Henkilötietojen käsittelyn tietosuoja REDUssa

Transkriptio

1 Hallitus LIITE 2 Rovaniemen koulutuskuntayhtymä Henkilötietojen käsittelyn tietosuoja REDUssa Määritelmät, linjaukset ja yleiset ohjeet Lapin koulutuskeskus REDU REDU Edu Oy REDU Sisäiset palvelut Santasport Lapin Urheiluopisto Santasport Finland Oy

2 1 (26) Sisällysluettelo 1 Johdanto Henkilötietojen käsittelyä ohjaavat arvot ja periaatteet Tietosuojalainsäädäntö Tietosuoja ja tietoturva Rekisterinpitäjä (REDU) LUC yhteistyö Soveltamisala ja hyväksyntä Käsitteiden määritelmiä Henkilötieto Erityiset henkilötietoryhmät ja arkaluonteiset tiedot Henkilötunnus ja henkilön tunnistaminen Henkilötietojen käsittely Henkilörekisteri Henkilötietojen tietojoukko Laajat pysyvät henkilörekisterit (lomake A) Suppeat tilapäiset henkilörekisterit (lomake B) Tilapäiset apurekisterit Käsittelytoiminnot ja informointi Mikä on käsittelytoiminto? Luettelo henkilötietojen käsittelytoiminnoista Rekisteröityjen informointi - Tietosuojaselosteet Henkilötietojen tarkastaminen, oikaiseminen, poistaminen ja käsittelyn vastustaminen Rekisteröidyn oikeuksien käyttäminen Tietosuojan organisointi ja vastuut Yleistä REDUn johtamisesta Yhtymäkokous, yhtymähallitus, yhtiökokous ja yhtiön hallitus Johto Esimiehet Henkilökunnan yleiset velvollisuudet Käsittelytoiminnon vastuullinen johtaja ja -yhteyshenkilö Henkilötietojen käsittelijät Tietosuojavastaava Tietotosuojan ja asiakirjahallinnon työryhmä... 21

3 2 (26) 4 Tietosuojan riskien kartoitus ja omavalvonta Tietosuojaa koskeva vaikutusten (riskien) arviointi ennen henkilötietojen käsittelyä Tietosuojakatselmukset ja tietosuojan kehittäminen REDUssa Tietoturvaloukkaukset Mikä on tietoturvaloukkaus? Tietoturvaloukkausten käsittelyn organisointi Tietoturvaloukkauksien käsittelyn ja tiedottamisen johtaminen Tietoturvaloukkauksen käsittelyn työryhmä Tietoturvaloukkauksista tiedottaminen Tietoturvaloukkauksista ilmoittaminen valvontaviranomaiselle (72 h sääntö) Tietoturvaloukkauksista tiedottaminen rekisteröidylle ja medialle Lähteet ja lisätietoa Päivitys- ja hyväksymismerkinnät Versio Päivämäärä Hyväksytty Tietosuoja- ja asiakirjahallinnon työryhmän kokouksessa (2018/03) esitelty luonnosversio Johtoryhmän (2018/04) ja Yhteistyötoimikunnan (2018/04) kokouksissa esitelty luonnosversio Tarkennettu asiakirjan nimen osalta, että kyse on yleisohjeesta. Yhtymähallitus Yhtymähallituksen kokous hyväksynyt , Päivitetty HE 9/2018 viittaukset Tietosuojalaki 1050/2018 viittauksiksi. Lisätty kohtaan 1.4. REDU vuoden 2019 alussa aloittava REDU EDU Oy Luonnos 0.2 versioksi Tietosuoja- ja asiakirjahallinnon työryhmän kokouksessa (2019/04) korjattu luonnosversio 0.3 versioksi 2 (johtoryhmälle ja yhtymähallitukselle) Johtoryhmän kokouksen (2019/06) täydennykset ja korjaukset kohtiin 3.3. ja 3.4

4 3 (26) 1 Johdanto 1.1 Henkilötietojen käsittelyä ohjaavat arvot ja periaatteet Henkilötietojen käsittely on Rovaniemen koulutuskuntayhtymän (REDU) perustehtävän mukaista toimintaa, jota ohjaavat REDUn arvot: REDUlaisen arvolupaus: - Olemme yhdessä tekeviä REDUlaisina olemme yhteisöllisiä yhdessä tekeviä ja vuorovaikutteisia. Näin edistämme luottamuksen ja kehittävän ilmapiirin syntymistä niin REDU:n sisällä, kuin asiakkaitten, kumppaneidemme ja muiden sidosryhmiemme kanssa. Kunnioitamme toistemme erilaisuutta ja kohtelemme toisiamme yhdenvertaisesti. - Olemme vastuullisia REDUlaisina meillä on vastuu toiminta-alueemme Lapin ammatillisen osaamisen kehittymisestä. Edistämme toiminnallamme Lapin elinvoimaa ja kestävää kehittymistä. Olemme toisillemme, asiakkaillemme, kumppaneille luotettavia ja vastuullisia. - Olemme asiakaslähtöisiä REDUna olemme asiakkaitamme eli työelämää ja opiskelijoita varten. Olemme kiinnostuneita heidän osaamisen kehittämisen tarpeista ja yhdessä heidän kanssaan löydämme heille parhaiten sopivat osaamisen kehittämisen ratkaisut. Kunnioitamme asiakkaidemme erilaisuutta ja kohtelemme heitä kunnioittavasti ja yhdenvertaisesti. REDUn tietosuojapolitiikka eli periaatteet, linjaukset ja yleiset ohjeet henkilötietojen käsittelyssä on esitetty tässä asiakirjassa. REDUn tietosuojapolitiikka pohjautuu seuraaviin REDUn tietosuojan periaatteisiin. REDUn tietosuojan periaatteet: 1. Noudatamme voimassa olevaa tietosuojalainsäädäntöä. 2. Käsittelemme vain sellaisia henkilötietoja ja sillä laajuudella, joille meillä on lainsäädännössä annettu oikeus tai henkilö (rekisteröity) on itse antanut suostumuksen. 3. Kunnioitamme asiakkaittemme, kumppaneittemme ja henkilökunnan oikeutta yksityisyyteen. Käsittelemme heidän henkilötietoja vastuullisesti ja luottamuksellisesti. 4. Tietosuojaa varmistamme tietoturvallisilla tietojärjestelmillä ja -palveluilla. 5. Koulutusorganisaationa toimimme tietosuojassa myös esimerkillisesti ja mallina. Tietosuoja on tärkeä osaamisalue opiskelijoillemme niin yleisenä kansalaistaitona kuin osana ammattiosaamista. 6. Seuraamme, kehitämme ja parannamme toimintaa ml. tietosuojaa laadunhallintajärjestelmän jatkuvan parantamisen periaatteen mukaisesti.

5 4 (26) 1.2 Tietosuojalainsäädäntö EU-Tietosuoja-asetus Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta Euroopan Unionin (EU) sisällä on säädetty Euroopan parlamentin ja neuvoston asetuksella 2016/697 (jatkossa Tietosuoja-asetus). Tämä Tietosuoja-asetus on EUasetuksena sellaisenaan voimassa kaikissa EU:n jäsenvaltioissa alkaen. Kansallisella lainsäädännöllä voidaan täydentää Tietosuoja-asetusta siltä osin, kun siitä Tietosuoja-asetuksessa säädetty. Tietosuojalaki (1050/2018) Kansallinen Tietosuojalaki ei muodosta itsenäistä ja kattavaa sääntelykokonaisuutta, vaan sitä sovelletaan rinnakkain em. EU:n Tietosuoja-asetuksen kanssa. Tietosuojalaissa säädetään mm kansallisesta Tietosuojaviranomaisesta (tietosuojavaltuutettu) sekä eräistä henkilötietojen käsittelyyn liittyvistä erityistilanteista kuten sananvapaudesta ja henkilötietojen suojan yhteensovittamisesta. Näitä ovat mm.: - Lapsen ikäraja tietoyhteiskunnan palveluissa on Suomessa 13 vuotta tietosuoja-asetuksen 16 sijaan. - Tietosuojasäännösten rikkomisesta määrättävää seuraamusmaksua ei sovellettaisi julkisella sektorilla tapahtuvaan henkilötietojen käsittelyyn. - Henkilötietojen urkkimisesta säädetään rikoslaissa. Esim. jos rekisterinpitäjän palveluksessa oleva urkkii, oikeudettomasti henkilötietoja, siitä voi rangaista sakolla tai enintään vuoden vankeusrangaistuksella. - Sananvapauden, tutkimuksen ja arkistoinnin turvaamiseksi säädetään poikkeuksista, joissa voidaan poiketa tietosuoja-asetuksen säädöksistä koskien rekisteröidyn informointia ja tietojen tarkastamista. Tietosuoja-asetus ja Tietosuojalaki koskevat lähtökohtaisesti kaikenlaista henkilötietojen käsittelyä. Ne sisältävät säännökset rekisteröidyn oikeuksista sekä rekisterinpitäjän ja henkilötietojen käsittelijän velvollisuuksista. Lisätietoa: EU Tietosuoja-asetus: Tietosuojalaki (1050/2018) Tietosuoja ja tietoturva Tietosuoja ja tietoturvat eivät ole sama asia. Sanoina ne ovat lähellä toisiaan ja siksi sekoitetaan usein. Tietosuoja on yleisempi ja laajempi käsite kuin tietoturva. Tietoturva sisältyy tietosuojaan. Tietoturvalla osaltaan mahdollistetaan tietosuoja. Tietosuoja-asetuksen mukaisesti henkilötietoja on säilytettävä ja käsiteltävä tietoturvallisesti koko tiedon elinkaaren ajan, alkaen siitä, kun rekisteröidyn henkilötietoja käsitellään ja kirjataan ensimmäistä kertaa henkilörekisteriin ja loppuen siihen, kun henkilötietojen käsittely päättyy ja tiedot hävitetään pysyvästi.

