1. Personuppgiftsansvarige
Namn: Servicecentret för statens ekonomi- och personalförvaltning
Adress: Kauppakatu 40, 80100 JOENSUU
Växel: 02955 62000
E-post: kirjaamo(at)palkeet.fi
Personuppgiftsansvariges representant:
Heikki Asikainen, heikki.asikainen(at)palkeet.fi
Dataskyddsansvarig:
Sami Nikula, tietosuojavastaava(at)palkeet.fi
2. Syftet med behandlingen av personuppgifter i analystjänsterna
Servicecentret för statens ekonomi- och personalförvaltningens (hädanefter i denna text: Palkeet) lagstadgade analys- och rapporteringstjänster behandlar personuppgifter i analyssyfte om det är nödvändigt med tanke på analysens ämne. Information produceras för kundämbetsverkens förvaltningsbehov och för utvecklingen av hela statsförvaltningen.
Personuppgifter som behandlas i analystjänsterna från Servicecentret för statens ekonomi- och personalförvaltning (Palkeet) omfattas inte av automatiskt beslutsfattande eller profilering.
3 Den rättsliga grunden för behandlingen av personuppgifter
Lagenligheten av de personuppgifter som Palkeet behandlar i produktionen av analystjänsterna grundar sig på artikel 6.1 c i dataskyddsförordningen, i enlighet med den personuppgiftsansvariges lagstadgade skyldighet (Lag om Servicecentret för statens ekonomi- och personalförvaltning 8.2.2019/179 1 § 3, enligt vilken servicecentrets uppgift är att producera analys- och rapporteringstjänster för servicecentrets kunder som stöd till förberedelse och beslut).
4 Personuppgifter som behandlas
Informationen som används i de analystjänster som tillhandahålls av Palkeet kommer från registren som förs av Palkeet, kundämbetsverken eller en annan aktör i koncernen. De personuppgifter som behandlas inkluderar uppgifter om statlig personal. I vissa fall kan personuppgifterna som behandlas innehålla upphandlingsleverantörernas personuppgifter.
Analys- och rapporteringstjänsterna behandlar inte skydd av fysiska personer när det gäller behandling av personuppgifter, och inte heller uppgifter som tillhör specifika kategorier av personuppgifter i den mening som avses i artikel 9 i Europaparlamentets och rådets förordning (EU) 2016/679 om fritt flöde för sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). Det finns dock ett undantag från detta, eftersom information om varaktighet av frånvaro på grund av sjukdom, yrkesbetingad sjukdom eller arbetsolycka behandlas. Detta föreskrivs separat i lagen om Servicecentret för statens ekonomi- och personalförvaltning (8.2.2019/179 1 b § 2 mom.).
Före överföring av data för analys omvandlas direkta personuppgifter till oidentifierbara genom att pseudonymisera materialet. Resultaten av analys- och rapporteringsverksamheten som ska publiceras anonymiseras eller aggregeras på ett sådant sätt, att en enskild individ inte kan identifieras från uppgifterna, såvida inte analysen genomförs som en riktad tjänst till en aktör som har rätt att behandla de personuppgifter som lämnats till hen.
5 Personuppgifternas källor
Analys- och rapporteringstjänsterna använder sig av registren som produceras av statens gemensamma koncerntjänster, som innehåller planering och övervakning av statliga ämbetsverk och institutioners verksamhet, information om ekonomi- och personalförvaltning, gemensam grundläggande informationsteknik, upphandlingsförvaltning, lokalförvaltning, centraliserade utbildningstjänster, projektförvaltning och organisationsstruktur. Statens gemensamma producenter av koncerntjänster är Servicecentret för statens ekonomi- och personalförvaltning Palkeet, Statens center för informations- och kommunikationsteknik Valtori, Myndigheten för digitalisering och befolkningsdata, Senatsfastigheter, Hansel Oy och HAUS utvecklingscentral Ab.
De ovannämnda registren innehåller personuppgifter om statlig personal samt personuppgifter om leverantörer som är involverade i upphandling. Annan oidentifierad information och annan offentlig information som är nödvändig för genomförandet av analys- och rapporteringstjänsterna kan också användas i verksamheten.
6. Överföring eller utlämnande av personuppgifter
I analystjänsterna som Palkeet producerar lämnas inte personuppgifter ut till utomstående. Personuppgifter som behandlas överförs inte till länder utanför EU eller EES.
7. Tekniska och organisatoriska skyddsåtgärder för behandling av personuppgifter
I analystjänsterna som produceras av Palkeet behandlas personuppgifter endast av analytiker i en miljö som motsvarar uppgifternas skyddsnivå, och åtminstone en grundläggande säkerhetsutredning har gjorts av Skyddspolisen för alla personer som är inblandade i behandlingen av uppgifterna. Uppgifterna är skyddade mot obehörig granskning, ändring och radering. Skyddet består av användarverifiering, tekniskt skydd av databaser och servrar, fysiskt skydd av lokaler, passerkontroll, datakommunikationsskydd samt säkerhetskopiering av uppgifterna. Behörighet för åtkomst och hantering beviljas utifrån arbetsuppgifterna och tillgång till systemen grundar sig på personliga användaruppgifter. Apparatlokalerna och uppgifterna finns fysiskt inom EU eller EES. För övervakning av verksamhetens korrekthet tillämpas dessutom administrativa kontroller.
8. Lagring av personuppgifter
Som utgångspunkt ska personuppgifter som behandlas i de analystjänster som produceras av Palkeet endast sparas så länge och i den utsträckning som är nödvändig för analysens genomförande. När det gäller kunduppdrag bevaras uppgifterna i högst ett år efter uppdragets slut, om inga ytterligare behov uppstår om samma ämne och för samma kund.
