. Inför värdering och prioritering i respektive förvaltnings- och bolagsledning sammanställs underlag utifrån kriterier, typ av finansiering, hantering av säkerhetsrisker samt förslag på långsiktig planering för digital utveckling och förvaltning. Gemensamma tjänster och förändringsinsatser Ansvarig leverantör ska utifrån kunddialog och omvärldsbevakning identifiera insatser som ska gå vidare till analys utifrån gemensamma kategorier och kriterier. Leverantör genomför kostnads- och nyttoanalys samt risk- och säkerhetsbedömningar i samarbete med berörda kunder och expertis samt säkerställer om befintliga lösningar inom staden kan återanvändas. I underlaget ska bland annat nyttor och effekter samt uppfyllande av lag- och säkerhetskrav framgå. För leverantörer av gemensamma tjänster ska berörd nämnd informeras innan analysunderlag översänds till stadsledningskontoret. Beredningsfunktionen sammanställer inkomna underlag utifrån kriterier, typ av finansiering samt förslag på långsiktig plan för digitalisering för ytterligare värdering och prioritering i den strategiska samordningsgruppen. Prioritering och beslut Styrmodellens andra huvudaktivitet beskriver beslutsprocessen avseende prioriteringar och finansiering. Figur 4 beskriver de olika stegen i denna huvudaktivitet. Figur 4, huvudaktivitet 2 i stadens styrmodell för digital utveckling och förvaltning Verksamhetsspecifika system, tjänster och förändringsinsatser I det första spåret som avser Verksamhets- och bolagsspecifika system och tjänster ansvarar respektive nämnd och bolagsstyrelse för att utifrån verksamhetens behov ta fram underlag för förvaltning och utveckling med stöd av digitalisering. Gemensamma tjänster och förändringsinsatser I det andra spåret, Gemensamma tjänster och förändringsinsatser, har den strategiska samordningsgruppen det övergripande ansvaret för att värdera och prioritera tjänster och gemensamma behov. Den strategiska samordningsgruppen ansvarar för att också vid förvaltning behov hantera, värdera och besluta om enskilda förändringsinsatser, till exempel förstudie eller utredning, under pågående budgetår. Nämnder som levererar gemensamma tjänster ska inkomma med en årlig analys till den strategiska samordningsgruppen. Den årliga analysen syftar till att tydliggöra den strategiska riktningen som ligger till grund för digital utveckling och förvaltning för gemensamma tjänster. Underlaget ska innehålla en analys av pågående och planerade satsningar, behov av utveckling som behöver ske för att möta kommunkoncernens behov av gemensamma tjänster och digital infrastruktur. I analysunderlaget ska det bland annat framgå hur inkomna behov och krav från nämnder och bolagsstyrelser gällande lagar och säkerhetsnivåer ser ut och kommer att uppfyllas samt vilken informationssäkerhetsnivå som ska gälla för respektive gemensam tjänst. Strategisk samordningsgrupp värderar och prioriterar behov av digital utveckling och förvaltning för planperioden samt vilken typ av finansiering som bör tillämpas, se vidare under rubriken Tjänster och strategiska förändringsinsatser. Strategiska samordningsgruppens värdering och prioritering ligger sedan till grund för underlag till budget som administreras via stadsledningskontoret. Kommunfullmäktige fattar sedan beslut om de ekonomiska ramarna. Realisera och följa upp nytta och effekter Den tredje och sista huvudaktiviteten benämns Realisera och följa upp nytta och effekter. I denna sker val av leverantör för att säkerställa en effektiv förvaltning och utveckling, vilket kan innebära att en extern utförare anlitas. Figur 5, huvudaktivitet 3 i stadens styrmodell för digital utveckling och förvaltning Gemensamma tjänster och förändringsinsatser I fasen Initiera sammanfattas tidigare arbete med kostnads- och nyttoanalys och prioritering och värdering i form av nyttorealiseringsplan. Leverantören initierar detta arbete i samarbete med berörda kunder. Leverantör initierar och genomför utvecklingsfasen. Beroende på förändringsinsats kan denna fas variera i fråga om tid och komplexitet. Leverantör ansvarar för att samverkan och samplanering sker med berörda kunder. Leverantör genomför implementering av lösning till berörda kunder. Det är kunden som ansvarar för att implementera verksamhetsförändringen, till exempel nya arbetssätt. Leverantör ansvarar för att förvaltning etableras med berörda kunder och samverkanspartner och tillser att förvaltningsplan/er tas fram. Leverantör ansvarar för att följa upp förändringsinsatsen. Det är kunden som ansvarar för att realisera nyttor och säkra effekthemtagning. Prioriterade nyttor ska följas upp utifrån fastställd förvaltning nyttorealiseringsplan och kontrollera om hemtagning av framtagna nyttor och effekter sker. Genomförd förändringsinsats ska utvärderas och dokumenteras utifrån fastställd nyttorealiseringsplan. Utifrån slutsatser från uppföljningen ansvarar nämnd/bolagsstyrelse för att fatta beslut om åtgärder för att komma till rätta med orsaker till allvarliga avvikelser och brister i kvalitet. Stadsledningskontoret ansvarar för att följa och utvärdera förändringsinsatser som bedöms ha en hög angelägenhetsgrad och nytta för kommunkoncernen som helhet. I samråd med den strategiska samordningsgruppen beslutas vilka förändringsinsatser som särskilt ska följas. Avsteg från riktlinjen Att samla kommunkoncernen kring gemensamma system och tjänster som ger nytta och effekt för staden som helhet är ett långsiktigt arbete som behöver genomföras i nära samverkan. Den grundläggande principen är att stadens förvaltningar och bolag ska använda gemensamma bas-, tilläggs- och specialisttjänster samt tillämpa de styrande dokument som staden anger som krav för att få en fungerande och ändamålsenlig infrastruktur, arkitektur och informationssäkerhet, säkerhet etcetera. Inför eventuella avsteg gällande obligatoriska bastjänster ska ursprunglig bedömning av nytta, effektivitet samt uppfyllande av lagar och säkerhetsnivå omvärderas och den strategiska samordningsgruppen ska informeras. En ny bedömning kan innebära att tjänsten behöver anpassas för att fortsatt kunna vara en obligatorisk bastjänst alternativt omdefinieras som en tilläggstjänst. Alla avsteg ska efter dialog med ansvarig leverantör utförligt motiveras av förvaltningen/bolaget. Berörd nämnd/bolagsstyrelse ska fatta beslut om avsteg. Avsteg ska rapporteras inom ramen för den ordinarie uppföljningsprocessen. En av grundstenarna för styrmodellen är att de gemensamma tjänsterna ska skapa nytta för hela kommunkoncernen. I de fall leverantörerna inte kan leverera gemensamma tjänster enligt kundens behov eller leverantörens planering för konsolidering, ska detta definieras och hanteras som en avvikelse och inte ett avsteg. Avvikelse ska, liksom avsteg, rapporteras inom ramen för den ordinarie uppföljningsprocessen och den strategiska samordningsgruppen ska informeras. Finansiering Finansiering för stadens digitaliseringsarbete ska hanteras inom det ordinarie budget- och uppföljningsarbetet. Det finns tre sätt att hantera gemensamma tjänster och förändringsinsatser; kostnadsfördelning, faktura a´ pris och kommunbidrag. Stadens regelverk ger också möjlighet att fördela kostnader över tid genom att lös egendom ska leasas både vad gäller materiella och immateriella tillgångar. Tjänster och förändringsinsatser Genom att erbjuda enkla, effektiva och efterfrågade tjänster blir staden bättre på att möta behoven hos boende, besökare, näringsliv och verksamhet. Stadens digitala tjänster ska skapa sådant värde att de är det naturliga förstahandsvalet. förvaltning En tjänst är en aktivitet eller en funktion som tillför värde för en mottagare eller utförs på dennes uppdrag. Tjänster kan vara gemensamma för flera nämnder och bolagsstyrelser eller verksamhetsspecifika för en eller flera nämnder och bolagsstyrelser. Denna riktlinje omfattar fyra kategorier av tjänster: Bastjänster, Tilläggstjänster, Specialisttjänster och Verksamhetsspecifika tjänster. De gemensamma tjänsterna ska vara tydligt koncerngemensamma utifrån ett styrnings- och ledningsperspektiv och ha en fastställd nytta. Tjänsterna ska syfta till att i första hand förstärka gemensamma styr- och stödprocesser. Förändringsinsatser syftar till att ge staden framdrift i digital mognad och förmåga. Exempel på sådana kan vara satsningar för att stärka stadens digitala förmåga och kompetens. Kategorier av tjänster och ersättning till leverantör beskrivs i tabellen nedan. Kategori Valbarhet för Exempel Ersättning till leverantör nämnder och bolagsstyrelser Bastjänst Obligatorisk Tjänster inom -Kostnadsfördelning stödprocesser HR utifrån prognosticerat pris och ekonomi och volym samt slutreglering utifrån faktisk kostnad. -Fakturering för såld tjänst. Tilläggstjänst Valbar Drift av verksamhets- Fakturering för såld tjänst. specifika system Specialisttjänst Valbar Projektledare, Fakturering för såld tjänst. inköpskonsult Verksamhets- Stöd för Inom egen budget. specifika system elevhälsan, stöd och tjänster för hälso- och sjukvård förvaltning Bilaga Begrepp Begrepp Notering Användarforum Gemensamma frågor för samtliga kunder som nyttjar stadens gemensamma tjänster. Digital infrastruktur Med digital infrastruktur avses det ekosystem av gemensamma tjänster och strukturer som behövs för att säkra en effektiv digitalisering i verksamheterna. Ekosystemet av gemensamma tjänster och strukturerna består både av hård infrastruktur såsom exempelvis nätverkslösningar, serverdrift, lagring och säkerhetsfunktioner samt mjuk infrastruktur såsom exempelvis standarder, tjänster för informationsutbyte, identifiering, dataanalys och arkivering. Digitalisering Digitalisering är en metod för verksamhetsutveckling där digitala lösningar används för automatisering eller innovation. Förvaltning Ersätter begreppet vidmakthållande. Förändringsinsatser Insatser i form av tid, resurser och kunskap i syfte att åstadkomma nyttor och realisering av beslutade mål. Omfattar de insatser som krävs fram till nyttan är realiserad. Gemensamma bas-, Ett arbete med att sortera, värdera och kategorisera tjänster som tilläggs-, ska tillhandahållas genomförs under hösten 2020. Bastjänst ska specialisttjänster vara obligatoriska. Tilläggs- och specialisttjänster är valbara. Grunduppdrag De uppdrag som kommunfullmäktige tilldelat nämnd/bolagsstyrelse och som dokumenteras i reglemente respektive bolagsordning och ägardirektiv. Informationssäkerhet Informationssäkerhet handlar framför allt om att hindra