Uppdragsperiod: Start snarast - 2026-12-31, ev möjlighet till förlängning
Plats: Uppdraget kan ske remote

Bakgrund
Höglandets IT är den gemensamma IT-organisationen för kommunerna Eksjö, Nässjö, Sävsjö, Aneby och Vetlanda och ansvarar för att leverera och utveckla IT-tjänster till kommunerna samt till berörda förbund och kommunala bolag. Höglandets IT och de anslutna verksamheterna är nära sammankopplade genom en gemensam IT-miljö, samtidigt som respektive organisation ansvarar för sin verksamhet och information.

Höglandets IT har utrett Microsoft Azure som en möjlig del av den framtida leveransformen för IT-tjänster. Utredningen visar att Azure kan bidra med skalbarhet, säkerhetsfunktioner och utvecklingsmöjligheter, men att det kvarstår juridiska frågor kopplade till användningen av amerikanska molntjänster.

Kommunerna står inför verksamhetsutmaningar där amerikanska molntjänster kan ge tillgång till funktioner, kapacitet och utvecklingsmöjligheter som kan vara svåra att tillhandahålla på annat sätt. Samtidigt finns en osäkerhet kring om och under vilka förutsättningar tjänsterna kan användas, eftersom juridiska krav och risker kan begränsa eller i vissa fall hindra användningen.

Det finns därför behov av en oberoende juridisk bedömning som kan ligga till grund för ett gemensamt principiellt ställningstagande och framtida beslut om användning av Azure och andra amerikanska molntjänster. Bedömningen behöver tydliggöra när tjänsternas nyttor kan tas till vara, vilka risker som behöver hanteras och i vilka situationer juridiken innebär att användningen bör begränsas eller undvikas.

Syftet med uppdraget
Syftet med uppdraget är att ge Höglandets IT och berörda kommuner ett toch praktiskt användbart svar på under vilka rättsliga förutsättningar amerikanska molntjänster kan användas i kommunal verksamhet.

Bedömningen ska skilja mellan:
·  vad som följer av rättsliga krav,
·  vad som behöver avgöras genom risk- och lämplighetsbedömning,
·  vilka skyddsåtgärder och beslutsgränser som behöver finnas.

Uppdraget ska stödja ett proportionerligt och riskbaserat förhållningssätt. Det ska inte utgå från att all användning är tillåten eller att amerikanska molntjänster generellt ska uteslutas.

Omfattning och frågor
Uppdragstagaren ska lämna tydliga och motiverade svar på följande frågor:

1.  Under vilka rättsliga förutsättningar kan kommunen använda Microsoft Azure och andra amerikanska molntjänster?
Bedömningen ska tydliggöra om det finns rättsliga hinder samt vilka omständigheter som avgör om en viss informationstyp, arbetslast eller tjänst kan hanteras i en sådan molntjänst.

2.  Hur begränsar eller möjliggör offentlighets‑ och sekretesslagen (OSL) en kommuns möjligheter att använda molntjänster som tillhandahålls av amerikanska leverantörer?
Bedömningen ska tydliggöra under vilka förutsättningar sekretessreglerade uppgifter kan hanteras i amerikanska molntjänster samt vilka bedömningar, begränsningar och skyddsåtgärder som krävs.

3.  Vilken betydelse har att amerikanska aktörer (eller amerikansk rätt) kan göra anspråk på jurisdiktion över data som lagras inom EU – särskilt i ljuset av EU:s dataskyddsregler?
Bedömningen ska omfatta betydelsen av att leverantören är ett amerikanskt bolag eller ingår i en amerikansk koncern, även när informationen lagras och behandlas inom EU. Det ska framgå vilka risker som är rättsligt relevanta och hur relevant amerikansk lagstiftning påverkar kommunens möjligheter att uppfylla OSL, GDPR och tillämpliga säkerhetskrav.

