Pirkanmaan hyvinvointialueen ilmoituskanava / Whistleblowing

Rekisterinpitäjä

Pirkanmaan hyvinvointialue
PL 272, 33101 Tampere

Rekisterin vastuuhenkilö

hyvinvointialuejohtaja
Pirkanmaan hyvinvointialue 

Rekisterin yhteyshenkilö

Sari Nousiainen, sisäisen tarkastuksen johtaja
puhelin 03 311 611
etunimi.h.sukunimi@pirha.fi

Rekisterin varayhteyshenkilö

Miia Luukko, hallintopalvelujohtaja
puhelin 03 311 611
etunimi.sukunimi@pirha.fi

Henkilötietojen käsittelyn tarkoitus

Väärinkäytösten ilmoituskanava perustuu lakiin Euroopan unionin ja kansallisen oikeuden rikkomisesta ilmoittavien henkilöiden suojelusta 1171/2022, ns. ilmoittajansuojelulakiin, jonka perustana on EU:n ns. whistleblower-direktiivi (EU) 2019/1937. Laki on tullut voimaan 1.1.2023 ja tulee hyvinvointialueita velvoittavaksi 1.4.2023 alkaen.

Väärinkäytösten ilmoituskanavan kautta voi ilmoittaa vakavista väärinkäytös- tai korruptioepäilyistä. Ilmoitusjärjestelmässä myös viestitään ilmoittajan kanssa sekä selvitetään asiaa. Ilmoittajan henkilöllisyys suojataan, ja epäilyksiä tutkii nimetty käsittelyryhmä. Väärinkäytösten ilmoittajia tulee suojella vastatoimilta.

Ilmoittajansuojelua sovelletaan julkisiin hankintoihin, rahoituspalveluihin, rahanpesuun ja terrorismin rahoituksen ehkäisyyn, tuoteturvallisuuteen, liikenneturvallisuuteen, ympäristönsuojeluun, ydinturvallisuuteen, elintarvikkeiden ja rehujen turvallisuuteen, eläinten terveyteen ja hyvinvointiin, kansanterveyteen, kuluttajansuojaan, yksityisyyden ja henkilötietojen suojaan sekä verkko- ja tietojärjestelmien turvallisuuteen liittyviin ilmoituksiin rikoksista, rikkomuksista, väärinkäytöksistä tai muista teoista tai laiminlyönneistä.

Hyvinvointialuetta koskevia soveltamisaloja ovat ennen kaikkea julkisista hankinnoista, yksityisyyden ja henkilötietojen suojasta sekä verkko- ja tietojärjestelmien turvallisuudesta säädetyt lait.

Ilmoittajansuojelulain soveltamisalaan kuuluvien ilmoitusten osalta kyseessä on yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c-alakohdan mukainen käsittelyperuste, koska tällöin henkilötietojen käsittely on tarpeen rekisterinpitäjänä toimivan hyvinvointialueen lakisääteisen velvoitteen noudattamiseksi. 

Henkilötietojen käsittelyn oikeusperuste

• Lakisääteinen velvoite

Rekisterin tietosisältö ja henkilötietoryhmät

Rekisterissä käsitellään rekisterin käyttötarkoituksen kannalta tarpeellisia tietoja ilmoituksen tekijästä ja ilmoituksen kohteesta sekä niistä henkilöistä, joiden todetaan ilmoituksen perusteella kytkeytyvän epäiltyyn väärinkäytökseen.

Rekisterissä voidaan käsitellä sellaisia arkaluonteisia tietoja, joiden käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi. Ilmoittajaa ja ilmoituksen kohdetta koskevat perustiedot:

• etu- ja sukunimet
• työnantajan nimi
• työtehtävä
• yhteystiedot (puhelinnumero, sähköpostiosoite)

Ilmoituksen kohteen työsuhteeseen liittyvät tiedot:

• työtehtävien nykyinen ja aikaisempi sisältö
• esihenkilön ja yksikön nimi

Ilmoitusta koskevat tiedot, kuten

• päivä, jona ilmoitus on tehty
• väitetyn tapahtuman/toiminnan ajankohta
• väitetyn tapahtuman/toiminnan sisältö

Ilmoituksesta aiheutuneita toimenpiteitä ja seuraamusta koskevat tiedot, kuten

• ilmoittajalle tehty ilmoitus siitä, ettei anonymiteettiä voida tietyissä tilanteissa taata
• hyvinvointialueen päätös ilmoituksesta aiheutuvista toimenpiteistä
• tieto ilmoituksen kohteen rikollisesta teosta, rangaistuksesta tai muusta rikoksen seuraamuksesta.

