2.2.1  2.2.1 Analys- och rapporteringstjänster

Statskontoret och servicecentret stärker statsförvaltningens interna ledning genom information med hjälp av de föreslagna analys- och rapporteringstjänsterna. Uppgiften att producera analys- och rapporteringstjänster ska regleras i nationell lagstiftning, eftersom de uppgifter i registren som utnyttjas inbegriper delvis också sådana personuppgifter som avses i dataskyddsförordningen samt sekretessbelagda uppgifter. I analys- och rapporteringstjänsterna används de uppgifter om statsförvaltningens verksamhet och ekonomi som finns i de gemensamma serviceproducenternas register som stöd för utvecklandet, styrningen och ledningen av statsförvaltningen som helhet, olika sektorer och enskilda ämbetsverks verksamhet. De uppgifter som används beskrivs närmare i följande kapitel. Vid behandlingen och tolkningen av uppgifterna utnyttjas vid behov sakkunskapen inom de gemensamma tjänsteproducenternas substansområden. 

Finansministeriet styr på strategisk nivå produktionen av analys- och rapporteringstjänster vid Statskontoret och servicecentret samt det samarbete som krävs av de gemensamma tjänsteproducenterna. Finansministeriet kan avtala med Statskontoret och servicecentret om de allmänna målen för tjänsten, tyngdpunkterna i verksamheten och verksamhetssätten inom de gränser som anges i lagförslaget. Ämbetsverken och inrättningarna deltar i utvecklandet av analys- och rapporteringstjänsten som en del av Statskontorets och servicecentrets nuvarande kundgrupper. 

Nedan beskrivs grunden för behandlingen av uppgifter, processen vid behandlingen av uppgifter och informationsinnehållen för att skapa en helhetsbild av verksamheten och den tillämpliga lagstiftningen. På detta sätt preciseras beskrivningen av verksamheten med analys- och rapporteringstjänster så att den inte är allmänt hållen och ospecificerad, utan uppfyller dataskyddsförordningens krav på behandling av personuppgifter. I motiveringen beskrivs uppgifternas användningsändamål, behandlingen av uppgifterna och innehållet i de personuppgifter som behandlas samt användningens proportionalitet och nödvändighet, särskilt förhållandet mellan rätten att få uppgifter och sekretessintressena, samt utlämnande av uppgifter i en elektronisk miljö. En noggrannare definition av det informationsinnehåll som lämnas ut med hjälp av ett tekniskt gränssnitt görs i samarbete mellan Statskontoret, servicecentret och andra gemensamma tjänsteproducenter samt i synnerhet mellan säkerhetsmyndigheterna och andra kundämbetsverk. 

Rättslig grund för behandling av uppgifter 

När det gäller uppgiften att producera analys- och rapporteringstjänster grundar sig lagenligheten i behandlingen av uppgifter i enlighet med artikel 6.1 c i dataskyddsförordningen på den lagstadgade skyldighet som åläggs den personuppgiftsansvarige, och om det föreskrivs genom denna proposition. Genom verksamheten eftersträvas också allmänt intresse på det sätt som avses i artikel 6.1 e i dataskyddsförordningen. Denna punkt har preciserats i den nationella lagstiftningen i 4 § i dataskyddslagen, vars 2 punkt också utgör en grund för den föreslagna uppgiften att tillhandahålla analys- och rapporteringstjänster. I den punkten föreskrivs om behövlig och proportionell behandling av personuppgifter i en myndighets verksamhet för att utföra en uppgift av allmänt intresse. 

I enlighet med artikel 6.3 i dataskyddsförordningen föreskrivs i fråga om analys- och rapporteringstjänsten om grunden för behandlingens lagenlighet, vilken typ av uppgifter som ska behandlas, till vem och för vilket ändamål uppgifterna får lämnas ut, ändamålsbegränsningar, lagringstider, typer av behandling och förfaranden för behandling, såsom lämpliga skyddsåtgärder samt tillgodoseendet av den registrerades rättigheter i förhållande till den registeransvarige. Dessutom motiveras i förslaget behovet av och proportionaliteten i behandlingen av uppgifter i förhållande till målen och det legitima mål som eftersträvas. 

I artikel 9.1 i dataskyddsförordningen förbjuds behandling av särskilda kategorier av personuppgifter. Den punkten ska dock inte tillämpas om behandlingen enligt punkt 2 g i den artikeln är nödvändig bland annat av hänsyn till ett viktigt allmänt intresse på grundval av medlemsstatens nationella rätt. Det förutsätts att behandlingen står i proportion till det eftersträvade syftet, att den nationella rätten är förenlig med det väsentliga innehållet i rätten till dataskydd och innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Inom analys- och rapporteringstjänsterna behandlas inte sådana uppgifter som enligt dataskyddsförordningen hör till särskilda kategorier av personuppgifter annat än på ovan nämnda grunder i fråga om längden på sjukfrånvaro på grund av sjukdom, yrkessjukdom eller olycksfall i arbetet. Informationen i fråga är en viktig, motiverad och nödvändig indikator t.ex. vid bedömning av välbefinnandet i arbetet eller omständigheter i anslutning till det på statistisk nivå för att utveckla, styra och leda verksamheten. Om detta föreslås en särskild bestämmelse, där användningen av uppgifter som hör till särskilda kategorier av personuppgifter inte behandlas till andra delar än i fråga om den ovan nämnda sjukfrånvarotidens längd. Egentliga diagnosuppgifter om hälsotillståndet behandlas inte i analys- och rapporteringstjänsten. 

I propositionen beskrivs hur lämpliga och särskilda åtgärder för att skydda den registrerades rättigheter enligt 6 § 2 mom. i dataskyddslagen vidtas redan i planeringsskedet för den tjänst som ska byggas. På detta sätt säkerställs och verifieras uppgiftsbehandlarnas verksamhet (logginformation), förbättras personalens kompetens (utbildning), utses ett dataskyddsombud och förhindras onödig åtkomst till personuppgifter (begränsad grupp av uppgiftsbehandlare). Dessutom utförs av skyddsåtgärderna kryptering och pseudonymisering, tjänsternas kontinuerliga ändamålsenlighet och funktionssäkerhet, regelbundet säkerställande av tekniska och organisatoriska åtgärder samt en konsekvensbedömning avseende dataskydd i enlighet med artikel 35 i dataskyddsförordningen. 

Den planerade verksamheten är nödvändig och proportionerlig för att säkerställa att statsförvaltningen fungerar effektivt genom kunskapsbaserat beslutsfattande och kunskapsbaserad ledning. Verksamhetens förenlighet med allmänt intresse säkerställs när det ses till att de offentliga finanserna och de offentliga medlen används effektivt och att statsförvaltningen fungerar. Det är viktigt att den information som behandlas i analys- och rapporteringstjänsterna finns tillgänglig för utveckling, styrning och ledning av verksamheten. 