6 5 (26) Tietoturvalla tarkoitetaan niitä teknisiä tai manuaalisia hallinnollisia toimenpiteitä, joilla varmistetaan, että henkilötietojen käsittely ja säilyttäminen tapahtuvat siten, että niiden luottamuksellisuus säilyy ja että tiedot myös säilyvät muuttumattomina (eheinä) koko niiden säilytysajan. Tietoturvaan sisältyy sekä tekninen (tieto- ja viestintätekniikkaa hyödyntävä) tietojen käsittely, tiedonsiirto ja säilyttäminen ml. manuaalinen tietojen käsittely, siirto ja säilyttäminen. Manuaalisesti henkilötietoja voidaan käsitellä esim. paperilla, taululla ja kynällä sekä myös suullisesti viestien (keskustelu) ja siirtää mm kirjepostilla. Manuaalisesti tietoja voidaan säilyttää papereilla, muistilapuilla, kortistoissa ja mapeissa. 1.4 Rekisterinpitäjä (REDU) Rovaniemen koulutuskuntayhtymä (REDU) on EU:n tietotosuoja-asetuksessa säädetty rekisterinpitäjä. REDU on Kuntalain 410/2015 mukainen kuntayhtymä ja kuntakonserni, joka muodostuu tulosalueista, sisäisistä palveluista sekä REDUn määräysvallassa olevista yhtiöistä. REDUn tulosalueita (2018) ovat Lapin koulutuskeskus REDU ja Santasport Lapin Urheiluopisto, REDUn sisäisiä palveluja ovat kiinteistöpalvelut, henkilöstöpalvelut, talouspalvelut sekä koulutuksen järjestäjän palvelut. Lisäksi REDU-konserniin kuuluvat sen 100 %:sti omistama REDU Edu Oy ja Santasport Finland Oy. Osana Santasport Lapin Urheiluopisto -tulosaluetta toimii myös Lapin kesäyliopisto. REDUn johtamisesta on säädetty Kuntalaissa, sekä REDUn perussopimuksessa ja hallintosäännössä sekä niiden nojalla annetuilla delegointipäätöksillä. REDUn yhtiöiden osalta noudatetaan myös Osakeyhtiölakia. Lisätietoa: Kuntalaki 410/2018 finlex.fi/fi/laki/ajantasa/2015/ Osakeyhtiölaki 624/2006 finlex.fi/fi/laki/ajantasa/2006/ REDUn organisaatiokaavio: redu.fi/organisaatio REDUn säännöt ja ohjeet: redu.fi/saannot. o Rovaniemen koulutuskuntayhtymä: redu.fi/kuntayhtyma o Lapin koulutuskeskus REDU: redu.fi/koulutuskeskus o REDU Edu Oy: redu.fi/redueduoy o Santaport Lapin Urheiluopisto santasport.fi o Santasport Finland Oy: santasport.fi o Lapin kesäyliopisto: lapinkesayliopisto.fi. 1.5 LUC yhteistyö Rovaniemen koulutuskuntayhtymä on mukana Lapin korkeakoulukonsernissa (LUC), jossa REDU yhdessä Lapin yliopiston ja Lapin AMK:n kanssa tuottaa LUC-osapuolille mm yhteisiä tietohallinnon palveluja (IT-palveluja). LUC-konsernin organisaatiot ovat jokainen oma rekisterinpitäjänsä ja vastaat osaltaan tietosuojastaan. LUC:n yhdessä tuottamissa palveluissa käsitellään myös henkilötietoja ristiin yli organisaatiorajojen: Lapin yliopisto ja Lapin AMK käsittelevät REDUn lukuun henkilötietoja ja REDU toimii Lapin yliopiston ja Lapin AMK:n henkilötietojen käsittelijänä. Lisäksi käytössä on yhteisiä tietojärjestelmiä ja niihin liittyviä henkilörekistereitä (yhteisrekisterejä). Näistä LUC:n yhdessä toteuttamien palvelujen ja yhteisrekisterien tietosuojasta ja osapuolten vastuista sovitaan tarkemmin osapuolten keskinäisellä LUC-tietosuojasopimuksella. LUCtietosuojasopimuksen REDUn puolesta allekirjoittaa kuntayhtymän johtaja.

7 6 (26) 1.6 Soveltamisala ja hyväksyntä Tätä Henkilötietojen käsittelyn tietosuoja REDUssa -asiakirjan linjauksia ja yleisiä ohjeita noudatetaan koko Rovaniemen koulutuskuntayhtymä -konsernissa ml. sen määräysvallassa olevat yhtiöt. REDUn konserniohjeen kohdan 7.2 mukaisesti yhtymähallitus ohjaa konsernia antamalla konsernitason toimintaohjeet ja -periaatteet. Mikäli REDUn määräysvallassa oleva yhtiö päättää, että se vastaa itsenäisesti Tietosuoja-asetuksen rekisterinpitäjän velvollisuuksista, jolloin myöskään tämä ohje ei sitä koske. Yhtiön on ilmoitettava em. päätöksestä ennen sen voimaantuloa REDUlle. Tätä ohjetta noudatetaan myös LUC-konsernin yhdessä tuottamissa palveluissa siltä osin, kun REDU ja sen henkilökunta toimii henkilötietojen käsittelijänä Lapin yliopiston ja Lapin AMK:n lukuun LUC-tietosuojasopimuksessa sovitulla tavalla. Tämän asiakirjan (linjausten ja ohjeiden) hyväksymisestä päättää REDUn yhtymähallitus. Tietosuojavastaavan esityksestä kuntayhtymän johtajan päätöksellä voidaan tehdä tähän asiakirjaan teknisluontoisia päivityksiä ja täydennyksiä mm., kun tietosuojan lainsäädännössä tapahtuu muutoksia, tai REDUn toiminnan organisoinnissa, tulosalueajossa tai toimintamallissa ja vastuujaossa tapahtuu muutoksia, joista on päätetty yhtymäkokouksen tai yhtymähallituksen päätöksin. Lisäksi kuntayhtymän johtajan päätöksellä voidaan antaa tätä asiakirjaa täydentäviä toimintaohjeita tietosuojavastaavan tai henkilörekisterin ylläpidosta vastaavaan johtajana esityksestä. Santasport Finland Oy:n osalta tarkentavista toimintaohjeista päättää yhtiö. 2 Käsitteiden määritelmiä 2.1 Henkilötieto Tietosuoja-asetukseen 4 artiklassa mukaisesti henkilötiedoilla tarkoitetaan luonnolliseen tunnistettuun tai tunnistettavissa olevaan henkilöön (rekisteröity) liittyviä tietoja. Henkilöä pidetään tunnistettavana, jos hänet voidaan suoraan tai epäsuorasti tunnistaa nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen tai fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella. Tällaisia henkilön tunnistettavuus tietoja ovat esimerkiksi: - nimi - henkilötunnus (HETU) - opiskelijanumero - sähköpostiosoite - puhelinnumero - sijaintitieto (esim. kotiosoite tai paikannustieto) - verkkotunnistetiedot (esim. ip-osoite) - yksi tai useampi henkilöä koskeva tunnusomainen fyysinen, geneettinen, psyykkinen, taloudellinen, kulttuurinen tai sosiaalinen tekijä (esim. valokuva, sormenjälki, hiusten-, silmien-, ihonväri). Myös silloin, kun esim. julkisia tai kaikkien nähtävillä olevia tietoja yhdistelemällä on jälkikäteen mahdollista yksilöidä henkilö, kyse on henkilötietojen käsittelystä. Esim. tietyn koulutuksen ryhmän ainoa toista sukupuolta oleva, maahanmuuttaja, eri-ikäinen tms.

8 7 (26) Mikäli käsiteltävistä henkilötiedoista poistetaan pysyvästi kaikki sellaiset tiedot, joilla henkilö voidaan yksilöidysti tunnistaa tietosuoja-asetuksen 4 artiklan 5 kohdan mukaisesti (pseudonymisointi), voidaan henkilötietojen käsittelyssä poiketa siten, kun tietosuoja-asetuksessa ja tietosuojalaissa on tarkemmin säädetty. 2.2 Erityiset henkilötietoryhmät ja arkaluonteiset tiedot Tietosuoja-asetukseen 9 artiklassa sekä Tietosuojalain (1050/2018) 6 :ssä on lisäksi säädetty ns. erityisistä henkilötietoryhmistä (arkaluonteiset henkilötiedot), joiden käsittely on joko kielletty kokonaan tai joiden käsittelyä on rajattu tiettyihin tarkoituksiin. Erityisiä henkilötietoryhmiä, joiden käsittely on kielletty: - ihmisen rotu - etninen alkuperä - poliittinen mielipide - uskonnollinen tai filosofinen vakaumus - ammattiliiton jäsenyys - geneettiset ja biometristen tietojen käsittely henkilön tunnistautumista varten - terveystiedot - seksuaalista käyttäytymistä ja suuntautumista koskevat tiedot. Näitä tietoja voidaan kuitenkin käsitellä niissä tapauksissa, joista on säädetty Tietosuoja-asetukseen 9 artiklan 2 kohdassa sekä Tietosuojalain 1050/ :ssä. Esim. jos henkilö on itse julkaissut em. tiedon, sitä voidaan käsitellä. 2.3 Henkilötunnus ja henkilön tunnistaminen Henkilötunnuksen käsittelyssä on oltava erityisen huolellinen. Henkilötunnuksen käytöstä on erikseen säädetty Tietosuojalain 1050/ :ssä. Laissa on tarkennettu mm. missä tilanteissa henkilötunnusta voidaan käsitellä. Esim. jos yksityishenkilölle myydään luotolla (laskutuksella), voidaan tieto velvoittaa antamaan. Mikäli henkilötunnusta käytetään henkilörekisterissä, sitä ei perusteetta saa tulostaa tai merkitä rekisteristä otettuihin tulosteisiin ja otteisiin. Henkilötunnusta ja sen loppuosaa ei esim. saa kysyä suullisesti tai kirjallisesti henkilöltä siten, että sivullisten on se mahdollista saada tietoonsa esim. asiakaspalvelutilanteessa. Niissä tilanteissa, missä henkilötunnuksen käyttö on perusteltua henkilötietolain perusteella, suositeltavin tapa on, että henkilö esittää henkilökortin, ajokortin tai kuvallisen Kela-kortin, josta käsittelijä voi sen kirjata ja samalla varmistaa henkilöllisyyden. 2.4 Henkilötietojen käsittely Tietosuoja-asetukseen 4 artiklassa mukaisesti käsittelyllä tarkoitetaan toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin eli henkilörekistereihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti.

