Kuulutus 2025/361

1. Rekisterin nimi

Microsoft 365 sähköinen työskentely-ympäristö
 

2. Rekisterinpitäjä

Kuopion kaupunki

Y-tunnus 0171450-7

Postiosoite: Kirjaamo, PL 228, 70101 Kuopio

Puhelinvaihde: 017 182 111

Sähköposti: kirjaamo(at)kuopio.fi

https://www.kuopio.fi/fi/etusivu

https://www.kuopio.fi/fi/henkilotietojen-kasittely

3. Rekisterinpitäjän

edustaja

tietohallintojohtaja Jari Torvinen (hallinnon M365-ympäristö)

Puhelin: 044 718 5504

Kasvun ja oppimisen palvelualue (opetuksen M365-ympäristö)
 

4. Rekisterin yhteyshenkilöt

teknologiapäällikkö Maarko Oikarinen

Puhelin: 044 718 2889

tietohallintopäällikkö Ilkka Kukkonen

Puhelin: 044 718 4007

5. Tietosuojavastaava

Kuopion kaupunki

Puhelin: 044 718 2854

Asiointisähköposti: tietosuojavastaava(at)kuopio.fi

Sähköposti on tarkoitettu yleiseen neuvontaan, ja se ei tietosuojasyistä sovellu henkilökohtaisten asioiden käsittelyyn.

6. Käsittelyn tarkoitus

Microsoft 365 (M365) -palvelu  on sähköinen työskentely-ympäristö. Kuopion kaupunki käyttää kahta eri M365-palvelua henkilökunnan ja oppilaiden työskentelytilana. M365-palvelut sisältävät sähköisiä työvälineitä ja käyttäjien tuottamaa sisältöä.

Kasvun ja oppimisen palvelualueen M365-palvelua käytetään opetuksen järjestämisen tukena.

Henkilötietoja voidaan käsitellä alkuperäisen käyttötarkoituksen lisäksi yleisen edun mukaisia arkistointitarkoituksia, tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten.

7. Käsittelyn

oikeusperuste

Lakisääteinen velvoite, EU 679/2016, artikla 6.1 kohta c

M365-palvelut ovat keskeisiä kaupungin henkilökunnan työskentelyn ja opetuksen järjestämisen välineitä.

8. Henkilötietojen salassapito

Henkilötietoja ei saa käsitellä ilman käsittelyoikeutta. Lisäksi osa henkilötiedoista on erikseen lailla säädetty salassa pidettäviksi.

Tietojen julkisuus ja salassa pidettävyys:

M365-palveluissa henkilökunta ja opettajat sekä oppilaat muodostavat kaksi isoa, toisistaan erillään olevaa ryhmää. Näiden kahden ryhmän sisällä käyttäjät näkevät toistensa nimet, sähköpostiosoitteet, roolin (tehtävänimike tai oppilas) ja työyksikön tai koulun sekä henkilökunnan osalta puhelinnumeron.

Käyttäjät näkevät toistensa tuottamia sisältöjä silloin, kun käyttäjät kuuluvat esimerkiksi samaan pienryhmään, jakavat tiedostoja tai vaihtavat viestejä. Ulkopuoliset henkilöt eli henkilöt, jotka eivät kuulu kaupungin M365-palveluiden piiriin, eivät näe M365-palveluiden sisältöjä.

Salaisia aineistoja käsitellään kaupungin tiedonhallintaohjeistuksen mukaisesti niille sopivaksi katsotuissa tallennustiloissa.

Salassapidon peruste:

EU:n yleisen tietosuoja-asetuksen 679/2016, tietosuojalain 1050/2018, lain viranomaisten toiminnan julkisuudesta 621/1999, 24.1 § sekä erityislainsäädännön mukaiset henkilötietojen salassapitoa koskevat säädökset.

9. Rekisteröityjen ryhmät

-         Kuopion kaupungin työntekijät, luottamushenkilöt sekä muut työyhteisössä toimivat henkilöt, kuten harjoittelijat ja opiskelijat.

-         Kaupunkikonsernin kuuluvien seuraavien yhtiöiden työntekijät:

o        Kuopion Vesi Oy

o        Kuopion pysäköinti Oy

o        Mestar Kuopio Oy

o        Järviseudun työterveys Oy.