Enligt behandlingsgrunden bestäms också den registrerades rättigheter. Dessa rättigheter och avvikelser från dem beskrivs i ett separat kapitel ”2.2.3 Registerföring och gemensamt personuppgiftsansvar för uppgifter inom ekonomi- och personalförvaltningen”.  

Behandlingen av uppgifter i analys- och rapporteringstjänsterna 

I praktiken innebär den utveckling som eftersträvas med analysverksamheten till exempel insamling av information och visualisering till lägesbilder, analyser av kvalitet eller produktivitet som förklarar fenomenen samt utveckling av föregripande och klassificerande maskininlärda modeller – och planering av utvecklingsåtgärder som genomförs utifrån dessa. Servicemodellen har pilottestats med begränsat material i form av uppdrag för enskilda kundämbetsverk. Analysprocessen börjar med att tillsammans med kunden definiera det problem som ska analyseras. Dessutom avtalas det om aktörernas ansvar och färdplan. Den egentliga analysfasen består av insamling och behandling, analys och visualisering av data. Slutligen gås analysresultaten igenom tillsammans med kunden, vilket gör det möjligt att precisera definitionen av problemet och föra in nya datakällor i ett nytt analysskede. Utifrån analysresultaten utarbetas utvecklingsförslag, information om analysen ges till behövliga aktörer och analysmöjligheterna gås igenom. 

De centrala ämnesområdena för analysverksamheten hänför sig till personalen och ekonomin samt till olika uppdrag som stöder substansprocesserna. Analyser som gäller personalen har gjorts bl.a. i anslutning till kartläggning av personalresurserna, personalomsättningen, kompetensen, välbefinnandet i arbetet, kostnaderna för arbetsoförmåga och den regionala placeringen av statsanställda. Ekonomiska analyser har gjorts bl.a. i anslutning till produktiviteten i förvaltningens funktioner, statens IKT-utgifter och avgiftsbelagd verksamhet. Dessutom har man med hjälp av gemensamma tjänsteproducenters uppgifter bl.a. genomfört analyser som gäller konsekvenserna av förändringar i arbetsmiljön och resor. Uppdragsvis har analyser som stöder utvecklingen av substansprocesserna genomförts bl.a. i fråga om optimering av utsökningsverkens verksamhet, effektivisering av åklagarväsendets skötsel av brottmål och tullkontorens resurseffektivitet. 

De uppgifter som används i analys- och rapporteringstjänsterna innehåller sådana personuppgifter som avses i dataskyddsförordningen och som plockas ut ur de gemensamma tjänsteproducenternas informationssystem i en process tillsammans med de parter som äger informationssystemen och uppgifterna i dem. Analys- och rapporteringstjänsterna har inte direkt tillgång till de ursprungliga registren. Personuppgifter pseudonymiseras innan de överförs för att utnyttjas i analys- och rapporteringstjänsterna. Vid behandlingen av personuppgifter följer man de tekniska och organisatoriska verksamhetsmodeller för att skydda uppgifterna som beskrivs i detta avsnitt. Då säkerställs en korrekt behandling av uppgifterna och uppgifternas integritet och konfidentialitet. Processen för behandling av uppgifter överensstämmer med de principer för dataskydd som beskrivs i dataskyddsförordningen och med annan gällande lagstiftning. Uppgifterna behandlas på ett lagenligt, korrekt och transparent sätt. I enlighet med principen om uppgiftsminimering samlas de in och behandlas endast i den omfattning som behövs för den verksamhet med analys- och rapporteringstjänster som beskrivs i den föreslagna lagändringen. Uppgifterna behandlas konfidentiellt och säkert och bevaras i en form som gör det möjligt att identifiera personer endast under den tid som krävs för att utföra analys- och rapporteringstjänsterna t.ex. för att kombinera uppgifter i olika register pseudonymiserade före analysen. Behovet av att använda uppgifterna bedöms uppdragsvis och de uppgifter som använts utplånas senast ett år efter det att uppdraget blivit färdigt. Behovet av de uppgifter som används bedöms årligen. Vid behandlingen av uppgifter korrigerar och rättar man även till eventuella felaktiga eller inexakta uppgifter. 

Statskontoret och servicecentret beskriver skriftligt behandlingen av personuppgifter bl.a. genom en uppdaterad redogörelse för behandlingsåtgärderna, en service- och processbeskrivning, en bedömning av dataskyddskonsekvenserna samt riskbedömningar. Då fullgörs informationsskyldigheten enligt dataskyddsförordningen och den registeransvariges ansvarsskyldighet i dataskyddsärenden. De dokument som utarbetas ska beskriva hur principerna för dataskyddet förverkligas i verksamheten och i verksamhetsprinciperna, förfarandena för informationsgivning, de rättsliga grunderna tillsammans med en bedömning av dem, interna och externa anvisningar, beskrivningar av dokumentationen och processen i anknytning till kränkningar av informationssäkerheten när det gäller personuppgifter, avtal som gäller behandlingen av uppgifter och personuppgiftsansvar. Handlingarna finns tillgängliga hos de registeransvariga, dvs. Statskontoret eller servicecentret, som fungerar som kontaktpunkter för tjänsterna. Statskontoret och servicecentret upprättar de ovannämnda handlingarna i samarbete med de gemensamma serviceproducenterna och ämbetsverken. Dessutom ges information i form av automatiserad kommunikation via informationssystemenen samt i form av en webbplats som uppdateras regelbundet och som är allmänt tillgänglig. I samband med att analys- och rapporteringstjänsterna införs ordnar Statskontoret ett behövligt informationsmöte om saken. 

Det tekniska genomförandet av analys- och rapporteringstjänsterna har ännu inte avgjorts i detalj till alla delar i samband med att regeringens proposition överlämnas. Vid utredningen av alternativen för genomförande har det framkommit att det inte är ändamålsenligt att förverkliga den gemensamma tekniska plattformslösningen inom ramen för de nuvarande tekniska lösningarna, i och med att informationssystemens egentliga användningsändamål då kan äventyras. En centraliserad lösning är förenlig med statens intresse som helhet. 

Analys- och rapporteringstjänsterna ordnas med hjälp av en teknisk plattformslösning som Statskontoret och servicecentret bygger upp och använder tillsammans. De uppgifter som ska utnyttjas på plattformen ska hämtas ur de gemensamma tjänsteproducenternas register (informationssystem). Statskontoret och servicecentret fastställer det närmare informationsinnehållet i de uppgifter som ska utnyttjas tillsammans med de gemensamma tjänsteproducenterna och ämbetsverken och bereder tekniska lösningar för överföring av behövliga uppgifter. Till Statskontorets och servicecentrets uppgifter hör att definiera och uppdatera beskrivningarna av den informationsstruktur som behövs och att säkerställa att definitionen av informationsstrukturen är samordnad och effektiv. I arbetet kan den sakkunskap som finns hos det ministerium som ansvarar för förvaltningsområdet eller hos Myndigheten för digitalisering och befolkningsdata utnyttjas för att säkerställa informationens interoperabilitet. På plattformen söks endast sådana uppgifter som varje analysuppdrag förutsätter och som fås från källsystemen via gränssnittsförfrågan och från vilka de förs pseudonymiserade till analytiker. De personuppgifter som behandlas förvaras inte på plattformen längre än den tid som uppdraget kräver. Den logiska verksamhetsmodellen för tjänsten och de kontroller som genomförts för att följa den överensstämmer med ovan nämnda principer. 