9 8 (26) Henkilötietojen käsittelyyn sisältyy tietojen käsittelyn koko elinkaari tiedon keräämisestä tietojen hävittämiseen. Asetuksessa on lueteltu mm. seuraavia henkilötietojen käsittelymuotoja: tietojen kerääminen, tallentaminen, järjestäminen, jäsentäminen, säilyttäminen, muokkaaminen, muuttaminen. Käsittelyyn kuuluvat myös henkilötietojen haut, kyselyt, tietojen luovuttamiset, siirtämiset, levittämisen ja saataville asettaminen (julkaisu), tietojen yhteensovittaminen ja yhdistäminen, rajoittaminen, poistaminen sekä tuhoaminen. 2.5 Henkilörekisteri Henkilötietojen tietojoukko Henkilörekisteri muodostuu henkilötietojen tietojoukosta eli useammasta kuin yhden henkilön henkilötiedoista. Tietosuoja-asetuksessa henkilörekistereistä käytetään käsitettä henkilötietotojen tietojoukko, mutta selvyyden vuoksi tässä ohjeessa käytetään vakiintunutta käsitettä henkilörekisteri. Henkilötiedoista muodostuu henkilörekisteri aina silloin, kun samassa tietojärjestelmässä, tiedostossa, luettelossa, kortistossa, mapissa tms. kootaan ja säilytetään samaa käyttötarkoitusta tai käyttötarkoituksia varten useiden eri henkilöiden henkilötietoja. Huom! Myös yksittäisen henkilön henkilötietoja on käsiteltävä tietosuojasäädösten mukaisesti. Tämä koskee myös henkilörekistereistä otettuja henkilön tai henkilöiden tietoja sisältävää otetta (ladattu tiedosto tai tuloste). Myös näytettäessä tai katsottaessa henkilötietoja rekisteristä esim. tietokoneen näytöllä, on varmistettava, ettei henkilötietoja saa nähtäväksi tai kuultavaksi sellaiset henkilöt, joihin heillä ei ole oikeutta. REDUssa henkilörekisterit ja niitä koskeva ohjeistus on jaettu kolmeen luokkaan: - laajat pysyvät henkilörekisterit (lomake A) - suppeat ja tilapäiset henkilörekisterit (lomake B) - tilapäiset apurekisterit Seuraavissa kappaleissa lisätietoa näistä Laajat jpysyvät henkilörekisterit (lomake A) Laajalla ja Pysyvällä henkilörekisterillä REDUssa tarkoitetaan kaikkia niitä henkilörekistereitä, joissa käsitellään rekisteröityjen lukumäärässä mitattuna suuria henkilötietojoukkoja ja joiden tarkoitus on olla pysyvä. Pysyvyydellä tarkoitetaan, että rekisteriä on tarkoitus ylläpitää toistaiseksi. Suurena henkilötietojoukkona pidetään henkilörekisteriä, jossa on tai jonka käytön ja tietojen säilytyksen aikana ylittää 50:n eri henkilön rekisteröidyn määrän. Näitä laajoja henkilörekistereitä ylläpidetään yleensä sähköisissä tietojärjestelmissä ja tietoja käsitellään pääsääntöisesti sähköisesti. Laajan pysyvän henkilörekisterin ylläpidon on perustuttava REDUn perustehtävän hoitamiseen liittyvään lainsäädäntöön tai asiakassuhteeseen.

10 9 (26) Kaikista laajoista henkilörekistereistä on REDUssa laadittava tietosuojaseloste (lomake A), joka tallennetaan ROKKI-intraan kohdan mukaisesti. Ko. rekisterille nimetään myös vastuuhenkilö (rekisteristä vastaava johtaja), vastuukäyttäjä (pääkäyttäjä) sekä tarvitessa heille molemmille varahenkilö. Vastuuhenkilön on myös tehtävä vastuukäyttäjästä erillinen nimittämispäätös, ellei siitä ole yksiselitteisesti jo päätetty REDUn hallintosäännössä tai sen nojalla annetussa delegointipäätöksessä. Tietosuojaselosteiden laatiminen ja päivittäminen Tietosuojaselosteiden laatimisesta ja päivittämisestä vastaa kyseisestä käsittelytoiminnosta vastaava johtaja tai hänen nimeämänsä rekisterin yhteyshenkilö. Tietosuojaseloste laaditaan REDUn tietosuojaselostelomakepohjalle. REDUn tietosuojavastaava tarkastaa laajojen ja pysyvien henkilörekisterien (A) tietotosuojaselosteen ennen sen julkaisemista ROKKI-intrassa ja verkkosivuilla. Tietosuojavastaava voi tehdä selosteeseen teknisluonteisia korjauksia ja täydennyksiä ennen sen julkaisemista. Ennen uuden laajan ja pysyvän rekisterin perustamista on asiassa oltava yhteydessä REDUn tietosuojavastaavaan. Tarvittaessa voidaan joutua tekemään myös kohdassa 4.1 esitetty ko. tietojen käsittelyn riskien arviointi. Tietosuojavastaavalle on myös ilmoitettava, ennen kuin käynnistetään rekisterin ylläpitoon ja tietojen käsittelyyn tarkoitetun tietojärjestelmän tai palvelun hankinta tai muutostyö (päivittäminen). Tietosuojavastaavalle on myös toimitettava kopiot ulkopuolisen järjestelmän tai palvelun toimittajan henkilötietojen käsittelyä koskevat sopimukset ja selosteet Suppeat tilapäiset henkilörekisterit (lomake B) Suppeana henkilörekisterinä tarkoitetaan henkilörekisteriä, joka sisältää muutaman (alle 50:n henkilön) henkilötietoja yhtä nimettyä ja tilapäistä käyttötarkoitusta tai käsittelytoimintoa varten. Pääsääntöisesti nämä suppeat rekisterit ovat yksittäisen henkilön (esim. opettajan) omassa tai pienen henkilöryhmän (esim. tiimin opettajat) yhteisessä rajatussa käyttäjäjoukossa käytössä, joita käytetään esim. arviointi tms. tietojen tilapäiseen kirjaamiseen. Tällainen suppea tilapäinen rekisteri voi olla myös kohdassa esitetty apurekisteri. Suppeaa tilapäistä rekisteriä voidaan jakaa henkilöiden kesken rajatusti esim. suojatulla (salatulla) sähköpostilla tai rekisterinpitäjän (REDU) hankkimassa pilvipalvelussa (O365/OneDrive Business) tai lukitussa tilassa tai kaapissa mapissa, jonne on pääsy vain rekisterin käyttäjillä. Tilapäinen henkilörekisteri muodostuu myös esim. tietyn tapahtuman tai tilaisuuden ilmoittautumis- ja osallistujalistoista ja niiden käsittelystä. Suppeista ja tilapäisestä henkilörekisteristä ja siinä olevien henkilötietojen käsittelystä Tietosuoja-asetuksen ja Tietosuojalain mukaisesti vastaa aina se henkilö, joka on perustanut rekisterin, koko rekisterin elinkaaren ajan. Em. syystä on tärkeää, että henkilö poistaa ja hävittää itse perustamansa tilapäiset henkilörekisterit pysyvästi ja tietoturvallisesti heti, kun tietoja ei enää tarvita. Tämä koskee myös manuaalisesti käsiteltyjä asiakirjoja, tiedostoja ja mappeja. Ota huomioon REDUn asiakirjahallinnon ja arkistotoimen ohjeet, ennen kuin hävität asiakirjoja! Nämä ohjeet löydät ROKKI-intran toimintakäsikirjasta.

11 10 (26) Suppean tai tilapäisen rekisterin ylläpitäjä vastaa myös rekisterin käyttöoikeuksien jakamisesta muille ko. rekisterin käyttäjille sekä käyttöoikeuksien ylläpidosta. Vastuu tilapäisen rekisterin osalta voidaan siirtää toiselle henkilölle vain henkilön esimiehen päätöksellä. Suppeista ja tilapäisestä henkilörekisteristä ei tarvitse erikseen ilmoittaa REDUn tietosuojavastaavalle. Häneltä voi kuitenkin tarvittaessa pyytää lisätietoa asiassa mm. sen suhteen, että muodostuuko suppeasta tai tilapäisestä henkilörekisteristä pysyvä tai laaja rekisteri tai muodostuuko apurekisteristä oma henkilörekisterinsä. Mikäli suppeaan tai tilapäiseen henkilörekisteriin kerätään tiedot rekisteröidyltä itseltään suoraan ja tietoja kerättäessä häntä informoidaan seuraavista asioita, ei erillistä rekisteriselostetta tarvita. Nämä tiedot voi olla esim. tietojen kyselylomakkeessa: - rekisterin ylläpitäjän nimi ja yhteystiedot (esim. nimi ja sähköpostiosoite) - rekisterin tarkoitus (henkilötietojen käyttötarkoitus, esim. tilaisuuteen ilmoittautuminen ja osallistujalista) - millä perusteella tietoja kerätään (laki, asetus, asiakkuus esim. osallistuminen tilaisuuteen) - kenelle muille ja mitä tietoja jaetaan (esim. jaetaanko osallistujaluettelo muille osallistujille, tilaisuuden pitäjille, tarjoilujen järjestäjälle tms.) - kuinka kauan tietoja säilytetään - keneen ja miten voi olla yhteydessä, jos haluaa tarkistaa, pyytää korjata tai poistaa tiedot. REDUssa on käytössä myös suppean tai tilapäisen henkilörekisterin tietosuojaselosteen mallilomake (lomake B), jolla em. tiedot voi ilmoittaa rekisteröidylle. HUOM! Kaikessa henkilötietojen käsittelyssä ml. suppeiden ja tilapäisten henkilörekisterien ja apurekisterien ylläpidossa ja henkilötietojen käsittelyssä on otettava huomioon tietoturva koko tietojen käsittelyn elinkaaren aikana. Henkilötietoja sisältäviä tiedostoja tulosteita, mappeja on käsiteltävä, tallennettava ja säilytettävä siten, ettei niihin ulkopuoliset pääse missään vaiheessa käsiksi. Esim. rekisteritiedostojen ja otteiden lähettäminen suojaamattomassa sähköpostissa on kielletty, samoin tietojen tallentaminen suojaamattomalle USB-levylle tai -tikulle tai mapin jättäminen lukitsemattomaan tilaan tai työhuoneeseen siten, että siihen on muilla pääsy Tilapäiset apurekisterit Edellä esitetty suppea henkilörekisteri voi olla myös laajemman rekisterin tilapäinen apurekisteri, jos sen henkilötiedot pohjautuvat laajan rekisterin otteeseen, esim. tulosteeseen tai tiedostoon opiskelijahallintojärjestelmästä. Jos käyttötarkoitus on sama, kuin sen henkilörekisterin, josta tiedot on otettu, ei apurekisterille tarvita omaa rekisteriselostetta. Apurekisterin käsittelyssä on otettava huomioon, mitä ko. rekisterin lähetteenä olevassa rekisterin tietosuojaselosteessa on henkilötietojen käsittelystä informoitu. Lisäksi ko. apurekisteritiedoston tai tulosteiden käsittelyssä on otettava huomioon, mitä edellä kohdassa on ohjeistettu suppeista tilapäisestä henkilörekisteristä.

