Dataskyddsbeskrivning, behandling av personuppgifter, kundregister för småbarnspedagogikens tjänster

Datum för publicering av dataskyddsbeskrivningen: 26.7.2024 (Uppdaterad: 4.9.2025)

Personuppgiftsansvarig är Esbo stad.

Direktören för finsk småbarnspedagogik Virpi Mattila

Direktören för Svenska bildningstjänster Barbro Högström

E-postadress: fornamn.efternamn@esbo.fi

Telefon: +358 9 81621 (växel)

Systemspecialisterna Sari Kuittinen och Sirpa Koljonen

E-postadress: evakatuki@espoo.fi

Telefon: +358 9 81621 (växel)

Esbo stads dataskyddsombud Helena Niemi

Plats: PB 12, 02070 Esbo stad

Telefon: +358 9 81621 (växel)

E-postadress: tietosuoja@espoo.fi

Ändamålet med behandlingen av personuppgifter i registret är att ordna småbarnspedagogik och att sköta uppgifter som hänför sig till småbarnspedagogikens barnförhållande (5 § i lagen om småbarnspedagogik). I Esbo ordnas småbarnspedagogik som kommunal tjänst, som köpta tjänster och som servicesedelsverksamhet. Personuppgifter i registret kan också behandlas när det är nödvändigt för testning av datasystem, till exempel när ett nytt datasystem tas i bruk inom småbarnspedagogiken.

Av registeruppgifterna produceras statistik för Esbo stads bruk. Vid statistikföring behandlas uppgifterna utan identifikationer.

Artikel 6.1 c i EU:s allmänna dataskyddsförordning: behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

Särskilda kategorier av personuppgifter: Enligt 6 § i dataskyddslagen tillämpas artikel 9.1 i dataskyddsförordningen inte på sådan behandling av uppgifter som regleras i lag eller som föranleds av en uppgift som direkt har ålagts den personuppgiftsansvarige i lag. Behandlingen av särskilda kategorier av personuppgifter beror på de uppgifter som enligt lagen ankommer på den som anordnar småbarnspedagogik.

Som särskilda kategorier av personuppgifter kan behandlas uppgifter om hälsa.

Central lagstiftning:

• EU:s allmänna dataskyddsförordning (EU 679/2016)
• Dataskyddslagen (1050/2018)
• Lagen om småbarnspedagogik (540/2018)
• Förordningen om småbarnspedagogik (753/2018)
• Lagen om klientavgifter inom småbarnspedagogiken (1503/2016)
• Lagen om servicesedlar inom social- och hälsovården (569/2009).

Behandlingen av personbeteckningar grundar sig på 29 § 1 och 2 mom. i dataskyddslagen. För skötseln av de lagstadgade uppgifterna är det viktigt att den registrerade och hens personuppgifter på ett entydigt sätt skiljs åt från de andra registrerade och deras personuppgifter. Personbeteckningar behandlas också för att genomföra kundfaktureringen inom småbarnspedagogiken.

Småbarnspedagogikens datasystem och blanketter:

Följande uppgifter som registreras i datasystemet gäller kommunala enheter, enheter för köpta tjänster och servicesedelenheter:

• Barnets namn, personbeteckning, kontaktuppgifter, modersmål
• Vårdnadshavarnas namn, personbeteckning och kontaktuppgifter samt modersmål
• Uppgifter om plats för småbarnspedagogik och behov av tjänster
• Avtal om vårdtid inom småbarnspedagogiken
• Barnets dagliga närvaro och frånvaro
• Övriga behövliga uppgifter och blanketter för ordnande av småbarnspedagogik
• Uppgifter om övriga personer som bor i samma hushåll som barnet; namn, personbeteckning och kontaktuppgifter
• Ansökningsuppgifter
• Beslut som gäller kundrelationen
• Uppgift om mottagande och avslutande av plats i småbarnspedagogik
• Stödåtgärder inom småbarnspedagogik
• Barnets reservhämtare och deras telefonnummer
• Barnets individuella plan för småbarnspedagogik
• Pedagogisk dokumentation (till exempel foton och videor om barnens verksamhet)
• Barnets profilbild
• Nödvändiga hälsouppgifter för ordnande av småbarnspedagogik, till exempel specialdiet, allergi, medicinering
• Uppgift om skjutsbeslut
• Barnets och vårdnadshavarens medborgarskap, grund för uppehållstillstånd och uppehållstillståndets giltighetstid för ansökan om ersättning för särskilda kostnader för småbarnspedagogik för barn med flyktingstatus

Följande uppgifter som registreras i datasystemet gäller endast kommunala enheter:

Uppgifter ur småbarnspedagogikens kunddatasystem överförs till faktureringssystemet med hjälp av vilket småbarnspedagogikens kundfakturering sköts.

Ärendehanteringssystemet för utlänningsärenden (UMA)

• Barnets vårdnadshavare
• Anställda inom småbarnspedagogiken, tjänsteproducenter, ansvariga personer vid upphandlade enheter och servicesedelsenheter
• Kunddata uppdateras med data från Myndigheten för digitalisering och befolkningsdata
• Av en tidigare anordnare av småbarnspedagogik kan man få sådana offentliga uppgifter som är behövliga för att ordna ett barns småbarnspedagogik (16 § 3 mom. i lagen om offentlighet i myndigheternas verksamhet).
• En tidigare anordnare av småbarnspedagogik ska trots sekretessbestämmelserna utan dröjsmål lämna sådana uppgifter som är nödvändiga med tanke på anordnandet av småbarnspedagogik för barnet (41 § 3 mom. i lagen om småbarnspedagogik)
• Sådana uppgifter som är nödvändiga för att ordna småbarnspedagogik för ett barn kan trots sekretessbestämmelserna erhållas av myndigheter inom utbildningssektorn, myndigheter inom social- och hälsovården, andra aktörer som tillhandahåller tjänster inom småbarnspedagogik, socialvård och hälso- och sjukvård samt yrkesutbildade personer inom social- och hälsovården (41 § 1 mom. i lagen om småbarnspedagogik).
• Migrationsverkets ärendehanteringssystem för utlänningsärenden (UMA)

Uppgifter och handlingar lämnas ut till myndigheter som begär dem i enlighet med lagen om offentlighet i myndigheternas verksamhet. Uppgifterna och handlingarna är offentliga, om det inte uttryckligen bestäms i lagen att de ska vara sekretessbelagda.

Esbo stad kan anlita operativa eller tekniska tjänsteproducenter för att ordna tjänsten. Tjänsteproducenterna behandlar personuppgifter för Esbo stads räkning och enligt stadens anvisningar i den utsträckning det behövs för att ordna tjänsten.

Tjänsteproducenter (behandlare) som behandlar information i eVaka (verksamhetsstyrningssystemet inom småbarnspedagogik) för Esbo stads räkning: Esbo har ett avtalsförhållande med Digia, och Amazon är Digias underbiträde.

Varda

Syftet med Varda är att göra det möjligt att på digital väg datasäkert och centraliserat samla in, behandla och lämna ut småbarnspedagogiska uppgifter till en person själv eller dennes lagliga företrädare samt sådana myndigheter och forskare som behöver uppgifterna; säkerställa i lagen avsedda småbarnspedagogiska uppgifters enhetlighet och tillförlitlighet samt effektivisera förvaltningens verksamhet; främja sådan utveckling och sådant beslutsfattande i fråga om småbarnspedagogik som grundar sig på riktiga och tillräckliga uppgifter.

Ur registret lämnas uppgifter ut till Informationsresursen inom småbarnspedagogiken Varda. Varda upprätthålls som en del av den helhet bestående av olika register och informationsresurser som Utbildningsstyrelsen upprätthåller. Vid behandlingen av personuppgifter i Varda är Utbildningsstyrelsen gemensamt personuppgiftsansvarig med Esbo stad. Vardas dataskyddsbeskrivning finns bakom följande länk:  Dataskyddsbeskrivning av Varda-tjänsten – Studieinfo(extern länk, öppnas i ett nytt fönster)

Ärendehanteringssystemet för utlänningsärenden (UMA)

För sökning av uppgifter matas vårdnadshavarens eller barnets personbeteckning eller namn in i ärendehanteringssystemet för utlänningsärenden (UMA).

I egenskap av personuppgiftsansvarig använder staden i sin verksamhet personuppgiftsbiträden (tjänsteproducenter). För genomförandet av verksamhetsstyrningssystemet inom småbarnspedagogiken utnyttjas en molntjänst som produceras av Amazon. Personuppgiftsbiträdena får överföra registeruppgifter till länder utanför EU eller EES-området endast om överföringen uppfyller de krav som ställs på den i lagstiftningen och om överföringen och de lämpliga skyddsåtgärderna har avtalats om i ett avtal mellan den personuppgiftsansvarige och personuppgiftsbiträdet på det sätt som förutsätts i dataskyddslagstiftningen.

Lagringsplatsen för molntjänsten som Amazon producerar ligger inom EU. Om Amazon verkar i och utvecklar tjänster från andra länder än Europa, anses data flyttas utanför EU-området, till exempel om operatören tar distanskontakt med en europeisk datorsal från USA för att reda ut ett fel. I dessa situationen vidtas skyddsåtgärder för att upprätthålla den höga skyddsnivån för personuppgifter som krävs enligt den europeiska dataskyddslagstiftningen även efter överföringen av personuppgifter. Åtgärderna är bland annat Europeiska kommissionens beslut om adekvat skyddsnivå och att mottagaren av personuppgifterna har förbundit sig till de skyddsåtgärder som krävs, såsom dataskyddsramen mellan EU och USA (EU-US Data Privacy Framework). Som skyddsåtgärder kan det också krävas att standardavtalsklausuler, som godkänts av Europeiska kommissionen, används som en del av de avtal som är förpliktande för personuppgiftsbiträdena. Dessutom förutsätts att lämpliga tekniska och administrativa skyddsåtgärder iakttas.

Vid lagring och förstöring av uppgifter iakttas Esbo stads informationsstyrningsplan samt Riksarkivets gällande bestämmelser och föreskrifter.

Uppgifter om barn lagras i datasystemet i tio (10) års tid efter utgången av det kalenderår under vilket respektive barns placering i småbarnspedagogiken har upphört. Efter arkiveringstiden raderas uppgiften ur datasystemet antingen automatiskt eller av huvudanvändaren. Digitalt producerade handlingar som förvaras bestående överförs till det digitala arkiveringssystemet Särmä.

Handlingar som lagras bestående är barnets plan för småbarnspedagogik. Förvaltningsbeslut om stöd lagras i 10 år efter att läroplikten upphört. Annat manuellt material raderas när lagringstiden går ut.

I dataskyddslagstiftningen garanteras den registrerade olika rättigheter vid behandlingen av personuppgifter. En begäran som gäller den registrerades rättigheter kan skickas till stadens dataskyddsombud eller till kontaktpersonen för registret, se kontaktuppgifterna ovan.

Den personuppgiftsansvarige kan vid behov begära att den registrerade lämnar ytterligare uppgifter för genomförande av begäran.

Den personuppgiftsansvarige ska besvara begäran om den registrerades rättigheter utan onödigt dröjsmål och senast inom en månad från mottagandet av begäran. Denna period kan vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden.

Om den personuppgiftsansvarige inte vidtar åtgärder på den registrerades begäran, ska den personuppgiftsansvarige utan dröjsmål och senast en månad efter att ha mottagit begäran informera den registrerade om orsaken till att åtgärder inte vidtagits och om möjligheten att lämna in ett klagomål till en tillsynsmyndighet samt begära rättslig prövning.

Begäranden av en registrerad och de åtgärder som hänför sig till dem är i regel avgiftsfria. Om begäranden av en registrerad dock är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art, får den personuppgiftsansvarige antingen ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts, eller vägra att tillmötesgå begäran.

Den registrerade har rätt att få en bekräftelse av den personuppgiftsansvarige om att denne behandlar personuppgifter som gäller den registrerade, samt rätt att få tillgång till uppgifter och få en kopia av dem. Utlämnandet av uppgifter får dock inte inverka skadligt på andras friheter och rättigheter.

Den registrerade har rätt att kräva att den personuppgiftsansvarige utan onödigt dröjsmål korrigerar felaktiga personuppgifter som berör den registrerade. Dessutom har den registrerade rätt att få ofullständiga personuppgifter kompletterade med beaktande av de ändamål för vilka personuppgifterna behandlades.

Den registrerade har under vissa förutsättningar rätt att be den personuppgiftsansvarige radera personuppgifter som gäller den registrerade. Om till exempel behandlingen av personuppgifter har grundat sig på samtycke och den registrerade återkallar sitt samtycke och det inte finns någon annan laglig grund för behandlingen, har den registrerade rätt att få sina uppgifter raderade. Den registrerade har dock inte rätt att få uppgifter raderade om personuppgifterna måste behandlas för att uppfylla en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller för myndighetsutövning som hör till den personuppgiftsansvarige.

Den registrerade har rätt att begära att behandlingen av hens personuppgifter begränsas i vissa situationer. Rätten gäller till exempel om den registrerade bestrider att hens personuppgifter är korrekta, varvid behandlingen begränsas till en tid under vilken den personuppgiftsansvarige kan se till att uppgifterna är korrekta. Rätten är tillämplig också om den registrerade har motsatt sig behandlingen av personuppgifter i väntan på svar om huruvida den personuppgiftsansvariges legitima grunder åsidosätter den registrerades grunder.

Den registrerade har, av skäl som hänför sig till hens specifika situation, rätt att när som helst göra invändningar mot behandling av hens personuppgifter, då behandlingen grundar sig på utförandet av en uppgift som gäller ett allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige. I detta fall får den personuppgiftsansvarige fortsätta behandlingen av personuppgifter endast om den personuppgiftsansvarige visar att det finns ett väsentligt och välgrundat skäl för behandlingen. Behandlingen får också fortsätta om behandlingen är nödvändig för att upprätta, framställa eller försvara ett rättsyrkande.

Den registrerade har rätt att lämna in ett klagomål till tillsynsmyndigheten, om hen anser att behandlingen av personuppgifter som gäller hen strider mot dataskyddslagstiftningen. Den registrerade kan lämna in ett klagomål till dataombudsmannens byrå: www.tietosuoja.fi/sv(extern länk, öppnas i ett nytt fönster).

Ändringshistoria:

4.9.2025

Punkt 7         Datainnehållet i småbarnspedagogikens kundregister har preciserats

Punkt 11       Lagrings