Viktigt för uppdraget

För detta uppdrag är det särskilt viktigt att konsulten har mycket god kunskap om regelverket kring dataskydd och GDPR samt dokumenterad praktisk erfarenhet av att genomföra DPIA inom svensk offentlig verksamhet.

Den mest centrala erfarenheten är att konsulten tidigare har genomfört DPIA för Microsoft 365 eller motsvarande molnbaserad samarbetsplattform inom offentlig sektor.

Det räcker alltså inte med generell erfarenhet av informationssäkerhet, GDPR, AI eller M365. Konsulten behöver kunna visa konkret erfarenhet av att självständigt genomföra konsekvensbedömningar enligt GDPR, förstå de juridiska och tekniska frågeställningarna kring M365 och kunna omsätta detta i en beslutsfärdig och förvaltningsbar DPIA.

Om uppdraget

Helsingborgs stad söker en senior specialist för att ta fram två aktuella och beslutsfärdiga konsekvensbedömningar avseende dataskydd (DPIA):

En samlad DPIA för hela Microsoft 365

En generell DPIA för AI-plattformen Eneo

Befintligt underlag består av en DPIA för M365 från 2021 samt en avgränsad uppdatering avseende e-post och kalender genomförd 2026. Tjänsteutbud, datahantering och rättsläge har sedan dess förändrats och en ny samlad bedömning behöver därför genomföras.

För Eneo finns ingen tidigare DPIA. Bedömningen ska bland annat omfatta behandling av promptar, loggar, inferens och eventuell vidarebehandling.

Båda konsekvensbedömningarna ska uppfylla kraven enligt artikel 35 GDPR och utformas så att Helsingborgs stad självständigt kan förvalta och uppdatera dem när tjänster förändras eller tillkommer.

Teknisk och yrkesmässig kapacitet

CV på svenska ska bifogas för konsulten för verifiering av krav och kompetensnivå.

Skall-krav

Konsulten ska ha:

• Dokumenterad erfarenhet av minst två motsvarande DPIA-uppdrag inom svensk offentlig sektor, varav minst ett ska avse Microsoft 365 eller annan molnbaserad samarbetsplattform. Referensuppdrag ska kunna anges.
• Mycket god kunskap om GDPR och regelverket kring dataskydd samt praktisk erfarenhet av att tillämpa detta vid konsekvensbedömningar.
• God kännedom om IMY mallar och vägledning för konsekvensbedömning, inklusive förteckningen över behandlingar som kräver DPIA.
• Juridisk kompetens inom dataskydd, inklusive GDPR, dataskyddslagen, OSL och relevanta registerförfattningar.
• Förmåga att bedöma tredjelandsöverföringar, Data Privacy Framework, kompletterande skyddsåtgärder samt CLOUD Act och FISA 702.
• Teknisk förståelse för Microsoft 365 på komponentnivå, inklusive Exchange Online, Teams, SharePoint/OneDrive, Entra ID, Purview och Copilot.
• Kunskap om hur diagnostikdata, telemetri och administrationsloggar hanteras samt förmåga att läsa och värdera Microsofts Data Protection Addendum och underbiträdesförteckning.
• Förståelse för AI-specifika dataskyddsfrågor såsom rättslig grund för träning och inferens, transparens, ändamålsbegränsning, dataminimering i promptar och loggar, mänsklig kontroll samt gränssnittet mot AI-förordningen.
• Förmåga att leverera DPIA i ett format och med en struktur som Helsingborgs stad kan förvalta och uppdatera vidare internt.
• Förmåga att arbeta självständigt gentemot verksamhet, IT och dataskyddsombud samt formulera sig begripligt för både jurister och tekniker.

Bör-krav

• Erfarenhet av Eneo eller andra öppna källkodsbaserade AI-plattformar i kommunal miljö, inklusive frågor om egen drift kontra molndrift och val av språkmodell.
• Kunskap om eSam och SKR vägledningar samt pågående rättsutveckling kring offentlig sektors molnanvändning.
• Erfarenhet av att bygga en förvaltningsbar struktur för återkommande DPIA-arbete, så att bedömningen kan uppdateras internt när tjänster tillkommer eller förändras.
• Erfarenhet av samspelet mellan DPIA, informationsklassning och riskanalys enligt befintliga metodstöd.

Kompetensnivå 3

Kunskap – hög generalistkompetens eller mycket hög kompetens inom aktuellt område/roll.
Erfarenhet – har deltagit i stora uppdrag inom aktuellt område och genomfört uppdrag med mycket hög kvalitet. Nivån uppnås normalt tidigast efter 9–12 års arbete inom aktuellt område/roll.
Ledning – har stor vana och erfarenhet av att verka i ledande befattning.
Självständighet – mycket stor självständighet.

Svar önskas senast: 2026-10-02 kl. 12:00

Samtliga frågor hänvisas till helsingborg@levigo.se.

Vid offerering ska kompetensmatris fyllas i och skickas in i Word-format utöver CV.

Kompetensmatrisen finns för nedladdning efter att ni tryckt på Visa offertformulär.

För offerering och kontakt:
https://request.levigo.se/Qthf2Uax/specialist-inom-dpia-ai-m365-och-moln