DATASKYDDSBESKRIVNING Allmän dataskyddsförordning (2016/679) Upprättad 24.04.2018 Registeransvarig Kuntien Tiera Oy, som ägs av serviceanordnare, är klientregistrets tekniska administratör och administratör av denna registerbeskrivning. Varje serviceanordnare som använder systemet är registeransvarig för sina klienters uppgifter som behandlas i systemet. Digia Finland Oy är administratör av systemet där klientuppgifter hanteras. Namn: Kuntien Tiera Oy FO-nummer: 2362180-3 Adress: Märaholmsgatan 3 Postnummer: 00180 Postkontor: Helsingfors Telefonnummer: 020 734 7777 Person som ansvarar för registerärenden Företag: Kuntien Tiera Oy Namn: Jani Grönberg Adress: Artillerigatan 4 A Postnummer: 20520 Postkontor: Åbo E-post: jani.gronberg@tiera.fi Registrets namn Servicesedel- och inköpssystemets klientregister Registeransvariga för vars räkning personuppgifter behandlas Kontaktuppgifter för de serviceanordnare som använder PSOP-systemet finns på parastapalvelua.fi. Registrets användningssyfte Servicesedel- och inköpssystemet (PSOP) är ett datasystem för serviceanordnare med vars hjälp man hanterar uppgifter relaterade till olika serviceanordnares och olika serviceområdens inköps- och servicesedelklienter. Syftet med behandlingen av personuppgifter i PSOP-systemet är att identifiera klienter. Insamlingen av personuppgifter baserar sig på avtal mellan beviljaren av köpkraft dvs. serviceanordnaren och klienten dvs. kommuninvånaren. Uppgifterna består av klientuppgifter och serviceuppgifter relaterade till köpkraft (bl.a. servicesedel, köpta tjänster, kundsedel och personlig budget) som visar den beviljade tjänstens innehåll och kvantitet för klienten. Klientuppgifterna separeras serviceanordnar- och servicespecifikt. Klientuppgifterna kopplas alltid till en tjänst som anger till vilket klientregister uppgifterna hör. Tjänsteleverantörerna registrerar klienttjänsterna i systemet. På basis av registreringarna bildar systemet redovisningsmaterial för betalning av ersättningar till tjänsteleverantören. 0 Personuppgiftsgrupper i registret De personuppgiftsgrupper vars uppgifter kan behandlas är klient, personer som agerar för klientens räkning, serviceanordnarens anställda samt anställda och parter som serviceanordnaren beviljar användarnamn. Följande uppgifter insamlas om klienter: förnamn, efternamn personbeteckning adress: gatuadress, postbox, gatunamn, lägenhetssignums nummer, lägenhetssignums bokstavsdel, lägenhetssignums delningsbokstav, postnummer, postkontor, adresspecifikation, kommun, landskod
kön hemkommunens nummer inflyttningsdag, bortflyttningsdag dödsdag, servicespråk närståendes namn och tfn tjänster som klienten beviljats och deras kvantitet samt eventuell ytterligare information som tjänsteleverantören behöver för att tillhandahålla tjänsten Följande uppgifter insamlas om personer som beviljats rätt att agera för en annans räkning: förnamn efternamn personbeteckning telefonnummer e-postadress Följande uppgifter insamlas om serviceanordnarnas anställda: serviceanordnarnas personer med Katso-namnteckningsrätt o namn o e-postadress o Katsonamnteckningsrätt o servicespecifik användarbehörighet användare som loggar in i serviceanordnarnas system: o namn o e-postadress o användarroll o servicespecifik användarbehörighet anställda som producerar tjänster i serviceanordnarens system: o namn o personbeteckning o titel 1 o befattningsbeskrivning o registreringsnummer o telefonnummer och e-post om personen även är kontaktperson kontaktpersoner för serviceanordnarnas företag eller företagsavdelningar o namn o telefonnummer o e-post Följande uppgifter insamlas om serviceanordnarens anställda och personer som beviljats användarnamn: namn e-postadress användarroll servicespecifik användarbehörighet Uppgifternas förvaringstid Förvaringstiderna för uppgifterna i PSOP-systemet fastställs enligt bland annat följande lagar: Finlands grundlag (731/1999) Lag om offentlighet i myndigheternas verksamhet (621/1999, offentlighetslagen) Lag om integritetsskydd i arbetslivet (759/2004) Lag om patientens ställning och rättigheter (785/1992, patientlagen) Lag om klientens ställning och rättigheter inom socialvården (812/2000, klientlagen) Lag om elektronisk behandling av klientuppgifter inom social- och hälsovården (159/2007) Lag om dataskydd vid elektronisk kommunikation (516/2004) Personuppgiftslag (523/1999), till 24.5.2018 Allmän dataskyddsförordning (2016/679), från och med 25.5.2018 Klientuppgifter uppstår när klienten för första gången beviljas servicesedlar, köpta tjänster, klientsedlar, personlig budget eller annan köpkraft. Klientens personuppgifter hämtas från Befolkningsregistercentralens datasystem. Klienten kan själv administrera e-postadress, telefonnummer och uppgifter om närstående. Klientuppgifter förvaras i PSOP-systemet så länge som lagen kräver det. Den lagstadgade tiden är högst 12 år från den senaste servicehändelsen eller klientens död. Efter förvaringstiden raderas uppgifterna.