Den tekniska plattformen består i praktiken av två separata plattformar: en analysplattform och en rapporteringsplattform. Med hjälp av analysplattformen behandlar Statskontorets och servicecentrets analytiker sådana uppgifter som analyseras och rapporteras för internt bruk inom statsförvaltningen. Båda aktörerna behandlar uppgifter inom sina egna uppgiftsområden, vilka kompletterar varandra. Med hjälp av rapporteringsplattformen publiceras analys- och rapporteringstjänsternas resultat, vilka har anonymiserats och aggregerats innan de fördes över från analysplattformen till rapporteringsplattformen. Behandlingen av uppgifter i verksamheten med analys- och rapporteringstjänster kan beskrivas med hjälp av tre behandlingsfaser (Figur 1). 

Figur 1. Faser för behandlingen av uppgifter i verksamheten med analys- och rapporteringstjänster 

I den första fasen av behandlingen fås de uppgifter som behövs för verksamheten med analys- och rapporteringstjänster ur de gemensamma serviceproducenternas register. Av uppgifterna plockas för analys- och rapporteringsändamål endast det antal som krävs för analysuppdragen. De uppgifter som väljs ut beskrivs närmare i avsnitt ”2.2.2 Uppgifter som behandlas”. De uppgifter som valts ut kan inbegripa personuppgifter där en person direkt eller indirekt kan identifieras. Personuppgifter pseudonymiseras och används för att kombinera informationsinnehåll och som källmaterial för de statistiska analyser som produceras. Källsystemen innehåller endast i mycket liten utsträckning uppgifter som hör till särskilda kategorier av personuppgifter, exempelvis i samband med löneuppgifter när det gäller uppgifter om medlemsavgifter till fackföreningar. Dessa uppgifter som hör till särskilda kategorier av personuppgifter plockas eller utnyttjas inte i analys- och rapporteringstjänsterna annat än i fråga om längden på sjukfrånvaro på grund av sjukdom, yrkessjukdom eller olycksfall i arbetet. Källsystemen innehåller också uppgifter som är sekretessbelagda enligt offentlighetslagen, såsom uppgifter om orsaken till att någon är utsökningsgäldenär. Sekretessbelagda uppgifter får behandlas på analysplattformen, men deras innehåll publiceras inte. Detaljerade personuppgifter i en matrikel, såsom uppgifter om anställningshistoria eller uppgifter om straff eller förtjänst- eller utmärkelsetecken, förs inte över till analys- och rapporteringstjänsterna. 

Härnäst, innan uppgifterna överförs till analysplattformen, bedöms vid behandlingen av uppgifterna den kumulativa effekten av uppgifterna med tanke på informationssäkerheten, för att de uppgifter som ska samköras inte ska avslöja uppgifter som motsvarar en för hög skyddsnivå som tidigare använts eller den nuvarande säkerhetsklassificeringen. När det gäller personuppgifter som identifierar en person och sekretessbelagda uppgifter ska de uppgifter som väljs ut för verksamheten med analys- och rapporteringstjänster fås att överensstämma med dataskydds- och informationssäkerhetskraven genom pseudonymisering eller genom någon annan motsvarande behandling. Överensstämmelsen med kraven ska uppnås och de åtgärder som behövs i materialet ska utföras innan uppgifterna förs över till den separata tekniska analysplattformen. Pseudonymiseringen och den egentliga analysen av uppgifterna utförs av olika analytiker. 

Vid behandlingen av uppgifter sker den egentliga analysen på den separata tekniska analysplattformen där de uppgifter som samlats in från de gemensamma serviceproducenternas register används för att möta statsförvaltningens användningsbehov vad gäller analys och rapportering. På analysplattformen har Statskontorets och servicecentrets analytiker tillgång till de uppgifter som samlats ur de gemensamma serviceproducenternas register med hjälp av gränssnittet och som har definierats tillsammans med överlåtaren. Statskontorets och servicecentrets analytiker har inte direkt tillgång till de ursprungliga registren. Med hjälp av de samlade uppgifterna producerar Statskontorets analytiker tjänster som är inriktade på de behov som finns hos staten som helhet och på statsrådsnivå. Servicecentret producerar tjänster för kunderna och använder uppgifter för att utveckla sitt verksamhetsområde. 

Analysplattformen administreras med hjälp av beviljade åtkomsträttigheter och kontrollerade logguppgifter. Plattformslösningen följer dataskydds- och informationssäkerhetskraven samt statsförvaltningens anvisningar och föreskrifter om informationssäker behandling av uppgifter. Uppgifterna på analysplattformen behandlas av utbildade och instruerade analytiker vid Statskontoret och servicecentret, vilka har genomgått en normal säkerhetsutredning. Analytikerna följer principerna om dataskydd och informationssäkerhet och allmänna forskningsetiska principer. På analysplattformen behandlas uppgifter endast av sådana analytiker som har nämnts och på det sätt som närmare beskrivs i denna regeringsproposition. Behandlingen av uppgifter är systematisk och en ansvarig person har utsetts för den. Vid behandlingen av uppgifter avslöjas inte uppgifter som gäller en enskild person eller som är sekretessbelagda för utomstående. Biträdena har tystnadsplikt och omfattas av straffrättsligt tjänsteansvar på det sätt som närmare anges i 40 kap. i strafflagen (39/1889). 

Vid behandlingen av uppgifter anonymiseras och aggregeras de resultat som ska publiceras i verksamheten med analys- och rapporteringstjänster redan på analysplattformen. Publiceringen kan ske med hjälp av en separat rapporteringsplattform eller på något annat jämförbart sätt. Överlåtelsen av analys- och rapporteringsresultat för internt bruk inom förvaltningen eller publiceringen av dem sker anonymiserat och på statistisk nivå så att enskilda personer inte kan identifieras utifrån de uppgifter som publiceras. Vid anonymiseringen av uppgifter sparas en beskrivning av hur det anonymiserade materialet bildades, anonymiseringsmetoderna och slutresultatet, så att det vid behov går att spåra till exempel fel som uppstått i samband med anonymiseringen. Vid anonymiseringen ska uppmärksamhet fästas vid den teknik som används så att det inte längre är möjligt att identifiera den registrerade. De uppgifter som lämnas ut eller publiceras kan inte hänföras till individnivå och de innehåller varken personuppgifter eller sekretessbelagda uppgifter. Resultaten av analys- och rapporteringstjänsterna kan också publiceras för allmänt bruk. På så sätt fullgörs myndigheternas skyldighet enligt 20 § i offentlighetslagen att producera och sprida information. 

