Tämä sivu on osa Opetushallituksen tietosuojaopasta kasvatuksen, opetuksen ja koulutuksen järjestäjille. Linkityksen tietosuojaoppaan muihin aiheisiin löydät sivun lopusta.
Kuvituskuva, tietokone ja kännykkä
Kuva: Hanna Anttila

Henkilötietojen käsittely voi aiheuttaa rekisteröidyille erilaisia riskejä. Rekisterinpitäjälle on tästä syystä asetettu yleinen velvollisuus arvioida käsittelyyn liittyviä riskejä ennen henkilötietojen käsittelyn aloittamista sekä ryhtyä tarvittaviin toimenpiteisiin riskien poistamiseksi ja vähentämiseksi. Riskienarvioinnissa tulee kiinnittää erityistä huomiota käsittelyn luonteeseen, laajuuteen, asiayhteyteen ja tarkoituksiin, sillä nämä seikat vaikuttavat käsittelyyn liittyviin riskeihin sekä niiden todennäköisyyteen ja vakavuuteen.

Henkilötietojen käsittely voi tapauksen mukaan aiheuttaa rekisteröidyille fyysisiä, aineellisia tai aineettomia vahinkoja. Rekisteröity voi esimerkiksi joutua petoksen, identiteettivarkauden, syrjinnän tai kiusaamisen kohteeksi, mikäli häntä koskevat tiedot joutuvat ulkopuolisten käsiin. Tietojen vuotaminen voi johtaa myös rekisteröidyn maineen vahingoittumiseen tai häntä koskevien salassa pidettävien tietojen luottamuksellisuuden vaarantumiseen. Tietojen luvaton käsittely voi aiheuttaa myös muuta merkittävää taloudellista tai sosiaalista vahinkoa rekisteröidyille.

Rekisterinpitäjän on riskienarvioinnin jälkeen suunniteltava ja toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen, että rekisteröityjen oikeuksista on huolehdittu riittävällä tavalla ja että käsittely on muutoinkin lainmukaista. Teknisillä ja organisatorisilla toimenpiteillä tarkoitetaan laajasti erilaisia järjestäjän käytössä olevia keinoja. Kyse voi olla esimerkiksi tietoturvaan tai käsittelyn teknisiin ominaisuuksiin liittyvistä menettelyistä tai rekisterinpitäjän antamista ohjeista ja henkilökunnan koulutuksesta ja tehtyjen toimenpiteiden kirjaamisesta. Toimenpiteitä on myös tarkistettava ja päivitettävä tarvittaessa käsittelyn aikana esimerkiksi lainsäädännön, toimintaympäristön tai riskien muuttuessa.

Riskienarvioinnin tarkoituksena on varmistaa, että käsittelyyn liittyvät riskit on tunnistettu ja että niitä hallitaan asianmukaisella tavalla. Arviointi ohjaa rekisterinpitäjää tunnistamaan henkilötietojen käsittelyyn liittyvät riskit sekä toteuttamaan riskitasoon nähden oikeasuhtaiset toimenpiteet. Mikäli yleinen riskienarviointi osoittaa, että käsittely todennäköisesti aiheuttaa korkean riskin rekisteröidyn oikeuksille ja vapauksille, rekisterinpitäjälle on asetettu nimenomainen velvollisuus määrämuotoiselle, tietosuojan vaikutustenarvioinnin toteuttamiselle. Mikäli vaikutustenarviointi osoittaa, että käsittelyyn liittyy korkea jäännösriski, käsittelyn aloittaminen edellyttää tietosuojavaltuutetun ennakkokuulemista.

Käytännössä huomioitavia asioita:

  • Toiminnan järjestäjän tulee arvioida, minkälaisia oppijoiden ja huoltajien vapauksia ja oikeuksia suunniteltu käsittely voi vaarantaa ja mitä vahinkoja heille voi aiheutua suunnitellusta henkilötietojen käsittelystä.
  • Riskienarviointi ja asianmukaiset toimenpiteet on arvioitava tapauskohtaisesti, sillä esimerkiksi oppilashallintojärjestelmän käyttöön liittyy erityyppisiä riskejä suhteessa paperisten asiakirjojen käsittelyyn ja näitä riskejä myös hallitaan eri tavoin. Riskien todennäköisyys ja vakavuus voivat vaihdella myös sen mukaan, kohdistuuko käsittely esimerkiksi erityisiin henkilötietoihin tai henkilötunnukseen.
  • Järjestäjä voi toteuttaa yleisen riskienarvioinnin vapaamuotoisesti, mutta siitä tulee jäädä riittävä dokumentaatio osoitusvelvollisuuden noudattamiseksi.
  • Mikäli käsittely voi aiheuttaa korkean riskin, järjestäjän tulee tehdä erillinen, määrämuotoinen tietosuojan vaikutustenarviointi ja tarkistettava, edellyttääkö käsittelyn aloittaminen tietosuojavaltuutetun ennakkokuulemista.
Takaisin ylös