information från att läcka ut, förvanskas och förstöras. Det handlar också om att rätt information ska finnas tillgänglig för rätt personer, och i rätt tid. Kund Förvaltningar och bolag inom kommunkoncernen. Leverantör Ersätter begreppet utförare. Gemensamma tjänster levereras av Inköp och upphandling, Demokrati- och Medborgarservice samt Intraservice. Nyttorealisering Innebär ett aktivt och systematiskt arbete att säkerställa nyttan med de förändringar som avses genomföras. Strategisk Ansvarar för att värdera och prioritera befintliga och nya samordningsgrupp förändringsinsatser och gemensamma tjänster. Leds och samordnas av stadsledningskontoret. Tjänster Tjänst är en aktivitet eller funktion som tillför värde för en mottagare eller utförs på dennas uppdrag. Uppdelningen mellan interna och externa tjänster upphör. Utveckling Ersätter begreppet vidareutveckling. förvaltning Göteborgs Stads rutin för hantering av begäran om utlämnande av allmänna handlingar Göteborgs Stads styrsystem Utgångspunkterna för styrningen av Göteborgs Stad är lagar och författningar, den politiska viljan och stadens invånare, brukare och kunder. För att förverkliga utgångspunkterna behövs förutsättningar av olika slag. Stadens politiker har möjlighet att genom styrande dokument beskriva hur de vill realisera den politiska viljan. Inom Göteborgs Stad gäller de styrande dokument som antas av kommunfullmäktige och kommunstyrelsen. Därutöver fastställer nämnder och bolagsstyrelser egna styrande dokument för sin egen verksamhet. Kommunfullmäktiges budget är det övergripande och överordnade styrande dokumentet för Göteborgs Stads nämnder och bolagsstyrelser. Om Göteborgs Stads styrande dokument Göteborgs Stads styrande dokument är våra förutsättningar för att vi ska göra rätt saker på rätt sätt. De anger vad nämnder/styrelser och förvaltningar/bolag ska göra, vem som ska göra det och hur det ska göras. Styrande dokument är samlingsbegreppet för dessa dokument. Stadens grundläggande principer såsom demokratisk grundsyn, principer om mänskliga rättigheter och icke-diskriminering omsätts i praktisk verksamhet genom att de integreras i stadens ordinarie beslutsprocesser. Beredning av och beslut om styrande dokument har en stor betydelse för förverkligandet av dessa principer i stadens verksamheter. De styrande dokumenten ska göra det tydligt både för organisationen och för invånare, brukare, kunder, leverantörer, samarbetspartners och andra intressenter vad som förväntas av förvaltningar och bolag. De styrande dokumenten ligger till grund för att utkräva ansvar när vi inte arbetar i enlighet med vad som är beslutat. Dokumentnamn: Göteborgs Stads rutin för hantering av begäran om utlämnande av allmänna handlingar Datum och paragraf för Beslutad av: Gäller för: Diarienummer: beslutet: Göteborgs Stads nämnder, Stadsdirektören styrelser, bolag och 0105/23 Verkställighet förvaltningar Dokumentsort: Giltighetstid: Senast reviderad: Dokumentansvarig: Rutin Fr.o.m. 2018-01-01 2023-03-24 Förste stadsjurist Bilagor: [Bilagor] Innehåll Inledning ............................................................................................................ 4 Syftet med denna rutin ..................................................................................... 4 Vem omfattas av rutinen .................................................................................. 4 Bakgrund ......................................................................................................... 4 Rutin ................................................................................................................... 5 1. Offentlighetsprincipen ............................................................................... 5 2. Meddelarfrihet ........................................................................................... 5 3. Vem prövar en begäran? .......................................................................... 5 4. Hur en begäran om allmän handling ska hanteras .................................... 5 4.1 Handling ................................................................................................. 6 4.2 Allmän handling ...................................................................................... 6 4.2.1 Begreppet inkommen tar sikte på handlingar som kommer till myndigheten. ................................................................................................... 6 4.2.2 Begreppet upprättad tar sikte på handlingar som skapas på myndigheten. ........................................................................................................................ 7 4.2.3 Förvarad är handlingen om den finns hos myndigheten vid tidpunkten för begäran ................................................................................................... 7 4.3 Offentlig eller sekretessbelagd? ............................................................. 8 5. Vanligt förekommande typer av handlingar ............................................... 8 5.1 Sammanställningar av uppgifter ur digitala system ................................. 8 5.2 E-postlogg .............................................................................................. 9 5.3 Intern e-post och interna chattkonversationer ......................................... 9 5.4 Arbetsmaterial ........................................................................................ 9 6. Gallring och raderade allmänna handlingar............................................. 10 7. Skyndsamhetskravet .............................................................................. 11 8. Kontrollera e-post och telefonsvarare under semester/frånvaro .............. 11 9. Ta del av en allmän handling .................................................................. 11 10. Lämna ut handlingar digitalt ................................................................ 12 11. Ta betalt för utlämnande av allmänna handlingar ................................ 12 12. Rätt att vara anonym ........................................................................... 13 13. När man inte kan tillmötesgå en begäran ............................................ 13 14. Att tänka på ......................................................................................... 13 Exempel på formulering av avslagsbeslut ...................................................... 15 Ingen handling............................................................................................ 15 Inte allmän.................................................................................................. 15 Delvis avslag på grund av sekretess .......................................................... 16 Inledning Syftet med denna rutin Syftet med denna rutin är att tydliggöra vad lagstiftningen om allmänna handlingar samt offentlighet och sekretess innebär och att skapa praktiska handläggningsregler för stadens nämnder, styrelser, bolag och förvaltningar när det gäller hanteringen av en begäran om utlämnande av allmän handling. Respektive nämnd/styrelse bör skapa egna mer preciserade regler utifrån de situationer som uppkommer hos dem. Ett registerutdrag enligt dataskyddsförordningen ska inte sammanblandas med en begäran om utlämnande av allmän handling. En begäran om ett registerutdrag behandlas inte i denna rutin. För frågor om detta, kontakta ert dataskyddsombud. Begäran enligt lag (2022:818) om den offentliga sektorns tillgängliggörande av data (öppna datalagen) berörs inte i denna rutin. Vem omfattas av rutinen Denna rutin gäller tills vidare för Göteborgs Stads samtliga nämnder, styrelser, bolag och förvaltningar. Bakgrund Kommunfullmäktige uppdrog genom beslut 2016-10-13 § 21 åt kommunstyrelsen att skapa riktlinjer med handlingsplan gällande utlämning av allmänna handlingar. De senaste åren har antalet förfrågningar om utlämnande av allmänna handlingar ökat och förfrågningarna avser inte längre bara traditionella handlingar. Numera begärs e- postloggar och e-postkommunikation ut i stor utsträckning, men även andra typer av dokument och förteckningar. För att effektivt kunna tillmötesgå en begäran och för att kunna följa gällande rätt är det viktigt att varje medarbetare i staden är väl bekant med hur en begäran om utlämnande av exempelvis en e-postlogg eller in- och utgående e- postmeddelanden ska hanteras. Med tanke på lagstiftningens krav på skyndsam hantering av begäran om utlämnande av allmän handling är det också mycket viktigt att en begäran aldrig blir liggande. Den ökade mängden förfrågningar i kombination med mängden handlingar som dagligen inkommer och upprättas genom hanteringen av e- postmeddelanden mellan myndigheter gör att det finns ett behov av ökat fokus i stadens samtliga verksamheter på dessa frågor och ett klargörande av lagstiftningen på detta område. Rutinen avser också att förtydliga för medarbetarna vikten av god ordning på inkommande och upprättade handlingar, vad skyndsam hantering innebär samt varför gallring och rensning bland handlingar är nödvändigt. Rutin 1. Offentlighetsprincipen Göteborgs Stads samtliga nämnder, styrelser, förvaltningar och bolag är skyldiga att tillämpa offentlighetsprincipen. Offentlighetsprincipen är grundlagsfäst i 2 kap. 1 § tryckfrihetsförordningen, TF, och innebär bland annat att var och en har rätt att hos myndigheter få ta del av allmänna handlingar. Varje nämnd är i detta hänseende sin egen myndighet, och de kommunala bolagen är att jämställa med myndighet om kommunen utövar ett rättsligt bestämmande inflytande över bolaget, vilket Göteborgs Stad gör över samtliga bolag som ingår i Stadshus AB. 2. Meddelarfrihet Meddelarfriheten är en del av offentlighetsprincipen och innebär att anställda vid en myndighet har möjlighet att kontakta media och lämna uppgifter om förhållanden på myndigheten/arbetsplatsen till media i syfte att få uppgifterna publicerade. Om man använder sig av meddelarfriheten så gör man det som privatperson, inte som representant för myndigheten. Myndigheten får inte efterforska vem som har lämnat ut uppgifterna och inte ge några repressalier. De så kallade efterforsknings- och repressalieförbuden är straffsanktionerade. Vissa uppgifter omfattas av kvalificerad tystnadsplikt och då är meddelarfriheten inte tillämplig. 