-         oppilaat

-         yhteistyökumppanit, jotka voivat kutsun perusteella osallistua vieraskäyttäjinä kaupungin järjestämään Teamsiin tai muuhun toimintaan M365-palvelun sähköisessä työtilassa

10. Käsiteltävä henkilötieto

Käyttäjistä käsitellään seuraavia henkilötietoja:

-         kaupungin ja konserniyhtiöiden henkilöstö, luottamushenkilöt ym. henkilöstöön verrattavat käyttäjät;

o        nimi, sähköposti, puhelinnumero, työyksikkö, titteli, henkilönumero, esihenkilö, käyttäjätunnukselle liitetyt lisenssit sekä M365-ryhmät, joihin käyttäjä kuuluu

-         vieraskäyttäjä;

o        nimi, sähköposti sekä M365-ryhmät, joihin käyttäjä kuuluu

-         oppilaista;

o        nimi, sähköposti, nimi, koulu ja luokka

Käyttäjät voivat itse lisätä profiiliin kuvansa ja muuta tietoa itsestään.

Käyttäjän M365 ympäristössä tuottamat aineistot eivät sisälly tähän Microsoft 365 sähköinen työskentely-ympäristöön vaan ovat osa eri palveluiden henkilörekistereitä, joista on omat tietosuojaselosteet.

11. Henkilötietojen lähde

Henkilökunta ja oppilaat rekisteröidään Microsoft Entra ID-tietokantaan heidän tullessaan kaupungin työntekijöiksi, luottamushenkilöksi ym. henkilöstöön verrattaviksi käyttäjät tai koulun oppilaiksi. Käyttäjien perustiedot ja osa ryhmätiedoista M365-palveluun saadaan Active Directory-tietokannasta.

Vieraskäyttäjän tiedot muodostuvat, kun käyttäjä kutsutaan sähköpostiosoitteellaan M365-käyttäjän toimesta johonkin M365-palvelun työtilaan (Teams/Sharepoint).
 

Muut tiedot muodostuvat, kun käyttäjä lisätään M365-ryhmiin, käyttäjälle kiinnitetään lisenssejä tai käyttäjä käyttää M365-palvelua.

12. Henkilötietojen käsittelyn järjestelmät ja paperiaineistot

M365-palvelut ovat sähköisiä  työskentely-ympäristöjä, joissa on käytössä seuraavat työvälineet:

-          Microsoft 365 Apps-sovellukset (Word, Excel, PowerPoint, Access, OneDrive, OneNote, Teams, Outlook)

-          Sharepoint

-          Stream

-          Clipchamp

Hallinnon M365-palvelussa tietojen käsittelyä tehostetaan tekoälypohjaisen sovelluksen Microsoft 365 Copilotin avulla. Microsoft 365 Copilot on pilottikäytössä n. 70 työntekijällä. Tekoälyä ei käytetä automatisoimaan päätöksentekoa vaan se toimii tietotyön apuvälineenä muiden M365 - työkalujen yhteydessä. Microsoft Copilot tekoäly hakee tietoja, joihin käyttäjällä on käyttöoikeus ja jotka on tallennettu seuraaviin tallennuspaikkoihin: Microsoft OneDrive, Microsoft Teams-työtilat tai keskustelut, Microsoft Sharepoint sekä käyttäjän sähköposti. Kaupungin käyttöönottama Microsoft Copilot ei käytä hakemiaan tietoja Microsoftin tekoälyn koulutukseen tai kehittämiseen.

M365-palvelukokonaisuuden kuuluva Clipchamp voi käsitellä videoaineistoja, jotka voivat sisältää henkilötietoja. Näiden käsittely sisältää erityispiirteitä verrattuna muihin ns. toimistosovelluksien käsittelyyn. Palvelu sisältää tekoälyä sisältäviä toiminnallisuuksia, jotka liittyvät videoeditointisovelluksen luonteeseen. Näitä ovat seuraavat:

- automaattinen aineistojen luonti käyttäjän määrittämästä media-aineistosta

- teksti puheeksi

- automaattinen tekstitys

- automaattinen leikkaus

- melun vaimennus

- taustan poistaminen

Tietojen suojaus:

Kaupunki huolehtii siitä, että sen sähköisissä järjestelmissä on tarvittava tietoturvataso ja tietosuojataso. Järjestelmiä saa käyttää vain henkilö, jolla on siihen henkilökohtainen käyttöoikeus. Kaupunki säilyttää paperimuodossa olevan tiedon suojatuissa ja valvotuissa tiloissa, joissa on kulunvalvonta ja ovien lukitus.