Rekisterinpitäjälle on asetettu nimenomainen velvollisuus huolehtia siitä, että se on huomioinut toiminnassaan sisäänrakennetun ja oletusarvoisen tietosuojan vaatimukset ennen käsittelyn aloittamista sekä käsittelyn aikana. Sisäänrakennetun ja oletusarvoisen tietosuojan tehtävänä on varmistaa yleisten tietosuojaperiaatteiden tehokas noudattaminen sekä rekisteröityjen oikeuksien ja vapauksien suoja.

Sisäänrakennetulla tietosuojalla tarkoitetaan rekisterinpitäjän velvollisuutta toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet sekä tarvittavat suojatoimet käsittelyn yhteydessä edellisessä kappaleessa käsitellyllä tavalla. Asianmukaisuudella viitataan siihen, että toimenpiteiden ja suojatoimien pitäisi soveltua aiottuun tarkoitukseensa, eli tietosuojaperiaatteiden tehokkaaseen täytäntöönpanoon ja rekisteröidyn oikeuksien suojeluun.

Rekisterinpitäjän tulee huomioida asianmukaisia toimenpiteitä ja tarvittavia suojatoimia arvioidessaan uusin tekniikka, eli rekisterinpitäjän tulisi seurata ja tuntea markkinoilla olevan tekniikan viimeaikaisin kehitys. Rekisterinpitäjän on myös tiedettävä, minkälaisia tietosuojaan liittyviä riskejä valittu tekniikka voi aiheuttaa, jotta niihin voidaan asianmukaisesti varautua. Tämä on huomioitava myös organisatoristen toimenpiteiden osalta, eli esimerkiksi järjestäjän sisäisissä tietoturva- ja tietosuoja-asiakirjoissa sekä henkilökunnalle järjestettävässä ajantasaisessa koulutuksessa.

Rekisterinpitäjän on lisäksi huomioitava toimenpiteistä ja suojatoimista aiheutuvat kustannukset, joilla tarkoitetaan rahallisten kustannusten lisäksi aika- ja henkilöresursseja. Rekisterinpitäjältä ei edellytetä sellaisten ratkaisujen käyttämistä, jotka vaatisivat suhteettomasti resursseja, jos sillä on käytössään vähemmän resursseja vaativia mutta yhtä tehokkaita, vaihtoehtoisia toimenpiteitä. Rekisterinpitäjä ei kuitenkaan voi vedota resurssien puuttumiseen syynä sille, ettei se ole toteuttanut sille kuuluvia velvoitteita.

Oletusarvoisella tietosuojalla viitataan rekisterinpitäjän velvollisuuteen toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen, että se käsittelee oletusarvoisesti vain kunkin käsittelyn tarkoituksen kannalta tarpeellisia henkilötietoja. Oletusarvoisuutta tulisi arvioida erityisesti käyttötarkoitussidonnaisuuden sekä tietojen minimointiperiaatteiden näkökulmasta. Tämä velvollisuus koskee kerättyjen henkilötietojen määrää, käsittelyn laajuutta, säilytysaikaa ja saatavilla oloa. Toimenpiteiden avulla on varmistuttava erityisesti siitä, ettei henkilötietoja saateta oletusarvoisesti rajoittamattoman henkilömäärän saataville ilman rekisteröidyn myötävaikutusta. Toimenpiteiden asianmukaisuutta arvioidaan vastaavasti kuin sisäänrakennetun tietosuojan osalta.

Oletusarvoisuudella tarkoitetaan pääsääntöisesti henkilötietojen käsittelyyn vaikuttavien konfigurointiarvojen tai käsittelyvaihtoehtojen asettamista. Näitä ovat esimerkiksi kerättävien henkilötietojen määrään, käsittelyn laajuuteen, säilytysaikaan sekä saatavilla oloon vaikuttavat asetukset muuan muassa oppilashallintojärjestelmissä, ohjelmistosovelluksissa, erilaisissa palveluissa ja laitteissa. Rekisterinpitäjän on tarvittaessa tehtävä käytössään oleville kolmannen osapuolen tuotteille riskienarviointi ja tarkistettava, sisältyykö niihin toimintoja, joille ei ole laillista perustetta tai jotka eivät vastaa käsittelyn aiottuja tarkoituksia. Nämä ominaisuudet on voitava poistaa käytöstä, jotta tuotteen käyttö olisi lainmukaista.

