Interpellation: Kan Umeå kommun göra avsteg från sin strikta tolkning av GDPR; Hanna Lundin Jernberg (L)

Därtill så kan vi se på hela kommunens egna instagramkonto @teamumeakommun där man kan följa medarbetare, att dessa medarbetare finns med på foton med beskärda huvuden, gömda bakom emojis eller dylikt. Det har gått så långt att medarbetare får alltså inte ens får visa sina ansikten, även fast de vill. Inte ens på Umeå kommuns webbplats.

Vad gäller individ- och familjenämnden som helhet så önskas digital signering av protokoll, krypterad e-post, säkra videomöten och sekretesshandlingar digitalt, något som många andra kommuner och regioner har sedan flera år tillbaka. I Umeå kommun verkar det helt omöjligt. Under föregående år skedde en upphandling vad gäller digital signering för hela Umeå kommun. Där blev individ- och familjenämnden inte inkluderat.

Tolkar man lagstiftningen rätt så finns det ett spelrum för att använda personuppgifter vilket framgår av artikel 6 i dataskyddsförordningen. Däri ser man att lagens ord är mindre restriktiva än Umeå kommuns tillämpning. Det är otvivelaktigt att informationen som exempelvis dagliga verksamheterna sitter på är tänkta att användas ändamålsenligt.

Med anledning av ovanstående vill jag fråga kommunstyrelsens ordförande Hans Lindberg:

1. Varför har Umeå kommun valt att ha en striktare tolkning av GDPR-lagstiftningen än andra jämförbara kommuner?

2. Varför utnyttjar inte kommunen det spelrum i GDPR-lagen som gör att exempelvis dagliga verksamheter kan frångå dagens strikta tolkning som kommunen gör?

3. Är det inte en demokratifråga att brukare ska kunna kommunicera med foton i sina verksamheter?

4. Varför inkluderades inte IFN i den kommungemensamma upphandlingen av digital signering?

Hans Lindberg (S), kommunstyrelsens ordförande lämnar följande skriftliga svar:

Svar på fråga 1 Det här är en fråga som engagerar såväl internt som externt. Tillämpningen av GDPR innefattar komplicerade juridiska bedömningar och kraven på myndigheter, exempelvis kommuner, är i särskilt högt ställda. Det stämmer att Umeå haft en något striktare tolkning än vissa kommuner, men samtidigt mindre strikt i vissa avseenden än andra kommuner och myndigheter. Umeå kommun valde inledningsvis att noggrant följa Integritetsskyddsmyndighetens rekommendationer och har avvaktat vägledande domar. I efterhand kan man såklart fundera över om en mjukare tolkning kunde valts, vilket också är ett skäl till att vi har haft frågan på vårt bord i kommunstyrelsen. Redan innan jul beslutade kommunstyrelsen att godkänna den nya inriktning som tagits fram av kommunikationsdirektören (se länk nedan). Anpassningar har därefter skett löpande och jag har förtroende för att det fortsatt sker på ett ansvarsfullt sätt – självklart med hänsyn till den rättsliga utvecklingen genom ny lagstiftning, praxis och tillämpningsanvisningar från tillsynsmyndigheterna och prejudicerande domstolsavgöranden på nationell nivå och från EU-domstolen. Kommunikationsdirektören har till mig meddelat att berörda verksamheter är varmt välkomna att etablera direktkontakt med kommunikationsavdelningen för vägledning och råd. Länk:https://www.umea.se/download/18.1e902c49184793096753dae/166 9622589398/KS_2022-11-15_protokoll.pdf

Svar på fråga 2 GDPR reglerar inte enbart vilken typ av personuppgifter som får behandlas och i vilka sammanhang. Hur behandlingen sker rent tekniskt har också betydelse, exempelvis var uppgifterna lagras. Frågan är alltså inte så enkelt att man bara kan läsa vissa undantag rakt upp och ned. Dessutom måste kommunen även följa andra regelverk, exempelvis bestämmelserna i tryckfrihetsförordningen och offentlighets- och sekretesslagen som reglerar i vilka fall kommunen får eller inte får lämna ut vissa uppgifter till allmänheten eller till ett företag som Facebook. Sekretessen är olika stark för olika uppgifter och för olika verksamheter, där exempelvis socialtjänsten i allmänhet omfattas av striktare sekretessregler. Detta är i grunden inte frågor som vi råder över politiskt i kommunen, det är riksdagen som stiftar lagar. Det vi däremot kan göra är att skapa förutsättningar för att verksamheterna ska känna trygghet i hur de kan agera, så att det inte görs inskränkningar i onödan bara för att det saknas vägledning. Det pågår därför ett omtag för hur kommunen ska använda sina sociala mediekanaler. Anpassningar sker löpande. Här litar jag på att vår kommunikationsavdelning tar ansvar och skapar tydliga förutsättningar för våra samtliga verksamheter. Kommunikationen ska ske på mottagarens villkor och där krävs kunskap för att anpassa text, bild, syfte, budskap, målgrupp, kanal och tillfälle. När det gäller att använda bilder i verksamheter, på våra webbplatser och vid skåp/platser så vet jag att det sker i andra verksamheter (däribland förskola) vilket gör att det bör röra sig om ett missförstånd i det fall interpellanten beskriver (se länk). Länk: Bilder i pedagogisk verksamhet, bilder av barn på skåp - Intranät Umeå kommun (umea.se)

Svar på fråga 3 Bilder ska självklart kunna användas på ett ansvarsfullt sätt och ska anpassas efter syfte, mål, målgrupp och kanal. Det kan vara bilder på människor – men det kan också vara något annat. Här litar jag på att de som jobbar med kommunikationen sköter det på ett professionellt sätt och erbjuder tydliga riktlinjer för kommunens medarbetare. Om människor används i bild ska det så klart hanteras enligt de rutiner som finns kring samtycke och modellavtal. När bilder publiceras i kommunens kanaler måste det också ske i enlighet med offentlighets- och sekretesslagen. Att kommunen följer lagen är också en viktig demokratifråga, men kommunen ska såklart inte begränsa kommunikation med foton i sina kanaler i onödan. Det är också viktigt att personer som förekommer i bild är medvetna om var de kommer att synas, varför det sker och att de också kan be oss (Umeå kommun) att ta bort bilderna vilket då ska ske skyndsamt.

Svar på fråga 4 Enligt de uppgifter jag har fått från Umeå kommuns IT-avdelning beror detta på att den lösning som var mest prisvärd och gick snabbast att implementera var tillräcklig för många verksamheter men inte tillräcklig för de verksamheter som kräver hantering av känslig information. Därför upphandlades i ett första steg den billigaste och snabbaste lösningen. Uppdraget är dock att säkerställa e-signering för alla verksamheter och det pågår därför ett arbete med att åtgärda att det saknas en sådan lösning för exempelvis socialtjänsten. Verksamhetsutvecklare från Stöd och omsorg tillsammans med tekniker och förvaltare från IT ser just nu över hur man bäst kan möta behoven och kommer i samma arbete också att se över området säker kommunikation. Sammanfattningsvis har ett arbete som är särskilt inriktat på bland annat socialtjänstens behov påbörjats för att möta behoven inom:

• Kommunikation mellan kommunen och andra myndigheter
• Kommunikation mellan kommunen och andra organisationer
• Kommunikation mellan kommunen och medborgare
• Digital signering

Det besked jag fått från IT är att det är svårt att ge besked om en exakt tidplan i dagsläget, men en marknadsanalys är påbörjad och den visar redan på några lovande lösningar.