Dataskyddsbeskrivning: Anmälningskanalen

BESKRIVNING AV BEHANDLINGEN AV PERSONUPPGIFTER MED ANKNYTNING TILL ANMÄLNINGSKANALEN

1 BAKGRUND

Oy Matkahuolto Ab har tagit i bruk en s.k. whistleblowing-anmälningskanal. Tjänsten gör det möjligt att anmäla möjliga förfaranden som strider mot lagstiftningen eller Matkahuoltos prin-ciper för etisk affärssed samt fall av ekonomiskt missbruk.

I denna dataskyddsbeskrivning beskrivs det hur Matkahuolto behandlar personuppgifter som ingår i anmälningarna samt skapas en referensram för under vilka förutsättningar och i vilken omfattning Matkahuoltos personal och möjliga utomstående aktörer som deltar i behandlingen av uppgifter behandlar (i) personuppgifter som gäller personer som lämnat in en anmälan och (ii) personuppgifter om personer som nämns i anmälan (nedan tillsammans ”registre-rade”) på ett sådant sätt att de i lagen fastställda förutsättningarna för skyddet av de registrerades personuppgifter och integritetsskyddet uppfylls och den registrerades rättigheter inte kränks. Registrerade kan vara till exempel Matkahuoltos anställda och representanter för samarbetspartner. Tjänsten möjliggör också anonyma anmälningar.

2 PERSONUPPGIFTSANSVARIG OCH KONTAKTUPPGIFTER I REGISTERÄRENDEN

Personuppgiftsansvarig
Oy Matkahuolto Ab
FO-nummer: 0111393-9
Brunnsgatan 10 A, PB 100, 00101 Helsingfors
Telefon: 020 710 5000
tietosuoja@matkahuolto.fi

3 ÄNDAMÅL MED OCH GRUND FÖR BEHANDLINGEN AV PERSONUPPGIFTER

Personuppgifter behandlas för att upptäcka, utreda och förhindra möjliga förfaranden som strider mot lagstiftningen eller Matkahuoltos principer för etisk affärssed samt fall av ekonomiskt missbruk.

Behandlingen av personuppgifter grundar sig på den personuppgiftsansvariges lagstadgade skyldighet att inrätta en anmälningskanal för anmälning av missbruk samt den personupp-giftsansvariges berättigade intresse att få information om missbruk med anknytning till bola-get och dess verksamhet för att ingripa i sådana missbruk och säkerställa att den personuppgiftsansvariges anställda och samarbetspartner bedriver en etisk och lagenlig verksamhet.

Till den del det i anmälningskanalen är nödvändigt att behandla uppgifter som tillhör särskilda kategorier av personuppgifter för att utreda anmälda missbruk eller överträdelser, såsom en persons etniska ursprung, politiska åsikter eller hälsorelaterad information, sker behandlingen av en orsak som gäller ett viktigt allmänt intresse och med stöd av unionsrätten eller en med-lemsstats lagstiftning om anmälningskanaler.

Behandlingsuppgiften kan utlokaliseras till den personuppgiftsansvariges utomstående tjäns-televerantörer i enlighet med och inom gränserna för dataskyddslagstiftningen.

4 BESKRIVNING AV DEN PERSONUPPGIFTSANSVARIGES BERÄTTIGADE INTRESSE

Matkahuolto har ett berättigat intresse att få information om missbruk med anknytning till bolaget och dess verksamhet för att ingripa i sådana missbruk och säkerställa att Matkahuoltos anställda och bolagets samarbetspartner bedriver en etisk och lagenlig verksamhet.

Anmälningskanalen är ett i lagstiftningen erkänt sätt att övervaka lagenligheten hos Matkahuoltos verksamhetsmetoder och förverkliga principerna om etisk affärssed. Via anmälningskanalen är det möjligt att få information om eventuella misstankar om missbruk och överträdelser, reagera på dem i god tid samt korrigera eventuella brister i Matkahuoltos verksamhet för att undvika motsvarande händelser i framtiden. Förekomsten av en anmälningskanal stöder en öppen och transparent företagskultur genom att ge de anställda en kanal där de kan lyfta fram missförhållanden och motiverade misstankar.

