Spärrtjänst och spärrtjänstens telefoninspelningar

Spärrtjänsten och spärrtjänstens telefoninspelningar

Myndigheten för digitalisering och befolkningsdata 

Fågelviksgränden 2, 00530 Helsingfors 

Telefon (växel) 02 9553 6000, e-post kirjaamo(a)dvv.fi

Kontaktperson i ärenden som gäller registret

Utvecklingschef Teemu Tukiainen

Fågelviksgränden 2, 00530 Helsingfors

Telefon: (växel) 02 9553 6000, e-post: kirjaamo(a)dvv.fi

Telefon (växel) 02 9553 600, tietosuoja(a)dvv.fi

På arkiveringen av certifikaten tillämpas bestämmelserna om arkivering i lagstiftningen om elektronisk ärendehantering (lagen om stark autentisering och betrodda elektroniska tjänster (617/2009) 24 §). Uppgifterna i certifikatregistret ska förvaras i 5 år från tidpunkten då certifikaten upphört att gälla.

I spärrtjänstsystemet hanteras personuppgifterna för att ta emot begäran om att spärra certifikat enligt lagen om stark autentisering och betrodda elektroniska tjänster (617/2009) och lagen om Myndigheten för digitalisering och befolkningsdatas certifikattjänster (661/2009) samt för att förmedla spärrhändelserna till certifikatsystemet. Bestämmelserna om erbjudandet av spärrtjänsten finns i 25 § i lagen om stark autentisering och betrodda elektroniska tjänster (617/2009) och 61 § i lagen om Myndigheten för digitalisering och befolkningsdatas certifikattjänster (661/2009). Bestämmelser om erbjudandet av spärrtjänsten finns även i Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG (art. 24). Samtalen som inkommer till spärrtjänsten sparas. Syftet med de sparade samtalen är att säkerställa rättskyddet hos kunderna och BRC samt att beakta säkerhetssynvinklar, förbättra kvaliteten på tjänsten och följa upp tjänstens kvalitet. När en felutredning eller annan särskild faktor kräver så kan ett samtal som gäller en enskild spärrning begäras av kontaktpersonen hos Leverantören (Nets Oy) med särskild begäran Myndigheten för digitalisering och befolkningsdata.

Till spärrtjänsten meddelas de servercertifikat som på innehavarens eller utfärdarens önskemål ska spärras innan certifikatets giltighetstid har löpt ut. Följande uppgifter sparas i registret:

• Namnet eller koden på den kundserviceanställd som tagit emot samtalet hos Nets Oy.
• Tidpunkt då samtalet inleds och avslutas

Orsak till spärrningsbegäran Organisationscertifikat:

• När anmälaren ringer till spärrtjänsten ska denne ange den identifikationskod som behövs och som berättigar till spärrningen, ifall kunden givits tillgång till en sådan kod. 
• Anmälarens kontaktinformation och namn, organisationens namn, certifikatinnehava-rens identifierande nio tecken långa kod, organisationsenhet, tidpunkt då kortet bevil-jats, e-postadress.

Medborgarcertifikat:

• anmälaren frågas om de uppgifter som behövs för identifikation och uppgifterna kontrolleras i BDS. I praktiken innebär detta personnumret som används för att kolla den elektroniska ärendekoden i BDS.

• Den som innehar ett identitetskort beviljat av polisen själv/någon annan person för dennes del (t.ex. så kan vårdnadshavaren spärra en minderårigs kort)
• Polisen i samband med att ett identitetskort anmäls försvunnet
• Organisationens representant/anställd
• Myndigheten för digitalisering och befolkningsdata
• Kortfabriken har också möjligheten att anmäla om spärrningen av ett certifikat, men detta sker endast i undantagsfall
• Den som gör spärranmälan identifieras alltid tillförlitligt i samband med spärranmälan.

De samtal som rings till spärrtjänsten spelas in. Nets Oy skickar spärrbegäran som anländer till Myndigheten för digitalisering och befolkningsdata varje månad. Om en utredning av ett fel eller någon särskild orsak så kräver så kan Myndigheten för digitalisering och befolkningsdata separat begära att få ett samtal som gäller en specifik spärrning av Nets Oy:s kontaktperson.