Säännönmukaiset tietolähteet

Tiedot kerätään ilmoituskanavaan tehdyistä ilmoituksista sekä ilmoituksen kohteen selvittelyn yhteydessä hyvinvointialueen sisäisistä tietolähteistä, kuten asiaan mahdollisesti liittyviltä henkilöiltä ja tarvittaessa IT-järjestelmien tietoja hyödyntäen. 

Tietojen säännönmukaiset luovutukset

Ilmoituskanavan kautta vastaanotettujen väärinkäytösilmoitusten käsittelystä vastaa erikseen nimetty ilmoitusten käsittelyryhmä, joilla on pääsy salassa pidettävään tietoon. Jos joku on esteellinen, hän ei osallistu ilmoituksen käsittelyyn. Tarvittaessa hyvinvointialuejohtaja nimeään ilmoitusta tutkimaan henkilöt, jotka eivät ole tapauksessa esteellisiä.

Ilmoittajansuojelulain mukaan ilmoituksen käsittelyyn nimetty henkilö saa antaa tiedon ilmoittajan ja muiden ilmoituksessa mainittujen henkilöiden henkilöllisyydestä ja henkilöllisyyden suoraan tai epäsuorasti ilmaisevat muut tiedot ilmoituksen paikkansa pitävyyden selvittämiseksi nimetylle muulle henkilölle, jos tiedon antaminen on välttämätöntä ilmoituksen paikkansa pitävyyden selvittämiseksi. Tietoja voidaan luovuttaa kulloinkin voimassa olevan lainsäädännön sallimin ja velvoittamin tavoin viranomaisille (mm. poliisi) tilanteessa, jossa hyvinvointialueella on lakisääteinen velvollisuus ilmoittaa rikkomuksesta ja tilanteissa, joissa tehdään lakiin perustuvaa yhteistyötä viranomaisten kanssa.

Tietojen siirto EU:n tai Euroopan talousalueen ulkopuolelle

Tietoja ei pääsääntöisesti siirretä tai luovuteta Euroopan unionin tai Euroopan talousalueen ulkopuolelle. Tietoja saatetaan kuitenkin luovuttaa henkilötietojen käsittelijän tietojärjestelmän tukipalveluiden toteuttamiseksi, jolloin siirrossa varmistetaan EU:n tietosuoja-asetuksen mukaisten edellytysten toteutuminen.

Rekisteritietojen säilytys ja suojaus

Ilmoituskanavien kautta tulevat tiedot poistetaan viiden vuoden kuluttua ilmoituksen saapumisesta, ellei niiden säilyttäminen ole välttämätöntä ilmoittajansuojelulaissa tai muussa laissa säädettyjen oikeuksien tai velvoitteiden toteuttamista varten taikka oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Henkilötiedot, joilla ei selvästi ole merkitystä ilmoituksen käsittelyn kannalta, poistetaan ilman aiheetonta viivytystä.

Rekisteritietojen suojauksen ja tietoturvan toteutus

Hyvinvointialue on huomioinut lainsäädännön edellyttämät tekniset ja hallinnolliset suojakeinot henkilötietojen suojaamiseksi henkilötietojen tietoturvaloukkauksilta. Tällaisia keinoja ovat muun muassa tietoverkkojen ja -järjestelmien suojaus, tilaturvallisuuden varmistaminen ja kulunvalvonta, hallittu käyttöoikeuksien myöntäminen ja tietojärjestelmien käytön valvonta sekä riskienhallinta.

