Tietosuoja ja tiedonhallinta

Vuoden vaihteen 2023 organisaatiomuutokset vaikuttivat henkilötietojen käsittelyyn. Useiden palveluiden rekisterinpitäjät vaihtuivat.

Pohjois-Pohjanmaan hyvinvointialue Pohde järjestää 1.1.2023 alkaen alueen sosiaali-, terveys- ja pelastuspalvelut. Informointi henkilötietojen käsittelystä, ohjeet tietopyyntöjen tekemiseen ja rekisteröityjen oikeuksien toteuttamiseen löytyvät osoitteesta www.pohde.fi/tietoa-meista/tietosuoja.

Sivistys- ja kulttuuripalveluiden henkilötietojen osalta rekisterinpitäjänä toimivat jatkossa sivistyslautakunta sekä hyvinvointi-, kulttuuri- ja liikuntalautakunta. 

Digi- ja ICT vastuualueen tehtävät siirtyivät vuoden 2023 alusta alkaen osaksi kaupunginhallituksen alaista konsernihallintoa. Muut organisaatiot jatkoivat ennallaan.

Henkilötietoja säilytetään rekisterinpitäjän palvelun tiedonohjaussuunnitelman sekä viranomaisten antamien määräysten mukaisesti. Pysyvästi analogisessa muodossa säilytettävien henkilötietojen säilytys tapahtuu Oulun kaupungin arkistossa. Tietoja säilytetään määräajan myös niissä sähköisissä järjestelmissä, joissa tietoja on käsitelty.

Oulun kaupunki rekisterinpitäjänä ohjeistaa kaikki henkilötiedon käsittelijät sopimusten yhteydessä. Tietosuojalainsäädäntöä sovelletaan aina, kun kaupungin toiminnassa käsitellään henkilötietoja. Oulun kaupungin toimintaan liittyvät tietoturvan ja tietosuojan vastuut määritellään kaupungin tietoturvapolitiikassa. Jokaisella palveluntuottajalla on vastuu omaan tehtäväänsä liittyvän tietoturvan ja tietosuojan toteuttamisesta sekä tiedon ja tietojärjestelmien asianmukaisesta käytöstä. Oulun kaupungilla tämä tarkoittaa asiakkaiden, oman henkilöstön ja yhteistyökumppanien henkilötietojen suojaamista.

Tietosuoja on osa toiminnan vaatimustenmukaisuutta, tietoturvallisuutta ja riskienhallintaa. Tietosuojalla tarkoitetaan toimenpiteitä, joiden tarkoituksena on suojata henkilön yksityisyys henkilötietojen käsittelyssä.

1. Noudata annettuja ohjeita suojaten henkilön yksityisyyttä henkilötiedon käsittelyssä ja erityisesti tiedon elinkaaren hallintaa kussakin palveluntuottajan roolissa noudattaen salassapitoa ja vaitiolovelvollisuutta koskevia säädöksiä. Henkilötietojen käsittelytoimien kuvauksessa on yksilöity palvelussa tarvittavat henkilötiedot.
2. Palveluiden tietoturvasta tulee huolehtia, niin että henkilötietoihin on pääsy vain sopimuksessa mainituilla tahoilla. 
3. Sopimuksen voimassaoloaikana palveluntuottaja ei saa poistaa Tilaajan lukuun käsittelemiään henkilötietoja ilman kaupungin nimenomaista pyyntöä. Sopimuksen päättyessä tai purkautuessa palveluntuottaja palauttaa kaupungille kaikki kaupungin puolesta käsitellyt henkilötiedot sekä hävittää hallussaan olevat kopiot henkilötiedoista, ellei muuta ole sovittu.

4. Henkilötietojen käsittelyssä on noudatettava erityistä huolellisuutta. Tämä on otettava huomioon myös asioista keskusteltaessa, muistiinpanoja tehtäessä, asiakirjoja luettaessa, kuljetettaessa tai esillä pidettäessä.
   
   Noudata puhtaan pöydän periaatetta. Käsin kirjoitetut asiakasmuistiinpanot ovat myös henkilötietojen käsittelyä ja niiden (pitkäaikaista) käyttöä ja säilyttämistä on vältettävä. 
    

   Kun luottamuksellista tai salassa pidettävää asiakirjaa tulostetaan, skannataan tai kopioidaan, on huolehdittava siitä, että asiattomat eivät pääse tietoon käsiksi. Tällaisen tiedon kopiointia tai muuta vastaavaa käsittelyä on ylipäänsä syytä välttää. Hävitä luonnokset ja kopiot välittömästi tarpeen päättyessä.