12 11 (26) 2.6 Käsittelytoiminnot ja informointi Mikä on käsittelytoiminto? Henkilötietojen käsittelytoiminnolla tarkoitetaan henkilötietojen käsittelyn kokonaisuutta (prosessia), jossa henkilörekisterin henkilötietoja käsitellään tiettyä käsittelyn käyttötarkoitusta varten Luettelo henkilötietojen käsittelytoiminnoista REDU rekisterinpitäjänä pitää yllä luetteloa henkilötietojen käsittelytoiminnoista lukuun ottamatta edellä kohdassa määriteltyjä suppeita ja tilapäisiä rekistereitä. Luettelon ylläpidosta vastaa tietosuojavastaava. Tämä luettelo on tarkoitettu REDUn sisäiseen käyttöön. Tarvittaessa siitä on annettava tietoja tietosuojaviranomaiselle (tiesuojavaltuutetulle). Käsittelytoimintojen selosteen sisällöstä on säädetty tietosuoja-asetuksen 30 artiklassa ja tietosuojavaltuutettu on antanut tarkempia ohjeita sen sisällöstä. Luettelo ja siihen liitetyt henkilörekisterien selosteet ovat henkilökunnan nähtävillä ROKKIintran toimintakäsikirjassa: Rekisteröityjen informointi - Tietosuojaselosteet Rekisterinpitäjän (REDU) on annettava rekisteröidylle tiedot henkilötietojen käsittelystä eli informoitava asiasta. Rekisteröidylle toimitettava tietosisältö on osittain riippuvainen siitä, kerätäänkö henkilötiedot rekisteröidyltä itseltään tai muualta. Informoinnin tietosisältö on osittain riippuvainen myös käsittelyn oikeusperusteesta. Jos henkilötietoja esimerkiksi käsitellään rekisteröidyn suostumuksen perusteella, on rekisteröityä informoitava mahdollisuudesta peruuttaa annettu suostumus. Rekisteröityjen informointiin käytetään tietosuojaselosteita. Henkilötietojen kerääminen rekisteröidyltä itseltään Jos henkilötiedot kerätään rekisteröidyltä itseltään, rekisterinpitäjän on toimitettava käsittelyä koskeva informaatio rekisteröidylle silloin, kun tiedot kerätään. Eli rekisteröidyn saatavilla on oltava helposti tietosuojaseloste tai sen tiedot esim. linkitettynä ko. lomakkeeseen tai suoraan lomakkeessa tekstinä koko rekisterin elinkaaren ajan. REDUn laajojen ja pysyvien henkilörekistereiden tietosuojaselosteet (A) ovat saatavilla ROKKIintrassa: sekä ulkopuolisille (rekisteröidyille) asiakkaille myös REDUn verkkosivuilla: redu.fi/tietosuoja. Lisäksi sillä verkkosivulla tai ROKKI-intran sivulla, josta löytyy sähköisen lomakkeen linkki, on oltavana joko linkki ko käsittelytoiminnon tietosuojaselosteeseen tai ko. tiedot on löydyttävä sellaisenaan ko. lomakkeesta.

13 12 (26) Henkilötietojen kerääminen muista tietolähteistä (rekistereistä) Jos henkilötiedot kerätään muualta kuin rekisteröidyltä itseltään, tulee henkilötietojen käsittelyä koskevat tiedot toimittaa rekisteröidylle kohtuullisen ajan mutta viimeistään yhden kuukauden kuluessa. Tiedot on toimitettava ennen yhden kuukauden määräaikaa näissä tilanteissa: - Jos henkilötietoja käytetään viestintään rekisteröidyn kanssa ennen määräajan umpeutumista, henkilötietojen käsittelyä koskevat tiedot tulee toimittaa tällöin. - Jos henkilötietoja on tarkoitus luovuttaa toiselle vastaanottajalle ennen määräajan umpeutumista, käsittelyä koskevat tiedot on toimitettava rekisteröidylle viimeistään silloin, kun tietoja luovutetaan ensimmäisen kerran Henkilötietojen tarkastaminen, oikaiseminen, poistaminen ja käsittelyn vastustaminen Rekisteröidyllä on tarkastusoikeus eli hänellä on oikeus saada nähtäväkseen häntä itseään koskevat henkilötiedot. Rekisteröidyllä on oikeus vaatia, että rekisterinpitäjä oikaisee ilman aiheetonta viivytystä rekisteröityä koskevat epätarkat ja virheelliset tiedot (Tietosuoja-asetus, 16 artikla.) Rekisteröityä tulee informoida tietosuojaselosteessa siitä, miten hän voi esittää rekisterinpitäjälle omien henkilötietojensa tarkastamista, oikaisemista ja korjaamista. Tietosuoja-asetuksen 17 artiklassa luetelluissa tapauksissa rekisteröidyllä on oikeus pyytää omien henkilötietojensa poistamista ilman aiheetonta viivästystä. Tietojen poistaminen on dokumentoitava. Poistamisesta on myös ilmoitettava kaikille niille henkilötietojen käsittelijöille, jotka REDUn lukuun käsittelevät REDUn henkilötietoja ja joille REDU on toimittanut henkilötietoja ja heitä on myös velvoittava poistamaan henkilön tiedot. REDUn on myös poistettava ja hävitettävä henkilötiedot tietoturvallisesti rekisterin tietosuojaselosteessa esitetyn säilytysajan päättyä. Rekisterinpitäjänä REDUlla ei ole myöskään velvollisuutta säilyttää henkilötietoja enempää kuin tietosuojaselosteessa on informoitu, vaikka rekisteröity niin haluaisi, ellei lainsäädännössä toisin säädetä. REDU ei poista henkilön tietoja, mikäli REDUlla on lainsäädäntöön perustuen oikeutus ja velvollisuus säilyttää rekisteröidyn henkilötietoja, vaikka rekisteröity haluaisi ne poistettavan. Tällöin rekisteröidyn pyyntöön poistaa henkilötietoja vastataan informoimalla häntä, millä perusteella REDU ei poista tietoja. Rekisteröidyllä on tietosuoja-asetuksen 21 artiklassa tarkemmin säädetyissä erityistilanteissa oikeus vastustaa häntä koskevien tietojen käsittelyä. Näitä erityistarkoituksia ovat esim. henkilöiden profilointi suoramarkkinointia varten Rekisteröidyn oikeuksien käyttäminen Tietojen tarkastaminen ja tietojen siirto Rekisteröity voi pyytää saada nähtäväkseen häntä koskevat henkilörekisterissä olevat tiedot rekisteriselosteessa tarkemmin esitetyllä tavalla. Henkilöllä on myös oikeus saada häntä koskevat rekisterissä olevat tiedot järjestelmästä toiseen siirtoa varten jäsennetyssä ja yleisesti käytetyssä tiedostomuodossa. (ei koske manuaalisesti ylläpidettäviä rekisterejä). Tietojen pyytämistä ja siirtämistä varten käytössä on myös lomakepohja, jota tässä voidaan käyttää. Lomakepohja löytyy sivulta

14 13 (26) Henkilötietojen tarkastamispyynnöt käsitellään saapumisjärjestyksessä. Henkilötiedot tarkastamista varten pyritään toimittamaan mahdollisimman nopeasti huomioiden se, millä perusteella tarkastuspyyntöä esitetään ja kuinka suurta määrää tietoja henkilö pyytää. Tietojen siirtoa varten tiedot toimitetaan rekisteröidylle sähköisesti esim. CSV- tai Excel-tiedostona, mikäli sellainen on mahdollista ladata ko. rekisteristä. Vanhoista ennen hankituista tietojärjestelmistä tätä ominaisuutta ei vielä välttämättä ole olemassa. Manuaalisista rekisteristä ja arkistoista tietoja ei myöskään voi toimittaa sähköisesti. Tietojen siirtopyynnöt käsitellään saapumisjärjestyksessä ja pyritään käsittelemään kohtuullisessa ajassa huomioiden se, millä perusteella tarkastuspyyntö on esitetty ja kuinka laajasti tietoja pyydetään ja kuinka suuri työmäärä tietojen toimittamiseen tarvitaan. Mikäli samalta henkilöltä tulee runsaasti ja toistuvasti perustelemattomia tarkastamispyyntöjä tai siirtopyyntöjä, REDUlla on oikeus olla toteuttamatta pyyntöjä kohtuuttomina. Henkilötietoja toimitettaessa rekisteröidylle on otettava huomioon tietoturva. Tietoja ei toimiteta tavallisella sähköpostilla. Suositeltavin tapa on käyttää turvapostia tai kirjepostia ja ennen tietojen toimittamista on varmistettava, esim. REDUn rekisterin tiedoista tai julkisesta yhteystietohausta, että postiosoite tai turvapostissa käytettävä puhelinnumero ovat kyseisen henkilön. Henkilötietojen poistamis- tai vastustamispyyntö REDUssa on käytössä henkilötietojen poistamis- ja vastustamispyyntöön oma lomakepohja, jolla rekisteröity voi toimittaa REDUlle pyynnön henkilötietojen poistamisesta tai vastustamisesta. Lomake sisältää myös tarkemmat ohjeet sen toimittamisesta REDUlle sekä sen käsittelystä REDUssa. Lomakepohja löytyy sivulta Lomaketta vastaanotettaessa on varmistettava, että oikeuksia käyttävän henkilön henkilöllisyys. Tämä voi tapahtua seuraavasti: - Henkilö toimittaa lomakkeen henkilökohtaisesti REDUuun: Lomakkeen vastaanottava REDUn opintotoimiston henkilökuntaan kuuluva tai REDUn sisäisten palvelujen toimija tarkistaa henkilöllisyysasiakirjasta(*, että lomakkeen toimittaja on sama henkilö, jonka tietoja lomakkeella pyydetään poistettavan. - Henkilö toimittaa lomakkeen kirjepostilla, johon lomakkeen liitteeksi hän liittää oikeaksi todistetun kopion henkilöllisyysasiakirjasta(* - REDUn henkilökuntaan tai opiskelijoihin kuuluva, jolla on käytössään REDUn sähköpostiosoite, voi toimittaa lomakkeen myös tietosuoja@redu.fi -sähköpostiosoitteeseen käyttämällä omaa REDUn sähköpostia. - Suppeissa ja tilapäisessä rekisterissä henkilötietojen poistamis- tai vastustamispyyntö voidaan toimittaa myös sähköpostitse tai tekstiviestillä käyttäen sitä samaa sähköpostiosoitetta tai puhelinnumeroa tai sähköistä lomaketta, joka on henkilö antanut tietoja luovuttaessaan. *) Henkilöasiakirjaksi kelpaavat: - Voimassa oleva henkilökortti, passi tai merimiespassi. - Voimassa oleva jälkeen myönnetty suomalainen ajokortti. Ulkomaisen ajokortin sijaan Suomessa annettu ajokortti ei kuitenkaan käy, koska se on vain todistus ajoluvasta, ei henkilöllisyydestä. Rekisteröidyn oikeuksien käyttämistä koskevat pyynnöt käsittelee kyseisen rekisterin tietosuojaselosteessa mainittu rekisterin yhteyshenkilö tai vastuullinen johtaja. Tietosuojavastaava avustaa tarvittaessa.

