Helfo har behov for bistand for å innføre egenkontrollaktiviteter på personvernområdet, samt bistand til å systematisere arbeidet med leverandørstyring og oppfølging av databehandleravtaler.

Bakgrunn

Del 1) I en internrevisjonsrapport våren 2021 ble det avdekket at Helfo hadde forbedringspotensialer på flere områder knyttet til personvern. Vi har siden jobbet intensivt med å følge opp rapporten, og mange nye strukturer og retningslinjer er på plass. Vi ønsker nå å utvikle og implementere kontrollaktiviteter og rapportering for å sikre at de nye retningslinjene og strukturene etterleves, slik at vi får god kontroll og styring på personvernaktiviteter i organisasjonen.

Del 2) Helfo har i dag innkjøpere med god oversikt over eksisterende avtaler, som følger opp leverandører og andre avtaleforhold. Leverandørstyringen er imidlertid ikke systematisert i en rutine eller et annet styrende dokument som angir hvordan dette skal gjøres. Heller ikke for databehandleravtaler har vi i dag noe system for hvordan vi kan følge opp databehandlere på en god måte. Vi ønsker å få på plass et enhetlig system for leverandørstyring, der også oppfølging av tilhørende databehandleravtaler inngår, slik at vi kan ha den oversikten og oppfølgingen vi er pålagt å ha etter personvernlovgivningen.

Mer konkret ønsker Helfo bistand til å:

• Utvikle og etablere egenkontroller for personvern på avdelingsnivå med konkrete oppgaver for å ivareta etablerte rutiner for personvern, inkludert rapportering av status.
• Oppdatere Helfos eksisterende årshjul for personvern og implementere prosesser/virkemidler som sikrer at aktivitetene gjennomføres av de respektive ansvarlige.
• Etablere et system for leverandørstyring i Helfo, der også oppfølging av databehandleravtaler inngår.

Per i dag er det en arbeidsgruppe bestående av to jurister som jobber med disse tingene i Helfo, i tillegg til flere andre fagpersoner som kan trekkes inn ved behov. Helfo er underlagt og deler personvernombud med Helsedirektoratet, og det er god dialog mellom henne og arbeidsgruppen for å sikre at direktoratets og Helfos systemer harmonerer.

Absolutte krav:

• Personvern-/GDPR-kompetanse
• Konsulenten skal ha erfaring med revisjoner, fortrinnsvis på personvernområdet
• Konsulenten skal ha gode kommunikasjons-egenskaper på norsk
• Konsulenten må ha kompetanse på oppfølging av databehandleravtaler
• Konsulenten må ha kompetanse på leverandørstyring

Evalueringskrav:

• Konsulenten skal ha lang og bred erfaring med arbeid innenfor personvern/GDPR
• Erfaring fra arbeid med eller i offentlig sektor
• Erfaring fra tilsvarende leveranser
• Erfaring fra arbeid med personvern i Helsesektoren

Oppdraget/leveransen /bistanden skal utføres i:

Ønskelig med fysisk oppstartsmøte i Tønsberg, deretter kan bistanden i stor grad utføres over Teams/videosamtaleløsning. Kan bli ønskelig med noen fysiske arbeidsmøter i løpet av bistandsperioden.