5. Arvioi henkilötietojen käsittelyn riskejä asiakkaan näkökulmasta. Millaisia riskejä asiakkaalle voi koitua, jos hänen henkilötietojaan esimerkiksi luovutetaan perusteettomasti?
6. Kysy, jollet tiedä. Hyödynnä tarpeen vaatiessa kaupungin tietosuojavastaavan, palvelualueilla olevien tietosuojavastaavien ja tietoturvapäällikön osaamista.
7. Reagoi tietosuoja- ja tietoturvapoikkeamiin sopimuksen mukana tulleen ohjeen mukaisesti.

Mikäli havaitset tietosuojaan tai tietoturvaan liittyvän poikkeaman, ole välittömästi yhteydessä tietosuojan yhteyshenkilöihin: Oulun kaupungin tietosuojavastaavaan tietosuoja@ouka.fi sekä tiedota myös sopimuksessa mainittua yhteyshenkilöä.

EU:n yleinen tietosuoja-asetus (EU) 2016/679 takaa henkilölle, jonka tietoja käsitellään (=rekisteröity), erilaisia oikeuksia. Oikeuksia sovelletaan eri tavalla riippuen henkilötietojen käsittelyperusteesta. Henkilöllä on mm. oikeus tietää, käsitelläänkö hänen henkilötietojaan ja mitä henkilötietoja käsitellään sekä pyytää itseään koskevat tiedot. Henkilöllä on myös oikeus vaatia virheelliset henkilötiedot oikaistavaksi.

Henkilöllä on oikeus tietää, käsitelläänkö hänen henkilötietojaan vai ei, ja mitä henkilötietoja hänestä on tallennettu. Oulun kaupunki toimittaa rekisteröidyn pyynnöstä tiedot mahdollisimman pian ilman aiheetonta viivytystä. Määräaika tietojen toimittamiseksi tai tietopyyntöön liittyvien lisätietojen antamiseksi on kuukausi pyynnön vastaanottamisesta. Mikäli tietopyyntö on poikkeuksellisen monimutkainen ja laaja, määräaikaa voidaan jatkaa kahdella kuukaudella.

Rekisteröidyn tiedot toimitetaan lähtökohtaisesti maksutta. Jos jäljennöksiä pyydetään useampia, kaupunki voi kuitenkin periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Mikäli tietopyyntö on ilmeisen perusteeton ja kohtuuton, erityisesti jos tietopyyntöjä esitetään toistuvasti, kaupunki voi periä tietojen toimittamisesta aiheutuneet hallinnolliset kustannukset tai kieltäytyä kokonaan toimittamasta tietoja. Tällaisessa tapauksessa kaupunki osoittaa pyynnön ilmeisen perusteettomuuden tai kohtuuttomuuden.

Mikäli kaupunki ei toimita tietoja, annetaan asiasta kirjallinen todistus. Samassa yhteydessä kerromme oikeudesta oikeussuojakeinoihin, esimerkiksi mahdollisuudesta tehdä valitus valvontaviranomaiselle.

Henkilöllä on oikeus vaatia, että häntä koskevat virheelliset, epätarkat tai puutteelliset henkilötiedot oikaistaan tai täydennetään ilman aiheetonta viivytystä. Lisäksi henkilöllä on oikeus vaatia, että tarpeettomat henkilötiedot poistetaan. Tarpeettomuutta ja virheellisyyttä arvioidaan tietojen tallennushetken mukaan.

Ellei kaupunki hyväksy oikaisupyyntöä, annetaan asiasta kirjallinen todistus, jossa mainitaan ne syyt, joihin perustuen vaatimusta ei ole hyväksytty. Samoin tiedotamme oikeudesta oikeussuojakeinoihin, esimerkiksi mahdollisuudesta tehdä valitus valvontaviranomaiselle.

Määräaika tietojen oikaisemiseksi on kuukausi pyynnön vastaanottamisesta. Mikäli pyyntö on poikkeuksellisen monimutkainen ja laaja, määräaikaa voidaan jatkaa kahdella kuukaudella.