15 14 (26) 3 Tietosuojan organisointi ja vastuut 3.1 Yleistä REDUn johtamisesta Rovaniemen koulutuskuntayhtymä (REDU) ja sen tulosalueiden johtamisjärjestelmästä on säädetty REDUn perustamissopimuksessa, -hallintosäännössä ja sen perusteella annetuin delegointipäätöksin. Perussopimuksen mukaisesti REDU järjestää osan toiminnastaan myös yhtiömuotoisena. REDU ja sen määräysvallassa olevat REDU Edu Oy ja Santasport Finland Oy (yhtiö) muodostavat kuntakonsernin, jonka johtamisesta on määrätty lisäksi REDUn konserniohjeessa. Tietosuojan johtaminen, vastuu ja organisointi noudattavat myös tätä samaa johtamisjärjestelmää. Seuraavissa kappaleissa on tarkennettu tietosuojan vastuu eri johtamisen, esimiesten ja tietojen käsittelijöiden osalta. Johtajien ja esimiesten rooli tietosuojan toteutumisessa on merkittävin. Johto ml. toimielimet ja esimiehet tekevät niitä päätöksiä, joilla johdetaan ja vaikutetaan siihen, miten tietosuoja REDUssa ja sen yhtiöissä toteutuu. Johto ja esimiehet toimivat myös osaltaan esimerkkeinä henkilötietojen käsittelyssä ja toimivat henkilötietojen käsittelijöinä mm. omien alaistensa henkilötietoja käsitellessään. 3.2 Yhtymäkokous, yhtymähallitus, yhtiökokous ja yhtiön hallitus Yhtymäkokous on Rovaniemen koulutuskuntayhtymän päätöksenteon ylin toimielin, jossa REDUn jäsenkunnat päättävät REDUn perussopimuksen 7 :ssä sovituista asioista. Näihin sisältyy mm. kuntayhtymän johtajan valinta sekä hallintosäännön hyväksyminen. Hallintosäännössä on tarkemmin säädetty REDUn hallinto- ja johtamisjärjestelmästä lukuun ottamatta yhtiöitä. Yhtiöissä omistajien päätösvaltaa käyttää yhtiökokous ja yhtiön hallitus siten kuin REDUn konserniohjeessa on määrätty. Yhtymäkokouksen, yhtymähallituksen sekä yhtiökokouksen ja yhtiön hallituksen jäsenten on osaltaan noudatettava voimassa olevaa tietosuojalainsäädäntöä sekä REDUn tietosuoja-ohjeita käsitellessään henkilötietoja esim. päättäessään henkilövalinnoista. REDU tietosuoja-asetuksessa määritelty rekisterinpitäjä ja konserni. Mikäli yhtymä- tai yhtiökokous- tai -hallitus tekee tietosuojasäädösten (Tietosuoja-asetus ja Tietosuojalaki) kanssa ristiriidassa olevan päätöksen, päätöstä toimeenpanevalla johdolla on oikeus ja velvollisuus olla toimeenpanematta sitä siltä osin, kun se on ristiriidassa tietosuojalainsäädännön kanssa. Tällaisessa tapauksessa asiasta on informoitava ko. toimielintä viivytyksettä, jotta se voi tehdä tarvittaessa uuden päätöksen.

16 15 (26) 3.3 Johto Kuntayhtymän johtaja REDUn hallintosäännön 2 :n mukaisesti kuntayhtymän johtaja johtaa yhtymähallituksen alaisena kuntayhtymän hallintoa, virka-organisaatiota, taloudenhoitoa ja muuta toimintaa. Kuntayhtymän johtaja toimii esittelijänä yhtymähallituksen kokouksissa ja vastaa asioiden valmistelusta yhtymähallituksen käsiteltäväksi. Kuntayhtymän johtaja esittelee yhtymähallitukselle ja yhtymäkokoukselle myös tietosuojaan liittyvät asiat. Kuntayhtymän johtaja on päättänyt myös REDUn tietosuojavastaavan nimittämisestä ja tietosuoja- ja asiakirjahallinnon työryhmän perustamisesta. Kuntayhtymän johtaja hyväksyy myös tietosuojaohjeistukseen tehtävät päivitykset, siten kun kohdassa 1.5 on tarkemmin esitetty. Kuntayhtymän johtaja osallistuu myös vuosittaisiin johdon tietosuojakatselmuksiin. Kuntayhtymän johtaja allekirjoittaa REDUn puolesta LUC-tietosuojasopimukset, kts. kohta 1.5. REDUn johtoryhmä Kuntayhtymän johtaja johtaa myös REDUn johtoryhmää ja päättää johtoryhmän jäsenistä. Johtoryhmä ei ole varsinainen päätöksentekoelin, mutta se osallistuu päätösten valmisteluun ja yhteisistä linjauksista ja menettelytavoista päättämiseen. Tarvittaessa nämä johtoryhmän päätökset ja linjaukset vahvistetaan yhtymähallituksessa tai kuntayhtymän johtajan tai tulosaluejohtajan päätöksin. Tietosuojan osalta johtoryhmässä päätetään mm tietosuojakoulutuksista, tietosuojasta viestimisestä sekä tietosuojan riskien kartoituksista. Johtoryhmä myös käsittelee tietosuojaa koskevat ohjeistukset ennen niistä päättämisestä. Ja milloin ohjeistus koskee myös henkilöstön oikeuksia ja velvollisuuksia, ne käsitellään myös yhteistyötoimikunnassa ennen päätöksiä. Johtoryhmälle ja yhteistyötoimikunnalle tietosuoja-asiat esittelee ja raportoi tietosuojavastaava. Johtoryhmän jäsenet osallistuvat myös vuosittaisiin tietosuojakatselmuksiin. Johtoryhmän jäsenten on myös itse osallistuttava päättämiinsä tietosuojakoulutuksiin ja perehdytyksiin. Kehitysjohtaja REDUn hallintosäännön mukaisesti kuntayhtymän kehitysjohtaja vastaa mm. REDUn tieto- ja hankehallinnon johtamisesta, kehittämisestä ja laadusta sekä niiden osalta sovittujen tulostavoitteiden toteutumisesta. Kehitysjohtaja toimii myös kuntayhtymän johtajan varajohtajana ja vastaa kuntayhtymän johtajan tehtävistä myös tietosuojan osalta, kun kuntayhtymän johtajan poissa ollessa. Tietohallinnon osalta kehitysjohtaja vastaa myös tietohallinnon tietosuojan johtamisesta sekä päättää tietohallinnon/it-palvelujen vastuulla olevan henkilöstön työtehtävistä ja tietojärjestelmien sekä niihin liittyvien henkilörekisterien vastuuhenkilöistä ja henkilötietojen käsittelijöistä. Kehitysjohtaja osallistuu myös vuosittaisiin johdon tietosuojakatselmuksiin. Talouspäällikkö REDUn hallintosäännön mukaisesti kuntayhtymän talouspäällikön päävastuualue on taloushallinto. Talouspäällikkö toimii myös talouspalvelujen henkilöstön esimiehenä. Taloushallinnon ja talouspalvelujen osalta talouspäällikkö vastaa myös taloushallinnon tietosuojan johtamisesta sekä päättää talouspalvelujen vastuulla olevan henkilöstön työtehtävistä ja tietojärjestelmien sekä niihin liittyvien henkilörekisterien vastuuhenkilöistä ja henkilötietojen käsittelijöistä. Talouspäällikkö osallistuu myös vuosittaisiin johdon tietosuojakatselmuksiin.

17 16 (26) Henkilöstöpäällikkö REDUn hallintosäännön mukaisesti kuntayhtymän henkilöstöpäällikön päävastuualue on henkilöstöhallinto, hän mm vastaa REDUn henkilöstöasioista ja palkanlaskennasta. Henkilöstöhallinnon ja henkilöstöpalvelujen osalta henkilöstöpäällikkö vastaa myös henkilöstöhallinnon tietosuojan johtamisesta sekä päättää henkilöstöpalvelujen vastuulla olevan henkilöstön työtehtävistä ja tietojärjestelmien sekä niihin liittyvien henkilörekisterien vastuuhenkilöistä ja henkilötietojen käsittelijöistä. Henkilöstöpäällikkö osallistuu myös vuosittaisiin johdon tietosuojakatselmuksiin. Kiinteistöpäällikkö REDUn hallintosäännön mukaisesti kiinteistöpäällikkö vastaa REDUn omistamien kiinteistöjen hallinnosta, ylläpidosta, virastomestaripalvelutoiminnasta ja rakentamisinvestoinneista. Kiinteistöhallinnon ja kiinteistöpalvelun osalta kiinteistöpäällikkö vastaa myös kiinteistöhallinnon tietosuojan johtamisesta sekä päättää kiinteistöpalvelun vastuulla olevan henkilöstön työtehtävistä ja tietojärjestelmien sekä niihin liittyvien henkilörekisterien vastuuhenkilöistä ja henkilötietojen käsittelijöistä. Kiinteistöpäällikkö osallistuu myös vuosittaisiin johdon tietosuojakatselmuksiin. Tulosaluejohtaja/rehtori sekä sisäisten palvelujen tilivelvollinen johtaja REDUn hallintosäännön mukaisesti tilivelvolliset johtajat vastaavat tulosalueen tai sisäisten palveluiden yksikön toiminnan johtamisesta. Hän myös päättää henkilökuntansa työnjaosta ja tehtävistä ja voi myös delegoida niitä edelleen. Tulosalueen johtaja sekä sisäisten palvelujen tilivelvollinen johtaja vastaavat johtamansa tulosalueen tai yksikön henkilötietojen käsittelyn tietosuojasta ja sen johtamisesta. Hän päättää tulosalueen tai yksikön henkilöstön työtehtävistä. Tähän sisältyen hän päättää myös henkilötietojen käsittelytoimintojen henkilörekistereiden yhteyshenkilöistä ja henkilötietojen käsittelijöistä. Hän voi myös delegoida tämän toimivallan alaisilleen. Tulosalueiden johtajat/rehtorit sekä sisäisten palvelujen tilivelvollinen johtaja osallistuvat myös vuosittaisiin johdon tietosuojakatselmuksiin. Osakeyhtiön toimitusjohtaja REDUn tytäryhtiön Santasport Finland Oy:n toimitusjohtaja vastaa yhtiön vastuulla olevan toiminnan henkilötietojen käsittelyn tietosuojasta. Hän myös päättää osakeyhtiön vastuulla olevien henkilötietojen käsittelytoiminnoista vastaavat johtajat tai esimiehet. Santasport Finland Oy voi nimetä myös oman tietosuojavastaavan, jolloin tässä REDUn tietosuojaohjeessa olevat tietosuojavastaavan tehtävät tältä osin siirtyvät hänen vastuulle. Osakeyhtiön toimitusjohtaja osallistuu myös vuosittaiseen REDUn johdon tietosuojakatselmukseen. REDUn osakeyhtiön toimitusjohtaja vastaa yhtiön toiminnan johtamisesta sekä henkilötietojen käsittelyn tietosuojasta. Osakeyhtiön toimitusjohtaja voi nimetä yhtiölle myös oman tietosuojavastaavan. Nimittämisestä on ilmoitettava REDUn tietosuojavastaavalle sekä Tietosuojavaltuutetun toimistolle. Osakeyhtiön toimitusjohtaja osallistuu myös vuosittaiseen REDUn johdon tietosuojakatselmukseen. Osaamisalan koulutuspäällikkö