5 PERSONUPPGIFTER SOM SAMLAS IN

Matkahuolto strävar efter att samla in endast sådana personuppgifter som behövs för att utreda en händelse. Sådana personuppgifter kan vara

• grundläggande uppgifter såsom namn, e-postadress och organisatorisk ställning eller ti-tel,

• uppgifter om anmälan, vilka kan vara alla uppgifter som uppgetts av anmälaren, till exempel identiteten för den som påstås ha begått ett missbruk, identiteten för vittnen till det påstådda missbruket eller tredje parter som annars har anknytning till händelsen, en beskrivning av och grunden för det påstådda missbruket samt alla andra uppgifter som gäl-ler händelsen och

• utredningsuppgifter, vilka kan vara alla uppgifter som behövs för utredningen av det påstådda missbruket, såsom uppgifter med anknytning till anställningsförhållandet, audite-rings- och ekonomiska uppgifter, uppgifter som framgår av tredje parters rapporter och bedömningar samt uppgifter om beteende och inloggning.

Anmälaren har beslutanderätt i fråga om hurdana uppgifter anmälaren inkluderar i sin anmälan och tack vare fälten för fri text på rapporteringsblanketten kan anmälaren även uppge andra personuppgifter än de ovan nämnda, inklusive uppgifter som tillhör särskilda kategorier av personuppgifter. Sådana personuppgifter i anmälan vilka uppenbarligen inte har någon betydelse för utredningen av händelsen raderas utan oskäligt dröjsmål.

6 REGELMÄSSIGA UPPGIFTSKÄLLOR

Matkahuolto samlar in personuppgifter som anmälaren har uppgett via anmälningskanalen eller övriga kanaler. Under utredningen samlas personuppgifter dessutom vid behov in från Matkahuoltos interna system och tredje parter.

7 PERSONER SOM BEHANDLAR PERSONUPPGIFTER SAMT ÖVERFÖRING OCH UTLÄMNANDE AV UPPGIFTER

De av Matkahuoltos anställda som genomför utredningarna och övervakar dem har åtkomst till och behandlar personuppgifter. Personuppgifter kan överföras till Matkahuoltos tjänstesamarbetspartner till de delar dessa deltar i genomförandet av åtgärder inom ramarna för ett uppdrag som de tilldelats. Systemleverantören för Matkahuoltos anmälningskanal är WhistleB Whistleblowing Centre AB.

Endast personer som behöver personuppgifterna för de ovan nämnda ändamålen har åt-komst till uppgifterna. Anmälarens identitet, ifall den är känd, utlämnas inte till personer som anmälan gäller. Anmälarens identitet kan utlämnas endast om anmälaren ger sitt tillstånd till utlämnande, om det krävs inom ramarna för straffrättsliga förfaranden eller om anmälaren gör en felaktig anmälan i syfte att åsamka skada.

Personuppgifter utlämnas till tredje parter såsom myndigheter eller utomstående granskare inom de gränser som den gällande lagstiftningen tillåter och förpliktar till, exempelvis för att svara på myndigheternas begäran om information eller när Matkahuoltos berättigade intresse kräver det för till exempel en brottsanmälan, förundersökning eller domstolsbehandling.

Vi ombesörjer en tillräcklig nivå på skyddet av våra samarbetspartners personuppgifter på det sätt som förutsätts i lagstiftningen.

Uppgifter överförs inte till stater utanför Europeiska unionen eller Europeiska ekonomiska samarbetsområdet.

8 PERSONUPPGIFTERNAS FÖRVARINGSTID

Personuppgifter enligt denna dataskyddsbeskrivning förvaras endast så länge och i den omfattning de behövs, och den personuppgiftsansvarige använder personuppgifterna i verksamhet med anknytning till de nämnda behandlingsändamålen.

Personuppgifter raderas i enlighet med följande förfarande, om inte förvaringstiden är längre på basis av tvingande lagstiftning som gäller Matkahuolto:

1. senast 60 dagar efter att anmälan har stängts, om anmälan inte leder till en utredning,

2. senast 60 dagar efter att utredningen har slutförts, om utredningen inte leder till påföljder,

3. senast två år efter verkställandet av de påföljder som fastställts på basis av utredningen, eller

4. efter högst fem (5) år eller efter den besvärstid som fastställs i den nationella lagstiftningen om skydd för anmälare, beroende på vilken av dessa som är kortare, om Matkahuolto har motiverade skäl att anta att den omvända bevisbördan med anknytning till det lagstadgade förbudet gällande motåtgärder förutsätter att uppgifterna i den aktuella situationen förvaras längre än de raderingstider som nämns ovan i punkterna 2-3. Sådana motiverade skäl kan till exempel vara (i) att anmälaren har meddelat eller vidtagit förberedande åtgärder för att anmälaren kommer att åberopa bolagets omvända bevis-börda i framtiden, (ii) konkreta (av anmälan oberoende) planer vilka kan påverka anmälarens arbete, anställningsförhållande eller ställning, eller (iii) situationer där anmälaren är anställd vid bolaget och anmälaren har getts tidigare skriftliga eller muntliga varningar i ärenden som på basis av detta fortfarande kan upprepas och ha möjliga arbetsrättsliga konsekvenser i anmälarens nuvarande arbetsuppgifter.