Kvaliteten på analys- och rapporteringstjänsterna förutsätter att de uppgifter som utnyttjas är korrekta. För uppgifternas riktighet svarar i första hand de ursprungliga personuppgiftsansvariga, dvs. de ämbetsverk och inrättningar som lämnar uppgifter till de gemensamma serviceproducenternas register. I egenskap av personuppgiftsansvariga för de nya analys- och rapporteringstjänsterna svarar Statskontoret och servicecentret för att de fel och brister som de upptäcker avhjälps genom att de rapporterar dem till den aktör som lämnat ut uppgifterna och genom att vidta rimliga åtgärder för att rätta uppgifter som är otydliga och felaktiga i förhållande till de ändamål för vilka de behandlas. 

Dataskydd, datasäkerhet och sekretessbelagda uppgifter 

En i artikel 35 i dataskyddsförordningen avsedd konsekvensbedömning avseende dataskydd har utarbetats före inledandet av analys- och rapporteringstjänsterna. Bedömningen uppdateras alltid när nya klasser av personuppgifter tas in på plattformen. Konsekvensbedömningen har utförts av en utomstående sakkunnigorganisation. 

Konsekvensbedömningen innehåller en systematisk beskrivning av den planerade behandlingen och behandlingens syften, en bedömning av behovet av och proportionaliteten hos behandlingen i förhållande till syftena, en bedömning av riskerna för de registrerades rättigheter och friheter, de åtgärder som planeras för att hantera riskerna liksom dokumentering av bedömningen och uppföljning av genomförandet. Bland de handlingar som gäller tjänsterna är i synnerhet beskrivningen av tjänsterna, konsekvensbedömningen avseende dataskyddet och informationen om hur den följs tillgängliga också för ämbetsverken. 

Med hjälp av bedömningsresultaten har den planerade verksamhetsmodellen, serviceplattformen och serviceprocessen preciserats så att de motsvarar kraven. Aktörerna inom analys- och rapporteringsverksamheten, Statskontoret, servicecentret och de andra gemensamma serviceproducenterna svarar för sin del för att de personuppgiftsrisker som upptäckts i konsekvensbedömningen minimeras till en godtagbar nivå. Statskontoret och servicecentret dokumenterar också uppföljningsuppgifterna från konsekvensbedömningen avseende dataskyddet för att åtgärderna ska kunna bedömas också i efterhand. 

Det ska också göras en bedömning och ett godkännande av informationssäkerheten för tjänsterna i syfte att fullgöra och påvisa den ansvarsskyldighet som dataskyddet förutsätter. Bedömningen av informationssäkerheten utförs i enlighet med lagen om bedömning av informationssäkerheten i myndigheternas informationssystem och datakommunikation.  

För att verksamheten med analys- och rapporteringstjänster ska ge mervärde förutsätter det att olika datamaterial samkörs. Datamaterialet samkörs med hjälp av pseudonymiserade identifieringsuppgifter. Identifieringsuppgifter används endast när det är nödvändigt för att samköra datamaterial eller när det annars är nödvändigt för att säkerställa att det genereras tillförlitliga och jämförbara resultat i verksamheten med analys- och rapporteringstjänster. För skötseln av uppgiften att producera analys- och rapporteringstjänster föreslås det att Statskontoret och servicecentret ska ha rätt att avgiftsfritt och oberoende av sekretessbestämmelserna få de uppgifter som behövs för att utföra uppgiften, dock med beaktande av de föreslagna begränsningarna i överensstämmelse med offentlighetslagen. Uppgifterna kan inbegripa personuppgifter och sekretessbelagda uppgifter. I tjänsterna ser man till att de bestämmelser och principer som ska trygga integritetsskyddet beaktas i den planerade verksamheten i enlighet med omsorgsplikten. Den registrerade kan utöva den registrerades rättigheter enligt artiklarna 12—22 i dataskyddsförordningen och 31, 33 och 34 § i dataskyddslagen i förhållande till den personuppgiftsansvarige (se punkt ”2.2.3 Registerföring och gemensamt personuppgiftsansvar för uppgifter inom ekonomi- och personalförvaltningen”). 

När det gäller behandlingen av uppgifter är principen den att Statskontoret och servicecentret har rätt att få sekretessbelagd information för verksamheten med analys- och rapporteringstjänster, och uppgifterna ska fås att överensstämma med dataskydds- och informationssäkerhetskraven under beredningsskedet, före den egentliga analysen och rapporteringen. Dessutom bedöms eventuella kumulativa effekter av en samkörning av uppgifterna tillsammans med den aktör som lämnar ut uppgifterna. De kumulativa effekterna bedöms också när information som tagits fram i verksamheten med analys- och rapporteringstjänster samkörs med information från andra källor. 

Undantag från sekretessbestämmelserna behövs för att man ska få ett heltäckande faktaunderlag så att det kan säkerställas att resultaten och slutsatserna om dem är korrekta. Avvikelse från sekretessbestämmelserna behövs också för att uppgifter ska kunna lämnas ut för analys- och rapporteringstjänstverksamheten, där det som en helhetsbedömning säkerställs att det av uppgifter som samkörts från flera källor inte ansamlas uppgifter enligt en högre skyddsnivå eller säkerhetsklassificering (kumulationseffekt). I fråga om analys- och rapporteringstjänster går Statskontoret och servicecentret som tar emot uppgifterna igenom de uppgifter som lämnas ut tillsammans med den gemensamma tjänsteproducent som lämnar ut uppgifterna och de ämbetsverk och inrättningar som lämnar ut uppgifter för analys- och rapporteringsserviceverksamheten. Genomgången av uppgifter, begränsningen av undantag från sekretessbestämmelserna och frågor som gäller säkerhetsklassificering beskrivs närmare i detaljmotiveringen till bägge lagförslagen. Överlåtaren ansvarar för utlämnandet av uppgifter med hjälp av ett gränssnitt. 

Resultaten av analys- och rapporteringstjänsterna, dvs. de uppgifter som lämnas vidare från Statskontoret eller servicecentret, innehåller inga personuppgifter. Uppgifterna anonymiseras, vilket innebär att datamaterial som innehåller personuppgifter behandlas så att enskilda personer inte kan identifieras utifrån uppgifterna. Uppgifterna kan till exempel slås ihop till större undersökningsenheter, dvs. aggregeras, eller ändras till ett statistiskt format där grupper av uppgifter som är mindre än vad som utgör den statistiketiska gränsen inte publiceras. Genom anonymisering förhindras identifiering av personuppgifter oåterkalleligt och den personuppgiftsansvarige eller någon annan utomstående aktör kan inte längre använda de uppgifter som de innehar till att ändra tillbaka uppgifterna så att de kan identifieras. Anonymiserade uppgifter betraktas inte längre som personuppgifter och dataskyddsbestämmelserna om personuppgifter tillämpas inte på dem. 