Myndigheten för digitalisering och befolkningsdata publicerar i samband med katalogtjänsten över de certifikat som beviljats även en spärrlista där de som erbjuder elektroniska ärendetjänster alltid ska kontrollera giltighetsuppgifterna om det certifikat som inloggaren i tjänsten använder. Spärrlistorna publiceras i Fineid katalog. En uppdaterad spärrlista publiceras varje timme. Spärrlistorna kan fritt och utan avgift hämtas och användas av vem som helst. Spärrlistan kan hämtas med LDAP eller t.ex. widget och vidarebehandlas om det så behövs t.ex. med de verktyg som följer med openSSL. De spärrlistor som elektroniskt undertecknats av certifikatutfärdaren (CRL) listar serienumren på de certifikat som spärrats bland certifikattypen i fråga (CA) samt datum och klockslag efter vilket händelser för certifikaten i fråga inte längre kan godkännas. Utöver serienummer kan listan även innehålla en orsakskod till varför certifikatet spärrats. Spärrlistorna innehåller inga personuppgifter eller kortens serienummer. Det att spärrlistans uppgifter hålls offentliga och uppgifterna överlämnas i realtid baserar sig på 61 § i lagen om Myndigheten för digitalisering och befolkningsdatas certifikattjänster samt på 25 § i lagen om stark autentisering och betrodda elektroniska tjänster. Bestämmelser om erbjudandet av spärrtjänsten finns även i Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG (art. 24).

Personuppgifter lämnas inte ut utanför EU/EES-området.

Informationen i registret är skyddad genom identitetskontroll. Manuellt material finns i skyddade, låsta lokaler som är försedda med passerkontroll.

Manuellt material

Spärrsamtalens inspelade material är manuellt och sparas i sex månader. E-postmeddelanden som anmälts till spärrtjänsten kommer till Myndigheten för digitalisering och befolkningsdata i pappersformat för arkivering av personer till vars utsedda arbetsuppgifter hanteringen av materialet i fråga hör. Spärrtjänstens manuella material har skyddats med iakttagande av informationssäkerheten på det sätt som förutsätts i lagstiftningen. Det manuella material som gäller spärrningarna finns i åtkomstkontrollerade lokaler.

Uppgifter som behandlas elektroniskt

Den server där certifikaten sparas finns i åtkomstkontrollerade lokaler. Personuppgifterna kan endast hanteras av de personer till vars utsedda uppgifter hanteringen av inspelningarna hör. Uppgifterna i spärrtjänsten har skyddats med iakttagande av informationssäkerheten på det sätt som förutsätts i lagstiftningen.

Inget automatiskt beslutsfattande och ingen automatisk profilering görs utifrån uppgifterna i personregistret.

Rätt till insyn

Den registrerade har rätt att be den registeransvarige om tillgång till sina egna personuppgifter dvs. att kontrollera de uppgifter som finns om honom eller henne i personregistret. Begäran kan framställas skriftligen till de kontaktpersoner som omnämns i registrets punkt Registeransvarig och kontaktperson. Den registrerade är skyldig att styrka sin identitet i samband med begäran om granskning av uppgifterna. Identiteten kan styrkas med giltig identitetshandling då ärendet uträttas personligen hos myndigheten. Den registeransvariga besvarar den registrerades begäran utan oskäligt dröjsmål och rätten till insyn verkställs i regel inom en månad från att begäran har framställts. Den ovan nämnda utsatta tiden på en månad kan dock vid behov förlängas med högst två månader ifall den registrerades begäran har ett utredningsbehov som förutsätter en längre tidsfrist. Den registeransvariga meddelar den registrerade om en eventuellt längre utsatt tid och anger orsakerna till dröjsmålet.

Rätt att yrka på ändring av uppgift

Den registrerade har rätt att yrka på att sina personuppgifter ska rättas. Yrkan ska göras skriftligen. Kontaktuppgifterna finns i punkt Registeransvarig och kontaktperson i denna beskrivning. Den registrerade är skyldig att styrka sin identitet i samband med yrkan om ändring av personuppgifterna. Identiteten kan styrkas med giltig identitetshandling då ärendet uträttas personligen hos myndigheten. Den registrerade ska i sin yrkan identifiera och motivera vilka uppgifter som ska ändras och vilka den registrerade anser de korrekta uppgifterna vara samt på vilket sätt ändringen ombeds ske. Den registeransvariga besvarar den registrerades begäran utan oskäligt dröjsmål och ändringen av uppgifterna verkställs i regel inom en månad från att begäran har framställts. Den ovan nämnda utsatta tiden på en månad kan dock vid behov förlängas med högst två månader ifall den registrerades begäran har ett utredningsbehov som förutsätter en längre tidsfrist. Den registeransvariga meddelar den registrerade om en eventuellt längre utsatt tid och anger orsakerna till dröjsmålet.

Återkallande av den registrerades samtycke

Behandlingen av personuppgifter grundar sig inte på samtycke.

Den registrerades övriga rättigheter i anslutning till behandling av personuppgifter

Den registrerade har inte rätt att be om att uppgifterna om honom eller henne ska strykas, eftersom behandlingen av uppgifter grundar sig på lagen. Av den anledningen har den registrerade inte heller rätt att motsätta sig behandling av personuppgifterna, eller rätt att få sina uppgifter flyttade till ett annat system. Det går inte heller att be om att behandlingen av personuppgifter ska begränsas.

Den registrerade har rätt att besvära sig hos tillsynsmyndigheten angående behandlingen av personuppgifter.

Ytterligare information erbjuds av dataombudsmannens byrå.