18 17 (26) Osaamisalan koulutuspäällikön tehtävistä ja vastuualeista päättää tulosaluejohtaja/rehtori. Koulutuspäällikkö vastaa vastuualueensa henkilötietojen käsittelyn tietosuojasta ja henkilöstön työtehtävistä ml. henkilötietojen käsittelytoiminnot siten, kuin tulosaluejohtaja/rehtori on toimivaltaa hänelle delegoinut. Osaamisalan koulutuspäälliköt osallistuvat myös vuosittaisin johdon tietosuojakatselmuksiin. Oppilaitospalvelujen koulutuspäällikkö, palvelupäällikkö ja ravintolapäällikkö Lapin koulutuskeskus REDUn yhteisten oppilaitospalvelujen eli oppimisen suunnittelu- ja kehittämispalvelujen sekä työelämäpalvelujen, opiskelijapalvelujen sekä ravintolapalvelujen vastaavien päälliköiden tehtävistä ja vastuualeista päättää Lapin koulutuskeskus REDUn tulosaluejohtaja/rehtori. Oppilaitospalvelujen koulutuspäällikkö toimii myös Lapin koulutuskeskus REDUn tulosaluejohtajan sijaisena ja vastaa tuloaluejohtaja/rehtori poissa ollessa em. tulosaluejohtajan/rehtorin tehtävistä myös tietosuojan osalta. Oppilaitospalvelujen koulutuspäällikkö, palvelupäällikkö ja ravintolapäällikkö vastaavat tulosaluejohtaja/rehtorin delegointipäätösten mukaisesti myös vastuualueidensa tietosuojan johtamista ja työnjaosta. He myös päättävät heidän vastuulla olevien henkilötietojen käsittelytoimintojen rekisterien yhteyshenkilöt ja henkilötietojen käsittelijät, ellei tulosaluejohtaja ole siitä erikseen päättänyt. Oppilaitospalvelujen koulutuspäällikkö, palvelupäällikkö ja ravintolapäällikkö osallistuvat myös vuosittaisiin johdon tietosuojakatselmuksiin. Toimialapäälliköt, pedagoginen päällikkö, opiskelijapalvelun palvelupäällikkö sekä ravintolapäällikkö Toimialapäällikön, pedagogisen päällikön, opiskelijapalvelujen palvelupäällikön sekä ravintolapäällikön (jatkossa päällikkö) vastuualueesta päättää kuntayhtymän johtaja. Tulosaluejohtaja tai rehtori päättää päälliköiden työnjaosta ja tehtävistä. Päällikkö vastaa vastuualueensa henkilötietojen käsittelyn tietosuojasta ja henkilöstön työtehtävistä ml. henkilötietojen käsittelytoiminnot siten, kuin tulosaluejohtaja/rehtori on toimivaltaa hänelle delegoinut. Päälliköt osallistuvat myös vuosittaisin johdon tietosuojakatselmuksiin. Pedagoginen päällikkö toimii myös Lapin koulutuskeskus REDUn tulosaluejohtajan sijaisena ja vastaa tuloaluejohtaja/rehtori poissa ollessa em. tulosaluejohtajan/rehtorin tehtävistä myös tietosuojan osalta. Päälliköt vastaavat tulosaluejohtaja/rehtorin delegointipäätösten mukaisesti myös vastuualueidensa tietosuojan johtamista ja työnjaosta. He myös päättävät heidän vastuulla olevien henkilötietojen käsittelytoimintojen rekisterien yhteyshenkilöt ja henkilötietojen käsittelijät, ellei tulosaluejohtaja ole siitä erikseen päättänyt. Päälliköt osallistuvat myös vuosittaisiin johdon tietosuojakatselmuksiin. 3.4 Esimiehet Henkilökunnan lähijohtamisesta ja tehtäviin perehdyttämisestä vastaavat esimiehet. Esimiehinä REDUssa toimivat joko edellä esitetyt johtajat ja päälliköt suoraan tai heidän alaisuudessaan toimivat tiimiesimiehet. Esimiehinä REDUssa toimivat joko edellä esitetyt johtajat ja päälliköt suoraan tai heidän alaisuudessaan toimivat esimiehet. Tietosuojan näkökulmasta esimiesten rooli on keskeinen. Oman esimerkin lisäksi he vastaavat alaistensa perehdyttämisestä henkilön työtehtävien osalta myös tietosuojaan perehdyttämisestä sekä päättävät mm. alaisten työnjaosta ja siihen käytettävistä resursseista. Perehdyttämisen osalta esimies voi myös delegoida perehdyttämistehtävän kokeneelle alaiselleen. Esimiehet

19 18 (26) myös vastaavat alaistensa työn valvonnasta ja että toimitaan myös annettujen tietosuojasäädösten ja ohjeiden mukaisesti. Tätä valvontavastuuta esimies ei voi delegoida. Esimiesten tehtävä on valvoa ja tarkistaa, että heidän alaisillaan on hankittuna ja suoritettuna REDUssa vaadittava tietosuojaosaaminen (kts. kohta 3.5.). Esimiesten on myös osallistuttava johtoryhmässä päätettyihin esimiesten tietosuojakoulutuksiin ja perehdytyksiin. REDUn Hallintosäännön mukaisesti esimiehet vastaavat myös riskien tunnistamisesta, arvioinnista, riskienhallinnan toimenpiteiden toteutuksesta ja toimivuudesta sekä raportoivat yhtymähallituksen antamien ohjeiden mukaisesti. Tämä riskienhallinta kattaa myös tietosuojan riskienhallinnan. Esimiehet myös käsittelevät esimiestehtäviä hoitaessaan alaistensa henkilötietoja eli toimivat henkilötietojen käsittelijöinä. Esimiehet voivat myös osallistua vuosittaiseen tietosuojan johdon katselmukseen. 3.5 Henkilökunnan yleiset velvollisuudet REDUssa jokaisella henkilökuntaan kuuluvalla täytyy olla vähintään tietosuojan perusosaaminen. REDUn johtoryhmässä Tietosuoja- ja asiakirjahallinnon työryhmän esityksestä päätetään tietosuojakoulutuksen toteuttamisesta. Henkilökunnan on osallistuttava johtoryhmässä päätetysti tietosuojakoulutuksiin. Tämän lisäksi henkilön on osallistuttava esimiehensä määräämiin tietosuojakoulutuksiin ja perehdytyksiin. Henkilön tietosuojaosaaminen kirjataan henkilöstöhallinnon HEMULI-järjestelmään tietosuojavastaavan antamien ohjeiden mukaisesti. Henkilökunnan, niin virassa kuin toimessa olevien yleisenä velvollisuutena on noudattaa tietosuojalainsäädäntöä sekä työnantajansa (REDU) ja esimiehiensä antamia tietosuoja- ja tietoturvaohjeita. Henkilökunnan on myös seurattava tietosuojalainsäädännössä tapahtuvia muutoksia erityisesti oman tehtäväalueensa osalta osana oman ammattialan ja osaamisensa kehittämistä. Henkilökunnan velvollisuus on myös ilmoittaa havaitsemistaan tietoturvan loukkauksista esimiehelle tai tietosuojavastaavalle. 3.6 Käsittelytoiminnon vastuullinen johtaja ja -yhteyshenkilö Jokaiselle laajalle ja pysyvälle henkilörekisterille määritellään käsittelytoiminnon vastuullinen johtaja sekä yhteyshenkilö. Käsittelytoiminnon vastuuhenkilö ja yhteyshenkilö kirjataan kyseisen käsittelytoiminnon tietosuojaselosteeseen, kts kohta Käsittelytoiminnon vastuullinen johtaja on se henkilö, joka vastaa kyseisen toiminnan johtamisesta REDUn hallintosäännön tai sen perusteella annettujen toimivallan delegointipäätösten mukaisesti. Vastuullisella johtajalla on oltava mm päätösvalta päättää kyseisen käsittelytoiminnon osalta henkilöiden työtehtävistä sekä resursseista. Vastuullinen johtaja vastaa myös rekisterin yhteyshenkilön tehtävistä, silloin, kun yhteyshenkilö on nimeämättä tai hän on poissa. Rekisterin yhteyshenkilön nimeää ko. käsittelytoiminnosta vastaava johtaja. Nimittäminen tehdään joko erillisenä päätöksenä tai se on sisällyttävä dokumentoidusti yhteyshenkilön työtehtäviin esim. hyväksytyn tehtäväkuvauksen, palvelusopimuksen tms. mukaisesti. Yhteyshenkilö vastaa mm tietosuojaselosteen laatimisesta ja päivittämisestä, sekä käsittelee rekisteröidyn oikeuksien käyttämistä koskevat toimenpiteet, kts kohta

20 19 (26) 3.7 Henkilötietojen käsittelijät Henkilöstön työtehtävistä riippuen hänen tehtäviin voi kuulua henkilötietojen käsittelyä. Käytännössä lähes kaikki REDUn henkilöstöön kuuluvat käsittelevät henkilötietoja joko päivittäin tai satunnaisesti. Tästä syystä tietosuojan perustason koulutus on ulotettu koskemaan koko henkilöstöä. Henkilötietojen käsittely on kyseessä, kun käsitellään yhden tai useamman henkilön henkilötietoja manuaalisesti tai sähköisesti. Henkilötietojen käsittely on määritelty tarkemmin kohdassa 2.4. Henkilötietojen käsittelijä vastaa, että hän noudattaa tietosuojasta annettua lainsäädäntöä sekä REDUn tietosuoja ja tietoturvaohjeistusta. Henkilö saa käsitellä vain niitä henkilötietoja, jotka kuuluvat hänen työtehtäviin ja vain niihin käyttötarkoituksiin, joihin tieto on kerätty ja henkilörekisteri koottu. Seuraavassa yleisiä henkilötietojen käsittelyä koskevia ohjeita: - Henkilötietojen käsittelijöitä koskee vaitiolovelvollisuus. Henkilötietoja ei saa luovuttaa eikä millään tavalla ilmaista, suoraan tai epäsuorasti niiden sisältöä ulkopuolisille. - Henkilötietojen käsittelyssä on otettava huomioon tietoturva eli ettei missään käsittelyn vaiheessa tiedot eivät ole sivullisten nähtävillä, kuultavilla tai millään tavalla saatavilla. Henkilötietoja sisältävät tulosteet ja tiedostot on säilytettävä ja hävitettävä asianmukaisesti tietoturvallisesti. - Henkilötiedoista ei saa käsitellä keskustellen sellaisessa paikassa, jossa sivullisten on mahdollista kuulla keskustelu, ei myöskään ilman nimeä. Sivullinen kuulija voi yhdistää kuulemansa henkilötiedot tietojen sekä niistä keskustelevien henkilöiden perusteella tiettyyn tunnistettavaan henkilöön (rekisteröityyn). - Henkilötietoja sisältäviä tulosteita, tiedostoja yms. on säilytettävä lukitussa huoneessa tai kaapissa tai ne on teknisesti suojattava tai salattava siten, ettei sivullinen näe niitä tai pääse niihin käsiksi silloin, kun eivät ole käsittelijän valvonnassa. Jos tietoja käsitellään sähköisesti työasemalla, on varmistettava, ettei sivullinen pääse näkemään näyttöä ja työasema lukitaan, kun se ei enää ole valvonnassa. - Erityisen varovainen pitää olla, kun kuljettaa tai lähettää henkilötietoja sisältäviä asiakirjoja. Henkilötietoja sisältäviä tietoja ja tiedostoja ei saa lähettää salaamattomina sähköpostilla, mikäli sähköposti lähetetään REDUn sähköpostijärjestelmän ulkopuolelle. - Henkilötietoja sisältäviä tiedostoja ei saa tallentaa tai niistä ottaa kopioita suojaamattomalle ulkopuoliselle tallennusmedialle (USB-tikku, CD-ROM tms.). - Kirjepostissa on käytettä suljettua kirjekuorta, jonka läpi henkilötiedot vastaanottajan osoitetietoja lukuun ottamatta eivät ole näkyvissä IT-palvelut antaa lisätietoa tietoturvallisista henkilötietojen lähettämis- ja tallentamisratkaisuista.

