Tämä sivu on osa Opetushallituksen tietosuojaopasta kasvatuksen, opetuksen ja koulutuksen järjestäjille. Linkityksen tietosuojaoppaan muihin aiheisiin löydät sivun lopusta.
Suurennuslasi näppäimistön päällä
Kuva: RapidEye / Getty Images

Rekisterinpitäjä saa käsitellä henkilötietoja vain, kun käsittelylle on lainmukainen peruste. Näihin perusteisiin viitataan yleisesti muun muassa käsittelyperusteina tai käsittelyn oikeusperusteina. Käsittelyperuste rajaa niitä tarkoituksia, joihin rekisterinpitäjä voi käsitellä tietoja, eikä käsittelyperustetta voi vaihtaa kesken käsittelyn. Käsittelyperuste vaikuttaa myös siihen, minkälaisia oikeuksia rekisteröidyllä voi olla. Käsittelyperusteista on säädetty tietosuoja-asetuksessa sitovasti, eikä niistä voida poiketa esimerkiksi sopimuksin.

Toiminnan järjestäjän on tunnistettava ja määriteltävä nimenomainen käsittelyperuste ennen käsittelyn aloittamista. Määrittelyssä on hyvä huomioida se, ettei perusteilla ole keskinäistä etusijaa ja että tilanteeseen voi soveltua samanaikaisesti useampikin käsittelyperuste. Järjestäjän tulee kiinnittää huomiota myös siihen, että kaikki käsittelyperusteet eivät ole kaikkien järjestäjien käytettävissä, sillä osa perusteista on rajattu vain viranomaisten käyttöön ja osa viranomaisten käytön ulkopuolelle. Käsittelyperuste ei myöskään anna rajatonta oikeutta tietojen käsittelyyn, vaan käsittelyn tulee olla lisäksi edellisessä luvussa käsiteltyjen yleisten tietosuojaperiaatteiden mukaista. Erityisten henkilötietojen ja henkilötunnuksen käsittelylle on asetettu joitakin lisäedellytyksiä, joita käsitellään tarkemmin jäljempänä sivun lopussa.

Käsittelyperusteita ovat

  • rekisteröidyn suostumus,
  • sopimus,
  • rekisterinpitäjän lakisääteinen velvoite,
  • elintärkeiden etujen suojaaminen,
  • yleistä etua koskeva tehtävä tai julkinen valta, sekä
  • rekisterinpitäjän tai kolmannen osapuolen oikeutettu etu.

Kasvatuksessa, opetuksessa ja koulutuksessa järjestäjän suorittama käsittely perustuu pääsääntöisesti rekisterinpitäjälle kuuluvan lakisääteisen velvoitteen noudattamiseen. Käsittely voi kuitenkin perustua myös yleistä etua koskevan tehtävän suorittamiseen tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen. Viranomaistoiminnassa henkilötietojen käsittelyn tulisi lähtökohtaisesti perustua näihin käsittelyperusteisiin.

Takaisin ylös

Rekisteröidyn suostumuksella tarkoitetaan vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn. Rekisteröity voi antaa suostumuksen kirjallisesti tai suullisesti, tai ilmaista sen jollakin muulla selkeällä toimella. Suostumus on voitava peruuttaa yhtä helposti kuin se on annettu. Suostumus ei yleensä tule kyseeseen käsittelyperusteena tilanteissa, joissa rekisterinpitäjän ja rekisteröidyn välillä vallitsee selkeä epäsuhta. Näin on esimeriksi silloin, kun rekisterinpitäjänä toimii viranomainen.

Takaisin ylös

Henkilötietojen käsittely on sallittua silloin, kun käsittely on tarpeen rekisteröidyn kanssa tehdyn sopimuksen täytäntöönpanemiseksi. Sopimuksen tarkoitus, kohde ja sisältö vaikuttavat siihen, minkälaista tietojen käsittelyä rekisterinpitäjä voi sopimuksen perusteella tehdä. Rekisterinpitäjä saa käsitellä rekisteröidyn tietoja myös sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä. Käsittelyperustetta voivat käyttää sekä julkisella että yksityisellä sektorilla toimivat järjestäjät. Kasvatuksessa, opetuksessa ja koulutuksessa järjestäjän suorittama käsittely perustuu kuitenkin pääsääntöisesti lakisääteisen velvoitteen noudattamiseen.

Takaisin ylös

Henkilötietojen käsittely on sallittua rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Velvoitteesta on tullut säätää Euroopan unionin tai jäsenvaltion kansallisessa lainsäädännössä. Velvoite voi perustua lakiin, asetukseen tai alemman asteisiin määräyksiin. Käsittelyperustetta voivat käyttää sekä julkisella että yksityisellä sektorilla toimivat järjestäjät.