2.2.2  2.2.2 Uppgifter som behandlas

Uppgifter från olika ansvarsområden som gäller statsförvaltningens verksamhet och ekonomi och som gäller ämbetsverk och inrättningar finns i de gemensamma serviceproducenternas informationssystem (register) och de kan användas internt inom förvaltningen för att utveckla, styra och leda verksamheten. Statens gemensamma tjänster produceras av Statskontoret (finansiering och ekonomiförvaltning), Servicecentret för statens ekonomi- och personalförvaltning (ekonomi- och personalförvaltning), Hansel Ab (upphandling), Haus kehittämiskeskus Oy (utbildning), Senatfastigheter (lokaler), Statens center för informations- och kommunikationsteknik (informationsförvaltning) och Myndigheten för digitalisering och befolkningsdata (projektuppgifter). Gemensamma uppgifter om statsförvaltningens verksamhet och ekonomi används med hjälp av analys- och rapporteringstjänster som stöd för beredning och beslutsfattande. 

Uppgifter som behandlas i verksamheten med analys- och rapporteringstjänster är uppgifter som gäller planeringen och uppföljningen av verksamhet, ekonomi- och personalförvaltningen (inbegripet reseförvaltning), den gemensamma grundläggande informationstekniken, hanteringen av upphandlingar, lokalhanteringen, centraliserade utbildningstjänster, projekthanteringen och organisationsstrukturen. De uppgifter som behandlas är inte sådana registeruppgifter som förvaltas av de gemensamma serviceproducenterna som i första hand gäller medborgare, företag eller organisationernas kunder. De uppgifter som behandlas hänför sig till verksamheten vid statliga ämbetsverk och inrättningar och, med de begränsningar som nedan beskrivs närmare, till personaluppgifter. I verksamheten kan det också användas annan oidentifierbar information som behövs för tillhandahållandet av analys- och rapporteringstjänster samt annan offentlig information. 

De uppgifter som granskas i verksamheten med analys- och rapporteringstjänster gäller statliga ämbetsverk och inrättningar vars uppgifter finns i de gemensamma serviceproducenternas register och vilka är skyldiga att använda de gemensamma tjänsterna. Varje statlig myndighet eller inrättning äger de uppgifter som finns om dem i registren. Sådana ämbetsverk och inrättningar är också de statliga ämbetsverk och inrättningar som Statskontoret med stöd av en budgetlag har beviljat dispens för viss tid för avvikelse från bestämmelserna om ansvarsfördelningen inom ekonomiförvaltningen och löneräkningen. Verksamheten gäller inte riksdagen och inte heller riksdagens justitieombudsmans kansli, Statens revisionsverk, Människorättscentret, Utrikespolitiska institutet och Jubileumsfonden för Finlands självständighet Sitra, vilka är verksamma i anslutning till eller övervakas av riksdagen. Även andra uppgifter om statliga eller icke-statliga organisationer som eventuellt finns i de gemensamma serviceproducenternas register lämnas utanför granskningen. Sådana organisationer är Finlands Bank och Försörjningsberedskapscentralen. 

De uppgifter som behandlas i analys- och rapporteringstjänsterna inbegriper inte uppgifter om fällande domar i brottmål eller överträdelser. Behandlingen av uppgifter eller de analyser som produceras leder inte till några direkta konsekvenser eller automatiserade enskilda beslut för enskilda personer, utan den information som produceras används som stöd för beredningen och beslutsfattandet i statens interna utveckling, styrning och ledning av verksamheten. I verksamheten utnyttjas inte uppgifter som omfattas av det skydd för privatlivet och förtroliga meddelanden som tryggas i 10 § i grundlagen. Den behandling av uppgifter om sjukfrånvarons längd som beskrivs i punkten ”Rättslig grund för behandling av uppgifter” och som är motiverad och nödvändig vid analysen är här ett undantag. Uppgifter lämnas inte ut till länder utanför EU eller EES eller till internationella organisationer. 

När det gäller uppgifterna inom säkerhetssektorn behandlas och förenklas informationsmaterialet med beaktande av kumulationseffekterna så att de uppgifter som behandlas i analys- och rapporteringstjänstverksamheten är informationssäkra och inte medför säkerhetsrisker. Säkerhetssektorn omfattar Brottspåföljdsmyndigheten, Gränsbevakningsväsendet, skyddspolisen, polisen, migrationsförvaltningen, räddningsväsendet och nödcentralsbranschen, civil krishantering, försvarsmakten och försvarsförvaltningens byggverk samt Cybersäkerhetscentret. Statskontoret och servicecentret kommer tillsammans med respektive ämbetsverk inom säkerhetssektorn överens om de informationssäkerhetskrav som behövs och om de åtgärder som dessa förutsätter. Genom detta förfarande säkerställs det att säkerheten inte äventyras för ämbetsverkens personal eller samhället. I detaljmotiveringen till lagförslaget beskrivs det närmare till vilka delar det inte får göras undantag från sekretessbestämmelserna. Till de gemensamma serviceproducenternas register hör inte det personuppgiftssystem som för närvarande används av försvarsmakten. Uppgifter i det systemet kan användas på en mera allmän nivå i analys- och rapporteringstjänsterna. 

Behandling av personuppgifter 

Inom statsförvaltningens interna analys- och rapporteringstjänstverksamhet behandlas registeruppgifter som plockats ur statens gemensamma tjänsteproducenters informationssystem. Verksamheten förutsätter sådan behandling av personuppgifter för sammanställande och analys av uppgifter som avses i dataskyddsförordningen och den lagstiftning som kompletterar den. Målet för analys- och rapporteringstjänsterna är en helhet av uppgifter om verksamheten och ekonomin, inte uppgifter om enskilda personer. Omfattningen av behandlingen av personuppgifter är motiverad, eftersom de behövs för att sammanställa uppgifter, tillämpa statistiska analysmetoder och därmed producera ny information och uppnå de mål som nämns i lagförslaget. Den information som samlats in inom statsförvaltningen effektiviserar det kunskapsbaserade beslutsfattandet och förbättrar det systematiska utnyttjandet av informationen. 

Inom analys- och rapporteringstjänsterna överensstämmer behandlingen av uppgifter med kraven på dataskydd och datasäkerhet. Identifierbara personuppgifter skyddas genom pseudonymisering och samkörning av uppgifter som söks ur olika register sker med hjälp av pseudonymiserad information. Kryptonycklar som används vid pseudonymisering förvaras hos en begränsad grupp användare och personuppgifter pseudonymiseras av andra analytiker än de som analyserar uppgifterna. De uppgifter som behövs för analys- och rapporteringstjänsterna gås igenom tillsammans med den som lämnar ut uppgifterna innan uppgifterna överförs för behandling i analys- och rapporteringstjänsterna. Analys- och rapporteringstjänsterna har inte tillgång till de ursprungliga informationssystem som utgör källor. Vid samkörning av uppgifter bedöms också kumulationseffekten av uppgifterna genom utnyttjande av den sakkunskap som finns hos den som lämnar ut uppgifterna och inom säkerhetssektorn. Det eventuella kravet på säkerhetsklassificering av det nya informationsmaterialet bedöms och de åtgärder som detta förutsätter vidtas för att undvika farliga arbetskombinationer. Uppdragen och uppgifterna om den som genomför dem lagras för att säkerställa att behandlingen av uppgifterna är korrekt. Resultat av de personuppgifter som behandlats som pseudonymiserade i analys- och rapporteringstjänsterna publiceras endast i anonymiserad och statistiskt aggregerad form så att uppgifter om enskilda personer inte kan identifieras. 

