Senaatti-konsernin Hallinnon tilahallinta (HTH) -tietopalvelujärjestelmän tietosuojaseloste

1. Rekisterinpitäjä ja yhteystiedot

Senaatti-kiinteistöt ja Puolustuskiinteistöt

Senaatti-kiinteistöt: Lintulahdenkatu 5 A, PL 237, 00531 Helsinki
Sähköposti: kirjaamo(at)senaatti.fi

Puolustuskiinteistöt: Isoympyräkatu 10, PL 1, 49401 Hamina
Sähköposti: kirjaamo(at)puolustuskiinteistot.fi

Puhelin: 029 483 0000

Tietosuojavastaava Petri Konttinen, etunimi.sukunimi(at)senaatti.fi

2. Henkilötietojen käsittelyn tarkoitus ja käsittelyn oikeusperuste

Henkilötietojen käsittelyn tarkoitus on Senaatti-konsernin (Senaatti-kiinteistöt ja Puolustuskiinteistöt) tilahallintaan liittyvien tunnuslukujen tuottaminen ja seuranta (koko valtionhallinnon käyttämän kiinteistötiedon osalta).

Käsittely liittyy Senaatti-kiinteistöjen ja Puolustuskiinteistöjen laissa Senaatti-kiinteistöistä ja Puolustuskiinteistöistä 1018/2020 2§ 1 mom. määrättyihin tehtäviin. Käsittely on tarpeen rekisterinpitäjän lakisääteiseen velvoitteen noudattamiseen (GDPR artikla 6.1c). Senaatti-kiinteistöt ja Puolustuskiinteistöt toimivat tietosuoja-asetuksen mukaisina yhteisrekisterinpitäjinä (GDPR artikla 26).

3. Käsiteltävät henkilötiedot ja rekisteröityjen ryhmät

HTH-tietopalvelussa käsitellään tietopalvelun käyttämiseen liittyviä käyttäjätunnuksia, jotka ovat rekisterinpitäjien sekä järjestelmää käyttävien virastojen ja laitosten työntekijöiden henkilötietoja. Järjestelmän käyttäjähallinnan sisältämät käyttäjätiedot ovat: käyttäjätunnus, käyttäjän koko nimi, käyttäjän roolin kuvaus (järjestelmän käyttäjärooli), käyttäjän sähköpostiosoite ja käyttäjäorganisaation nimi. Näitä tietoja käytetään palvelua koskevassa viestinnässä.

4. Säännönmukaiset tietolähteet

Rekisterinpitäjien henkilötiedot saadaan työnantajilta. Organisaation pääkäyttäjät luovat oman organisaationsa käyttäjätunnukset järjestelmään. Senaatti-konsernilla on rekisterinpitäjärooli kaikkien organisaatioiden käyttäjätunnuksiin (muilla organisaatioilla ainoastaan oman henkilöstönsä käyttäjätunnuksiin).

5. Henkilötietojen vastaanottajat tai vastaanottajaryhmät

Rekisterinpitäjien lisäksi henkilötiedot on siirretty rekisterinpitäjän lukuun toimivan käsittelijän saataville käsittelytehtävien suorittamiseksi.

6. Tietojen siirto EU:n tai ETA:n ulkopuolelle

Tietoja ei siirretä EU:n tai ETA:n ulkopuolelle. Tietoja käsitellään ainoastaan Suomessa.

7. Henkilötietojen suojaus

Rekisterinpitäjä on toteuttanut tarvittavat tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä.

Järjestelmän tiedot on suojattu palomuurilla ja muilla teknisillä keinoilla. Järjestelmän käyttö edellyttää henkilökohtaista käyttäjätunnusta ja salasanaa.

Henkilötietoihin on pääsy ainoastaan niillä henkilöillä, joilla on siihen sovittujen työtehtävien kannalta perusteltu tarve.

8. Tietojen säilytysaika ja sen määräytymisperiaatteet

Järjestelmän käyttäjän tiedot poistetaan, kun saadaan tieto, että henkilö ei ole enää palvelun käyttäjä. Tieto pysyy varmistuksissa (back up) enintään 12 kuukautta, jonka jälkeen se poistuu lopullisesti.

9. Rekisteröityjen oikeudet

Rekisteröity henkilö voi käyttää tietosuoja-asetuksen mukaisia oikeuksiaan seuraaviin asioihin:

• Oikeus saada pääsy henkilötietoihin (saada tieto itseään koskevasta käsittelystä)
• Oikeus perua suostumus henkilötietojen käsittelyyn kokonaisuudessaan, jos suostumus on annettu ainoastaan suoramarkkinoinnin tarkoituksiin
• Oikeus omien henkilötietojensa oikaisemiseen
• Oikeus omien henkilötietojensa poistamiseen
• Oikeus omien henkilötietojensa käsittelyn rajoittamiseen
• Oikeus olla joutumatta tietämättään automaattisen päätöksenteon kohteeksi.

Rekisterinpitäjän on toimitettava rekisteröidylle tiedot toimenpiteistä, joihin on ryhdytty GDPR:n artikla 15–22 nojalla tehdyn pyynnön johdosta ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella ottaen huomioon pyyntöjen monimutkaisuus ja määrä. Rekisterinpitäjän on ilmoitettava rekisteröidylle tällaisesta mahdollisesta jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta sekä viivästymisen syyt. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava sähköisesti mahdollisuuksien mukaan, paitsi jos rekisteröity toisin pyytää (GDPR artikla 12.3).

Rekisteröidyllä on myös oikeus tehdä valitus valvontaviranomaisena toimivalle tietosuojavaltuutetulle.