Ditt företag är personuppgiftsansvarig, Kelomo (Tohmoco Oy) är personuppgiftsbiträde. Den registrerades begäran riktas alltså till arbetsgivaren.
Kelomo svarar inte på den registrerades begäran å era vägnar. Om begäran kommer direkt till Kelomo styrs den vidare till den personuppgiftsansvarige och besvaras inte.
Svara på en begäran om uppgifter
En begäran om uppgifter (GDPR art. 15/20) sköts från personkortet. Öppna personens avsnitt Dataskydd och välj DSAR (JSON) eller DSAR (PDF). Avsnittet berättar vad det handlar om: “Den registrerades rätt att få tillgång till sina uppgifter (GDPR art. 15/20): hela personuppgiftspaketet.”
Funktionen finns bara för huvudanvändaren. Den fungerar också för en pågående anställning – begäran behöver inte vänta till anställningens slut.
Förvaringsfönstren
Inställningar → Uppgifternas livscykel (GDPR) är huvudanvändarens sida. På sidan står det: “Personuppgifter för avslutade anställningar raderas stegvis med respekt för lagstadgade förvaringstider. Ingenting raderas utan bekräftelse.”
Datakategorierna är fem. Standardfönstret räknas från anställningens slut.
| Kategori | Standard | Justerbar |
|---|---|---|
| Basuppgifter | 6 mån | ja |
| Varningar och samtal | 24 mån | ja |
| Utvecklingsuppgifter | 24 mån | ja |
| Identifieringsuppgifter | 24 mån | nej – arbetstidslagen 32 § |
| HR-handlingar | 120 mån | nej – 10 år |
Arbetsytans egna värden begränsas till lagens minimum: ett värde som är kortare än lagen träder inte i kraft, även om det går att skriva in i fältet.
Raderingskön
Kön föreslår vad som ska raderas, huvudanvändaren bekräftar. Automatisk radering finns inte: uppgifterna raderas först efter bekräftelsen.
En begäran om radering upphäver inte förvaringsskyldigheten
Arbetstidsbokföringen får inte förstöras. Därför pseudonymiseras identifieringsuppgifterna, de förstörs inte: medlemskapet pekas om till en stubbanvändare (Entinen työntekijä), och arbetstidsraderna bevaras intakta. Personen går inte längre att identifiera.
Grunden är arbetstidslagen 32 § tillsammans med tiden för väckande av talan: arbetstidslagen 40 § ger två år från utgången av det kalenderår då rätten uppkom. En arbetstagares fordran ska kunna utredas även efter anställningen, och därför går raderna inte att radera på begäran.
När avtalet upphör
När avtalet med Kelomo upphör återlämnas eller raderas uppgifterna inom 90 dagar, med beaktande av tvingande förvaringsskyldigheter.
Den personuppgiftsansvariges checklista
Dessa är den personuppgiftsansvariges ansvar:
- dataskyddsbeskrivning till personalen
- den rättsliga grunden för behandlingen
- register över behandling (art. 30)
- konsekvensbedömning (DPIA), om ni tar i bruk stämpling med plats
Samma lista finns i det sista steget av ibruktagningsguiden – se Ibruktagning för administratören.
Om något går fel
| Situation | Vad du ser | Vad du gör |
|---|---|---|
| En medarbetare begärde sina uppgifter direkt av Kelomo | Begäran styrs till er | Svaret är den personuppgiftsansvariges. Kör DSAR (PDF) eller DSAR (JSON) och leverera det. |
| En medarbetare kräver radering av alla sina uppgifter | Identifieringsuppgifterna raderas inte | Arbetstidsbokföringen måste förvaras. Berätta att uppgifterna pseudonymiseras när förvaringstiden löper ut. |
| DSAR-knapparna syns inte | Avsnittet Dataskydd saknas på personkortet | Funktionen finns bara för huvudanvändaren. Be huvudanvändaren köra paketet. |
| Du vill förkorta fönstret för identifieringsuppgifter | Värdet går inte under minimum | Identifieringsuppgifter och HR-handlingar är inte justerbara. Lagen sätter golvet. |
| Ingenting har raderats trots att tiden har gått | Kön föreslår raderingar | Automatisk radering finns inte. Gå igenom kön och bekräfta. |