Personuppgifter finns i 32 informationssystem som utgör källor. I fyra av de informationssystem som utgör källor finns uppgifter som hör till i artikel 9 i dataskyddsförordningen avsedda särskilda kategorier av personuppgifter. Dessa uppgifter plockas eller utnyttjas inte i analys - och rapporteringstjänsterna annat än i fråga om längden på sjukfrånvaro på grund av sjukdom, yrkessjukdom eller olycksfall i arbetet. Informationen om frånvaron är väsentlig och nödvändig för att utveckla, styra och leda verksamheten. Inom analys- och rapporteringstjänsterna har processen för behandling av uppgifter byggts upp så att också uppgifter som hör till särskilda kategorier av personuppgifter kan behandlas med beaktande av det dataskydd och den datasäkerhet som behandlingen av uppgifterna förutsätter. Uppgifter som gäller sjukfrånvaro samkörs med andra uppgifter som behandlas i analys- och rapporteringstjänsterna i första hand i servicecentret. Grunden för behandling av uppgifter som hör till särskilda kategorier av personuppgifter är artikel 9.2 g i dataskyddsförordningen. Saken motiveras närmare i avsnittet ”Rättslig grund för behandling av uppgifter”. Egentliga diagnosuppgifter om hälsotillståndet behandlas inte. 

Nedan beskrivs de uppgifter som får användas i verksamheten med analys- och rapporteringstjänster, grupperade enligt de lagändringar som denna regeringsproposition gäller. För varje uppgiftskategori beskrivs informationsinnehållet, i vems register uppgifterna finns och hurdana personuppgifter uppgifterna inbegriper samt om personuppgifterna i fråga används i verksamheten med analys- och rapporteringstjänster. En del av uppgiftskategorierna gäller för både Statskontoret och servicecentret. På det ställe som gäller den andra aktören nämns då kortfattat det ställe där uppgifterna presenteras. 

Lagen om statskontoret 

Exempel på uppgifter som gäller planeringen och uppföljningen av verksamhet är uppgifter om ämbetsverkens resultatmål, bokslut, verksamhetsberättelser och årsberättelser, uppgifter om hur ministeriernas och ämbetsverkens resultatmål har utfallit, ministeriernas ställningstaganden i fråga om bokföringsenheternas bokslut och uppgifter om personalbokslut. Uppgifterna om ministeriernas och ämbetsverkens resultatmål och hur de har utfallit finns i Statskontorets informationssystem (register). Resten av de uppgifter om planeringen och uppföljningen av verksamhet som nämnts är offentliga handlingar om planering och uppföljning som upprättats av ämbetsverk och inrättningar och som för närvarande inte utgör en centraliserad informationsresurs. De uppgifter om planeringen och uppföljningen av verksamhet som kan användas i verksamheten med analys- och rapporteringstjänster innehåller inga personuppgifter. 

Uppgifter om ekonomi- och personalförvaltningen beskrivs nedan i avsnittet ”Lagen om Servicecentret för statens ekonomi- och personalförvaltning”. 

Exempel på uppgifter om den gemensamma grundläggande informationstekniken (informationsförvaltningen) är uppgifter om ämbetsverkens terminalutrustning och användarstödstjänster, uppgifter om kommunikationstekniska tjänster, datakommunikationstjänster, drifttjänster och kontorstillämpningar samt uppgifter om hur dessa tjänster används. Uppgifter om den gemensamma grundläggande informationstekniken finns i de informationssystem (register) som hör till Statens center för informations- och kommunikationsteknik. Uppgifterna i registren för den gemensamma grundläggande informationstekniken inbegriper personuppgifter såsom användarnas namn, kontaktuppgifter, uppgifter om användaridentiteter och åtkomsträttigheter. De tillvägagångssätt som kan tillämpas vid behandlingen av personuppgifter beskrivs närmare i avsnittet ”Behandling av personuppgifter”. 

Uppgifter om reseförvaltningen ingår i uppgifterna om ekonomi- och personalförvaltningen och de beskrivs nedan i avsnittet ”Lagen om Servicecentret för statens ekonomi- och personalförvaltning”. 

Exempel på uppgifter om hanteringen av upphandlingar är uppgifter om statsförvaltningens upphandlingar, gemensamma upphandlingar, ramavtal, konkurrensutsättningar, beställningar och avtal. Uppgifterna finns i Hansel Ab:s informationssystem (register). Uppgifterna om gemensamma upphandlingar inbegriper personuppgifter om dem som är kontaktpersoner och ansvariga personer vid upphandlingar. Uppgifter om kontaktpersoner och ansvariga personer används inte i verksamheten med analys- och rapporteringstjänster. Uppgifter som gäller upphandlingar finns också i servicecentrets informationssystem (register) för ekonomiförvaltningen och uppgifterna kan inbegripa uppgifter om statens leverantörer och kunder. Leverantörernas och kundernas personuppgifter används inte i verksamheten med analys- och rapporteringstjänster. På behandlingen av uppgifter i avtal som innehåller företagshemligheter tillämpas lagen om företagshemligheter (595/2018). 

Uppgifter om lokalhanteringen är uppgifter om byggnader, lokaler, konstruktioner och fastighetsegendom som används av staten. De uppgifterna omfattar basuppgifter, såsom offentliga uppgifter om byggnadens eller fastighetens läge, egendomsslag, arealuppgifter och huvudsakliga användningsändamål. Uppgifter om lokalhanteringen är också uppgifter om användningen av lokalerna, t.ex. grundläggande uppgifter om hyresavtal, uppgifter om den organisation som använder lokalerna, personantal per verksamhetsställe, allmänna uppgifter om användningsändamål, uppgifter om lokalkostnader (hyror och andra lokalkostnader), effektiv användning av lokalerna samt andra motsvarande offentliga uppgifter om lokalhanteringen. Till uppgifterna i lokalhanteringen hör också uppgifter om miljöansvar, såsom energiförbrukningen i lokalerna och de koldioxidutsläpp som den orsakar. Uppgifter om lokalhanteringen finns i Senatfastigheters informationssystem (register), såsom informationstjänsten för förvaltningens lokalhantering (HTH), som är avsedd för statsförvaltningen och som avses i statens lokalstrategi. Uppgifterna om lokalhanteringen kan inbegripa personuppgifter i form av uppgifter om var någon är placerad i en fastighet, och sådana uppgifter får användas i verksamheten med analys- och rapporteringstjänster om dataskydds- och informationssäkerhetskraven beaktas. De tillvägagångssätt som kan tillämpas vid behandlingen av personuppgifter beskrivs närmare i avsnittet ”Behandling av personuppgifter”. 