Om ärendet går vidare till domstol och domstolsbehandlingen förutsätter en längre förvaringstid, förvaras uppgifterna den tid som domstolsbehandlingen förutsätter.

Om det är fråga om en anmälan som inte har gjorts i god tro och utan avsikt att skada eller mobba i enlighet med anmälningskanalens syfte, kan personuppgifterna behandlas under den tid det tar att utreda händelsen och fastställa möjliga påföljder samt under den lagstadgade besvärstiden i anslutning till detta.

9 SKYDD AV PERSONUPPGIFTER

Vi skyddar omsorgsfullt personuppgifter under uppgifternas hela livscykel genom att tillämpa vederbörliga dataskydds- och informationssäkerhetsmetoder. Systemleverantören för anmäl-ningskanalen, WhistleB Whistleblowing Centre AB, behandlar krypterade personuppgifter i informationssäkra serverlokaler. WhistleB lagrar inte IP-adresser eller andra uppgifter som kunde användas för att identifiera personen som lämnat in anmälan. Alla anmälningar är krypterade och endast särskilt utsedda personer kan häva krypteringen. Åtkomsten till anmälningarna är begränsad och handläggarna av anmälningar har tystnadsplikt.

De av Matkahuoltos anställda som genomför utredningarna eller övervakar dem har åtkomst till och behandlar personuppgifterna som ingår i anmälningarna. Endast personer som behöver personuppgifterna för de ovan nämnda ändamålen har åtkomst till uppgifterna. Handläggarna av anmälningar har tystnadsplikt i sitt arbete i fråga om alla anmälningar som gjort på vederbörligt sätt och med ärliga avsikter. Personerna som behandlar anmälningar har fått skriftliga anvisningar som de är skyldiga att iaktta i sitt arbete. Dessutom har personerna som behandlar anmälningar utbildats för sin uppgift.

10 DEN REGISTRERADES RÄTTIGHETER

10.1 Rätt till tillgång

Den registrerade har enligt artikel 15 i dataskyddsförordningen rätt att granska vilka uppgifter om den registrerade som Matkahuolto behandlar i egenskap av personuppgiftsansvarig. Rät-ten till tillgång möjliggör öppenhet i behandlingen av personuppgifter och genom att utöva denna rätt kan den registrerade försäkra sig om att uppgifterna i registret är riktiga och uppdaterade. Med stöd av rätten till tillgång har den registrerade rätt att se de uppgifter Matkahuolto behandlar om den registrerade samt på begäran få kopior av uppgifterna. Rätten att se de uppgifter Matkahuolto behandlar får dock inte inverka menligt på andras rättigheter och friheter.

Begäran om tillgång till uppgifter ska riktas till den person som ansvarar för registerärenden och nämns i punkt 2 av detta dokument.

Efter att ha fått en begäran som gäller rätt till tillgång ska Matkahuolto med stöd av artikel 12 i dataskyddsförordningen utan dröjsmål eller senast en månad efter mottagandet av begäran tillhandahålla den registrerade information om de åtgärder som har vidtagits med anledning av begäran som gjorts med stöd av rätten till tillgång. Matkahuolto kan vid behov förlänga tidsfristen med högst två månader med beaktande av komplexiteten hos och antalet begäran som tagits emot. Matkahuolto underrättar den registrerade om en sådan eventuell förlängning och om orsakerna till fördröjningen inom en månad efter att begäran tagits emot.

Matkahuolto tillhandahåller skriftligt de uppgifter den registrerade har begärt eller från fall till fall i elektronisk form. Om den registrerade begär det kan uppgifterna även tillhandahållas muntligt, förutsatt att den registrerade har bestyrkt sin identitet. Om den registrerade framför sin begäran elektroniskt, tillhandahåller Matkahuolto i mån av möjlighet uppgifterna elektroniskt, förutom om den registrerade begär något annat. Om Matkahuoltos tillmötesgående av den registrerades begäran skulle inverka menligt på andras rättigheter och friheter, och Matkahuolto således inte kan tillmötesgå den registrerades begäran på efterfrågat sätt, läm-nar Matkahuolto en skriftlig redogörelse till den registrerade som beskriver till vilka delar den registrerades begäran inte kan tillmötesgås.