Henkilöllä on vain tietyissä poikkeustapauksissa oikeus saada henkilötietonsa kokonaan poistettua kaupungin rekistereistä (oikeus tulla unohdetuksi). Tällaista oikeutta ei kuitenkaan ole niissä tapauksissa, kun henkilötietojen käsittely on tarpeellista lakisääteisen velvoitteen noudattamiseksi tai kaupungille kuuluvan julkisen vallan käyttämistä varten. Tietojen säilyttämisessä ja poistamisessa noudatetaan kaupungin arkistonmuodostussuunnitelmia ja lainsäädännön velvoittamia tietojen säilytysaikoja.

Henkilöllä voi tietyissä tilanteissa olla oikeus pyytää henkilötietojensa käsittelyn rajoittamista siksi aikaa, kunnes hänen tietonsa on asianmukaisesti tarkistettu ja korjattu tai täydennetty.

Oikeus ei koske sellaista henkilötiedon käsittelyä, joka on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Näinollen pääsääntöisesti oikeutta ei sovelleta Oulun kaupungin henkilörekistereihin liittyen.

Henkilöllä on oikeus henkilökohtaiseen, erityiseen tilanteeseensa perustuen milloin tahansa vastustaa henkilötietojensa käsittelyä silloinkin, kun käsittely perustuu yleistä etua koskevan tehtävän suorittamista tai kaupungille kuuluvan julkisen vallan käyttämistä. Tässä tapauksessa tietoja voidaan käsitellä edelleen vain, jos käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka voidaan osoittaa.

Henkilöllä on oikeus tehdä valitus erityisesti vakinaisen asuin- tai työpaikkansa sijainnin mukaiselle valvontaviranomaiselle, jos hän katsoo, että henkilötietojen käsittelyssä rikotaan EU:n yleistä tietosuoja-asetusta (EU) 2016/679. Tämän lisäksi henkilöllä on oikeus käyttää muita hallinnollisia muutoksenhakukeinoja sekä oikeussuojakeinoja.

Henkilöllä on oikeus myös nostaa kanne rekisterinpitäjää tai henkilötietojen käsittelijä-organisaatiota vastaan, jos hän katsoo oikeuksiaan loukatun sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu tietosuoja-asetusta.

Automaattisella päätöksellä tarkoitetaan päätöstä, joka perustuu pelkästään tietojen automaattiseen käsittelyyn. Oulun kaupungissa ei tehdä automaattista päätöksentekoa. Päätöksenteon työkaluna voidaan käyttää henkilön profilointia, esimerkiksi lapsen kotiosoitetta koulupaikan määräytymisessä.

Oulun kaupungissa tiedonkäsittely on avointa ja läpinäkyvää. Henkilöllä on oikeus saada tietoa henkilötietojen käsittelystä, tarkastaa itseään tai edunvalvottavaansa koskevat tiedot sekä vaatia virheellisen tai puutteellisen tiedon oikaisua sekä tarpeettoman tai vanhentuneen tiedon poistoa.

Tarkemmat ohjeet tietopyynnön tekemiseen löytyy Asiakirjajulkisuus ja tietopyyntösivulta.

Kunnan tietosuojaa ja tiedonhallintaa ohjaa keskeisesti laki viranomaisten toiminnan julkisuudesta, EU:n yleinen tietosuoja-asetus (GDPR), tietosuojalaki sekä laki julkisen hallinnon tiedonhallinnasta, arkistolaki ja kuntalaki (90 §).

Oulun kaupunki toimii julkisuusmyönteisesti. Tiedonsaannin rajoittamiselle on aina asiallinen peruste. Jos pyydettyä tietoa ei voida antaa, kielteinen päätös perustellaan. Tiedon pyytäjiä kohdellaan tasapuolisesti.

Perustuslain 12.2 §:n mukaan viranomaisen asiakirjat ja muut tallenteet ovat julkisia, jollei niiden julkisuutta ole välttämättömien syiden vuoksi lailla erikseen rajoitettu. Viranomaisen asiakirjojen julkisuudesta säädetään julkisuuslaissa. Jokaisella on oikeus saada tieto julkisesta asiakirjasta. Mikäli asiakirja ei vielä ole julkinen, tiedonsaanti siitä on viranomaisen harkinnassa. Tiedon saamista ei tällaisistakaan asiakirjoista saa rajoittaa ilman asiallista ja laissa säädettyä perustetta eikä enempää kuin suojattavan edun vuoksi on tarpeellista.