I HTH-informationstjänsten finns både offentliga och sekretessbelagda uppgifter (säkerhetsklass IV). Säkerhetsklassificerad information om lokalhantering ska inte överföras till Statskontoret och servicecentret med stöd av lagen. Ämbetsverken ska i samarbete med Senatfastigheter i fråga om de uppgifter om lokalhantering i HTH som gäller deras lokaler fastställa uppgifternas offentlighet eller eventuella säkerhetsklassificering (säkerhetsklass IV). 

Registren i lokalhanteringssystemen innehåller personuppgifter i form av uppgifter om kunder och kontaktpersoner i anslutning till skötseln av hyresförhållanden. Sådana personuppgifter överförs eller används inte i verksamheten med analys- och rapporteringstjänster. På behandlingen av uppgifter i avtal som innehåller företagshemligheter tillämpas lagen om företagshemligheter. Dessutom bör det beaktas att registren inte nödvändigtvis innehåller täckande uppgifter av alla aktörer och att en del av uppgifterna kan produceras kalkylmässigt av en gemensam tjänsteproducent inom substansområdet. 

Exempel på uppgifter om projekthanteringen är uppgifter om statsförvaltningens projekt och om beslut om, innehållet i och mål för projekt samt om kostnaderna för och finansieringen av projekt. Sådana här projekt hänför sig huvudsakligen till utveckling av verksamheten eller lagberedning. Uppgifter om projekthanteringen som kan användas i analys- och rapporteringstjänsterna finns i de informationssystem (register) som hör till Myndigheten för digitalisering och befolkningsdata. Uppgifter som gäller projekthanteringen finns också i servicecentrets informationssystem (register) för ekonomiförvaltningen och uppgifterna inbegriper personuppgifter om statens leverantörer och kunder. I de register som ingår i servicecentrets informationssystem för personalförvaltningen finns det uppgifter om den arbetstid som anvisats för projekt och om de personer som anvisat arbetstiden. De tillvägagångssätt som kan tillämpas vid behandlingen av personuppgifter beskrivs närmare i avsnittet ”Behandling av personuppgifter”. 

Exempel på uppgifter om centraliserade utbildningstjänster är uppgifter om utbildningsformer, deltagande i utbildning och kostnader för ordnande av utbildning. Uppgifter om enskilda personers kompetens och utbildningar ingår i uppgifterna om personalförvaltningen. Uppgifter om centraliserade utbildningstjänster finns i Haus kehittämiskeskus Oy:s informationssystem (register) och inbegriper personuppgifter om dem som deltagit i utbildningar. Uppgifter om enskilda personers kompetens och utbildningar finns också i servicecentrets informationssystem (register) för personalförvaltningen. De tillvägagångssätt som kan tillämpas vid behandlingen av personuppgifter beskrivs närmare i avsnittet ”Behandling av personuppgifter”. 

Uppgifter om organisationsstrukturen ingår i uppgifterna om ekonomi- och personalförvaltningen och de beskrivs nedan i avsnittet ”Lagen om Servicecentret för statens ekonomi- och personalförvaltning”. 

Lagen om Servicecentret för statens ekonomi- och personalförvaltning 

Exempel på uppgifter om ekonomiförvaltningen är uppgifter om statens centralbokföring och uppgifter som har uppkommit i anslutning till de statliga organisationernas ekonomi, såsom uppgifter om externa och interna kalkyler och uppgifter om betalningstransaktioner och kassahantering. Uppgifter om externa kalkyler omfattar budgetuppgifter och uppgifter om affärsbokföring och uppföljning av fullmakter. Uppgifter om interna kalkyler omfattar uppgifter om intern budgetering, kostnadsberäkningar och andra uppföljningsobjekt, såsom uppgifter om funktioner, prestationer och projekt. Uppgifter om betalningstransaktioner omfattar kassaprognoser, uppgifter om fakturornas cirkulation och reskontrauppgifter. Uppgifter om ekonomiförvaltningen finns i servicecentrets informationssystem (register). Uppgifterna om ekonomiförvaltningen omfattar de personuppgifter som finns i kund- och leverantörsregistret, såsom kund- eller leverantörsnummer eller verbala beskrivningar. De tillvägagångssätt som kan tillämpas vid behandlingen av personuppgifter beskrivs närmare i avsnittet ”Behandling av personuppgifter”. 

Uppgifterna om elektroniska beställningar, dokumenthanteringen och arkivsystemet liksom betalningssystemet innehåller personuppgifter som hänför sig till åtkomsträttigheter, och dessa överförs eller används inte i verksamheten med analys- och rapporteringstjänster. 

Uppgifterna om personalförvaltningen beskriver anställningsförhållandena för statsförvaltningens personal. Exempel på uppgifter om personalförvaltningen är uppgifter om utvärderingar av ledningen och arbetstillfredsställelsen, uppgifter om personalen, såsom uppgifter om examina och utbildningar, uppgifter som gäller löner, uppgifter om kompetens, uppgifter om registrerad arbetstid och frånvaro och uppgifter som gäller rekryteringar, kostnader för företagshälsovården, olycksfall, och skadestånd. Uppgifterna inbegriper inte uppgifter om diagnoser som gäller hälsotillståndet. När det gäller uppgifter om frånvaro omfattar uppgifter om sjukfrånvaro också uppgifter om frånvaro på grund av olycksfall i arbetet eller yrkessjukdom. Den ovan nämnda sjukfrånvarouppgiften kan utgöra uppgifter som hör till särskilda kategorier av personuppgifter enligt artikel 9 i dataskyddsförordningen och grunden för behandlingen av den och behandlingsförfarandets ändamålsenlighet har beskrivits i föregående kapitel i lagförslaget i stycket ”Rättslig grund för behandling av uppgifter”. Adressuppgifter för eller identifierbara personuppgifter om personer som omfattas av spärrmarkering behandlas inte i verksamheten med analys- och rapporteringstjänster. Detsamma gäller situationer där en persons riktiga identitet hemlighålls på grund av tjänsteuppdrag. Uppgifter om personalförvaltningen finns i servicecentrets informationssystem (register). Finansministeriet är personuppgiftsansvarigt i fråga om uppgifterna i statistiksystemet i statsförvaltningens personaluppgiftssystem för arbetsgivare, Tahti. Tahti innehåller också uppgifter om examina och titlar som Statistikcentralen lämnar ut samt uppgifter om pensionering som Keva lämnar ut. Dessa uppgifter utnyttjas i statens interna verksamhet med analys- och rapporteringstjänster. De tillvägagångssätt som kan tillämpas vid behandlingen av personuppgifter beskrivs närmare i avsnittet ”Behandling av personuppgifter”. 

När det gäller statsanställda finns uppgifterna om olycksfall och skadestånd i Statskontorets informationssystem och de personuppgifter som ingår i dem används inte i verksamheten med analys- och rapporteringstjänster. 