Regelrätta informationskällor Klientuppgifter sparas i PSOP när Allmän serviceanordnaren beviljar klienter servicesedlar eller köpta tjänster. När det gäller nya klienter lägger serviceanordnarens myndighet till personbeteckning i klientuppgifterna eller alternativt erhålls personbeteckningen från grundläggande system med stöd av beslut som serviceanordnaren fattat. På basis av klientbeteckningen görs en sökning i Befolkningsdatasystemet (VRK/VTJ), via vilket klientens aktuella befolkningsuppgifter erhålls. Adressuppgifter för klienter med spärrmarkering skapas/sparas inte i PSOP. Klientuppgifterna uppdateras varje vecka via Befolkningsdatasystemet. PSOP:s informationskällor Klient: Klienter kan spara sin e-postadress och sitt telefonnummer samt närståendes namn och telefonnummer i systemet. Serviceanordnare: Klienters personbeteckning och beviljad service överförs från serviceanordnarens grundläggande system till PSOP-systemet antingen av serviceanordnarens anställda eller via systemintegration. Befolkningsdatasystemet: Klientuppgifter (klienters adressuppgifter), förändringar i uppgifter om klienter som omfattas av servicesedlar och/köpta tjänster: döda, klienter som bytt kommun. Adressuppgifter för kunder med spärrmarkering returneras inte från befolkningsdatasystemet. Kanta-tjänster: Fullmakt för köpta tjänster. I och med fullmakten får en privat serviceproducent som tillhandahåller hälso- och sjukvårdstjänster för klienter se kommunens vårduppgifter om klienter. Med hjälp av fullmakten får kommunen tillgång till nya uppgifter som en privat serviceproducent gjort i ärendet. Finlands Beställaransvar: Via tjänsten Beställaransvar får PSOP-systemet information om privata serviceproducenter som den lagstadgade tillsynen förutsätter. Den elektroniska och automatiska kontrollen omfattar företag som gett sitt samtycke. Övriga producenter omfattas av manuell kontroll. KATSO-identifiering: I Katso-identifieringstjänsten skapas serviceproducentens FO-nummer och administrationsrätten till FO-numret när serviceproducenten loggar in i systemet med dessa användarnamn. Suomi.fi-identifieringstjänsten: I identifieringstjänsten Suomi.fi hämtas klienters personbeteckning när de loggar in med bankkoder eller mobil-id. Suomi.fi-fullmakter: Från tjänsten Suomi.fi-fullmakter hämtas personbeteckning för under 10 år gamla barn när en vårdnadshavare loggar in i systemet med sin personbeteckning. Regelrätt utlämnande av uppgifter Uppgifter från olika register kombineras inte i PSOP, och de överlåts inte vidare. Överföring av uppgifter utanför EU eller EES Uppgifter i PSOP-systemets kundregister överförs inte utanför EU eller EES. Principer för skyddet för registret PSOP-systemet är webbläsarbaserat. Användarrättigheterna fastställs serviceanordnar- och servicespecifikt. Serviceanordnares anställda kan endast behandla registeruppgifter för den serviceanordnare vars service de ordnar. Användarnamnen är personliga och återkallas när en person övertar andra uppgifter eller anställningen upphör. Privata tjänsteleverantörers rätt att använda klientuppgifter baserar sig på att tjänsteleverantören tillhandahåller tjänster för serviceanordnarens räkning. Tjänsteleverantörer kan endast se uppgifter om klienter med vilka de har ett klientförhållande. Användarnamnen är personliga. Klienten eller den som befullmäktigats att sköta klientens ärenden kan endast se sina uppgifter. Inloggning i systemet kräver stark autentisering. Datasystemet och filerna har skyddats med tekniska skyddsmetoder. Endast de anställda har rätt att använda och ändra klientuppgifter som på arbetets vägnar har rätt att hantera dem. De har tystnadsplikt. Varje användare har ett personligt användarnamn och lösenord. På basis av det personliga användarnamnet och lösenordet kan man verifiera alla inloggningar och användarens transaktioner.