10.2 Rätt att få felaktiga uppgifter rättade

Med stöd av artikel 16 i dataskyddsförordningen har den registrerade rätt att kräva att upp-gifter rättas, om den registrerade vid granskning av uppgifter eller annars har upptäckt fel i uppgifterna.

Begäran om rättelse av uppgifter ska riktas till den person som ansvarar för registerärenden och nämns i punkt 2 av detta dokument.

Efter att ha fått en begäran som gäller rättelse av uppgifter ska Matkahuolto med stöd av ar-tikel 12 i dataskyddsförordningen utan dröjsmål eller senast en månad efter mottagandet av begäran tillhandahålla den registrerade information om de åtgärder som har vidtagits med anledning av begäran. Matkahuolto kan vid behov förlänga tidsfristen med högst två månader med beaktande av komplexiteten hos och antalet begäran som tagits emot. Matkahuolto un-derrättar den registrerade om en sådan eventuell förlängning och om orsakerna till fördröj-ningen inom en månad efter att begäran tagits emot.

10.3 Rätt att få sina uppgifter raderade

Med stöd av artikel 17 i dataskyddsförordningen har den registrerade när som helst rätt att kräva att Matkahuolto raderar personuppgifter som Matkahuolto behandlar. Matkahuolto är skyldigt att radera dessa uppgifter om det inte längre finns någon laglig grund för behandlingen av uppgifterna. Rätten för den registrerade att få uppgifter raderade tillämpas inte på sådana uppgifter vars behandling är nödvändig för att uppfylla ett lagstadgat krav eller upp-rätta, framställa eller försvara ett rättsyrkande. Vissa personuppgifter som Matkahuolto be-handlar är förknippade med en skyldighet att lagra uppgifter enligt lagstiftning som förpliktar Matkahuolto. Matkahuolto kan således inte radera dessa uppgifter innan den lagstadgade lagringstiden löper ut.

Begäran om radering av uppgifter ska riktas till den person som ansvarar för registerärenden och nämns i punkt 2 av detta dokument. Efter att ha fått en begäran som gäller radering av uppgifter ska Matkahuolto med stöd av artikel 12 i dataskyddsförordningen utan dröjsmål el-ler senast en månad efter mottagandet av begäran tillhandahålla den registrerade information om de åtgärder som har vidtagits med anledning av begäran. Matkahuolto kan vid behov för-länga tidsfristen med högst två månader med beaktande av komplexiteten hos och antalet begäran som tagits emot. Matkahuolto underrättar den registrerade om en sådan eventuell förlängning och om orsakerna till fördröjningen inom en månad efter att begäran tagits emot.

Om Matkahuolto av en motiverad orsak inte kan tillmötesgå en begäran som tagits emot av en registrerad, skickar Matkahuolto en skriftlig motivering till den registrerade som beskriver varför begäran inte kan tillmötesgås.

10.4 Den registrerades övriga rättigheter

Den registrerade kan i vissa fall som definieras i artikel 18 i dataskyddsförordningen ha rätt att kräva att Matkahuolto begränsar behandlingen av den registrerades personuppgifter.

Den registrerade kan dessutom ha rätt att under vissa omständigheter motsätta sig behand-lingen av personuppgifter i situationer där behandlingen av personuppgifter grundar sig på ett av Matkahuoltos eller en tredje parts berättigade intressen, och Matkahuolto är skyldigt att iaktta den registrerades krav om det inte föreligger en viktig och motiverad orsak som åsidosätter den registrerades intressen, rättigheter och friheter eller om behandlingen är nödvändig för att upprätta, framställa eller försvara ett rättsyrkande.

För att utöva sina ovan nämnda rättigheter ska den registrerade kontakta den kontaktperson som nämns i punkt 2 i detta dokument.

Dessutom har den registrerade rätt att framföra klagomål till tillsynsmyndigheten om Matkahuoltos behandling av personuppgifter. I Finland framförs klagomål till dataombuds-mannen i enlighet med dataombudsmannens anvisningar. Du hittar dataombudsmannens webbplats här.