Dataskyddsmeddelande gällande utbildning och studerandeservice  

Hem / Dataskydd / Dataskyddsmeddelande för Microsoft 365

Registeransvarig och kontaktuppgifter 

Yrkesinstitutet Prakticum (1648362–5)
Jan Magnus Janssons Plats 5, 00560 Helsingfors 
[email protected] 
020 769 9700 

Dataskyddsombudets kontaktuppgifter, GDPR-tech: tietosuoja(at)prakticum.fi 

Den registeransvarigas representant

Ledare för IT 

Olli Zha 

[email protected] 

Dataskyddsombudets kontaktuppgifter 

GDPR-tech 
tietosuoja(at)prakticum.fi  

Vad är syftet med behandlingen av personuppgifter? 

 
Syftet med behandlingen av personuppgifter är att:  

• Administrera tillgång till enheter och system, identifiera användarkonton och logga in i olika tjänster.
• Erbjuda åtkomst till samarbetsplattformar, e-post och lagringstjänster.
• Möjliggöra intern och extern kommunikation.
• Säkerställa en god nivå av cybersäkerhet i den digitala omgivningen.

Personuppgifter behandlas för att möjliggöra användning och administration av alla Microsoft 365-tjänster, upprätthållandet av användarkonto i Entra ID samt cybersäkerhet och datavisualisering.

Berörda tjänster är till exempel:

Vad grundar sig behandlingen på? 

Behandlingen av personuppgifter sker för att Prakticum ska kunna fullgöra sina lagstadgade skyldigheter.

Bestämmelser om behandling av uppgifter inom den offentliga förvaltningen finns i lagen om informationshantering inom den offentliga förvaltningen (906/2019). Microsoft 365-tjänsterna omfattar bland annat uppgifter som rör informationssäkerhet och informationsförvaltning av arbetsstationer, tjänster och system.

Grunden är att säkerställa en tillräcklig cybersäkerhetsnivå samt att skydda personuppgifternas integritet, tillgänglighet, äkthet, och konfidentialitet.

Vems uppgifter innehåller registret? 

Personal, studerande och tjänsteleverantörer.

Hur har uppgifterna samlats in? 

• Personuppgifterna för personalen samlas in via personaladministrationsprogram. Dataskyddsmeddelande för personalförvaltning och rekrytering – Prakticum
• Personuppgifterna för studerande samlas in via studerandeadministrationsprogram. Dataskyddsmeddelande gällande utbildning och studerandeservice – Prakticum
• Personuppgifterna för tjänsteleverantörer samlas vanligtvis in per e-post eller via samarbetsplattformar i samband med att tjänsten upprättas.

Personuppgifterna för personalen, studerande och tjänsteleverantörer i Microsoft 365 berikas vidare av själva systemet när de använder sig av Microsoft 365-tjänster.

Vilka personuppgifter innehåller registret? 

Personal

• Förnamn och efternamn
• Titel eller arbetsuppgift
• Team, avdelning, personalgrupp och övriga grupper bestämda av organisationsstrukturen
• Arbetsplats
• Bild om man själv lagt till en
• Användarnamn
• E-postadress i Prakticum
• Arbetstelefonnummer i Prakticum
• ID-nummer
• Logginformation om tillfällen då personen anslutit sig till Prakticums utrustning och system. Logginformation är till exempel IP adress och tidstämpel.
• Teknisk information om enheter användaren anslutit till Prakticums utrustning och system
• Användarroller och rättigheter tilldelade i Prakticums system

Studerande

• Förnamn och efternamn
• Användarnamn
• Studerandenummer
• E-postadress i Prakticum
• Telefonnummer
• Logginformation om tillfällen då personen anslutit sig till Prakticums utrustning och system. Logginformation är till exempel IP adress och tidstämpel.
• Teknisk information om enheter användaren anslutit till Prakticums utrustning och system
• Användarroller och rättigheter utdelade i Prakticums system

Tjänsteleverantörer

• Förnamn och efternamn
• Användarnamn
• Epostadress i Prakticum
• Telefonnummer
• Logginformation om tillfällen då personen anslutit sig till Prakticums utrustning och system. Logginformation är till exempel IP adress och tidstämpel.
• Teknisk information om enheter användaren anslutit till Prakticums utrustning och system
• Användarroller och rättigheter utdelade i Prakticums system

Alla som använder sig av Copilot

• Användarspecifik konversationshistorik
• Promptar
• Svar genererade av Copilot

Utöver informationen ovan kan Microsoft 365-tjänsterna innehålla mycket innehåll som personen själv skapar, som till exempel filer, chatthistorik eller e-postmeddelanden. Det är också möjligt att personen själv berikar personuppgiftshållet ytterligare via informationsfält som  Prakticum inte systematiskt samlar in information till eller upprätthåller i Microsoft 365, som till exempel födelsedagar, egna beskrivningar av sig själv, kompetenser eller lokaliseringsinformation.

Hur länge sparas personuppgifterna i registret? 

Personuppgifter sparas så länge det är nödvändigt för att använda tjänsterna.

När en persons status i personal- eller studieadministrationssystemet visar att de inte längre är nödvändigt, stängs kontot av automatiskt och åtkomst spärras. Detta sker typiskt när ett arbetsförhållande med Prakticum avslutas eller studier på Prakticum avslutas. Kontot stängs av dagen efter att statusen ändrats, eller senast inom två dagar, beroende på tidpunkten av uppdateringen.

Användarkontot och all personinformation kopplat till användarkontot raderas efter att kontot varit avstängt i 395 dagar.

Användarkontot, e-postmeddelanden och filer sparade på kontot kan återställas via en säkerhetskopia i högst fem års tid efter radering.

Logginformation lagras högst i 365 dagar.

Hur har uppgifterna skyddats? 

Uppgifterna har skyddats genom organisatoriska åtgärder samt omfattande tekniska åtgärder.

Personalen som leder och ansvarar för arbetet inom Microsoft 365 har både specialiserad utbildning och erfarenhet inom cybersäkerhet.

Lämnar vi ut personuppgifter? 

Uppgifter lämnas ut av personuppgiftsansvariga eller personuppgiftsbiträden enbart till myndigheter på lagstadgad bas.

Utförs automatiskt beslutsfattande? 

Automatiskt beslutsfattande sker med hjälp av User and Entity Behaviour Analytics (UEBA) med syftet att upprätthålla en god nivå av cybersäkerhet.

UEBA används för att automatiskt spärra åtkomst till användarkonton genom att analysera riskfyllt och skadligt helhetsbeteende i Microsoft 365-tjänsterna.

Användningen av UEBA innebär inte professionella eller disciplinära konsekvenser för personal eller studerande.

Överförs uppgifter utanför EU/EES området? 

Personuppgifter lämnas inte ut till externa parter utan lagstadgad grund.

Microsoft fungerar som personuppgiftsbiträde, och uppgifterna behandlas i Microsofts molntjänster.

Uppgifter kan överföras till länder utanför EU/EES i samband med Microsofts server, supportverksamhet eller autentisering till tredje parts system. I sådana fall används skyddsåtgärder i enlighet med GDPR, såsom EU godkända standardavtalsklausuler (SCC) och andra lämpliga skyddsmekanismer som till exempel EU-USA:s ramverk för dataskydd (DPF).

Vilka rättigheter har jag?

Du har rätt till att:

• få tillgång till dina egna personuppgifter
• begära rättelse eller radering av dina uppgifter
• begränsa eller motsätta dig behandlingen av uppgifter
• lämna in klagomål till tillsynsmyndigheten för dataskydd (Dataombudsmannens byrå)