3. Vem prövar en begäran? Varje myndighet har ett ansvar för att säkerställa att det står klart för samtliga på myndigheten vem som ska hantera en begäran om utlämnande av allmän handling. Utgångspunkten är att det är den anställde som har tillgång till handlingen i sitt dagliga arbete som gör bedömningen om en handling ska lämnas ut eller inte. Är den personen inte på plats måste någon annan hantera begäran. Låg bemanning på grund av semester eller sjukdom eller hög arbetsbelastning är aldrig godtagbara skäl att dröja med handläggningen. Om begäran är oklar ska myndigheten hjälpa den enskilde att komplettera eller precisera sin begäran så att den kan hanteras. Om den allmänna handlingen är offentlig ska den omedelbart lämnas ut. Ett utlämnande sker helt formlöst och inga beslut behöver fattas. Om den som har tillgång till handlingen bedömer att handlingen inte ska lämnas ut ska den enskilde upplysas om detta samt tillfrågas om den önskar att få ett överklagbart beslut. Även när handlingen lämnas ut i maskerat skick ska den enskilde tillfrågas om den önskar ett överklagbart beslut. 4. Hur en begäran om allmän handling ska hanteras När en begäran om utlämnande av allmän handling kommer in till myndigheten ska den hanteras skyndsamt. Det betyder att någon ska börja arbeta med den så snart som möjligt. Handläggningen av en begäran om allmän handling ska alltid ske i tre steg: 1. Är det som begärs ut en handling? 2. Är handlingen allmän? 3. Omfattas den allmänna handlingen av sekretess? 4.1 Handling En handling är en framställning i skrift eller bild samt en upptagning som endast med tekniska hjälpmedel kan läsas eller avlyssnas eller uppfattas på annat sätt (2 kap. 3 § TF). Det kan handla om såväl handlingar i form av pappersdokument som ljud- eller bildupptagningar, samt information som förvaras på en hårddisk eller liknande. Allt som innehåller någon form av information, oavsett medium, är att betrakta som en handling. Exempel på handlingar: • pappersdokument, • dokument/filer/foto/filmer/ljudfiler i system/dator/platta/telefon, på CD/USB/web, på post-it, i e-post/sms/sociala medier, • inspelat röstmeddelande på telefonsvarare Exempel på vad som inte är en handling: • telefonsamtal - det finns ingen skyldighet att upprätta en handling avseende ett telefonsamtal för att någon vill veta vad som framkom under samtalet. • skärmdump - det finns ingen skyldighet att på begäran framställa en skärmdump 4.2 Allmän handling En handling blir allmän när den är antingen inkommen eller upprättad, samt dessutom förvarad hos myndigheten. En handling som inte är en allmän handling behöver inte lämnas ut. 4.2.1 Begreppet inkommen tar sikte på handlingar som kommer till myndigheten. Inkommen är en handling när den har anlänt till myndighetens lokaler via personligt överlämnande, post, e-post eller fax. En handling kan även anses som inkommen till myndigheten när den har lämnats till behörig tjänsteperson utanför myndighetens lokaler, exempelvis på ett externt möte. Det finns inte något krav på att en handling ska vara läst eller diarieförd för att anses som inkommen. Ett e-postmeddelande som hör till tjänsten anses till exempel som inkommet så snart det finns i inkorgen, oavsett om det är öppnat eller inte. Det är därför viktigt att det finns rutiner för att öppna och ta hand om både post och e-post vid den anställdes frånvaro. Frånvaromeddelanden på e-post eller telefon fungerar som information till mottagaren, men fritar inte myndigheten från skyldigheten att ändå öppna och ta hand om e-posten eller telefonmeddelanden eftersom de har kommit in till myndigheten. Exempel på när en handling har inkommit till myndigheten: • e-post när den ”landat” på en e-postserver, • inkommet sms, • kommentar på sociala media, • röstmeddelande som spelats in på telefonsvarare. 4.2.2 Begreppet upprättad tar sikte på handlingar som skapas på myndigheten. Huvudregeln är att en handling är upprättad när den har expedierats. Med expediering avses vanligen att handlingen skickas till en mottagare utanför myndigheten. Även en handling som inte har expedierats är upprättad när det ärende som handlingen hör till är avslutat/slutbehandlat. När ett ärende är avslutat och arkiverat är samtliga handlingar i ärendet allmänna handlingar. Tänk därför på att rensa bort eventuellt arbetsmaterial, post- it-lappar m.m. innan ärendet arkiveras. En handling som inte hör till ett visst ärende kan också vara att betrakta som upprättad trots att den varken är expedierad eller arkiverad, nämligen då den är justerad eller färdigställd. Protokoll är allmänna handlingar när de har justerats. Exempel på upprättade handlingar (förutsatt att de kan göras tillgängliga med rutinbetonade åtgärder): • e-postloggar • loggar över telefonsamtal • chattfiler • loggar i passersystem • loggfiler som visar internetaktiviteter och besökta hemsidor (brandväggsloggar, globalfiler, historikfiler, cookies etc.) som finns kopplat till dina arbetsverktyg (dator, telefon, surfplatta etc.) Exempel på vad som inte är upprättade handlingar: • utkast, ej färdigställda handlingar • ett tjänsteutlåtande i ett ärende som gjorts tillgängligt för nämnd/styrelse i appen, men ännu inte publicerats på hemsidan eller fattats beslut i. 4.2.3 Förvarad är handlingen om den finns hos myndigheten vid tidpunkten för begäran. En handling som har förvarats hos myndigheten men tillfälligtvis inte finns där anses normalt ändå som förvarad hos myndigheten. En upptagning för automatiserad behandling anses förvarad hos den myndighet där upptagningen rent fysiskt finns OCH hos den myndighet som har åtkomst till upptagningen. Om myndigheten kan få utskrifter av upptagningen från någon annan som har hand om upptagningen för myndighetens räkning, till exempel en annan myndighet som ansvarar för databehandling som är gemensam för ett antal myndigheter, så anses handlingen också förvarad på myndigheten. Myndigheten behöver alltså inte ha direktåtkomst till upptagningen. Har myndigheten direktåtkomst till en handling, även om handlingen egentligen hör hemma hos en annan myndighet, är handlingen förvarad även hos den myndighet som har direktåtkomst till den. Detta bör beaktas innan man delar dokument i OneDrive, SharePoint eller i annat liknande system. En handling som förvaras hos en myndighet endast som ett led i en teknisk bearbetning eller teknisk lagring för någon annans räkning anses inte som allmän handling hos den myndigheten. Det bör finnas administrativa och tekniska begränsningar för myndigheten att ta del av uppgifterna i läsbart skick för att detta undantag ska vara tillämpligt (HFD 2018 ref. 48). Som allmän handling anses inte heller en handling som en myndighet förvarar endast i syfte att kunna återskapa information som har gått förlorad i en myndighets ordinarie system för automatiserad behandling av information (säkerhetskopia). Exempel på vad som inte är allmänna handlingar: • handlingar med rent privat innehåll (loggar som innehåller både privata och myndighetsaktiviteter är dock allmänna) • handlingar till förtroendevalda i egenskap av partiföreträdare • handlingar till fackliga representanter i egenskap av fackliga företrädare • elektronisk kalender 4.3 Offentlig eller sekretessbelagd? Allmänna handlingar är offentliga om det inte finns någon sekretessbestämmelse i offentlighets- och sekretesslagen (OSL) som det går att sekretessbelägga handlingen eller uppgifter i handlingen med stöd av. Innehållet i en handling som begärts ut ska alltid prövas i förhållande till OSL. Vid en prövning kan man komma fram till att hela eller delar av innehållet i en allmän handling ska sekretessbeläggas. 5. Vanligt förekommande typer av handlingar 5.1 Sammanställningar av uppgifter ur digitala system Rätten att ta del av en myndighets datalagrade information omfattar inte bara befintliga allmänna handlingar, utan också sammanställningar av uppgifter ur en upptagning för automatiserad behandling. Dessa handlingar benämns ofta ”potentiella handlingar” och vad som närmare avses är varje tänkbar sammanställning av uppgifter ur en eller flera upptagningar trots att uppgifterna inte existerar i sammanställd form. Varje sådan sammanställning av uppgifter anses vara en hos myndigheten förvarad handling alldeles oavsett huruvida om sammanställningen gjorts tidigare och oavsett huruvida myndigheten i sin egen verksamhet har anledning att göra en sådan sammanställning. Det innebär att myndigheten måste använda sina datorsystem för att ta fram en begärd sammanställning av uppgifter, även om framtagningen innefattar en bearbetning eller en särskild sammanställning av informationen. Huvudprincipen är att allmänheten ska ha tillgång till en upptagning i samma utsträckning som denna är tillgänglig för myndigheten (bortsett från att eventuell sekretess kan gälla). Skyldigheten att göra sammanställningar av uppgifter gäller dock bara under förutsättning att sådana sammanställningar kan utföras utan alltför stor arbetsinsats och med rutinbetonade åtgärder. En kvalificerad, konstruktiv insats, till exempel i form av nyskrivning av datorprogram, är inte att betrakta som en rutinbetonad åtgärd. Sammanställningen ska kunna tas fram med en begränsad arbetsinsats som inte är förknippad med några nämnvärda kostnader. Bedömningen får göras med hänsyn till såväl den allmänna tekniska utvecklingen som den tekniska kompetensen och den tekniska utvecklingen hos myndigheten. En begärd sammanställning kunde göras tillgänglig genom programmeringsåtgärder i befintliga program, men beräknades ta 4-6 timmar, och sammanställningen ansågs då inte förvarad hos myndigheten (HFD 2015 ref. 25). En logg för närvaro och logg för chattkonversationer i Teams från kommunstyrelsens sammanträde lagrades som osorterade filer (s.k. rådata) i kommunens IT-system och eftersom det skulle ta 4-6 timmar att göra en sammanställning av det aktuella slaget översteg arbetsinsatsen vad som ses som rutinbetonade åtgärder. Eftersom sammanställningen därför inte var att anse som förvarad hos nämnden var den inte heller en allmän handling (Kammarrättens i Göteborg dom den 26 oktober 2021 i mål nr 7795- 20). Detta ska dock inte sammanblandas med vad som gäller för färdiga elektroniska handlingar. Slutligt utformade handlingar i elektronisk form med ett bestämt, fixerat innehåll är förvarade på myndigheten även om det krävs mer än rutinbetonade åtgärder för att göra dem tillgängliga. 5.2 E-postlogg E-postloggen är i sig en allmän handling även om där ingår e-post som inte är allmänna handlingar. För att maskera uppgifter i e-postloggen krävs det stöd i offentlighets- och sekretesslagen (OSL). Att ett e-postmeddelande uteslutande är av privat karaktär gör inte att den raden kan strykas/raderas ur loggen. Observera dock skillnaden i det fall att den enskilde begär ut själva e-postmeddelandet. Om det är ett e-postmeddelande av helt privat karaktär utgör det inte en allmän handling och behöver därmed inte lämnas ut. 5.3 Intern e-post och interna chattkonversationer Meddelanden som sänds inom en myndighet, eller chattkonversationer inom en myndighet, och som inte har kopplingar till något ärende, är normalt inte allmänna handlingar eftersom de inte anses upprättade. Om meddelandena har kopplingar till ett ärende kan även intern e-post och chattkonversation bli allmänna handlingar om ärendet är avslutat och meddelandena finns kvar. Handlingar som skickas internt inom en förvaltning eller ett bolag är således inte allmänna handlingar förrän ärendet är slutbehandlat. 5.4 Arbetsmaterial Vad som är arbetsmaterial i TF:s mening är inte detsamma som vad som är arbetsmaterial i dagligt tal. I TF förekommer begreppen minnesanteckning, utkast och koncept. För dessa typer av handlingar finns det särskilda bestämmelser i 12 kap. 2 § TF som bl.a. tydliggör när dessa handlingar inte är allmänna. Minnesanteckning är en handling som till exempel har upprättats inför en föredragning av ett ärende, en sammanfattning av informationen som finns i ärendet. En minnes- anteckning tillför inte ärendet någon ny sakuppgift. Om en sakuppgift tillförs, då är det inte en minnesanteckning. En minnesanteckning är inte en allmän handling, om den inte tas om hand för arkivering. Exempel på minnesanteckning • Föredragnings-PM som sammanfattar ett ärende utan att tillföra ärendet ny information. Exempel på vad som inte är en minnesanteckning • En notering efter ett telefonsamtal om en ny omständighet. • Anteckningar från ett möte om vad som diskuterades på mötet och beslut som fattades. Utkast och koncept kallas även mellanprodukter och är inte en allmän handling om det inte expedierats. Ett utkast som skickas till en annan myndighet, för att den ska inkomma med synpunkter kan vara en handling som inte är allmän, men svaret med synpunkter är sannolikt en allmän handling. Detta blir relevant att ha i åtanke när dokument skickas för synpunkter mellan olika myndigheter. Sannolikheten att det inte skulle bedömas vara en allmän handling är ganska liten. För att inte behöva lämna ut handlingen krävs då en bestämmelse enligt vilken uppgifterna i handlingen omfattas av sekretess. Utkast och koncept blir också en allmän handling om de tas om hand för arkivering. 6. Gallring och raderade allmänna handlingar Såvida inte annat är föreskrivet i lag eller förordning, krävs gallringsbeslut för att få gallra allmänna handlingar. För myndigheter i Göteborgs Stad är det Arkivnämnden som har beslutaderätten om gallring av allmänna handlingar. Information om gallringsregler med mera kan sökas hos Arkivnämnden. Allmänna handlingar får bara raderas (gallras) om det överensstämmer med arkivlagen, arkivbestämmelser, dokumenthanteringsplan och gallringsföreskrifter. Om en handling har raderats kan handlingen många gånger återskapas av till exempel Intraservice om det finns säkerhetskopior. Säkerhetskopiornas syfte är att återskapa information som gått förlorad på grund av tekniska fel, sabotage, extraordinär händelse som brand eller översvämning etc., dvs. det ska vara fråga om en ofrivillig förlust av informationen. Säkerhetskopior är inte allmänna handlingar. Har en handling gallrats i enlighet med tillämpliga föreskrifter anses det inte finnas något allmänt intresse av insyn i fråga om innehållet i den gallrade handlingen. Även om det skulle vara möjligt att återskapa den korrekt gallrade informationen så finns inte någon sådan skyldighet för myndigheten. När det gäller felaktigt raderade handlingar/information har Högsta förvaltningsdomstolen (HFD) uttalat att säkerhetskopians status som icke allmän handling inte förändras till följd av att originalhandlingen raderats. Någon rätt att få ta del av en handling som enbart finns som säkerhetskopia finns inte. Däremot anser HFD att en myndighet har en principiell skyldighet att så långt som möjligt återskapa en felaktigt raderad handling från det säkerhetskopierade materialet. Om en handling raderats i strid med gällande gallringsföreskrifter kan insynsintresset inte tillgodoses med mindre än att informationen återförs från säkerhetskopian till myndighetens ordinarie system. Därigenom återskapas den allmänna handlingen och frågan om dess utlämnande kan prövas. 7. Skyndsamhetskravet Justitieombudsmannen (JO) har i flera beslut uttalat att skyndsamhetskravet i TF innebär att besked i utlämnandefrågan bör lämnas samma dag som begäran framställs. Någon eller några dagars fördröjning kan godtas om det är nödvändigt för att myndigheten ska ta ställning till om den efterfrågade handlingen är allmän och offentlig. Ett visst dröjsmål är ofrånkomligt om framställningen avser eller kräver genomgång av ett omfattande material. Hur lång tid man har på sig för att besvara en begäran om utlämnande av allmän handling beror därför på hur omfattande begäran är och om sekretessprövningen är tidskrävande. Handläggningen av en begäran om utlämnande av allmän handling ska dock påbörjas tämligen omgående. Hög arbetsbelastning eller tidsbrist är aldrig ett skäl att låta en begäran om utlämnande av allmän handling avvakta. Man kan avsluta det man håller på med just när begäran kommer in, men sedan ska man påbörja hanteringen av begäran. I JO-beslut (dnr 3725-2015) har en kriminalvårdsinspektör fått kritik för att hen inte påbörjade arbetet med ett utlämnande av 14 offentliga handlingar när det återstod 40 min av arbetsdagen. 8. Kontrollera e-post och telefonsvarare under semester/frånvaro Ett e-postmeddelande som inkommit till en tjänstepersons e-postbrevlåda och som rör myndighetens verksamhet är att anse som inkommet till myndigheten. Mot bakgrund av reglerna i TF och i OSL om allmänna handlingars offentlighet och om registrering av sådana handlingar måste inkomna e-postmeddelanden därför läsas löpande samt eventuellt tas om hand för registrering och ytterligare handläggning. Det är således inte tillräckligt att ens vid kortare frånvaro aktivera ett frånvaromeddelande och avstå från att hantera inkomna e-postmeddelanden. Ett alternativ till att själv läsa e-post under semestern är att delegera e-posten till en kollega. Ett röstmeddelande som har talats in på en anställds telefon kan utgöra en allmän handling. Att den anställde, när röstmeddelandet talas in, är frånvarande på grund av semester eller av något annat skäl saknar betydelse för bedömningen av om meddelandet ska anses utgöra en allmän handling. Den omständigheten att den anställde talat in ett svarsmeddelande som anger att hen inte är närvarande ändrar inte det förhållandet att det inkomna röstmeddelandet kan utgöra en allmän handling. Myndigheten måste således ha tillgång till en anställds röstmeddelanden när hen är frånvarande. Om en anställd har en telefon med röstbrevlåda, måste myndigheten ha rutiner som gör att innehållet i röstbrevlådan är tillgängligt för myndigheten även under anställdas frånvaro. JO har uttalat att det inte är acceptabelt att en röstbrevlåda avlyssnas först sex dagar efter det att ett meddelande inkommit. 9. Ta del av en allmän handling Den som vill ta del av en allmän handling som inte är sekretessbelagd har rätt att läsa handlingen på stället. Kan handlingen inte läsas eller uppfattas på något annat sätt utan något tekniskt hjälpmedel, ska myndigheten ställa ett sådant till förfogande, till exempel en bandspelare om det gäller en bandinspelning. En handling får också skrivas av, fotograferas eller spelas in. Är en handling delvis sekretessbelagd, ska de delar av handlingen som inte är sekretessbelagda tillhandahållas i avskrift eller kopia. Den som vill ta del av en allmän handling har också rätt att mot avgift få en avskrift eller kopia av handlingen 10. Lämna ut handlingar digitalt Rätten att erhålla kopior av allmänna handlingar begränsar sig enligt TF till fysiska papperskopior. Det finns emellertid inget som hindrar att handlingar lämnas ut digitalt när omständigheterna så tillåter. Oavsett i vilken form ett utlämnande av allmänna handlingar sker, måste myndigheten pröva om begärda handlingar kan lämnas ut med hänsyn till TF och OSL. När handlingar innehåller personuppgifter tillkommer ytterligare en lagstiftning att ta hänsyn till, dataskyddsförordningen. Huvudregeln är att personuppgifter inte får behandlas för andra ändamål än för vilka de ursprungligen samlades in. Om det kan antas att personuppgifterna kommer att behandlas för andra ändamål eller i övrigt i strid med dataskyddsförordningen kan sekretess enligt 21 kap. 7 § OSL hindra utlämnandet av handlingar. Det innebär att den personuppgiftsansvarige har rätt att ställa nödvändiga frågor om syftet med begäran. Detta gäller särskilt vid massuttag av personuppgifter. När handlingar lämnas ut digitalt finns det anledning att särskilt poängtera vikten av att de lämnas ut i icke redigerbart skick. Handlingarna bör omvandlas till PDF-filer alternativt skannas in innan digital utlämning. Handlingar som inte lämnas ut digitalt omfattas inte av dataskyddsförordningens regler såvida de inte utgör ett sökbart register. Exempel på när en handling inte bör lämnas ut digitalt är: • när handlingen innehåller sekretessbelagd information, då ska den inte lämnas ut digitalt utanför de krypterade kanalerna med hänsyn till att vi inte kan garantera att den sekretessbelagda informationen inte hamnar fel eller kan nås av någon som inte har rätt att få del av den. 11. Ta betalt för utlämnande av allmänna handlingar Fullmäktige har den 28 oktober 2021 § 15 beslutat om taxa för kopior, utskrifter och avskrifter av allmänna handlingar hos Göteborgs Stads nämnder samt bolag, föreningar och stiftelser som enligt 2 kap. 3 § OSL ska jämställas med myndigheter. Det krävs inte att varje nämnd/styrelse beslutar att tillämpa fullmäktiges beslut utan det är direkt tillämpligt. Avgiftsförordningens bestämmelser om avgifter för kopior är utgångspunkten för taxan, men med det tillägget att samma avgift ska tillämpas oavsett om handlingarna lämnas ut fysiskt eller digitalt. Detta gäller när det är enkelt att identifiera ett antal sidor. Utlämnande av 1-9 sidor sker gratis. När det gäller framställning av kopior av ett redan i digital form förefintligt material eller original i form av ljud- eller bildupptagningar kan det ibland vara svårt att identifiera ett antal sidor. Utgångspunkten för beräkningen av avgiften i dessa fall, vid digitala utlämnanden, är kostnaden avseende den tid som en medarbetare lägger ner på att skapa den elektroniska kopian och att expediera den, alltså framställa en utlämningsbar kopia. Myndigheten får inte ta betalt för den tid det tar att leta fram handlingen, sekretessgranska den och maskera hemliga delar av den eller den tid det tar att återställa handlingen efter utlämnandet. Det finns möjlighet att ta betalt i förskott om det i ett enskilt fall finns anledning att göra det. Se taxan för ytterligare information om avgiftsuttag. 12. Rätt att vara anonym Den som begär ut en allmän handling som är offentlig har rätt att få vara anonym och behöver heller inte uppge syftet med sin begäran. Offentliga allmänna handlingar ska lämnas ut utan efterforskning. Det är bara om man bedömer att man inte kan lämna ut uppgifterna på grund av sekretess som man får ta reda på vem som begär uppgifterna och/eller i vilket syfte de ska användas. Detta för att kunna göra en sekretessprövning. Detta innebär – i de fall handlingar ska lämnas ut mot betalning – att försiktighet måste iakttas beträffande att begära in faktureringsuppgifter. 13. När man inte kan tillmötesgå en begäran En handling som innehåller sekretessbelagda uppgifter ska lämnas ut i de delar som är offentliga. Om sekretessbelagda uppgifter behöver döljas i en handling som i övrigt ska lämnas ut, ska dokumentet kopieras och de delar av dokumentet som har sekretessbelagts strykas över med en svart penna på kopian så det tydligt framgår vilka delar av dokumentet som har sekretessbelagts. Den kopierade handlingen, med överstrykningar, bör därefter kopieras så att det inte går att se igenom den överstrukna texten. Om det är en digital handling som ska lämnas ut digitalt finns det möjlighet att digitalt maskera uppgifter i en handling om man har tillgång till ett särskilt program, Adobes ”redigera eller ta bort känsligt innehåll”. Om det som begärs ut inte bedöms utgöra en allmän handling, eller om hela eller delar av handlingen inte kan lämnas ut på grund av sekretess, ska den enskilde upplysas om detta samt tillfrågas om den önskar att få ett överklagbart beslut. Om den enskilde vill det behöver det säkerställas vem som har rätt att fatta beslut om att avslå en begäran om utlämnande av allmän handling. Detta ska framgå av myndighetens delegationsordning. I bolagen har VD den rätten, men även andra personer kan ha fått styrelsens förordnande att göra det. VD kan inte sätta någon i sitt ställe utan beslut av styrelsen. För exempel på hur ett avslagsbeslut kan vara formulerat, se längst bak i detta dokument. 14. Att tänka på Det är en god idé att inte blanda myndighetspost med privat post och att i möjligaste mån undvika att skicka e-post med privat innehåll från myndighetens brevlådor. När e-post skickas mellan myndigheter, även om det är i pågående ärenden, kan meddelandena komma att betraktas som upprättade på den ena myndigheten och inkomna på den andra myndigheten och därmed vara allmänna handlingar hos båda myndigheterna. Även bifogade dokument och ”svansar i e-postmeddelanden” omfattas. Vill man diskutera handlingar som av någon anledning inte bör lämnas ut kan ett förslag på hantering vara att den myndighet som äger ärendet kallar till ett fysiskt möte där man diskuterar handlingen, men att aktörerna inte får ta med sig handlingen från mötet. Säkerställ alltid att du själv eller någon kollega kontrollerar e-post och röstmeddelanden när du inte är i tjänst. Länkar i e-postmeddelanden innebär inte per automatik att det som kan nås om man klickar på länken har inkommit på myndigheten. Om det sparas ned på datorn eller tillförs akten är det dock inkommet på myndigheten. När ett utlämnande sker digitalt är det en god idé att skicka dokumentet som en PDF. Om det är en väldigt omfattande begäran, exempelvis alla fakturor under ett år, fråga den enskilde om den önskar få del av handlingarna i någon särskild ordning, och lämna sedan ut de begärda handlingarna successivt. Det finns inga hinder mot att radera e-postmeddelanden som inte utgör allmänna handlingar. Exempel på formulering av avslagsbeslut Samtliga förslag kan med fördel innehålla ytterligare omständigheter som redogör för situationen. Ingen handling Beslut Förvaltningen/Bolaget avslår din begäran om att få del av uppgifter som framkommit i telefonsamtal mellan medborgaren och tjänstemannen Skälen för beslutet Enligt 2 kap. 3 § första stycket tryckfrihetsförordningen (1949:105), TF, förstås med handling framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. I samband med telefonsamtalet mellan tjänstemannen och medborgaren fördes inga anteckningar och samtalet spelades heller inte in. Det finns således inte någon handling att lämna ut. Hur man överklagar beslutet Beslutet kan överklagas till Kammarrätten i Göteborg. Om du vill överklaga förvaltningens/bolagets beslut ska du skriva till Kammarrätten i Göteborg, Box 1531, 401 50 Göteborg. Skrivelsen ska dock skickas eller lämnas till förvaltningen/bolaget. Adress…. Tala om vilket beslut du överklagar, varför du anser att beslutet ska ändras och vilken ändring du vill ha. För att Kammarrätten i Göteborgs ska kunna pröva ditt överklagande måste din skrivelse ha kommit till förvaltningen/bolaget inom tre veckor från den dag du fick del av beslutet. Inte allmän Beslut Förvaltningen/Bolaget avslår din begäran om att få ta del av handlingen benämnd ”Slutrapport”. Skälen för beslutet XX har begärt att få ta del av en handling som kallas ”Slutrapport”. Enligt 2 kap. 4 § tryckfrihetsförordningen (1949:105), TF, är en handling allmän om den förvaras hos myndighet och enligt 9 eller 10 § är att anse som inkommen eller upprättad hos myndighet. Den handling som XX har begärt att få ta del av är en intern rapport som ännu inte har slutbehandlats. Rapporten är varken inkommen eller upprättad på myndigheten. Någon allmän handling finns således inte ännu och begäran ska därför avslås. Hur man överklagar beslutet Beslutet kan överklagas till Kammarrätten i Göteborg. Om du vill överklaga förvaltningens/bolagets beslut ska du skriva till Kammarrätten i Göteborg, Box 1531, 401 50 Göteborg. Skrivelsen ska dock skickas eller lämnas till förvaltningen/bolaget. Adress…. Tala om vilket beslut du överklagar, varför du anser att beslutet ska ändras och vilken ändring du vill ha. För att Kammarrätten i Göteborgs ska kunna pröva ditt överklagande måste din skrivelse ha kommit till förvaltningen/bolaget inom tre veckor från den dag du fick del av beslutet. Delvis avslag på grund av sekretess Beslut Förvaltningen/Bolaget avslår din begäran delvis. Skälen för beslutet XX har begärt att få samtliga handlingar i ett slutbehandlat ärende. Vid en genomgång av handlingarna kan konstateras att vissa uppgifter i handlingarna omfattas av sekretess med stöd av bestämmelser (ange vilken/vilka) i Offentlighet- och sekretesslagen. Handlingarna lämnas därför ut i delvis maskerat skick. Hur man överklagar beslutet Beslutet kan överklagas till Kammarrätten i Göteborg. Om du vill överklaga förvaltningens/bolagets beslut ska du skriva till Kammarrätten i Göteborg, Box 1531, 401 50 Göteborg. Skrivelsen ska dock skickas eller lämnas till förvaltningen/bolaget. Adress…. Tala om vilket beslut du överklagar, varför du anser att beslutet ska ändras och vilken ändring du vill ha. För att Kammarrätten i Göteborgs ska kunna pröva ditt överklagande måste din skrivelse ha kommit till förvaltningen/bolaget inom tre veckor från den dag du fick del av beslutet. Intraservice Utdrag ur Protokoll Sammanträdesdatum: 2023-11-22 Uppdrag att se över möjligheterna att starta hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad och sedan möjliggöra för förvaltningar och bolag att beställa utdrag ur innehållet § 205, 0514/22 Henrik Hoffmeister, Ida Andersson, Kjell Abrahamsson och Steve Berkhuizer informerar om Intraservice utredning av förutsättningarna för hemtagning och bearbetning av personuppgifter från Skatteverkets Navet. Beslut I nämnden för Intraservice: 1. Förvaltningens redovisning av kommunfullmäktiges uppdrag att se över möjligheterna att starta en hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad i syfte att möjliggöra för förvaltningar och bolag att beställa utdrag ur innehållet godkänns 2. Nämnden för Intraservice hemställer till kommunstyrelsen att utreda personuppgiftsansvaret och den rättsliga grunden för eventuell behandling och hantering av uppgifter i samband med och efter en hemtagning av Skatteverkets uppgifter i Navet till en server i Göteborgs Stad 3. Nämnden för Intraservice hemställer till kommunfullmäktige att godkänna återrapporteringen av uppdraget från KF 2022-11-24 § 15 samt förklarar det slutfört 4. Förvaltningens tjänsteutlåtande översänds till kommunfullmäktige som eget yttrande Underlag för beslut Tjänsteutlåtande - Uppdrag att se över möjligheterna att starta hemtagning av Skatteverkets uppgifter i Navet Bilaga - Protokollsutdrag KF 2022-11-24 § 15 Bilaga - Fältlista Bilaga - Översiktsbild Bilaga - Göteborgs Stads riktlinje för styrning, samordning och finansiering av digital utveckling och förvaltning [Intraservice] Bilaga - Göteborgs stads rutin för hantering av begäran om utlämnande av allmänna handlingar Protokollsutdrag skickas till Kommunstyrelsen och kommunfullmäktige. Dag för justering 2023-11-27 Vid protokollet Sekreterare Ulrika Cedgård Ordförande Justerande Bertil Lidfeldt (S) Henrik Sjöstrand (M) Intraservice Tjänsteutlåtande Handläggare Utfärdat 2023-10-06 Kjell Abrahamsson Diarienummer 0514/22 Telefon: 031-368 59 25 E-post: kjell.abrahamsson@intraservice.goteborg.se Uppdrag att se över möjligheterna att starta hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad och sedan möjliggöra för förvaltningar och bolag att beställa utdrag ur innehållet Förslag till beslut I nämnden för Intraservice: 1. Förvaltningens redovisning av kommunfullmäktiges uppdrag att se över möjligheterna att starta en hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad i syfte att möjliggöra för förvaltningar och bolag att beställa utdrag ur innehållet godkänns 2. Nämnden för Intraservice hemställer till kommunstyrelsen att utreda personuppgiftsansvaret och den rättsliga grunden för eventuell behandling och hantering av uppgifter i samband med och efter en hemtagning av Skatteverkets uppgifter i Navet till en