Uppgifter om reseförvaltningen, som också hör till uppgifterna om ekonomi- och personalförvaltningen, omfattar händelseuppgifter och styrdata. Exempel på händelseuppgifter är reseplaner, reseförskott, inköp, fakturor (inbegripet dagtraktamenten och kilometerersättningar) samt skattepliktiga ersättningar. Exempel på styrdata är uppgifter för hanteringen av rese- och kostnadsersättningar, personuppgifter, organisationsuppgifter, uppgifter om uppföljningsobjekt, konteringsuppgifter och uppgifter om valutakurser. Uppgifterna om reseförvaltningen finns i registren över användare och resenärer i servicecentrets rese- och kostnadshanteringssystem. Uppgifterna i reseförvaltningens system inbegriper personuppgifter. De tillvägagångssätt som kan tillämpas vid behandlingen av personuppgifter beskrivs närmare i avsnittet ”Behandling av personuppgifter”. Reseförvaltningens uppgifter om kommande resor behandlas inte med tanke på säkerhetsaspekter. 

Uppgifterna om organisationsstrukturen består av uppgifter om organisationsstrukturen för statens budget- och fondekonomi som helhet och av organisationsspecifika uppgifter. Statens budget- och fondekonomi består av bokföringsenheter och av statliga fonder utanför budgeten. Organisationsspecifika uppgifter är till exempel organisationens firmanamn, enhetsstruktur, interna verksamhetsenhetsstruktur och verksamhetsställe. Den mest heltäckande och aktuella informationen om statsförvaltningens organisation samlas i servicecentrets informationssystem för ekonomi- och personalförvaltning. Organisationsuppgifterna inbegriper personuppgifter om personer i organisationsstrukturen. De tillvägagångssätt som kan tillämpas vid behandlingen av personuppgifter beskrivs närmare i avsnittet ”Behandling av personuppgifter”. 

2.2.3  2.2.3 Registerföring och gemensamt personuppgiftsansvar för uppgifter inom ekonomi- och personalförvaltningen

När det gäller de uppgifter som används i analys- och rapporteringstjänsterna inom statsförvaltningen är det Statskontoret som är personuppgiftsansvarigt i fråga om de uppgifter som Statskontoret får och använder. I fråga om de uppgifter som används i analys- och rapporteringstjänsterna inom ekonomi- och personalförvaltningen och de uppgifter som fås ur de register som förs av de gemensamma serviceproducenterna och som används i tjänsterna är det servicecentret som är personuppgiftsansvarigt. Statskontoret och servicecentret är inte gemensamt personuppgiftsansvariga för analys- och rapporteringstjänsterna trots att de gemensamt ska använda den plattformslösning som planeras för tillhandahållandet av tjänsterna. Båda aktörerna samlar in de uppgifter som de behöver för sina uppdrag självständigt och delvis ur olika register. Gemensamt personuppgiftsansvar gäller inte heller i situationer där uppgifter som nu samlas in och behandlas i analys- och rapporteringstjänster på uppdrag samkörs med uppgifter i ämbetsverkens egna register. 

Vid skötseln av de centraliserade uppgifterna och tjänsterna inom ekonomi- och personalförvaltningen är det i fråga om uppgifterna om statens ekonomi- och personalförvaltning servicecentret som är personuppgiftsansvarigt när det gäller de statliga ämbetsverk och inrättningar som är förpliktade att vara servicecentrets kunder, republikens presidents kansli samt riksdagen och ämbetsverken i anslutning till riksdagen. I fråga om andra kunder än de som nämnts är servicecentret uppgiftsbehandlare, precis som för närvarande. Servicecentrets och kundämbetsverkens uppgifter och ansvar i fråga om det gemensamma registeransvaret beskrivs i detaljmotiveringen till detta lagförslag. 

Bestämmelser om gemensamt personuppgiftsansvar finns i artikel 26 i dataskyddsförordningen. Enligt artikel 26 i dataskyddsförordningen är det fråga om gemensamt personuppgiftsansvar om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen. De gemensamt personuppgiftsansvariga ska under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt dataskyddsförordningen, särskilt vad gäller utövandet av den registrerades rättigheter och sina respektive skyldigheter att tillhandahålla den information som avses i artiklarna 13 och 14, genom ett inbördes arrangemang, såvida inte de personuppgiftsansvarigas respektive skyldigheter fastställs genom unionsrätten eller en medlemsstats nationella rätt som de personuppgiftsansvariga omfattas av. Inom ramen för arrangemanget får det utses en kontaktpunkt för de registrerade. 

När det gäller de uppgifter som används i analys- och rapporteringstjänsterna har den registrerade den registrerades rättigheter enligt artiklarna 12—22 i dataskyddsförordningen i förhållande till den personuppgiftsansvarige, dvs. Statskontoret eller servicecentret. Enligt dataskyddsförordningen har den registrerade rätt att få information om behandlingen av sina personuppgifter, få tillgång till uppgifter, rätta uppgifter, radera uppgifter och bli bortglömd, begränsa behandlingen av uppgifter, överföra uppgifter från ett system till ett annat, motsätta sig behandling av uppgifter och inte bli föremål för automatiskt beslutsfattande. I dataskyddsförordningen föreskrivs det om de grunder på vilka undantag kan göras i fråga om den registrerades rättigheter. 

Den registrerade kan utöva den registrerades rättigheter enligt artiklarna 12—22 i dataskyddsförordningen och 31, 33 och 34 § i dataskyddslagen i förhållande till den personuppgiftsansvarige. I artikel 23 i dataskyddsförordningen finns det bestämmelser om begränsningar av den registrerades rättigheter. Enligt den artikeln är det möjligt att genom en lagstiftningsåtgärd som tillämpas på den personuppgiftsansvarige eller på personuppgiftsbiträdet begränsa tillämpningsområdet för de rättigheter och skyldigheter som föreskrivs i artiklarna 12—22 och 34 samt delvis i artikel 5 i dataskyddsförordningen. En förutsättning är att begränsningen sker med respekt för de grundläggande fri- och rättigheterna och utgör en nödvändig och proportionerlig åtgärd i ett demokratiskt samhälle. 

Närmare kriterier för undantag från den registrerades rättigheter finns i artikel 23.1 och 23.2. När det gäller analys- och rapporteringstjänster föreskrivs det i enlighet med artikel 23.1 e i dataskyddsförordningen om begränsning av den registrerades rättigheter så att grunden är ett viktigt mål av generellt allmänt intresse i en medlemsstat. I enlighet med punkt 2 d i samma artikel ska begränsningarna grundas på skyddsåtgärder för att förhindra missbruk eller olagligt tillgång till eller överföring av uppgifter.  

Verksamhetens förenlighet med allmänt intresse säkerställs när det ses till att de offentliga finanserna och de offentliga medlen används effektivt och att statsförvaltningen fungerar. Verksamheten med analys- och rapporteringstjänster stöder för sin del statsförvaltningen i förverkligandet av det ovan nämnda målet. När det gäller analys- och rapporteringstjänster beskrivs åtgärder för att skydda den registrerades legitima intressen med hjälp av en beskrivning av behandlingen av uppgifterna i analys- och rapporteringstjänsterna i avsnittet ”2.2.1 Analys- och rapporteringstjänster”.