Asiakirjan antamisesta päättää se viranomainen, jonka hallussa asiakirja on. Tieto julkisesta asiakirjasta on annettava mahdollisimman pian, viimeistään kahden viikon kuluessa pyynnöstä. Jos pyydettyjä asiakirjoja on paljon tai asian käsittely ja ratkaisu vaativat erityistoimenpiteitä tai suuren työmäärän, asia on ratkaistava ja tieto julkisesta asiakirjasta annettava viimeistään kuukauden kuluessa pyynnöstä.

Salassa pidettävästä asiakirjasta saa antaa tiedon vain, jos tiedon antamisesta tai oikeudesta tiedon saamiseen on laissa erikseen nimenomaisesti säädetty, tai se, jonka etujen suojaamiseksi salassapitovelvollisuus on säädetty, antaa siihen suostumuksensa. Jos vain osa asiakirjasta on salassa pidettävää, tieto julkisesta osasta annetaan niin, että salainen osa peitetään.

Tiedonhallinnalla tarkoitetaan tietoprosessien järjestämistä siten, että tietojen saatavuus, löydettävyys ja hyödynnettävyys eri tarkoituksiin pyritään varmistamaan tiedon elinkaaren ajan.

Oulun kaupunki on tiedonhallintalain tarkoittama tiedonhallintayksikkö. Tiedonhallintalain tavoite on edistää sähköistä tiedonhallintaa, lisätä yhteentoimivuutta, selkeyttää viranomaisten välistä tiedonvaihtoa sekä yhtenäistää tietoturvallisuussäädäntöä. Lain tarkoitus on varmistaa viranomaisten tietoaineistojen yhdenmukainen ja laadukas hallinta sekä tietoturvallinen käsittely julkisuusperiaatteen toteuttamiseksi.

Oulun kaupungille on laadittu tiedonhallintalain mukainen tiedonhallintamalli. www.ouka.fi/ –sivuilla julkaistaan tiedonhallintalain edellyttämä Oulun kaupungin asiakirjajulkisuuskuvaus.

25.5.2018 alkaen henkilötietojen käsittelyä on ohjannut EU:n yleinen tietosuoja-asetus ja muu kansallinen lainsäädäntö. EU:n yleisen tietosuoja-asetuksen tavoitteina on mm. korostaa henkilön oikeutta valvoa omien henkilötietojensa käsittelyä sekä tuoda läpinäkyvyyttä henkilötietojen käsittelyyn.

Suurin osa Oulun kaupungin palveluista perustuu lakisääteisen velvoitteen toteuttamiseen, yleiseen etuun tai julkisen vallan käyttämiseen. Tällöin emme tarvitse erillistä suostumusta henkilötietojesi käsittelyä varten. Osa palveluista on kuitenkin sellaisia, joihin henkilötiedot kerätään suostumukseesi perustuen, ja tällöin pyydämme Sinulta suostumuksen tietojesi käsittelyyn. Sinulla on oikeus myös peruuttaa antamasi suostumus milloin tahansa.

Kun asioit Oulun kaupungin palveluissa, käsittelemme henkilötietojasi siltä osin kuin se on asiasi hoitamiseksi tarpeellista. Henkilötietoja käsitellään rekisterin käyttötarkoituksen mukaan ja käyttämiisi palveluihin perustuen. Kaupungin palveluissa tietosi on hyvin suojattu, eikä niitä luovuteta eteenpäin muihin kuin lakisääteisiin velvoitteisiin perustuen.

• Oulun kaupunki muistuttaa, että kaupunki ei koskaan tiedustele asiakkaan verkkopankkitunnuksia, luottokortin tietoja tai esimerkiksi käyttäjätunnuksia ja salasanoja sähköpostitse, puhelimitse tai sosiaalisen median kautta.

Tietojen säilytystä, arkistointia, hävittämistä ja muuta käsittelyä ohjataan arkistonmuodostus-suunnitelmilla ja tietoturva- ja tietosuojaohjeistuksella. Henkilöstöä koulutetaan säännöllisesti henkilötietojen oikeaoppiseen käsittelyyn ja käsittelyä valvotaan. Rekistereihin sähköisesti tallennetut tiedot on suojattu niin, että niitä pääsee katsomaan vain siihen oikeutettu henkilö. Lisäksi jokainen kaupungin tietojärjestelmien käyttäjä hyväksyy tietojen ja tietojärjestelmien käyttöä ja salassapitoa koskevan sitoumuksen käyttöoikeudet saadessaan.

Tietosuoja on jokaisen perusoikeus. Käsittelemme aina tietojasi huolellisesti ja asianmukaisesti noudattaen lainsäädännön vaatimuksia - aivan kuten tähänkin saakka.