3 Rollerna i dataskyddsarbetet
3.3 Operativa dataskyddsroller
3.4 Personal och förtroendevalda
Genomförandet av den personuppgiftsansvariges uppgifter förutsätter samarbete mellan kommunens olika aktörer, att tillräckliga resurser avsätts samt kontinuerlig utbildning och fortbildning. Rollerna inom dataskyddsarbetet ska definieras tydligt och dokumenteras i kommunen som en del av den personuppgiftsansvariges ansvarsskyldighet samt samordnas med övriga ansvarsområden inom informationshantering, informationssäkerhet samt intern kontroll och riskhantering.
3.1 Fullmäktige
Enligt 14 § i kommunallagen ansvarar fullmäktige för kommunens verksamhet och ekonomi samt utövar kommunens beslutanderätt. Fullmäktige beslutar vilka organ kommunen ska ha samt hur befogenheterna och uppgifterna ska fördelas mellan förtroendevalda och tjänsteinnehavare. Det är fullmäktige som har beslutanderätten, om inget annat uttryckligen föreskrivs i lag eller om inte fullmäktige genom förvaltningsstadgan har delegerat beslutanderätt till någon annan kommunal myndighet.
Fullmäktige ansvarar också för fastställandet av den personuppgiftsansvarige i förvaltningsstadgan, till den del lagstiftningen inte tar ställning till personuppgiftsansvaret. Dessutom godkänner fullmäktige grunderna för den interna kontrollen och riskhanteringen samt ansvarar genom godkännande av budgeten för att tillräckliga resurser avsätts för dataskyddsarbetet.
3.2 Kommunstyrelsen
Kommunstyrelsen ska enligt 39 § i kommunallagen svara för kommunens förvaltning och skötseln av kommunens ekonomi samt sörja för kommunens interna kontroll och ordnandet av riskhanteringen. Kommunstyrelsens allmänna ansvar för ledningen av förvaltningen innebär också en skyldighet att övervaka att behandlingen av personuppgifter i kommunen sker i enlighet med lagen. I detta avseende har till exempel följande ansvarsområden fastställts för kommunstyrelsen i handboken Kommunerna och personuppgiftslagen (2010), som publicerades av dataombudsmannens byrå då personuppgiftslagen var i kraft.
- Organisera, planera, samordna och instruera ordnandet av behandlingen av personuppgifter.
- Fastställa principerna för hur behandlingen av personuppgifter ska ordnas i kommunen, dvs. definiera och fastställa personuppgiftsansvariga i kommunen samt visa hur ansvarsförhållandena i anslutning till personuppgiftsansvaret ska fastställas inom organisationerna.
- Fastställa kommunens allmänna permanenta bestämmelser och allmänna instruktioner om dataskydd, som också innefattar principerna för hur utbildning ska ordnas. Genom permanenta bestämmelser och allmänna anvisningar strävar man efter att säkerställa att hanteringen av personuppgifter i kommunen är planmässig, lagenlig och ändamålsenlig samt sköts omsorgsfullt.
- Ge instruktioner i frågor som gäller upphandling av externa tjänster och annat samarbete, tillhörande befogenheter, ansvar och avtalsförfaranden, samt utarbeta nödvändiga modeller.
- Ålägga personuppgiftsansvariga myndigheter att utfärda särskilda bestämmelser och anvisningar som kompletterar de allmänna anvisningarna för deras egen verksamhet.
Även om handboken grundar sig på den numera upphävda personuppgiftslagen, kan beskrivningarna om ansvar ännu i tillämpliga delar anses vara användbara vid organiseringen av dataskyddsarbetet. I praktiken kan kommunstyrelsens uppgifter också vara på en mer allmän nivå, om uppgifterna har delegerats vidare. I lagen om informationshantering inom den offentliga förvaltningen (906/2019) fastställs även andra ansvar för informationshanteringen för ledningen av informationshanteringsenheten (dvs. kommunen). Kommunstyrelsen leder i princip informationshanteringsenheten på det sätt som avses i lagen om informationshantering inom den offentliga förvaltningen, om inte ansvaret delegeras i förvaltningsstadgan. (RP 284/2018 rd, s. 76)
3.3 Operativa dataskyddsroller
För dataskyddsarbetet ska kommunen inrätta operativa roller vars arbetsbeskrivning omfattar utförandet av de uppgifter som åligger den personuppgiftsansvarige (såsom dokumentationsskyldigheter) och till exempel att ta ställning till risker i samband med behandlingen av personuppgifter.
Resurserna för att utföra arbetet, liksom vikariearrangemang, måste vara i skick. Det lagstadgade dataskyddsarbete som åligger den personuppgiftsansvarige kan inte baseras på frivillighet, utan dataskyddsuppgifterna och dataskyddsansvaret ska tydligt anges i exempelvis tjänsteförordnanden, arbetsavtal eller arbetsbeskrivningar, och tillräckliga resurser ska avsättas för att utföra uppgifterna.
I stora kommuner kan det vara bra att bilda till exempel en dataskyddsgrupp, vars uppgifter kan omfatta planering, genomförande och styrning av dataskyddsarbetet samt samordning av utbildning och annan uppföljning av verksamheten på kommunnivå.
3.4 Personal och förtroendevalda
Personalen och de förtroendevalda ansvarar för sin del för att dataskyddet tillgodoses inom ramen för deras uppgifter. Personalen och de förtroendevalda är skyldiga att följa angivna anvisningar, säkerställa att de har den dataskyddskompetens som deras uppgifter kräver samt rapportera om oegentligheter som de har upptäckt.
3.5 Dataskyddsombud
Dataskyddsombudets uppgifter och ställning fastställs i dataskyddsförordningen. (Artikel 37–39) Dataskyddsombudets uttryckliga uppgifter omfattar
- Att informera och ge råd inom organisationen om efterlevnaden av dataskyddslagstiftningen.
- Att övervaka efterlevnaden av kraven för behandling av personuppgifter och organisationens förfaranden (inbegripet ansvarstilldelning, information till och utbildning av personal som deltar i behandling och tillhörande granskning).
- Att på begäran ge råd vad gäller konsekvensbedömningen avseende dataskydd och övervaka genomförandet av den.
- Att samarbeta med dataombudsmannens byrå och fungera som kontaktpunkt i frågor som rör behandling av personuppgifter.
- Rapportera direkt till den högsta ledningen inom organisationen. Kommunen ska internt fastställa tydliga processer för rapporteringsskyldigheten.
Dataskyddsombudet ansvarar inte personligen för överträdelser av dataskyddsförordningen, utan ansvaret för att dataskyddslagstiftningen iakttas ligger hos den personuppgiftsansvarige.
3.6 Intern och extern revision
Internrevision är en del av kommunens interna kontroll. Den är en oberoende stödfunktion för kommunstyrelsen, koncernledningen och den högsta ledningen och den utvärderar objektivt kommunens och kommunkoncernens förvaltnings- och ledningsmetoder, interna kontroll och riskhantering samt bedömer om koncernkontrollen är ändamålsenligt och effektivt ordnad. Internrevisionen kan också stödja utvecklingen av efterlevnaden av dataskyddskraven som en del av kommunens verksamhet.
Kommunens externa kontroll består av revisionsnämndens utvärdering och den lagstadgade revisionen. Fullmäktige tillsätter en revisionsnämnd som ska organisera granskningen av förvaltningen och ekonomin samt utvärderingen. Revisionsnämnden gör en efterhandsutvärdering och ger rekommendationer. Till revisorernas lagstadgade skyldigheter hör att granska om den interna kontrollen och riskhanteringen har ordnats på behörigt sätt.