Integritetspolicy för Senatkoncernens materialbank

1. Personuppgiftsansvariga och kontaktuppgifter

Senatfastigheter, Försvarsfastigheter och Senatstationfastigheter Ab

Senatfastigheter och Senatstationfastigheter Ab: Fågelviksgatan 5 A, PB 237, 00531 Helsingfors

E-post: kirjaamo(at)senaatti.fi

Försvarsfastigheter: Isoympyräkatu 10, PB 1, 49401 Fredrikshamn
E-post: kirjaamo(at)puolustuskiinteistot.fi

Telefon: +358 294 830 000

Dataskyddsombud Petri Konttinen, fornamn.efternamn(at)senaatti.fi

2. Syftet med behandlingen av personuppgifter och rättslig grund för behandlingen

De personuppgiftsansvariga (Senatfastigheter, Försvarsfastigheter och Senatstationfastigheter Ab) använder materialbanken för att administrera och distribuera de personuppgiftsansvarigas grafiska material (varumärkesmaterial såsom logotyper, grafiska modeller, fotografier o.d.) till den egna personalen och intressentgrupperna (pressen, tryckerier o.d.).

De personuppgiftsansvariga är gemensamt personuppgiftsansvariga enligt EU:s dataskyddsförordning (GDPR artikel 26). Behandlingen av personuppgifter sker i regel för att de personuppgiftsansvariga ska kunna utföra sina uppgifter som är av allmänt intresse (GDPR artikel 6.1 e). För publicering av fotografier på anställda utanför materialbanken krävs personens samtycke (GDPR artikel 6.1 a).

3. Behandlade personuppgifter och grupper av registrerade

Materialbanken har användaruppgifter om koncernens anställda som innehåller följande personuppgifter: förnamn, efternamn, e-post. Systemet har användar-ID för dataadministratörer och för de anställda som har loggat in i systemet.

Materialbanken innehåller också fotografier av personer, såsom porträttfotografier av koncernens ledning, samt porträttfotografier av andra anställda. Till fotografierna av koncernledningen har också fogats personens namn och uppgift. Fotografierna innehåller också av upphovsrättsskäl fotografens namn.

4. Regelmässiga uppgiftskällor

Användar-ID för anställda skapas automatiskt när personen loggar in i systemet. Uppgifterna om användar-ID fås från koncernens användarhantering. Administratörsanvändarnas användar-ID skapas av serviceproducenten/huvudanvändaren.

5. Mottagare eller mottagargrupper av personuppgifter

Utöver de personuppgiftsansvariga har underleverantörer (tjänsteproducenter) tillgång till uppgifterna.

Uppgifterna lämnas ut till intressentgrupperna i materialbankens offentliga del, där vem som helst kan få tillgång till uppgifterna utan identifiering.

6. Överföring av uppgifter utanför EU eller EES

I tjänsten förvaras personuppgifter inom Europeiska unionen (EU)/Europeiska ekonomiska samarbetsområdet (EES). För att tjänsten ska kunna upprätthållas använder tjänsteleverantören som en tredjepartstjänst ett ticketsystem som omfattas av dataskyddsramen mellan EU och Förenta staterna (EU-U.S. DPF).

7. Personuppgifternas skydd

Senatkoncernen genomför en säker behandling av uppgifterna genom att säkerställa de tekniska och administrativa kraven genom revisioner, inspektioner och riskhantering. Kraven bedöms på den riskhanteringsnivå som behövs för den personuppgiftsansvariges alla informationssystem och även för deras tjänsteproducenter. Uppgifterna krypteras med starka krypteringsmetoder eller pseudonymiseras så att onödiga personuppgifter som identifierar personen utelämnas. Informationssystemens och tjänsternas kontinuerliga konfidentialitet, integritet, användbarhet och feltolerans säkerställs genom säkerhetskopiering och regelbundna informationssäkerhetskontroller samt aktuella programvaru- och informationssäkerhetsuppdateringar. De förfaranden genom vilka säkerheten hos informationssystem och tjänster regelbundet testas, undersöks och utvärderas är en del av Senatkoncernens kontinuerliga utvecklingsprocess.

Koncernens anställda har rätt att få tillgång till material som är avsett för internt bruk. Intressentgrupper och vem som helst har rätt att få tillgång till den offentliga delen. Den offentliga delen innehåller inga användaruppgifter eller porträttfotografier (exkl. porträttfotografier av ledningen).

8. Uppgifternas lagringstid och principer för hur denna fastställs

Uppgifter i ticketsystemet förvaras i två år. Användar-ID raderas (huvudanvändare) när uppgiften om att en person lämnar arbetsgivarens tjänst fås ur koncernens IAM-system för åtkomsthantering.

Fotografier upprätthålls om de är aktuella, och detta kontrolleras en gång om året (huvudanvändaren).

9. De registrerades rättigheter

En registrerad person kan utöva sina rättigheter enligt dataskyddsförordningen i följande ärenden:

Rätt till tillgång till personuppgifter (information om behandlingen av egna personuppgifter)
Rätt att återkalla samtycke till behandling av personuppgifter
Rätt att få sina personuppgifter korrigerade
Rätt att få sina personuppgifter raderade
Rätt att begränsa behandlingen av sina personuppgifter
Rätt att motsätta sig behandlingen av sina personuppgifter
Rätt att inte bli föremål för automatiserat beslutsfattande utan att veta om det.

Den personuppgiftsansvarige ska på begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artiklarna 15–22 i GDPR. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna till förseningen. Om den registrerade lämnar begäran i elektronisk form, ska informationen om möjligt tillhandahållas i elektronisk form, om den registrerade inte begär något annat (artikel 12.3 i GDPR).

Den registrerade har också rätt att göra anmälan till dataombudsmannen.