Ilmoituskanavan tietoja saavat käsitellä vain erikseen nimetyt työntekijät tehtävän edellyttämässä laajuudessa. Jokainen henkilötietoja käsittelevä sitoutuu noudattamaan hyvinvointialueen tietosuoja- ja tietoturvakäytänteitä, toimintatapoja ja henkilötietojen käsittelyohjeita allekirjoittamalla tietoturvasitoumuksen.

Tietoja käsittelevät tai katselevat työntekijät ovat salassapito- ja vaitiolovelvollisia, ja salassapito- ja vaitiolovelvollisuus jatkuu myös palvelussuhteen päätyttyä. Henkilöstöä perehdytetään ja koulutetaan henkilötietojen käsittelyyn säännöllisesti järjestettävissä tietosuoja- ja tietoturvakoulutuksissa.

Tietojen suojauksesta, säilyttämisestä ja hävittämisestä vastaa sisäisen tarkastuksen johtaja.

Tarkastusoikeus

Rekisteröidyn yleisen tietosuoja-asetuksen 15 artiklan mukaista oikeutta tutustua tietoihin voidaan rajoittaa ilmoittajansuojelulain nojalla ilmoitettujen henkilötietojen osalta, jos se on välttämätöntä ja oikeasuhtaista ilmoituksen paikkansa pitävyyden selvittämisen turvaamiseksi tai ilmoittajan henkilöllisyyden suojaamiseksi.

Jos vain osa rekisteröityä koskevista tiedoista on sellaisia, että ne jäävät em. tarkoitetun oikeuden ulkopuolelle, rekisteröidyllä on oikeus saada tietää muut häntä koskevat tiedot. Rekisteröidyllä on oikeus saada tietoonsa em. rajoituksen syyt ja pyytää muiden tietojen pyytää tietojen antamista tietosuojavaltuutetulle tietosuojalain (1050/2018) 34 §:n 3 ja 4 momentin mukaisesti.

Pyyntö tietoihin tutustumiseksi osoitetaan käsittelystä vastaaville henkilöille.

Tiedon korjaaminen

Rekisteröidyllä on oikeus saada tietoonsa hänestä rekisteröityjä tietoja vain rajoitetusti (ks. tämän tietosuojaselosteen kohta 12) sekä ilmoittajansuojelulain soveltamisalaan kuuluvien väärinkäytösilmoitusten osalta.

Jos rekisteröidylle voidaan luovuttaa tällaisia muita häntä koskevia tietoja ilmoituksen käsittelyä ja tutkintaa vaarantamatta, voi rekisteröity pyytää näiden tietojen oikaisua tai poistamista. Pyyntö osoitetaan käsittelystä vastaaville henkilöille.

Oikeus vastustaa tietojen käsittelyä

Ilmoittajansuojelulain soveltamisalaan kuuluvien ilmoitusten osalta hyvinvointialue käsittelee henkilötietoja lakisääteisen tehtävän toteuttamiseksi eikä rekisteröidyllä ole oikeutta vastustaa tietojen käsittelyä.

Oikeus käsittelyn rajoittamiseen

Tietosuoja-asetuksen 18 artiklaa rekisteröidyn oikeudesta käsittelyn rajoittamiseen ei sovelleta ilmoittajansuojelulaissa tarkoitettuun henkilötietojen käsittelyyn.

Oikeus tehdä valitus

Rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle (tietosuoja.fi/ilmoitustietosuojavaltuutetulle), jos hän katsoo, että hänen oikeuksiaan on hyvinvointialueen toimesta loukattu eikä hyvinvointialue ole reagoinut asiaan.

Muut mahdolliset oikeudet

Henkilötietoja ei käytetä eikä luovuteta käytettäväksi mihinkään täysin välttämättömän lakiin perustuvan viranomaistoiminnan ulkopuolelle. Rekisteröity voi ilmoittaa mahdollisesta havaitsemastaan tietosuojariskistä tai tietosuojaongelmasta: tietosuojavastaava@pirha.fi.