4.  Hur bör en personuppgiftsansvarig hantera information/data/personuppgifter när förutsättningarna för tredjelandsöverföring förändras?
Bedömningen ska tydliggöra hur kommunen bör agera när de rättsliga förutsättningarna för tredjelandsöverföring förändras, inklusive när tidigare bedömningar behöver omprövas och vilka åtgärder som då krävs. Som stöd ska uppdragstagaren beskriva betydelsen av förändrad praxis, adekvansbeslut och alternativa överföringsmekanismer.

5.  Vilka informationstyp kan hanteras och vilka bör undantas?
Uppdragstagaren ska ange kriterier för när en informationstyp eller ett system:

o   kan användas utan fördjupad prövning,
o   kräver särskilda tekniska, organisatoriska eller avtalsmässiga skyddsåtgärder,
o   kräver särskilt beslut eller fördjupad juridisk bedömning,
o   bör eller måste undantas från amerikanska molntjänster.

6.  Vilka minimikrav bör ställas på leverantören och avtalet?
Bedömningen ska tydliggöra hur kommunen bör agera när leverantörens standardvillkor inte kan ändras och hur rättslig och operativ handlingsfrihet kan säkerställas om rättsläget, avtalsvillkoren eller de geopolitiska förutsättningarna förändras.

7.  Hur bör ett övergripande principbeslut och tillhörande beslutsgränser utformas?
Förslaget ska ge stöd för framtida upphandlingar och systemval utan att vare sig generellt tillåta all användning eller införa ett omotiverat totalförbud. Det ska tydliggöra:

o   vilka beslut som kan fattas gemensamt, av respektive kommun, informationsägare eller systemägare,
o   när en fördjupad juridisk bedömning krävs,
o   vilka förändringar eller händelser som ska medföra omprövning av tidigare bedömningar och beslut.

Metod
Uppdraget ska genomföras med utgångspunkt i gällande rätt, relevanta rättskällor, rättsutredningar och myndighetsvägledning.

Analysen ska kompletteras med relevanta utredningar, bedömningar, ställningstaganden och beslutsunderlag som har tagits fram av statliga myndigheter med motsvarande eller närliggande behov.

Uppdragstagaren ska granska materialets aktualitet, rättsliga relevans och tillämplighet på kommunal verksamhet samt beakta det i den samlade analysen. Det ska tydligt framgå vad som följer av gällande rätt, vad som utgör andra myndigheters bedömningar. Om myndigheter har gjort olika bedömningar ska dessa skillnader redovisas och analyseras.

Kompetenskrav och profil
Uppdraget ska genomföras av en oberoende jurist. Konsulten ska:

o   Ha juristexamen eller motsvarande juridisk examen.
o   Ha dokumenterad erfarenhet av kvalificerad rättsutredning och IT-rättslig rådgivning till offentlig sektor, exempelvis kommun, region eller statlig myndighet.
o   Ha mycket god och aktuell kunskap om offentlighets- och sekretesslagstiftning samt dataskyddslagstiftning, särskilt i frågor som rör utkontraktering, molntjänster och tredjelandsöverföringar.
o   Ha dokumenterad erfarenhet av juridiska bedömningar av molntjänster eller utkontrakterad IT-drift, inklusive granskning av relevanta avtal och leverantörsvillkor.
o   Ha kunskap om amerikansk jurisdiktion och relevant amerikansk lagstiftning som kan påverka offentliga aktörers användning av molntjänster.
o   Ha dokumenterad förmåga att omsätta juridiska bedömningar till praktiskt användbara principbeslut, beslutsgränser och avtalskrav, samt kunna redovisa resultatet tydligt på svenska för ledning, säkerhet och juridiska funktioner.

Meriterande:

o   Erfarenhet från Regeringskansliet, statlig myndighet, domstol eller annan organisation som arbetar med normering, tillsyn eller kvalificerad rättsutredning och rättstillämpning.

I offerten ska det även framgå estimerad tid och omfattning för uppdraget.

Handlingar som skall ingå vid svar på förfrågan:
•    CV (i Word) för konsult
•    Svar på SKA/BÖR-krav ska tydligt framgå för konsult, använd specifik kravmall för uppdraget
•    Tillgänglighet