server i Göteborgs Stad 3. Nämnden för Intraservice hemställer till kommunfullmäktige att godkänna återrapporteringen av uppdraget från KF 2022-11-24 § 15 samt förklarar det slutfört 4. Förvaltningens tjänsteutlåtande översänds till kommunfullmäktige som eget yttrande Sammanfattning Nämnden för Intraservice har fått i uppdrag av kommunfullmäktige att se över möjligheterna att starta hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad och sedan möjliggöra för förvaltningar och bolag att beställa utdrag ur innehållet. Intraservice har inom ramen för uppdraget utrett om det är möjligt att hämta hem delar av Navet så att stadens förvaltningar och bolag skall kunna nyttja detta för att uppfylla och kvalitetssäkra sina behov av personuppgifter i sina respektive register. Utredningen har utgått från att Intraservice gör hemtagning av uppgifter för de personer som bor eller har en annan koppling till kommunen som kräver att vi känner till information om personen. Informationen används sedan som källa till olika tjänster som kommunen nyttjar. Informationen skulle dock inte vara allmänt tillgänglig utan all uthämtning av information kommer ske via behörighetsstyrda gränssnitt. Endast ett fåtal personer på Intraservice skulle ha direktåtkomst till databasen för drift och förvaltning. Utredningen ger stöd för att hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad enligt vad som redovisas i detta tjänsteutlåtande, inklusive bilagor, skulle vara teknisk möjlig att genomföra. Lösningen bedöms dock vara förenad med betydande juridiska hinder. Intraservice bedömer att de juridiska förutsättningarna för framtagandet av aktuell lösning måste utredas på kommuncentra nivå. Utan en sådan utredning som löser ut de hinder som redovisats i detta tjänsteutlåtande, bedömer förvaltningen att det saknas möjligheter att starta hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad och sedan möjliggöra för förvaltningar och bolag att beställa utdrag ur innehållet. Bedömning ur ekonomisk dimension Staden köper idag in utdrag ur Navet som engångsuttag på flera ställen (köpen sker dock via 3:e part), och Intraservice bedömer att det finns en betydande besparingspotential på sikt. Då dessa köp dessutom används under en längre tid, möjliggör den centraliserade lösningen tillgång till aktuella data oftare utan att det påverkar kostnaden. Lösningen innebär därmed kvalitetssäkrade data med minskad kostnad. De juridiska hinder som lyfts i detta tjänsteutlåtande innebär dock risk för kostnader i form av administration och eventuella sanktioner till följd av felaktig hantering av information. Bedömning ur ekologisk dimension Förvaltningen har inte funnit några särskilda aspekter på frågan utifrån denna dimension. Bedömning ur social dimension Den tekniska lösning som presenteras förväntas ge en kvalitetshöjning, som uppstår när verksamheter i staden har tillgång till aktuell och korrekt personuppgiftsinformation. Det skulle kunna resultera i snabbare och bättre service, säkrare underlag för beslut och en mer rättvis behandling av medborgare och övriga som berörs av kommunens verksamheter. De juridiska hinder som lyfts i detta tjänsteutlåtande innebär risk för att delar av lösningen och dess tillämpning bryter mot lagstiftning kopplat till hantering av handlingar och behandling av personuppgifter. Det finns risk för en överinsamling av uppgifter och att staden tappar kontrollen över hur de används och sprids. Särskild utsatta är personer vars uppgifter är känsliga, som asylsökanden, barn, patienter eller brukare. Lösningen är tänkt att hantera en stor mängd uppgifter om staden invånare. En felaktig hantering av personuppgifter riskerar leda till intrång och skador i enskildas integritet samt skada allmänhetens förtroende för kommunen och dess företrädare. Samverkan Ärendet samverkas med de fackliga representanterna i FSG 2023-11-15. Bilagor 1. Protokollsutdrag KF 2022-11-24 § 15 2. Fältlista 3. Översiktsbild 4. Göteborgs Stads riktlinje för styrning, samordning och finansiering av digital utveckling och förvaltning 5. Göteborgs stads rutin för hantering av begäran om utlämnande av allmänna handlingar Ärendet Efter förslag från kommunstyrelsen gav kommunfullmäktige den 24 november 2022 Intraservice i uppdrag att se över möjligheterna att starta hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad och sedan möjliggöra för förvaltningar och bolag att beställa utdrag ur innehållet, § 15, 0064/22. Intraservice uppdrag att se över behovet av en gemensam tjänst för förvaltningar och bolag i Göteborgs Stad avsåg att säkerställa stadens tillgång till aktuell och säkra folkbokföringsdata. Utifrån uppdraget har Intraservice utrett de tekniska och juridiska möjligheterna att genomföra hemtagning av uppgifter från Skatteverket i ovan angivet syfte. Under handläggningen av ärendet har Intraservice dataskyddsombud, förvaltningsjurister och IT-arkitekter medverkat. Protokollsutdrag skickas till kommunfullmäktige. Bakgrund och beskrivning av ärendet Intraservice har under lång tid erbjudit stadens förvaltningar och bolag personuppgiftstjänster i form av olika webbtjänster för direktuppslag mot Inera (och innan dess västfolket) som i sin tur har Navet som källa. Dock har personuppgiftstjänsterna då alltid varit i form av direktuppslagning baserat på personnummer eller namn, då det är det som dessa tjänster erbjuder. I dialog med stadsledningskontoret och andra kunder har det tillkommit nya behov där man vill kunna söka på andra parametrar typ åldersspann, adresser (eller annan geografisk tillhörighet), anonymiserade data och liknande. För att kunna erbjuda sådana möjligheter måste Intraservice ha tillgång till informationen lokalt i en databas. All information i databasen kommer vara exakt som i källan Navet och det är bara förändringar där som kommer medföra motsvarande förändringar i vår lokala kopia. Intraservice kommer i så fall sköta om databasen tekniskt men informationen kommer användas av hela staden och därmed uppstår frågan vem som äger informationen. Det blir i slutändan den eller de som ansvarar för information i form av allmänna handlingar och personuppgifter som måste besluta om vad informationen får användas till och vem som får ta del av den. Intraservice kommer sedan utföra besluten och se till att åtkomsten fungerar. Lösningsförslag Se Översiktsbild (Bilaga 3). (Hänvisningar i texten nedan (1–7)) Intraservice beställer ett grunduttag från SKV (1) med hela Göteborgs Stad som underlag. Detta görs bara en gång. Utvalda fält i sparas ner till Intraservice databas. Se Fältlista (Bilaga 2). Urvalet av fält har skett i samarbete med SLK, FSK, Försörjningsstöd, Boplats, Gårdstensbostäder och störningsjouren. Databasen kommer också kompletteras (3) med alla personer som staden har en pågående relation till, men där personen inte är skriven i Göteborgs kommun. Med relation avses till exempel anställd, elev, vårdnadshavare till elev, extern personal (konsulter etc.), politiker. Dessa personer har Intraservice samlade i MasterMetaData som har källor (4) såsom HR, skolsystem, Truman etcetera. Databasen kommer sedan underhållas via daglig aviseringsfil från SKV (2) det vill säga all förändring rörande dessa personer såsom in- och utflyttningar från kommunen. Detta innebär att de personer som inte längre bor i kommunen eller har annan relation ska gallras bort automatiskt. Detta är det minsta antalet personer Intraservice kan ha i databasen för att kunna vara källa för stadens förvaltningar och bolag rörande personuppgifter och de nya typer av sökningar som efterfrågats. Detta är alltså syftet med databasen. Förfrågningar (5) som kommer till Intraservices personuppgift-tjänster som inte får träff i databasen (6), kommer automatiskt i stället göra ett direktuppslag mot Skatteverket (7). Den informationen kommer inte sparas i databasen. För konsumenten skall resultatet bli detsamma oavsett om frågan går mot Intraservices databas eller direkt mot Skatteverket. Då Intraservice har flertalet tjänster som är beroende att dessa uppgifter finns tillgängliga, så minskar beroende till externa datakällor, vilket ger högre driftsäkerhet för Intraservices kunder. Juridisk bedömning Genom att ta hem uppgifter om kommuninvånare i Göteborgs Stad från Skatteverkets folkbokföringsdatabas Navet skapas en databas där kommunen behandlar en mycket stor mängd personuppgifter av olika slag för en rad olika ändamål. Sådan behandling berör ett stort antal personer. Utredningen kring de behov som stadens verksamheter angett visar hittills på upp mot 100 slags personuppgifter för samtliga folkbokförda personer i Göteborg samt motsvarande personuppgifter för kommuninvånare som är folkbokförda i andra kommuner, men som har en relation till Göteborgs Stad. Den lösning som efterfrågats genom uppdraget och som presenteras i detta tjänsteutlåtande innebär också att redan befintlig behandling av personuppgifter i form av register över bland annat anställda, externa uppdragstagare, elever och dess vårdnadshavare som inte är folkbokförda i Göteborg kommer att stämmas av mot och läggas till i databasen. De legala kraven på behandling av personuppgifter finns först och främst i EU:s allmänna dataskyddsförordning (EU/2016/679), även kallad GDPR samt i lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, även kallad dataskyddslagen. Krav för att få behandla personuppgifter För att det ska vara tillåtet att behandla personuppgifter måste behandlingen åtminstone uppfylla de principer för behandling som finns angivna i GDPR (artikel 5) och den måste uppfylla något av de villkor som anges som laglig grund för behandling (artikel 6). Principer för behandling av personuppgifter De grundläggande principerna kan sägas vara kärnan i dataskyddsförordningen. Principerna gäller för all personuppgiftsbehandling och sätter de yttersta ramarna för vad som är en tillåten behandling. Principerna innebär bland annat att personuppgiftsansvariga  måste ha stöd i dataskyddsförordningen för att få behandla personuppgifter  bara får samla in personuppgifter för specifika, särskilt angivna och berättigade ändamål  inte ska behandla fler personuppgifter än vad som behövs för ändamålen  ska se till att personuppgifterna är riktiga  ska radera personuppgifterna när de inte längre behövs  ska skydda personuppgifterna, till exempel så att inte obehöriga får tillgång till dem och så att de inte förloras eller förstörs  ska kunna visa att man lever upp till dataskyddsförordningen