Käytännössä huomioitavia asioita:

  • Sisäänrakennetun ja oletusarvoisen tietosuojan vaatimukset olisi hyvä huomioida mahdollisimman aikaisessa vaiheessa, jotta tietosuojaperiaatteiden tehokas toteutuminen ja rekisteröidyn oikeuksien suojelu voidaan varmistaa. Vaatimuksia on noudatettava henkilötietojen käsittelyn kaikissa vaiheissa.
  • Järjestäjän kannalta vaatimukset kannattaa huomioida jo hyvissä ajoin, sillä myöhemmin suunniteltujen käsittelytoimien muuttaminen voi olla haasteellista sekä teettää rekisterinpitäjälle lisäkustannuksia.
  • Sisäänrakennetun ja oletusarvoisen tietosuojan vaatimukset on huomioitava tarvittaessa myös hankintojen yhteydessä.
Takaisin ylös

Rekisterinpitäjän ja henkilötietojen käsittelijän tulee varmistaa, että niiden suorittama käsittely on turvallista. Käsittelyn turvallisuudella tarkoitetaan tässä yhteydessä sitä, että käsittelyn aiheuttamia riskejä on arvioitava erityisesti henkilötietojen vahingossa tapahtuvan tai laittoman tuhoamisen, häviämisen, muuttamisen luvattoman luovuttamisen tai henkilötietoihin pääsyn vuoksi.

Rekisterinpitäjän ja henkilötietojen käsittelijän on myös toteutettava toimenpiteet sen varmistamiseksi, että jokainen rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva henkilö, jolla on pääsy henkilötietoihin, käsittelee niitä ainoastaan rekisterinpitäjän ohjeiden mukaisesti, ellei lainsäädännössä toisin vaadita. Turvallisen käsittelyn vaatimus liittyy siten vahvasti tietoturvan eri osa-alueiden asianmukaiseen toteuttamiseen. Käsittelyssä on huomioitava myös muusta lainsäädännöstä kuten tiedonhallintalaista (906/201) tulevat tietoturvavaatimukset toiminnan järjestäjää koskevan lainsäädännön mukaisesti.

Rekisterinpitäjän ja käsittelijän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi. Teknisillä ja organisatorisilla turvatoimilla tarkoitetaan käsittelyn turvallisuuden yhteydessä esimerkiksi

  • henkilötietojen pseudonymisointia ja salausta,
  • kykyä taata käsittelyjärjestelmien ja palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus,
  • kykyä palauttaa nopeasti tietojen saatavuus ja pääsy tietoihin fyysisen tai teknisen vian sattuessa, sekä
  • menettelyä, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen turvatoimien tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi.

Vaatimus käsittelyn turvallisuudesta on teknologianeutraali, joten riittävää tietoturvaa on arvioitava tapauskohtaisesti tietoturvan osa-alueiden näkökulmasta. Sähköisessä ympäristössä toteutetun käsittelyn osalta turvatoimina voidaan mainita muun muassa ajantasaiset tietoturvapäivitykset, varmuuskopiointi, käyttöoikeushallinta ja tietojärjestelmien lokitus. Fyysisessä ympäristössä suojatoimia voivat olla esimerkiksi lukittavat arkistokaapit, kulunvalvonta ja avainhallinta. Toimenpiteiden asianmukaisuutta arvioidaan samoin kuin edellisessä kappaleessa kuvatun sisäänrakennetun ja oletusarvoisen tietosuojan osalta.

Hyvin suunniteltu ja toteutettu tietoturva auttaa rekisterinpitäjää suojaamaan rekisteröityjen tiedot riskitasoa vastaavalla tavalla. Asianmukaiset tekniset ja organisatoriset toimenpiteet auttavat rekisterinpitäjää myös reagoimaan mahdollisiin tietoturvapoikkeamiin nopeasti. Esimerkiksi hyvin suunniteltu lokitietojärjestelmä auttaa ehkäisemään tietojärjestelmissä tapahtuvia tietoturvaloukkauksia sekä tehostaa niiden jälkikäteistä selvittämistä loukkauksen sattuessa.

Takaisin ylös

Rekisterinpitäjän on laadittava ja ylläpidettävä selostetta vastuullaan olevista käsittelytoimista. Myös henkilötietojen käsittelijän on ylläpidettävä selostetta kaikista niistä käsittelytoimista, joita se suorittaa rekisterinpitäjän lukuun. Selosteen tarkoituksena on auttaa rekisterinpitäjää ja käsittelijää osoittamaan, että niiden suorittama käsittely on tietosuojalainsäädännön mukaista. Seloste on osa organisaation osoitusvelvollisuuden dokumentaatiota ja siihen kirjataan muun muassa edellä olevissa kappaleissa kuvatut tekniset ja organisatoriset turvatoimet.