9. Den registrerades rättigheter
Enligt dataskyddsförordningen varierar den registrerades rättigheter beroende på grunden till behandlingen av personuppgifterna. Eftersom den rättsliga grunden för behandling av personuppgifter i analystjänsterna producerade av Palkeet är lagstadgad beskrivs den registrerades rättigheter i detta uttalande i enlighet med den rättsliga grunden.
9.1 Rätt till att få information om behandlingen av sina personuppgifter
Enligt artikel 12 i dataskyddsförordningen måste behandlingen av personuppgifter vara transparent och den registrerade har rätt att få information om behandlingen av sina personuppgifter. När det gäller de analystjänster som produceras av Palkeet, genomförs denna rätt genom dataskyddsdokumentation. De dataskyddspraxis som ska följas vid all serviceproduktion i Palkeet beskrivs i bilagan till serviceavtalet och för analystjänsternas del görs en specificering i denna policy.
9.2 Rätt till tillgång till uppgifterna (Rätt att granska de uppgifter som gäller en själv)
Enligt artikel 15 i dataskyddsförordningen har den registrerade rätt att få tillgång till att granska sina egna personuppgifter. I analystjänsten som produceras av Palkeet har den registrerade rätt att inom rimlig tid få bekräftelse av Palkeets personuppgiftsansvarige på huruvida personuppgifter som berör hen håller på att behandlas och i så fall få tillgång till personuppgifterna.
Om inte den registrerade själv har möjlighet att kontrollera sina personuppgifter som behandlas, kan den registrerade göra en kontrollbegäran till personuppgiftsansvariges representant (punkt 1 i denna policy). Om det har gått mindre än ett år sedan den registrerade senast utnyttjade sin kontrollrätt, har Palkeet som personuppgiftsansvarig rätt att debitera en avgift som täcker de administrativa kostnaderna för överlämnandet av uppgifterna (artikel 12 [5]).
9.3 Rätt till korrigering av uppgifterna
I enlighet med artikel 16 i dataskyddsförordningen har den registrerade rätt att kräva att Palkeet som personuppgiftsansvarig korrigerar otydliga och felaktiga personuppgifter om den registrerade utan ogrundade dröjsmål i de analystjänster som produceras av Palkeet. Beroende på data och åtkomstbegränsningar kan uppgifterna också korrigeras av den registrerade själv, på begäran av hens chef, eller på basis av ett skriftligt meddelande om personuppgifter från den registrerade som representant för personalförvaltningen på hens arbetsgivarämbetsverk
9.4 Rätt att begränsa behandlingen
Enligt artikel 18 i dataskyddsförordningen har den registrerade rätt att få behandlingen begränsad av den personuppgiftsansvarige, det vill säga av Palkeet när det gäller de analystjänster som produceras av Palkeet, om:
- den registrerade bestrider personuppgifternas riktighet, då behandlingen begränsas under en tid som ger Palkeet som personuppgiftsansvarig möjlighet att kontrollera om personuppgifterna är riktiga
- behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning
- Palkeet som personuppgiftsansvarig inte längre behöver personuppgifterna för ändamålen med behandlingen men den registrerade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk
Om den registrerade bestrider personuppgifternas riktighet, begränsas behandlingen av uppgifterna under en tid som ger Palkeet som personuppgiftsansvarig möjlighet att kontrollera om personuppgifterna är riktiga. Den registrerade ska lämna in en kontrollbegäran och dess motivering till representanten för den personuppgiftsansvarige (punkt 1 i denna policy) då Palkeet som personuppgiftsansvarig ska begränsa behandlingen av personuppgifterna i datasystemet. Behandlingen begränsas genom att förhindra tillgång till uppgifterna med hjälp av att begränsa användarbehörigheter.
9.5 Skyldighet att underrätta om korrigering, radering eller begränsning av behandlingen av personuppgifter
Enligt artikel 19 i dataskyddsförordningen har den personuppgiftsansvarige, dvs. Palkeet när det gäller de analystjänster som tillhandahålls av Palkeet, skyldighet underrätta varje mottagare till vilken personuppgifterna har lämnats ut om eventuella rättelser eller radering av personuppgifter eller begränsningar av behandling som skett i enlighet med artiklarna 16 och 18, om inte detta visar sig vara omöjligt eller medföra en oproportionell ansträngning. Palkeet som personuppgiftsansvarig ska underrätta den registrerade om dessa mottagare på den registrerades begäran. Om den registrerade vill vara informerad om mottagarna ska hen lämna in en begäran till representanten för den personuppgiftsansvarige (punkt 1 i denna policy).
9.6 Rätt att inte bli föremål för automatiskt beslutsfattande
Enligt artikel 22 i dataskyddsförordningen har den registrerade rätt att inte bli föremål för automatiskt beslutsfattande. När det gäller analystjänster som produceras av Palkeet genomförs den registrerades rätt som utgångspunkt, eftersom de personuppgifter som behandlas inte är föremål för automatiskt beslutsfattande eller profilering.
9.7 Rätt att lämna in besvär till en tillsynsmyndighet
Den registrerade har alltid rätt att få lagligheten av behandlingen av personuppgifter granskade av Dataombudsmannen.
Kontaktuppgifter
Dataombudsmannens byrå
Besöksadress: Bangårdsvägen 9, vån. 6, 00520 Helsingfors
Postadress: PB 800, 00521 Helsingfors
Växel: 02956 66700
Fax: 02956 66735
E-post: tietosuoja(at)om.fi