13. Automaattinen päätöksenteko ja profilointi

Henkilötietoja ei käytetä automaattiseen päätöksentekoon tai profilointiin.

14. Henkilötietojen säännönmukaiset luovutukset ja vastaanottajaryhmät

Kaupunki ei luovuta henkilötietoja ulkopuolisille tahoille.

Yhteistyökumppanit:

Kaupungilla on useita yhteistyökumppaneita, jotka voivat käsitellä kaupungin henkilötietoa. Tällaisia ovat esimerkiksi ICT-palveluntuottajat ja laskutusta hoitavat tahot. Kaupunki varmistaa henkilötietojen käsittelyn periaatteet yhteistyökumppaneiden kanssa sopimuksella ja ohjeistuksella.

15. Henkilötietojen siirto EU/ETA-alueen ulkopuolelle, kolmansiin maihin tai kansainvälisiin järjestöihin

M365-palvelut tuotetaan EU-alueella, mutta henkilötietoja voidaan siirtää EU/ETA-alueen ulkopuolelle Microsoftin tukipalveluiden toteuttamiseksi.

16. Henkilötietojen säilytys

Säilytysaika:

Työntekijöiden ja niihin rinnastettavien henkilöiden tiedot säilyvät palvelun käyttämisen ajan ja ne poistetaan 30 päivän kuluttua M365-palvelusta käyttäjätunnuksen poistamisen yhteydessä. Poistaminen tapahtuu automaattisesti työsuhteen päättymisestä 7 vuorokauden kulutta käyttövaltuushallinnan avulla.

Oppilaiden tiedot säilyvät palvelun käyttämisen ajan ja ne poistetaan 30 päivän kuluttua M365-palvelusta käyttäjätunnuksen poistamisen yhteydessä.

M365-palveluihin kutsuttujen vieraskäyttäjien tiedot säilyvät palvelun käyttämisen ajan ja ne poistetaan, jos käyttäjä ei ole kirjautunut palveluun

4 kk aikana.

Säilytysajan peruste:

M365-palvelun käyttämisen mahdollistaminen ja määräaika, jonka ajan tiedot ovat tarvittaessa palautettavissa.

Henkilötietojen säilytys ja hävitys:

Kaupunki säilyttää henkilötietoja ainoastaan sen ajan ja siinä laajuudessa kuin on tarpeellista. Kaupunki säilyttää ja hävittää sähköiset ja paperilla olevat tiedot tietoturvallisesti ja tietosuoja huomioiden arkistolain (831/1994) ja tiedonhallintalain (906/2019) mukaisesti.

17. Rekisteröidyn oikeudet

Rekisteröidyllä on useita oikeuksia, jotka riippuvat käsittelyn oikeusperusteesta ja kansallisesta lainsäädännöstä. Lisää tietoa oikeuksista saa tietosuojavastaavalta ja Tietosuojavaltuutetun toimiston verkkosivuilta.

-         Rekisteröidyllä on oikeus saada tieto siitä, että henkilöä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä.

-         Rekisteröidyllä on oikeus saada tietoa henkilötietojen käsittelystä.

-         Rekisteröidyllä on oikeus saada pääsy tietoihin eli tarkastaa henkilötiedot ja saada niistä jäljennös.

-         Rekisteröidyllä on oikeus oikaista epätarkat tai virheelliset henkilötiedot.

-         Rekisteröidyllä on oikeus saada tiedot poistettua ja ”tulla unohdetuksi”. Tätä oikeutta ei ole muun muassa silloin, jos käsittely tapahtuu lakisääteisen velvoitteen noudattamiseksi.

-         Rekisteröidyllä on oikeus pyytää rekisterinpitäjää rajoittamaan tietojen käsittelyä.

