Helsingborgs stad söker en senior specialist för att ta fram två aktuella och beslutsfärdiga konsekvensbedömningar avseende dataskydd (DPIA):

En samlad DPIA för hela Microsoft 365.

En generell DPIA för AI-plattformen Eneo.

Befintligt underlag består av en DPIA för M365 från 2021 samt en avgränsad uppdatering avseende e-post och kalender genomförd 2026. Tjänsteutbud, datahantering och rättsläge har sedan dess förändrats och en ny samlad bedömning behöver därför genomföras.

För Eneo finns ingen tidigare DPIA. Bedömningen ska bland annat omfatta behandling av promptar, loggar, inferens och eventuell vidarebehandling.

Båda konsekvensbedömningarna ska uppfylla kraven enligt artikel 35 GDPR och utformas så att Helsingborgs stad självständigt kan förvalta och uppdatera dem när tjänster förändras eller tillkommer.

Option på förlängning: Nej

Säkerhetsskyddsavtal

Nej

Teknisk och yrkesmässig kapacitet

CV på svenska ska bifogas för konsulten för verifiering av krav och kompetensnivå.

Skall-krav

• Dokumenterad erfarenhet av minst två motsvarande DPIA-uppdrag inom svensk offentlig sektor, varav minst ett ska avse M365 eller annan molnbaserad samarbetsplattform. Referensuppdrag ska kunna anges.
• God kännedom om IMY:s mallar och vägledning för konsekvensbedömning, inklusive förteckningen över behandlingar som kräver DPIA, samt förmåga att leverera i ett format som staden kan förvalta vidare.
• Juridisk kompetens inom dataskydd, inklusive GDPR, dataskyddslagen, OSL och relevanta registerförfattningar.
• Förmåga att bedöma tredjelandsöverföringar, Data Privacy Framework, kompletterande skyddsåtgärder samt CLOUD Act och FISA 702.
• Teknisk förståelse för Microsoft 365 på komponentnivå, inklusive Exchange Online, Teams, SharePoint/OneDrive, Entra ID, Purview och Copilot.
• Kunskap om hur diagnostikdata, telemetri och administrationsloggar hanteras samt förmåga att läsa och värdera Microsofts Data Protection Addendum och underbiträdesförteckning.
• Förståelse för AI-specifika dataskyddsfrågor såsom rättslig grund för träning och inferens, transparens, ändamålsbegränsning, dataminimering i promptar och loggar, mänsklig kontroll samt gränssnittet mot AI-förordningen.
• Förmåga att arbeta självständigt gentemot verksamhet, IT och dataskyddsombud samt formulera sig begripligt för både jurister och tekniker.

Bör-krav

1. Erfarenhet av Eneo eller andra öppna källkodsbaserade AI-plattformar i kommunal miljö, inklusive frågor om egen drift kontra molndrift och val av språkmodell.
2. Kunskap om eSam:s och SKR:s vägledningar samt pågående rättsutveckling kring offentlig sektors molnanvändning.
3. Erfarenhet av att bygga en förvaltningsbar struktur för återkommande DPIA-arbete, så att bedömningen kan uppdateras internt när tjänster tillkommer eller förändras.
4. Erfarenhet av samspelet mellan DPIA, informationsklassning och riskanalys enligt befintliga metodstöd.

Kompetensnivå 3

Kunskap – hög generalistkompetens eller mycket hög kompetens inom aktuellt område/roll.
Erfarenhet – har deltagit i stora uppdrag inom aktuellt område och genomfört uppdrag med mycket hög kvalitet. Nivån uppnås normalt tidigast efter 9–12 års arbete inom aktuellt område/roll.
Ledning – har stor vana och erfarenhet av att verka i ledande befattning.
Självständighet – mycket stor självständighet.

Svar önskas senast: 2026-09-29 kl 12:00

Samtliga frågor hänvisas till helsingborg@levigo.se.

Vid offerering ska kompetensmatris fyllas i och skickas in i Word-format utöver CV.

Kompetensmatrisen finns för nedladdning efter att ni tryckt på Visa offertformulär.