21 20 (26) REDUn henkilökuntaan kuuluvalla henkilötietojen käsittelijällä on oikeus ja velvollisuus kieltäytyä käsittelemästä henkilötietoja johdon, esimiehen tai muun henkilökunnan pyynnöstä tai määräyksestä silloin, kun ko. käsittelyssä rikottaisin voimassa olevaa tietosuojalainsäädäntöä tai REDUn ohjeistusta. Tällaisesta säädösten ja ohjeiden vastaisesta henkilötietojen käsittelyn ohjeistamisesta tai sen pyynnöstä tai määräämisestä on ilmoitettava tietosuojavastaavalle. Henkilötiedon käsittelijää ei saa erottaa, siirtää työtehtävästä toiseen tai antaa kurinpitorangaistusta sillä perusteella, että hän on kieltäytynyt toimimasta tietosuojasäädösten ja -ohjeiden vastaisesti ja että hän on ilmoittanut asiasta tietosuojavastaavalle. 3.8 Tietosuojavastaava Tietosuojavastaavan tehtävistä on säädetty tietosuoja-asetuksen artikloissa. REDUn tietosuojavastaava toimii koko Rovaniemen koulutuskuntayhtymä -konsernin ml. sen omistamien tytäryhtiöiden tietosuojavastaavana, ellei yhtiö toisin päätä. REDUn tietosuojavastaavan nimi ja yhteystiedot löytyvät mm REDUn verkkosivuilta osoitteesta: redu.fi/tietosuojavastaava. Tietosuojavastaavalle voi myös lähettää sähköpostia suoraan osoitteeseen Tietosuojavastaava ei vastaa REDUn tietosuojasta. Tietosuojasta vastaa REDUn toiminnasta vastaava johto ja esimiehet sekä henkilötietojen käsittelijät siten, kun edellä on esitetty. Tietosuojavastaa toimii tietosuoja-asioissa asiatuntijana ja yhteyshenkilönä (yhteyspisteenä) tietosuoja-asioissa mm tietosuojan valvontaviranomaisen (tietosuojavaltuutetun) suuntaan. Tietosuojavastaava vastaa kohdan henkilötietojen käsittelytoiminnan luettelon ylläpidosta, sekä laajojen ja pysyvien henkilörekisterien tietosuojaselosteiden tarkastamisesta ja niiden julkaisemisesta kohdan mukaisesti. Rekisteröidyt voivat ottaa suoraan yhteyttä tietosuojavastaavaan heidän henkilötietojen käsittelyyn ja tietosuoja-asetukseen perustuviin oikeuksiin liittyvissä asioissa. Tietosuojavastaavaa sitoo hänen tehtäviensä suorittamista koskeva salassapitovelvollisuus. REDUn tietosuojavastaava on otettava asianmukaisesti ja riittävän ajoissa mukaan kaikkien henkilötietoja koskevien kysymysten käsittelyyn. Tietosuojavastaava ylläpitää rekisteriä REDUn henkilötietojen käsittelytoiminnoista sekä laajoista pysyvistä henkilörekisteristä kohdan 2.6. mukaisesti. Tietosuojavastaava pitää kirjaa hänelle ilmoitetuista tietosuojaan liittyvistä havainnoista ja poikkeamista kuten tietosuojalainsäädännön tai REDUn ohjeistuksen vastaisista toiminnoista sekä tietosuojaloukkauksista tai niiden läheltäpiti -tilanteista. Nämä ilmoitetut tietosuojatapahtumat käydään läpi tietosuoja- ja asiakirjahallinnon työryhmässä ja niistä raportoidaan säännöllisesti johdolle osana kohdan 4.2 mukaisesti. Tietosuojavastaava myös raportoi suoraan ylimmälle johdolle tietosuoja-asioista (Tietosuojaasetus, 38 artikla) tarvittaessa. Ylimmällä johdolla tässä tarkoitetaan yleensä johtoryhmää ja kuntayhtymän johtajaa. Tarvittaessa tietosuojavastaava voi raportoida suoraan myös yhtymätai yhtiöhallitukselle tai -kokoukselle. Tietosuojavastaavan sijaisena mm vuosilomien aikana toimii tietosuoja- ja asiakirjahallinnon työryhmästä valittu sijainen. Mm. -sähköpostiosoite ohjataan sijaiselle. Mikäli tietosuojavastaava on jostain syystä estynyt hoitamasta tehtävää, eikä sijaista ole ehditty valita, sijaisena toimii REDUn kehitysjohtaja.

22 21 (26) 3.9 Tietotosuojan ja asiakirjahallinnon työryhmä REDUssa toimii tietosuoja- ja asiakirjahallinnon työryhmä, jonka perustamisesta ja tarkemmista tehtävistä päättää kuntayhtymän johtaja Työryhmä kehittää ja ylläpitää REDU:n tietosuojaa ja asiakirjahallintoa yhtenä REDU-kokonaisuutena. Tietosuojan osalta työryhmä: - osallistuu henkilötietojen käsittelyä koskevaan suunnittelutoimintaan, - osallistuu tietosuojaohjeita koskevaan valmisteluun ja ylläpitoon, - seuraa ja valvoo henkilötietojen käsittelyä ja niiden suojausmenetelmiä. Tietosuoja- ja asiakirjahallinnon työryhmä on valmistellut tämän REDUn tietosuojaohjeistuksen. Työryhmän vetäjänä tietosuoja-asioissa toimii REDUn tietosuojavastaava. Työryhmä kehittää, seuraa ja valvoo tietosuojan tilaa REDUssa ja raportoi siitä säännöllisesti johdolle. 4 Tietosuojan riskien kartoitus ja omavalvonta 4.1 Tietosuojaa koskeva vaikutusten (riskien) arviointi ennen henkilötietojen käsittelyä Ennen kuin henkilötietojen käsittelyssä otetaan käyttöön uutta teknologiaa, jossa käsittelyn luonne, laajuus ja tarkoitus huomioon ottaen voi aiheuttaa rekisteröitävän henkilön oikeuksien ja vapauksien kannalta korkean riskin, on ennen käsittelyn aloittamista tehtävä käsittelyn vaikutusten ja riskien arviointi. Tähän arviontiin on pyydettävä neuvoja REDUn tietosuojavastaavalta sekä tarvittaessa tietosuojavaltuutetulta. Tietosuojaa koskevasta vaikutusten ja riskien arvioinnista on säädetty tarkemmin 35 artiklassa. Mikäli edellä esitetty vaikutusten arviointi osoittaa, että käsittely aiheuttaisi korkean riskin, ja jota ei voida REDUn omin toimenpitein pienentää, on REDUn kuultava asiassa tietosuojavaltuutettua (viranomaista) tietosuoja-asetuksen 36 artiklan mukaisesti. 4.2 Tietosuojakatselmukset ja tietosuojan kehittäminen REDUssa REDUn johto ja esimiehet vastaavat tietosuojasta, kuten luvussa 3 on tarkemmin eritellyltä. REDUn johto katselmoi tietosuojan tilanteen vähintään kerran vuodessa. Katselmuksen valmistelee tietosuojavastaava yhdessä tietosuoja- ja asiakirjahallinnon työryhmän kanssa. Katselmuksen ajankohdasta päätetään johtoryhmässä. Katselmukseen osallistuvat tietosuojavastaavan lisäksi REDUn johtoryhmän jäsenet, osaamisalojen koulutuspäälliköt sekä oppilaitospalvelujen koulutuspäällikkö, palvelupäällikkö ja ravintolapäällikkö. Lisäksi katselmukseen voivat osallistua niin halutessaan myös tietosuoja- ja asiakirjahallinnon työryhmän jäsenet sekä tiimiesimiehet. Katselmukseen osallistuvat tietosuojavastaavan lisäksi kohdassa 3.3. esitetty johto ja päälliköt ml. REDUn omistamien yhtiöiden toimitusjohtajat sekä tietosuoja- ja asiakirjahallinnon työryhmän jäsenet. Katselmuksessa REDUn tietosuojavastaava raportoi johdolle tietosuojan tilanteen ja -tapahtumat (raportti) ml. havaitut ja raportoidut tietosuojan ja -turvan loukkaukset tai niiden läheltä