Seloste on laadittava, jos organisaatiossa on vähintään 250 työntekijää. Tällöin selosteessa tulee kuvata kaikki organisaation suorittamat käsittelytoimet. Seloste on kuitenkin laadittava työntekijämäärästä riippumatta, jos

  • käsittely todennäköisesti aiheuttaa riskin rekisteröidyn oikeuksille tai vapauksille,
  • henkilötietojen käsittely ei ole satunnaista, tai
  • käsiteltävät henkilötiedot sisältävät erityisiä henkilötietoryhmiä tai rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja.

Jälkimmäisessä tapauksessa selosteessa on kuvattava vain ne käsittelytoimet, jotka kuuluvat edellä mainittuihin kolmeen luokkaan. Ottaen huomioon, että kasvatusta, opetusta ja koulutusta järjestettäessä käsitellään säännöllisesti huomattavaa määrää tavallisia ja erityisiä henkilötietoja, selosteen laatimisvelvollisuuden voidaan pääsääntöisesti katsoa täyttyvän kaikkien järjestäjien osalta.

Selosteen laatimisessa tulisi huomioida, ettei sillä tarkoiteta aikaisemmin käytössä olleita rekisteri- tai tietosuojaselosteita, joista säädettiin kumotussa henkilötietolaissa (523/1999). Ennen käytössä olleiden selosteiden ja käsittelytoimiselosteiden sisältö on osin yhtenevä, muttei identtinen. Lisäksi käsittelytoimiseloste on tarkoitettu lähinnä sisäiseksi asiakirjaksi, eikä sen tarjoaminen sellaisenaan täytä rekisteröityjen informoinnille asetettuja vaatimuksia. Selostetta voidaan kuitenkin hyödyntää tarvittaessa informoinnin suunnittelussa.

Rekisterinpitäjän selosteeseen tulee kirjata seuraavat tiedot:

  • rekisterinpitäjän ja mahdollisen yhteisrekisterinpitäjän, rekisterinpitäjän edustajan ja tietosuojavastaavan nimi ja yhteystiedot,
  • henkilötietojen käsittelyn tarkoitukset,
  • kuvaus rekisteröityjen ryhmistä ja henkilötietoryhmistä,
  • ryhmät, joille henkilötietoja on luovutettu tai luovutetaan, ml. kolmansissa maissa tai kansainvälisissä järjestöissä olevat vastaanottajat,
  • tarvittaessa tiedot henkilötietojen siirtämisestä kolmanteen maahan tai kansainväliselle järjestölle (ml. tieto siitä, mistä maasta tai järjestöstä on kyse) sekä tietyissä tilanteissa myös asianmukaisia suojatoimia koskevat asiakirjat,
  • henkilötietojen säilytysajat, sekä
  • yleinen kuvaus teknisistä ja organisatorisista turvatoimista.

Henkilötietojen käsittelijän seloste koskee niitä käsittelytoimia, jotka se suorittaa rekisterinpitäjän lukuun. Selosteessa tulee mainita vähintään

  • henkilötietojen käsittelijän ja kunkin rekisterinpitäjän, jonka lukuun käsittelijä toimii, sekä rekisterinpitäjän ja tarvittaessa henkilötietojen käsittelijän edustajan ja tietosuojavastaavan nimi ja yhteystiedot,
  • kunkin rekisterinpitäjän lukuun suoritettujen käsittelyiden ryhmät,
  • tarvittaessa tiedot henkilötietojen siirtämisestä kolmanteen maahan tai kansainväliselle järjestölle (ml. tieto siitä, mistä maasta tai järjestöstä on kyse) ja tietyissä tilanteissa myös asianmukaisia suojatoimia koskevat asiakirjat, sekä
  • yleinen kuvaus teknisistä ja organisatorisista turvatoimista.

Seloste tulee laatia kirjallisesti, se voi olla myös sähköisessä muodossa. Seloste on pyydettäessä annettava tietosuojavaltuutetun toimistolle. Muutoin selosteessa on kyse organisaation sisäisestä asiakirjasta, eikä sitä ole pakko julkaista esimerkiksi organisaation verkkosivuilla. Selosteeseen voi sisältyä salassa pidettävää tietoa esimerkiksi teknisten ja organisatoristen turvatoimien osalta, mikä tulee huomioida selosteen käsittelyssä ja mahdollisessa julkaisussa (ks. laki viranomaisten toiminnan julkisuudesta, 24.1 § 7 k).

Takaisin ylös