och hur man gör det. Ytterligare krav i GDPR kring roller och ansvar För att kunna behandla personuppgifter krävs utredning av vem som behandlar vilka personuppgifter för vilket/vilka ändamål och på vilken grund. I det ingår att fastställa vem som ansvarar för behandlingen och vem eller vilka som utför den. Ansvaret för behandlingen ligger hos den personuppgiftsansvarige, som bestämmer mål och medel. Om ett personuppgiftsbiträde ska användas måste den personuppgiftsansvarige genom att ingå ett personuppgiftsbiträdesavtal med och ge instruktioner åt biträdet försäkra sig om att biträdet behandlar personuppgifterna korrekt. Innan en behandling kan starta krävs utredning av vilka risker och konsekvenser behandlingen kan få för registrerade personer samt vilka skyddsåtgärder som ska vidtas för att minimera sådana. Det kan också krävas beslut av den personuppgiftsansvarige i samband med genomförda risk- och konsekvensbedömningar. Behov av ytterligare juridisk utredning kring möjligheterna att starta hemtagning av Skatteverkets uppgifter i Navet Kommunstyrelsens uppdrag till Intraservice är att se över möjligheterna att starta hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad och sedan möjliggöra för stadens förvaltningar och bolag att beställa utdrag ur innehållet. För att säkerställa tillgång till aktuell och säkra folkbokföringsdata, ska Intraservice se över behovet av en stadengemensam tjänst för förvaltningar och bolag att beställa utdrag ur Skatteverkets uppgifter från folkbokföringssystemet Navet. Intraservice har tagit fram en lösning som tekniskt kan tillgodose de behov som hittills identifierats. Det finns flera delar i den framtagna lösningen som måste säkerställas ur ett juridiskt perspektiv. För att det ska vara möjligt bedömer Intraservice att det krävs omfattande utredning av den föreslagna behandlingen av personuppgifter och hur ansvaret ska fördelas i staden. Personuppgiftsansvar Av respektive reglemente för stadens förvaltningar samt av respektive ägardirektiv för stadens bolag framgår att förvaltningen/bolaget är personuppgiftsansvarig för de behandlingar av personuppgifter som sker i dess verksamhet. Av Göteborgs Stads riktlinje för styrning, samordning och finansiering av digital utveckling och förvaltning (bilaga 4) framgår dels att ”Respektive nämnd och styrelse är personuppgiftsansvarig och ska fastställa instruktioner gällande leverantörers behandling av personuppgifter” (s. 7), dels att ”I de fall leverantörer är personuppgiftsbiträde till en styrelse eller nämnd, får de endast behandla personuppgifter i enlighet med gällande lagar och förordningar, dels de fastställda instruktioner som respektive nämnd/styrelse beslutat om” (s. 8). Det är i den föreslagna tekniska lösningen av hemtagning från Skatteverket inte klarlagt vem som i alla delar har personuppgiftsansvar för behandling av vilka personuppgifter. Effekten av att ansvarsförhållandena inte är klargjorda medför att stadens förvaltningar och bolag inte kan ta det juridiska ansvar som tillfaller dem enligt GDPR. Vidare är ansvarsfördelningen enligt GDPR en bedömning som ska göras utifrån funktionalitet och alltså inte går att reglera i avtal eller andra överenskommelser. Detta medför att en omfattande utredning krävs av just funktionaliteten eftersom det först därefter är möjligt att klargöra vilka förvaltningar och bolag som har vilket ansvar enligt GDPR. Det måste därför utredas och beslutas vem som bestämmer ändamål och medel för behandlingen. I det här fallet finns flera ändamål för behandling av de personuppgifter som ska samlas in, och behandling kommer att ske av flera olika verksamheter inom staden. Eftersom det avgörande för personuppgiftsansvaret är vem som bestämmer ändamål och medel för en behandling, är en bedömning av ansvar för den föreslagna lösningen beroende av en tydligare ändamålsbeskrivning, och i sin tur vem som bestämmer och styr varje ändamål. Det är inte osannolikt att behandlingen av personuppgifter i en eller flera delar av den föreslagna lösningen kommer att ha flera personuppgiftsansvariga inom staden, som i olika delar kan ha ett gemensamt personuppgiftsansvar. De personuppgifter som föreslås kunna tas ut ur databasen av förvaltningar och bolag i staden faller sannolikt under respektive förvaltnings/bolags personuppgiftsansvar när uppgifterna tagits ut och sedan behandlas vidare. Innan sådana uttag sker finns ett viktigt ansvar att fördela: personuppgiftsansvaret för insamlingen, lagringen och hanteringen i den föreslagna databasen. Den som bestämmer mål och medel för insamlingen av personuppgifterna måste också i förväg bestämma hur varje personuppgift ska behandlas i varje led, och då tydligt ange ändamål, rättslig grund och omfattning för varje behandling. I det ansvaret ingår att säkerställa att behandlingen av varje personuppgift i alla led uppfyller kraven på ändamålsbegränsning, uppgiftsminimering, lagringsminimering. Det innebär att personuppgifterna inte behandlas för andra ändamål än de samlades in för, att inte fler uppgifter behandlas än vad som behövs för att uppnå ändamålen och att uppgifterna inte lagras längre än vad som krävs för att uppnå ändamålen (gallras). Uppgifterna som ska samlas in kommer från Skatteverket, som har stöd i lag för att upprätta och hantera ett folkbokföringsregister. Som kommun behöver Göteborgs Stad efter insamling ange och motivera en rättslig grund för att hantera dessa personuppgifter om sina kommuninvånare samt ytterligare personer som har anknytning till kommunen. Omfattningen av antalet kategorier av uppgifter och antalet registrerade personer som berörs är mycket stor. Lösningen innebär komplexa behandlingar av personuppgifter i flera led, med många tänkbara ändamål och många verksamheter som ska behandla uppgifter. För att säkerställa att insamling och behandling av personuppgifter följer kraven i dataskyddslagstiftningen krävs tydligt utpekat ansvar och stark styrning. En ytterligare bidragande faktor som påverkar komplexiteten är den omständigheten att Göteborgs Stad är uppdelad i flera förvaltningar och bolag. Detta medför att varje förvaltning eller bolag som behandlar personuppgifter behöver säkerställa att de har grund för det. Eftersom flera personuppgiftsansvariga sannolikt kommer att behandla samma uppgifter innebär lösningen komplexa behandlingar. Göteborgs Stads riktlinje för styrning, samordning och finansiering av digital utveckling och förvaltning (Bilaga 4) innehåller det som i tilläggsyrkandet beskrivs som en stadengemensam tjänst. I riktlinjens modell för en gemensam tjänst är varje förvaltning eller bolag som använder en gemensam tjänst personuppgiftsansvarig för de uppgifter man själv behandlar i tjänsten. En nämnd som levererar tjänsten är då personuppgiftsbiträde till dessa förvaltningar/bolag. För en tydligt definierad och begränsad intern gemensam tjänst inom staden fungerar en sådan fördelning av personuppgiftsansvar. Det är Intraservice bedömning att riktlinjens fördelning av ansvar inte fungerar för den föreslagna lösningen för hemtagning av Navet. För att det ska vara möjligt för staden, och dess förvaltningar och bolag, att säkerställa följsamhet till GDPR och annan lagstiftning som omfattar hanteringen av personuppgifter bedömer Intraservice att beslut om ändamål och medel för behandling av personuppgifter kopplat till lösningen bör ligga hos kommunstyrelsen. Eftersom det inte finns någon enskild förvaltning i staden som ensam har rättslig grund för att hämta hem alla de personuppgifter som föreslås och därefter behandla dessa, så är Intraservices bedömning att ingen av dessa nämnder kan vara ensamt personuppgiftsansvarig. Med det som utgångspunkt bedömer Intraservice att det är kommunstyrelsen som ensamt kan och bör bestämma ändamålen och medlen för behandlingen av personuppgifter. Kommunstyrelsen kommer då ansvara för personuppgifterna, hur de samlas in, hanteras i databasen och hur de lämna ut till stadens förvaltningar och bolag. Först därefter skulle Intraservice i en roll som personuppgiftsbiträde kunna bistå kommunstyrelsen och stadsledningskontoret med underlag för den tekniska lösningen och hanteringen. Personuppgiftsbiträde Intraservice är ofta, som beskrivits ovan, personuppgiftsbiträde för stadens bolag och förvaltningar i gemensamma tjänster. För den föreslagna lösningen kan Intraservice efter genomförd utredning vara personuppgiftsbiträde för kommunstyrelsen. För att Intraservice ska kunna uppfylla de krav som ställs på att upprätthålla myndighetsgränserna för de uppgifter som hanteras, kan Intraservice endast tekniskt bearbeta eller tekniskt lagra personuppgifterna. Uppgifterna tillhör inte nämnden för Intraservice, och därför kan de inte heller förvaras hos Intraservice i tryckfrihetsförordningens mening med möjlighet till direktåtkomståtkomst. Den tekniska lösningen kommer därför kräva att Intraservice inte har direkt tillgång till uppgifterna, annat än om den personuppgiftsansvarige (som förvarar uppgifterna i Intraservice lösning), ger ett specifikt uppdrag och släpper in Intraservice tillfälligt. Ska Intraservice vara personuppgiftsbiträde för behandlingen i den föreslagna databasen behöver Intraservice få instruktioner från den personuppgiftsansvarige där det framgår hur Intraservice får behandla personuppgifter och vilka krav som ställs på behandlingen ur ett dataskyddsperspektiv. Informationshantering och allmänna handlingar Genom hemtagning av Skatteverkets uppgifter i folkbokföringsdatabasen Navet bygger Göteborgs Stad upp en större informationsbank med uppgifter om kommuninvånare med flera. Göteborgs Stad tar då på sig ansvar för att informationen som finns lagrad hos oss är korrekt och uppdaterad samt att den hanteras korrekt och med en god informationssäkerhet. Skatteverket har vid sin hantering av information i Navet uttryckligen lagstöd för sin behandling. Lag (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet. I lagstiftning och kompletterande förordningar ges myndigheten mandat för sin behandling och detaljerade instruktioner och begränsningar för sin informationshantering. Skatteverkets hantering av insamlade data i Navet är till exempel styrd, bland annat avseende vilka sökbegrepp som Skatteverket får använda (jfr. 10–11 §§ Lag om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet). Vid hemtagning av Navet övergår ansvaret för den nedtagna informationen till Göteborgs Stad. Göteborgs Stads behandling av hemtagen information har inte motsvarande stöd i lag och är därför inte heller direkt styrd av ovanstående lagstiftning. För de fall hemtagning görs för att kunna omgruppera och utvinna ytterligare information från inhämtade data måste en noggrann analys av de legala möjligheterna av en sådan hantering göras, utifrån syftet med och behovet av en sådan hantering. Rätten att ta del av allmänna handlingar framgår av 2 kap. 1 § Tryckfrihetsförordningen (1949:105) och innebär att utgångspunkten är att var och en har rätt att ta del av allmänna handlingar hos svenska myndigheter. Den data som inhämtas genom hemtagning av Navet bedöms utgöra s.k. potentiella handlingar, vilka omfattas av lagstiftningen kring utlämnande av allmän handling, se Göteborgs Stads rutin för hantering av begäran om utlämnande av allmänna handlingar (Bilaga 5) s. 8–9. Det finns anledning att räkna med att ett hemtagande av Navet kommer att leda till att en större antal begäran om utlämnande av allmänna handlingar kan komma att göras. Hur informationen struktureras och hanteras avgör var inom staden den anses förvarad, och således vem som får hantera de utlämnandefrågor som uppkommer. Som redogjorts för ovan kan Intraservice inte agera som personuppgiftsansvarig i förhållande till aktuella data. Eventuell hantering från Intraservice bör endast avse s.k. teknisk lagring och bearbetning. Innebärande att informationen i rättslig mening inte anses förvarad hos Intraservice, och därför inte heller ska hanteras av Intraservice vid en begäran om utlämnande av allmän handling. I egenskap av personuppgiftsbiträde har Intraservice ingen automatisk skyldighet att tillmötesgå en begäran om allmän handling som avser personuppgifter som faller under ett visst PUB-avtal. Göteborgs Stad behöver i sin fortsatta analys av förutsättningarna för hemtagning av Navet också beakta vem som ska anses förvara den data som hämtas hem, mot bakgrund av det ansvar detta medför för hanteringar av informationen, inklusive hanteringen av begäran om utlämnanden av allmänna handlingar. För att Intraservice hantering av den data Göteborgs Stad kan hämta hem från Skatteverket ska anses begränsad till teknisk lagring och bearbetning är Intraservice också begränsade i vilken bearbetning av informationen och informationsflöde som förvaltningen kan göra. Detta behöver särskilt beaktas när ställningstagande ska tas till möjligheterna att till exempel komplettera urvalet av data med så kallad Master Metadata (MMD), innehållande personuppgifter för personer som är folkbokförda i andra kommuner, men som har en relation till Göteborgs Stad. Sammanfattad juridisk bedömning Den föreslagna lösningen innebär insamling och behandling av en mycket stor mängd personuppgifter tillhörande olika kategorier av registrerade. Flera av dessa kategorier av registrerade är särskilt utsatta. Det kan bland annat röra sig om asylsökanden, barn, patienter eller brukare inom socialtjänst. Det finns flera ändamål för behandling av de personuppgifter som ska samlas in, och behandling kommer att ske av flera olika verksamheter inom staden. Varje ändamål och behandling måste kartläggas och säkerställas mot kraven i dataskyddslagstiftningen i förväg. Det innebär också att bedöma risker med och konsekvenser som den avsedda behandlingen kan få för de registrerade. Det finns också risker med att befintlig behandling i staden av personuppgifter i form av register över bland annat anställda, externa uppdragstagare, elever och dess vårdnadshavare som inte är folkbokförda i Göteborg kommer att läggas till i databasen. Detta kan innebära en kombination av personuppgifter från två eller flera behandlingar som utförs för olika ändamål eller av olika personuppgiftsansvariga på ett sätt som den registrerade inte rimligen förväntar sig. Det kan också komma att innebära en otillåten samkörning av databaser som innehåller personuppgifter. Övergripande finns risker med att fatta beslut om och använda en lösning utan att först klarlägga personuppgiftsansvar, de behov som finns och hur personuppgifter ska behandlas. Utöver att utsätta de registrerade för intrång i deras privatliv riskerar även förtroendet för stadens förvaltningar och bolag att påverkas negativt. Riskerna kopplade till nu föreslagen teknisk lösning måste också värderas mot den faktiska nyttan för Göteborgs Stad med att själv behandla aktuella data. En avgörande fråga för relevansen med hemtagning av Navet är vilka behov som ska tillgodoses genom lösningen, och vilka fördelar lösningen får jämfört med en lösning där vi fortsatt använder Skatteverkets Navet för direkta förfrågningar. Utöver att klarlägga personuppgiftsansvaret för föreslagen teknisk lösning bör också behovsanalysen förtydligas. I den mån den data Göteborgs Stad för närvarande kan tillgodogöra sig genom Navet är ofullständig eller otillräcklig måste Stadens behov av data närmare analyseras. Många av de begränsningar av datautvinning som finns i Navet framstår som medvetna begränsningar, som till viss del också framgår direkt av tillämplig lagstiftning. Göteborgs Stad har inte samma lagstöd för att behandla hemtagna data som Skatteverket har i sin behandling av information i Navet. Oaktat Göteborgs Stads behov av ytterligare data måste Göteborgs Stads behov ställas mot de begränsningar som finns för att på ett lagenligt sätt hantera personuppgifter. Särskilt fokus bör då läggas på känsliga personuppgifter, där en aggregerad information kan ge Göteborgs Stad värdefulla data men där den typen av sammanställning också kan medföra stora risker i informationsspridningshänseende. Varje personuppgiftsansansvarig måste för all behandling av känsliga personuppgifter luta sig mot ett tillämpligt undantag i GDPR. För det fall att Göteborgs Stad bedömer det ändamålsenligt och möjligt att strukturera informationen från Navet på ett sådant sätt att ytterligare information kan utvinnas ur hemtagna data måste det också beaktas att detta innebär att Göteborgs Stads möjlighet att tillhandahålla information till exempel för den som gör en begäran om utlämnande av handling kommer att överstiga vilken information som kan inhämta från Skatteverket via Navet. Eventuella effektivitets- och driftsmässiga vinster med hemtagning måste då också vägas mot det merarbete en omfattande hantering av begäran om utlämnande av allmänna handlingar kan antas innebära, hantering av registrerades rättigheter kopplat till personuppgifter samt de risker som finns med att hantera känsliga personuppgifter och att göra sekretessbedömningar gentemot den stora mängd personuppgifter som Göteborgs Stad kommer förfoga över. Intraservice bedömer att ytterligare utredning av de frågor som lyfts ovan är nödvändig. För att sådan utredning ska bli möjlig behöver kommunstyrelsen involveras. Därför bör Intraservice i sin återredovisning till Kommunfullmäktige föreslå att en utredning av ansvar för och hantering av handlingar och personuppgifter genomförs under Stadsledningskontorets ledning, där Intraservice samt tänkta användare av databasen medverkar. Dataskyddsombudens bedömning Dataskyddsombuden instämmer i förvaltningens bedömning att det är många frågor som behöver redas ut innan det är möjligt att göra en bedömning av huruvida den föreslagna hemtagningen kan göras på ett lagligt sätt. Utifrån den information som framkommer i tjänsteutlåtandet bedömer dataskyddsombuden att bland annat följande frågor behöver omhändertas innan en behandling av personuppgifter påbörjas:  Vem är ansvarig för behandlingen/behandlingarna?  Vilken rättslig grund finns som stöd för behandlingen/behandlingarna?  Vilket/vilka tillämpliga undantag finns för respektive personuppgiftsansvarig till att få behandla känsliga personuppgifter?  Hur säkerställs att de grundläggande principerna efterlevs? Lagringsminimering, uppgiftsminimering, osv.  Hur kan riskerna med behandlingen identifieras och åtgärdas när man tex inte kan bedöma omfattningen (antal registrerade) eller ange hur länge uppgifter sparas?  Hur är den automatiska raderingen säkerställd juridisk? Får man gallra på det här sättet som anges i underlaget. Finns/kommer det finnas gallringsbeslut?  Hur tas de registrerades rättigheter tillvara? Vem ansvarar för att lämna ut registerutdrag eller ta bort uppgifter vid begäran om radering?  Här behöver man även beakta ifall det skapas allmänna handlingar och vem som ansvarar för dessa. Detta påverkar de registrerades möjlighet till att bli raderade och ska tydligt framgå för den registrerade (Arkivlagen mm)  Hur kan syftet med navet upprätthållas om de registrerade utövar sin rätt till radering?  Hur informeras de registrerade och vem ansvarar för detta? Viktigt att poängtera är att det, utifrån behandlingen/behandlingarnas omfattning, kan finnas ytterligare risker som behöver beaktas. Dataskyddsombudets rekommendationer ska därför ses som minimum och inte en uttömmande lista. Förvaltningens bedömning Hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad och sedan ett möjliggörande för förvaltningar och bolag att beställa utdrag ur innehållet skulle medföra positiva effekter i form av bättre samordning av tillgänglig informationsmängd och en möjlighet att sänka kostnaden för stadens bolag och förvaltningar för att få tillgång till sådan information. Under utredningen har det dock uppmärksammats ett antal juridiska hinder kopplade till den av förvaltningen utpekade tekniska lösningen. Förvaltningen bedömer att de juridiska förutsättningarna för hemtagning av uppgifter i Navet måste utredas vidare på kommuncentral nivå. Att undanröja de juridiska hinder som redovisats i detta tjänsteutlåtande bedöms utgöra en förutsättning för möjligheterna att gå vidare med ett arbete mot att starta hemtagning av Skatteverkets uppgifter i Navet. Därför bedömer förvaltningen att Intraservice i sin återredovisning till Kommunfullmäktige ska föreslå att en utredning av ansvar för och hantering av handlingar och personuppgifter genomförs under stadsledningskontorets ledning, där Intraservice samt tänkta användare av databasen medverkar. Om ovan redovisade juridiska hinder inte kan undanröjas inför hemtagande av uppgifter från Skatteverket bedömer förvaltningen att det saknas förutsättningar för ett fortsatt arbete med hemtagning av Skatteverkets uppgifter i Navet till en server inom Göteborgs Stad, och sedan möjliggöra för förvaltningar och bolag att beställa utdrag ur innehållet. Malin Lundqvist Peter Söderström Avdelningschef Digital infrastruktur Förvaltningsdirektör