23 22 (26) piti-tilanteet tarkastelujakson ajata sekä mitä osa-alueita siinä kehitetään ja parannetaan. Ensimmäinen tarkastelujakso alkaa tietosuoja-asetuksen ja lainsäädännön voimaan tullessa. Katselmuksesta laaditaan raportin lisäksi muistio, johon kirjataan katselmukseen osallistuneiden ja katselmoitujen asioiden lisäksi katselmuksessa mahdollisesti esille nousseet tietosuojan kehittämiskohteet ja -tarpeet. Muistion pohjalta päivitetään suunnitelma tietosuoja- ja asiakirjahallinnon työryhmän tulevat tietosuojan kehittämisen kohteista. Tarvittaessa voidaan laatia myös erillinen tietosuojan kehittämissuunnitelma tai -ohjelma. Em. kehittämissuunnitelmat tuodaan erikseen johdolle hyväksyttäväksi. 5 Tietoturvaloukkaukset 5.1 Mikä on tietoturvaloukkaus? Henkilötietojen tietoturvaloukkauksella tarkoitetaan käsittelytoimintaa, jossa on tapahtunut vahingossa tai lainvastaisesti henkilötietojen luvaton luovuttaminen tai pääsy henkilötietoihin (tietovuoto). Myös henkilötietojen tuhoaminen, häviäminen, muuttaminen tai muuttuminen voi olla tietoturvaloukkaus. (Tietosuoja-asetus, 4 artikla, kohta 12.) Jos havaitset tietoturvaloukkauksen tapahtuneen, ilmoita siitä välittömästi tietosuojavastaavalle (tietosuoja@redu.fi) tai IT-palveluihin (servicedesk@redu.fi). REDUn on reagoitava tietoturvaloukkauksiin nopeasti Tietoturvaloukkauksesta on ilmoitettava ilman aiheetonta viivästystä tietosuojavaltuutetulle, jos tietoturvaloukkauksesta aiheutuu rekisteröidylle luonnolliselle henkilölle/henkilöille oikeuksiin tai vapauksiin liittyviä riskejä, kts lisätietoa kohdasta REDU voi ryhtyä myös tarvittavaan tietoturvatoimenpiteisiin välittömästi, kun tieto loukkauksesta on tapahtunut esim. sulkea ja rajata käyttöoikeuksia tai tietoliikennettä, vaihtaa salasanoja tai palauttamaan varmuuskopioista mahdollisia muuttuneita tai muutettuja tietoja takaisin. Mikäli rekisteröidyn oikeuksiin ja vapauksiin liittyy korkeaa riskiä, tietoturvaloukkauksesta on myös ilmoitettava jokaiselle rekisteröidylle, kts lisätietoa kohdasta Tietoturvaloukkausten käsittelyn organisointi Tietoturvaloukkauksien käsittelyn ja tiedottamisen johtaminen Tietoturvaloukkauksen käsittelyn johtamisesta tiedottamisesta vastaa kuntayhtymän johtaja ja hänen poissa ollessa varajohtaja. Kuntayhtymän johtaja voi siirtää tiedottamisvastuun tapauskohtaisesti Lapin koulutuskeskus REDUn rehtorille tai Santasport Lapin Urheiluopiston tulosaluejohtajalle tai rehtorille. Mikäli tietoturvaloukkaus koskee Santasport Finland Oy:n vastuulla olevaa toimintaa, tietoturvaloukkauksen käsittelyn johtamisesta ja tiedottamisesta vastaa Santasport Finland Oy:n toimitusjohtaja.

24 23 (26) Mikäli tietoturvaloukkaus koskee REDUn tytäryhtiön toimintaa, tietoturvaloukkauksen käsittelyn johtamisesta ja tiedottamisesta vastaa yhtiön toimitusjohtaja. Tietosuojavastaava sekä tietoturva-asioissa IT-palveluista vastaava kehitysjohtaja ja/tai ITsuunnittelija avustavat johtoa tietoturvaloukkauksen käsittelyssä ja tiedottamisessa. Mikäli tietoturvaloukkauksessa on kyse LUC-konserniyhteistyössä yhdessä tuotettavasta palvelusta, tietoturvaloukkauksen käsittelyssä ja tiedottamisessa otetaan huomioon, mitä LUCtietoturvasopimuksessa on osapuolten kesken sovittu Tietoturvaloukkauksen käsittelyn työryhmä Tietoturvaloukkauksen käsittelyä ja tiedottamista varten perustetaan tapauskohtainen työryhmä, jonka tehtävänä on päättää yhdessä mihin toimenpiteisiin ryhdytään tietoturvaloukkauksen johdosta. Nopea ja päättäväinen toiminta voivat osaltaan rajata ja pienentää tietoturvaloukkauksen suoria ja välillisiä vaikutuksia. Laajassa korkean riskin tietoturvaloukkaustapauksessa, työryhmän jäsenten on priorisoitava tietoturvaloukkauksen käsittely ja tiedottaminen sillä hetkellä tärkeimmäksi tehtäväkseen! Työryhmän kutsuu koolle tietosuojavastaava tai em. tiedottamisesta vastaava johtaja. Työryhmän on kokoonnuttava nopeasti, sillä 72 tunnin sisällä tietoturvaloukkauksesta on ilmoitettava tietosuojavaltuutetulle. Tietoturvaloukkauksen käsittelyn työryhmän varsinaisia jäseniä ovat: - tietosuojavastaava - tiedottamisesta vastaava johtaja (kts. kohta 5.2.1) - IT-palveluista vastaava kehitysjohtaja/it-suunnittelija - Tietoturvaloukkaustapauksen henkilötietojen käsittelytoiminnoista vastaavat johtajat sekä yhteyshenkilöt (kts. käsittelytoiminnon tietosuojaselosteet). Lisäksi työryhmään kutsutaan tai voidaan kutsua: - Yhtymähallituksen puheenjohtaja laajoissa korkean riskin tietoturvaloukkauksissa. - Tietoturvaloukkaustapauksen käsittelytoiminnossa käytettyjen tietojärjestelmien pääkäyttäjät (jos ovat eri henkilöitä, kuin yhteyshenkilöt). - Käsittelytoiminnossa henkilötietoja käsitelleitä henkilöitä tai muita henkilötietojen käsittelijöiden edustajia (ulkoistetut käsittelijät), jotka ovat olleet tai mahdollisesti ovat olleet osaltaan vaikuttamassa tietoturvaloukkauksen tapahtumiseen. Mikäli tietoturvaloukkauksessa on kyse LUC-konserniyhteistyössä yhdessä tuotettavasta palvelusta, työryhmän kokoonpanossa otetaan huomioon, mitä LUC-tietoturvasopimuksessa on osapuolten kesken sovittu. Tiedottamisesta vastaava johtaja toimii työryhmän puheenjohtajajana ja tietosuojavastaava sihteerinä. Tietosuojaloukkausten käsittely dokumentoidaan eli työryhmän kokousten asioista ja päätöksistä laaditaan muistiot tai ne nauhoitetaan. Työryhmä voi tehdä työryhmänä päätöksiä liittyen tietoturvaloukkaustapaukseen, kun paikalla on edellä esitetyt varsinaiset jäsenet.

25 24 (26) Tietosuojasta vastaavien johtajien ja esimiesten on myös tehtävä tarvittavat työnjohdolliset määräykset, joilla toiminnasta vastaavat henkilöt ja henkilötietojen käsittelijät ryhtyvät tarvittaviin tietosuoja- ja tietoturvatoimenpiteisiin viivyttelemättä. Tarvittaessa voidaan määrätä henkilöitä myös ns. hätätyöhön, mikäli tietoturvaloukkauksen esim. tietovuodon hoitaminen sitä vaatii ja tällä hätätyöllä pystytään lyhentämään tai estämään mahdollinen tietoturvaloukkauksesta johtuva REDUn toiminnan laajamittainen keskeytys. Henkilön esimiehen poissa ollessa voi tiedottamista vastaava johtaja voi antaa em. työjohdollisen määräyksen suoraan ohi esimiehen. 5.3 Tietoturvaloukkauksista tiedottaminen Tietoturvaloukkauksista ilmoittaminen valvontaviranomaiselle (72 h sääntö) Tietoturvaloukkauksesta on ilmoitettava ilman aiheetonta viivästystä tietosuojavaltuutetulle, jos tietoturvaloukkauksesta aiheutuu rekisteröidylle luonnolliselle henkilölle/henkilöille oikeuksiin tai vapauksiin liittyviä riskejä. Tämä ilmoitus on tehtävä 72 tunnin kuluessa siitä, kun rekisterinpitäjä (REDU) on saanut tietoturvaloukkauksen tietoonsa. REDUssa katsotaan tieto saaduksi, kun tieto on saapunut arkipäivinä klo 9 15 välisenä aikana. Jos tieto tulee muina aikoina, tieto katsotaan saapuneeksi seuraavana arkipäivänä viimeistään klo 9 alkaen. REDUn tietosuojavastaava ilmoittaa tietoturvaloukkauksesta tietosuojavaltuutetulle kohdassa esitetyn työryhmän niin päättäessä. Mikäli työryhmää ei saada koolle 72 tunnin sisällä, tietosuojavastaava voi sopia ilmoittamisesta kohdassa esitetyn tiedottamisesta vastaavan johtajan (kuntayhtymän johtajan tai yhtiön toimitusjohtajan) tai heidän sijaisen kanssa. Tietoturvaloukkauksista ilmoitetaan myös REDUn yhtymähallituksen puheenjohtajalle. Mikäli tietoturvaloukkauksessa on kyse LUC-konserniyhteistyössä yhdessä tuotettavasta palvelusta, ilmoittamisessa otetaan huomioon, mitä LUC-tietoturvasopimuksessa on osapuolten kesken sovittu Tietoturvaloukkauksista tiedottaminen rekisteröidylle ja medialle REDU ilmoittaa rekisteröidyille tietoturvaloukkauksista, jos rekisteröidyn oikeuksiin ja vapauksiin liittyy korkeaa riskiä, jotta rekisteröity itse voi myös ryhtyä tarvittaviin toimenpiteisiin mm lisävahinkojen välttämiseksi. Tietosuoja-asetuksen 34 artiklassa on tarkemmin säädetty ilmoittamisvelvollisuudesta. Tietoturvaloukkauksen tiedottamisesta päätetään kohdassa esitetyssä työryhmässä. Tietoturvaloukkauksesta ilmoitetaan rekisteröidylle henkilökohtaisesti Jos henkilöt, joita tietoturvaloukkaus koskee (rekisteröidyt) on yksilöitävissä ja käytössä on heidän yhteystiedot, ilmoittaminen tietoturvaloukkauksesta tehdään aina henkilökohtaisesti esim. sähköpostilla, kirjeellä tai henkilökohtaisesti jaettavalla tiedotteella. REDUn on pystyttävä jälkikäteen todentamaan, että se on ilmoittanut rekisteröidyille tietoturvaloukkauksesta. Tietoturvaloukkauksesta tiedottaminen medialle

26 25 (26) Tietoturvaloukkauksista tiedotetaan julkisesti medialle, kun on kyse laajasta korkean riskin tietoturvaloukkaustapauksesta ja rekisteröityihin ei muuten ole mahdollista saada tietoa tai tietosuojaviranomainen (tietosuojavaltuutettu) niin suosittelee tai määrää. Mikäli media on saanut tietoa REDUn tietoturvaloukkauksesta tai se haluaa lisätietoja, kohdassa esitetty tiedottamisesta vastaava johtaja vastaa tiedottamisesta. Tietosuojavastaava ei tiedota asiasta, vaan ohjaa mahdollisesti tiedustelut tiedottamisesta vastaavalle johtajalle. Vain jos kohdassa esitetyssä työryhmässä on erikseen päätetty, että tietosuojavastaava tiedottaa, tietosuojavastaava voi vastata suoraan median kysymyksiin. Mikäli tietoturvaloukkauksessa on kyse LUC-konserniyhteistyössä yhdessä tuotettavasta palvelusta, tiedottamisessa otetaan huomioon, mitä LUC-tietoturvasopimuksessa on osapuolten kesken sovittu. 6 Lähteet ja lisätietoa Tietosuoja-asetus Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (Yleinen tietosuoja-asetus). Viitattu Tietosuojalaki 1050/2018 Tietosuojalailla täsmennetään ja täydennetään luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä EU:n tietosuoja-asetuksen kansallista soveltamista. finlex.fi/fi/laki/alkup/2018/ Tietosuojavaltuutetun toimisto, verkkosivut: