(PÅ SVENSKA)

REKISTERINPITÄJÄ

Henkilötietojen kerääjä on rekisterinpitäjä.

TIETOSUOJAVASTAAVA

Tietosuojavastaavana toimii erityissuunnnittelija Juhani Kärki koulutuspalveluissa (esi- ja perusopetus ja lukiokoulutus). Vastuu henkilötietojen käsittelyn lainmukaisuudesta on aina rekisterinpitäjällä.

Tietosuojavastaavan tärkeimpiä tehtäviä ovat henkilötietojen käsittelyn lainmukaisuuden seuraaminen ja rekisterinpitäjän avustaminen henkilötietojen suojaa koskevan lainsäädännön noudattamisessa. Käytännössä katsoen tietosuojavastaavan tulee kerätä tietoa käsittelytoimien yksilöimiseksi, analysoida käsittelytoimia ja tarkistaa, ovatko ne vaatimusten mukaisia sekä antaa tietoja, neuvoja ja suosituksia rekisterinpitäjälle. Lisäksi tietosuojavastaava toimii yhteishenkilönä valvontaviranomaisen ja rekisteröidyn välillä henkilötietojen käsittelyä koskevissa kysymyksissä.

MILLOIN HENKILÖTIETOJA SAA KERÄTÄ?

Tietosuoja-asetuksen mukaan henkilötietoja voidaan käsitellä ainoastaan jos, ja vain siltä osin kuin, käsittelylle on olemassa jokin laissa erikseen säädetty peruste. Yksi tietosuoja-asetuksen sisältämistä periaatteista on eheyden ja luottamuksellisuuden periaate, joka edellyttää henkilötietoja käsiteltävän tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus. Rekisterinpitäjän on henkilötietojen turvallisuuden ylläpitämiseksi ja laittoman käsittelyn estämiseksi arvioitava käsittelyä siihen liittyvien tietosuojariskien pohjalta.

HENKILÖTIETOJEN KÄSITTELYN PERIAATTEET

Henkilötietoja saadaan käsitellä vain siinä tapauksessa, että käsittelyssä noudatetaan jatkuvasti kaikkia tietosuoja-asetuksen mukaisia henkilötietojen käsittelyä koskevia periaatteita (lainmukaisuus, kohtuullisuus ja läpinäkyvyys, käyttötarkoitussidonnaisuus, tietojen minimointi, täsmällisyys, säilytyksen rajoittaminen sekä eheys ja luottamuksellisuus). Rekisterinpitäjä vastaa siitä, että periaatteita noudatetaan ja hänen tulee pystyä osoittamaan, että niitä todellakin noudatetaan.

HENKILÖTIETOJEN KÄSITTELYN OIKEUDELLISET PERUSTEET

Tietosuoja-asetus sisältää kuusi oikeudellista perustetta henkilötietojen käsittelylle. Sen mukaan henkilötietoja saadaan käsitellä rekisteröidyn suostumuksella, sopimuksen täytäntöönpanemiseksi tai valmistelemiseksi, rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi, luonnollisen henkilön elintärkeiden etujen suojaamiseksi, yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi sekä rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi.

HENKILÖTIETOJEN KÄSITTELY OPPILAITOKSESSA

Oppilaitosten toiminnassa henkilötietojen käsittelyn tarkoitus on opetuksen tai koulutuksen järjestäminen. Tietosuojan selkein ilmentymä oppilaitosten arjessa on se, että henkilötietojen käsittelyn on oltava asiallisesti perusteltua oppilaitoksen toiminnan kannalta. Henkilötietoja ei voida käsitellä oppilaitoksille kuulumattomia tehtäviä varten. Käsiteltävien henkilötietojen on lisäksi oltava tarpeellisia käyttötarkoitukseensa nähden.

Henkilötietoja saa kerätä tai käsitellä silloin, kun henkilötietojen suojaa koskevassa lainsäädännössä määritellyt edellytykset täyttyvät. Kaikilla, myös oppilaalla tai opiskelijalla, on oikeus henkilötietojensa suojaan. Oikeus henkilötietojen suojaan ei kuitenkaan ole absoluuttinen, vaan sitä tulee tarkastella suhteessa muihin perusoikeuksiin ja tapauskohtaisiin riskeihin.

Rekisterinpitäjä arvioi itse, mitä henkilötietojen käsittelyn lainmukaisuuden edellytystä henkilötietojen käsittelyyn sovelletaan. Sovellettava lainmukaisuuden edellytys on tunnistettava ja määriteltävä jo ennen henkilötietojen käsittelyn aloittamista.

OPPILAITOKSEN KÄSITTELEMÄT HENKILÖTIEDOT

Merkittävä osa oppilaitoksissa käsiteltävistä tiedoista on henkilötietoja, sillä ne liittyvät tiettyyn, tunnistettavissa olevaan oppilaaseen tai opiskelijaan. Henkilötietoja ovat esimerkiksi nimi, henkilötunnus, osoite, tiedot kurssien suorittamisesta, poissaoloista ja saaduista arvosanoista. Myös tiedot, joita kertyy yksilön toimiessa sähköisessä ympäristössä, voivat olla henkilötietoja. (Tilastot ja sellaiset ryhmää koskevat yhteenvedot, joista yksilökohtaiset tiedot eivät ole erotettavissa tai palautettavissa yksittäistä henkilöä koskeviksi, eivät ole henkilötietoja.)

TIETOJEN MINIMOINTI

Tietosuoja-asetuksen mukaan tietojen minimoinnilla tarkoitetaan sitä, että käsiteltävien henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Lähtökohtaisesti henkilötietoja voidaan tietosuoja-asetuksen mukaan pitää tarpeellisina vain siinä tapauksessa, että käsittelyn tarkoitusta ei voida kohtuullisella vaivalla toteuttaa muilla keinoin. Jos tavoiteltuun lopputulokseen voitaisiin päästä vähemmällä henkilötietojen käsittelyllä tai kokonaan ilman sitä, tarpeellisuuskynnys ei ylity. Pelkkä opetuksen tai koulutuksen järjestäjän tehtävien suorittamisen helpottaminen ei oikeuta tietojen minimoinnin periaatteesta poikkeamiseen. Arkaluonteiset henkilötiedot vaativat tarkempaa käsittelyä. Salassapidettävät on luku erikseen.

ERO AIEMPAAN

Aiemmin oppilaitosten opetuksen järjestämisen yhteydessä harjoittama henkilötietojen käsittely on perustunut oppilaan tai opiskelijan ja oppilaitoksen väliseen asialliseen yhteyteen. Oppilaitokset ovat henkilötietolain nojalla saaneet käsitellä henkilötietoja suoraan sen ja oppilaan tai opiskelijan välillä vallitsevan asiayhteyden nojalla. Oppilaitoksissa harjoitettavan henkilötietojen käsittelyn lainmukaisuudelle on kuitenkin jatkossa etsittävä toinen peruste, sillä tietosuoja-asetus ei sisällä vastaavansisältöistä yhteysvaatimusta.

RISKIEN LIEVENTÄMINEN

Tietosuoja-asetus nimeää joukon toimenpiteitä, joita rekisterinpitäjä voi toteuttaa riskien lieventämiseksi. Tällaisia toimenpiteitä voivat sen mukaan olla

• henkilötietojen pseudonymisointi ja salaus,

• käsittelyjärjestelmien ja palveluiden jatkuvan luottamuksellisuuden, eheyden, käytettävyyden ja vikasietoisuuden takaaminen,

• kyky palauttaa nopeasti tietojen saatavuus ja pääsy tietoihin fyysisen tai teknisen vian sattuessa,

• menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi.

Pseudonymisoiduilla henkilötiedoilla tarkoitetaan henkilötietoja, jotka voidaan yhdistää luonnolliseen henkilöön lisätietoja (esimerkiksi opiskelijanumero, nimimerkki, henkilötunnus tai muu yksilökohtainen tunniste) hyödyntämällä.

Yhteisiä käyttäjätunnuksia tulisi välttää.

LÄPINÄKYVYYS

Tietosuoja-asetus korostaa henkilötietojen käsittelyn läpinäkyvyyden ja avoimuuden merkitystä. Henkilötietoja ei siten voida kerätä tai hyödyntää ilman, että rekisteröidylle on toimitettu riittävät tiedot henkilötietojensa käsittelystä. Oppilaille tai opiskelijoille on oltava läpinäkyvää, miten heitä koskevia henkilötietoja kerätään, käytetään ja säilytetään. Lisäksi heille tulee avoimesti kertoa siitä, missä määrin henkilötietoja käsitellään tai on määrä käsitellä. Tiedot on pidettävä helposti saatavilla, ja tarvittaessa ne on havainnollistettava kohderyhmien erityispiirteet huomioiden. Silloin, kun henkilötietoja saadaan, on rekisteröidylle toimitettava vähintään seuraavat tiedot: rekisterinpitäjän nimi ja yhteystiedot, tietosuojavastaavan yhteystiedot, henkilötietojen käsittelyn tarkoitukset, käsittelyn oikeusperuste sekä henkilötietoja vastaanottavat tahot.

REKISTERISELOSTE

Tietosuoja-asetuksen mukaan rekisterinpitäjän ja tarvittaessa rekisterinpitäjän edustajan on ylläpidettävä selostetta vastuullaan olevista käsittelytoimista. Käsittelytoimia koskevan rekisterin ylläpitäminen on tärkeä osa rekisterinpitäjän osoitusvelvollisuuden toteuttamista, sillä rekisterinpitäjä voi laatimansa dokumentaation avulla osoittaa, että käsittelytoimet ovat tietosuoja-asetuksen mukaisia.

Oppilaitoksen tulee ylläpitää käsittelyselostetta riippumatta siitä, toimiiko se itse rekisterinpitäjänä vai ainoastaan rekisterinpitäjän edustajana. Selosteen tulee aina käsittää seuraavat tiedot:

• rekisterinpitäjän, sen edustajan sekä näiden tietosuojavastaavien nimi ja yhteystiedot

• käsittelyn tarkoitukset,

• kuvaus rekisteröityjen ryhmistä ja henkilötietoryhmistä,

• henkilötietojen vastaanottajien ryhmät, joille henkilötietoja on luovutettu tai luovutetaan,

• henkilötietojen siirtämistä kolmanteen maahan tai kansainväliselle järjestölle koskevat tiedot,

• mikäli mahdollista, eri tietoryhmien poistamisen suunnitellut määräajat ja

• mahdollisuuksien mukaan yleinen kuvaus käsittelyn turvallisuuden takaamiseksi toteutetuista teknisistä ja organisatorisista turvatoimista.

REKISTERÖIDYN OIKEUDET

Kaikilla rekisterinpitäjillä on tietosuoja-asetuksen nojalla nimenomainen velvollisuus sekä helpottaa rekisteröidyn oikeuksien käyttämistä että toimia rekisteröidyn pyynnöstä niiden toteuttamiseksi. Käytännössä tämä merkitsee sitä, että oikeuksien käyttämistä ei tule tehdä rekisteröidyn kannalta liian vaikeaksi tai monimutkaiseksi. Oppilaille ja opiskelijoille on kerrottava avoimesti, millaisia oikeuksia heillä on henkilötietojensa käsittelyn suhteen sekä opastettava heitä siinä, miten he voivat tällaisia oikeuksiaan hyödyntää. Rekisteröidyltä ei voida periä maksua oikeuksien käyttämisestä tai niiden käyttöä koskeviin pyyntöihin vastaamisesta (mikäli pyyntö on aiheellinen, eikä toistu kiusanteko tarkoituksessa. Tällöin maksu voidaan periä. Aiheettomuus on pystyttävä todentamaan). Rekisteröidyn oikeudet eivät riipu rekisteröidyn iästä, vaan ne kuuluvat yhtä lailla sekä aikuisille että lapsille.

Jos rekisterinpitäjä ei toteuta rekisteröidyn pyytämiä toimenpiteitä, rekisterinpitäjän on viipymättä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta ilmoitettava rekisteröidylle syyt siihen (esim. pyyntö koskee toisen henkilön tietoja).

TIETOTURVALOUKKAUS

Tietoturvaloukkauksella tarkoitetaan tapahtumaa, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin.

Rekisterinpitäjän on dokumentoitava kaikki tietoturvaloukkaukset, mukaan lukien henkilötietojen tietoturvaloukkaukseen liittyvät seikat, sen vaikutukset ja toteutetut korjaavat toimet.

Tietosuoja-asetus tuo mukanaan kaikkia rekisterinpitäjiä koskevan ilmoitusvelvollisuuden, jossa tiedonsaajana ovat tietoturvaloukkauksen vakavuudesta riippuen joko kansallinen tietosuojaviranomainen tai sekä tietosuojaviranomainen että rekisteröity.

SÄILYTTÄMINEN ja TIETOJEN POISTO

Se, miten kauan henkilötietoja on tarpeen säilyttää, riippuu lähtökohtaisesti henkilötiedoille määritellystä käyttötarkoituksesta ja sen päättymisestä. Määräajan kuluttua henkilötiedot on poistettava, ellei säilyttämiselle ole olemassa jotain muuta perusteltua syytä. Henkilötietojen tunnistettavuus tulee poistaa peruuttamattomasti siten, että oppilas tai opiskelija ei voi itsekään tunnistaa itseään aineistosta.

Jos oppilas tai opiskelija käyttää oikeutta vaatia henkilötietojen poistoa tai oikaisua tai käsittelyn rajoittamista, rekisterinpitäjän on ilmoitettava tästä kaikille sellaisille henkilötietoja lukuunsa käsitteleville tahoille, joille kyseessä olevia henkilötietoja on luovutettu. Lisäksi rekisterinpitäjän on ilmoitettava oppilaalle tai opiskelijalle tällaisista vastaanottajista, jos hän sitä pyytää.

Lisätietoa tietosuoja-asetuksen pääkohdista opetuksen ja koulutuksen järjestäjille (OKM).