Användarna har olika användarrättigheter, och endast utsedda användare kan redigera uppgifterna. Arbetslokalerna övervakas med passersedel (gäller leverantörens lokaler, där systemets utrustning finns). Uppgifterna samlas i databaser som skyddas med brandväggar, lösenord och andra tekniska metoder. Personuppgifterna i databasen är krypterade. Databaserna och applikationsservrarna finns i låsta och övervakade utrymmen, och endast vissa utnämnda personer har tillgång till uppgifterna med personliga användarnamn. Ett loggregister bildas när systemet används, och det kontrolleras av systemets administratör. Separata registreringar uppstår alltid när personuppgifter hanteras.. Användning av kakor i PSOP-systemet: PSOP-systemet använder kakor endast under en session, och endast ID för sessionen finns i kakorna. I och med systemuppdateringen får PSOP-systemet en kaka, som används under en session och som innehåller följande uppgifter: Användarens namn Användarens interna databas-id Användarens interna databasnamn Användarens organisation (serviceanordnare/serviceproducent) Organisationens PSOP-webbplats Organisationens databas-id 3 Användarens roller i PSOP Godkänd livscykel för uppgifterna Elektronisk underskrift av uppgifterna Den nya kakan använder inte sekretessbelagd information, och kakorna används inte för profilering av användarna utan för administration av sessionen. Registrerades rättigheter Registrerades rättigheter till insamlade personuppgifter Registrerade har rätt att av registeransvarig få en bekräftelse om att personuppgifter om den registrerade behandlas eller inte behandlas, och om dessa personuppgifter behandlas rätt att se de personuppgifter som införts i PSOP-systemets kundregister. Registeransvarig ska lämna en kopia av de personuppgifter som behandlas. Om en registrerad ber om flera kopior kan registeransvarig debitera en rimlig avgift baserad på administrativa kostnader. Om en registrerad skickar en elektronisk begäran ska uppgifterna skickas i en allmänt använd elektronisk form, utom om den registrerade begär annat. Kontrollrätten kan avslås endast på lagstadgade grunder. En grund för avslag kan vara att utlämnande av uppgifter kan äventyra den registrerades eller någon annans rättigheter. Om kontrollrätten avslås får klienten ett skriftligt intyg om detta av vilket grunden för avslaget framgår. Om klienten är missnöjd med beslutet kan han eller hon hänskjuta ärendet till dataskyddsmyndigheten. Granskningsbegäran görs med en egenhändigt undertecknad eller på annat sätt verifierad handling eller personligen hos den registeransvariga. Granskningsbegäran ska skickas till serviceanordnarens dataskyddsansvarig eller till kontaktpersoner för registerärenden. På webbplatserna för de serviceanordnare som använder PSOP-systemet finns registerbeskrivningar av personuppgifter enligt serviceanordnare och deras kontaktpersoner. Rätt att yrka på korrigering av uppgifter Registrerade har rätt att yrka på att registeransvarig utan oskäligt dröjsmål rättar inexakta och felaktiga personuppgifter i PSOP-systemets klientregister. Korrigeringsbegäran görs med en egenhändigt undertecknad eller på annat sätt verifierad handling eller personligen hos den registeransvariga. I begäran gäller det att exakt specificera och motivera vilka uppgifter som ska korrigeras, och på vilket sätt de ska korrigeras. Uppgifter om korrigeringar, den som korrigerat och datum för korrigeringen sparas i registret. Den ursprungliga uppgiften kan ses i efterhand.
Om korrigeringsrätten avslås får klienten ett skriftligt intyg om detta av vilket grunden för avslaget framgår. Om klienten är missnöjd med beslutet kan han eller hon hänskjuta ärendet till dataskyddsmyndigheten. Korrigeringsbegäran ska skickas till serviceanordnarens dataskyddsansvarig eller till kontaktpersoner för registerärenden. På webbplatserna för de serviceanordnare som använder PSOP-systemet finns registerbeskrivningar av personuppgifter enligt serviceanordnare och deras kontaktpersoner. Övriga rättigheter relaterade till behandling av personuppgifter I PSOP-systemet behandlas personuppgifter inte i profilerings- eller direktmarknadsföringssyften. 4