-         Rekisteröidyllä on oikeus saada henkilötiedot siirretyksi toiselle rekisterinpitäjälle jäljennöksen avulla tai suoraan, jos se on teknisesti mahdollista.

-         Rekisteröidyllä on oikeus vastustaa tietojen käsittelyä. Tämä koskee myös profilointia, joka tarkoittaa henkilöä koskevien ominaisuuksien automaattista käsittelyä.

-         Rekisteröidyllä on oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen tietojen käsittelyyn ja jolla on rekisteröidylle merkittäviä vaikutuksia. Tämä koskee myös profilointia, joka tarkoittaa henkilöä koskevien ominaisuuksien automaattista käsittelyä.

-         Rekisteröidyllä on oikeus perua suostumus, jos henkilötietojen käsittely perustuu suostumukseen.

-         Rekisteröidyllä on oikeus saada tieto henkilötietojen tietoturvaloukkauksesta, jos loukkaus aiheuttaa korkean riskin rekisteröidyn yksityisyyden suojalle.

-         Rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle, jos rekisteröity katsoo, että henkilötietojen käsittelyssä rikotaan tietosuoja-asetusta.

18. Oikeuksien käyttäminen

Tietosuojaselosteista löydät tietoa henkilötietojen käsittelystä, rekisterinpitäjän edustajasta, rekisterin yhteyshenkilöstä sekä tietosuojavastaavan yhteystiedot. Rekisterinpitäjän edustajat ja yhteyshenkilöt, sekä tietosuojavastaava antavat tarvittaessa lisätietoja. Mikäli havaitset epäkohdan henkilötietojen käsittelyssä, ota yhteyttä tietosuojaselosteessa nimettyyn rekisterinpitäjän edustajaan ja yhteyshenkilöön (kohdat 3. ja 4.) tai tietosuojavastaavaan.

Lisätietoja rekisteröidyn oikeuksien käyttämisestä: https://www.kuopio.fi/fi/henkilotietojen-kasittely

Rekisteröidyn oikeuksien käyttäminen on yleensä maksuttomia. Rekisterinpitäjän edustaja voi periä maksun tarkastuspyynnöstä, jos pyyntö on kohtuuton, usein toistuva tai rekisteröity pyytää useita jäljennöksiä samasta tiedoista.

Rekisterinpitäjän edustaja vastaa tietopyyntöön kuukauden kuluessa tai ilmoittaa viivästyksestä tämän ajan kuluessa. Rekisterinpitäjän edustaja voi kieltäytyä tietopyynnöstä, jos siihen on lakisääteinen ja perusteltu syy. Kieltäytyminen voi perustua tietosuoja-asetukseen (EU 679/2016), tietosuojalakiin (1050/2018), julkisuuslakiin (621/1999) tai eri alojen erityislainsäädäntöön. Rekisterinpitäjän edustaja antaa rekisteröidylle kieltäytymisestä kirjallisen perustelun.

Tietosuojavaltuutetun toimisto on valvontaviranomainen, joka valvoo henkilötietojen käsittelyä Suomessa. Rekisteröidyllä on oikeus tehdä valittaa Tietosuojavaltuutetun toimistoon henkilötietojen käsittelyä koskevissa asioissa. Valituksen voi tehdä esimerkiksi silloin, jos rekisteröity ei hyväksy rekisteröidyn oikeuksia koskevaan pyyntöön tehtyä kieltäytymispäätöstä tai havaitsee epäkohdan henkilötietojen käsittelyssä ja rekisterinpitäjän edustaja ei korjaa epäkohtaa rekisteröidyn yhteydenoton perusteella. Rekisteröidyllä on myös rekisterinpitäjän päätökseen liittyviä hallinnollisia muutoksenhakukeinoja sekä oikeussuojakeinoja.

Valvontaviranomaisen yhteystiedot:

Tietosuojavaltuutetun toimisto

Postiosoite: PL 800, 00531 Helsinki

Puhelinvaihde: 029 566 6700

https://tietosuoja.fi/etusivu

https://tietosuoja.fi/yhteystiedot

Jari Torvinen

tietohallintojohtaja