Kasvatuksessa, opetuksessa ja koulutuksessa käsittely perustuu lähtökohtaisesti järjestäjän laissa säädettyjen velvoitteiden noudattamiseen. Järjestäjän lakisääteisistä velvollisuuksiin kuuluvasta toiminnasta on säädetty pääasiassa kasvatuksen, opetuksen ja koulutuksen lainsäädännössä sekä näitä täydentävissä viranomaisten velvoittavissa määräyksissä kuten kasvatusta, opetusta ja koulutusta koskevien suunnitelmien perusteissa. Toiminnan järjestäjän velvoitteet koskevat esimerkiksi päätöksentekoa ja arviointia, mutta tietoja tarvitaan myös päivittäisten asioiden hoitamiseen kuten kuljetusten ja aterioiden järjestämiseen sekä tapaturmien hoitoon.

Takaisin ylös

Elintärkeiden etujen suojaaminen voi tulla kyseeseen käsittelyperusteena esimerkiksi tilanteissa, joissa on kysymys rekisteröidyn tai toisen henkilön henkeen tai terveyteen kohdistuvasta uhasta ja tietojen käsittely on välttämätöntä tämän estämiseksi. Henkilötietojen käsittely voi tulla kyseeseen tällä perusteella esimerkiksi humanitaarisissa hätätilanteissa, kuten luonnonkatastrofeissa tai epidemioissa.

Takaisin ylös

Henkilötietojen käsittely voi perustua rekisterinpitäjän yleistä etua koskevaan tehtävään tai julkisen vallan käyttöön, kun tehtävästä tai julkisen vallan käytöstä on säädetty EU:n lainsäädännössä tai kansallisessa lainsäädännössä. Käsittelyperusteen käyttöä on täsmennetty tietosuojalaissa (1050/2018) sekä julkisen että yksityisen sektorin osalta. Tietosuojalain mukaan viranomaiset voivat käsitellä tietoja tällä perusteella muun muassa silloin, jos käsittely on tarpeen ja oikeasuhtaista viranomaisen toiminnassa yleisen edun mukaisen tehtävän suorittamiseksi. Säännös mahdollistaa viranomaisen toimesta tapahtuvan käsittelyn silloin, kun oikeutta siihen ei voida suoraan johtaa viranomaisen tehtävä- ja toimivaltasäännöksestä tai mahdollisesta yksityiskohtaisemmasta erityissääntelystä. Vastaavasti sitä voidaan soveltaa, kun lainsäädäntö asettaa yleiset suuntaviivat, joiden puitteissa rekisterinpitäjä voi harkita, miten se tehtävänsä hoitaa. Tällainen tehtävä voi olla esimerkiksi viranomaisen suunnittelu- ja selvitystehtävä.

Yleisen edun mukainen käsittely voi tulla kyseeseen myös silloin, kun tietoja käsitellään tieteellisen tai historiallisen tutkimuksen tekemiseksi tai tilastollisiin tarkoituksiin. Käsittelyperuste voi näiden toimintojen osalta tulla kyseeseen sekä julkisella että yksityisellä sektorilla.

Takaisin ylös

Henkilötietojen käsittely on sallittua silloin, kun se on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi. Käsittelyperustetta voidaan kuitenkin käyttää vain silloin, kun rekisteröidyn henkilötietojen suojaa edellyttävät edut, perusoikeudet tai -vapaudet eivät syrjäytä tällaista etua. Viranomainen ei voi vedota tähän käsittelyperusteeseen suorittaessaan sille kuuluvia tehtäviä. Oikeutettu etu soveltuu yksityisen järjestäjän tehtäviensä yhteydessä harjoittaman henkilötietojen käsittelyn perusteeksi esimerkiksi silloin, kun käsittely ei perustu varsinaisen lakisääteisen velvoitteen noudattamiseen. Oikeutettuun etuun vetoaminen edellyttää kuitenkin, että järjestäjä suorittaa ns. intressien tasapainotestin. Järjestäjän on osoitettava, että sen oikeutettu etu on tasapainossa rekisteröidyn intressien tai perusoikeuksien ja -vapauksien kanssa.

Arvioitaessa henkilötietojen käsittelyn asianmukaisuutta oikeutetun edun yhteydessä järjestäjän tulisi huomioida erityisesti ne kohtuulliset odotukset, joita rekisteröity voi muodostaa hänen ja rekisterinpitäjän välisen yhteyden perusteella. Kasvatuksessa, opetuksessa ja koulutuksessa rekisteröidyn ja järjestäjän välillä vallitsee suhde, jonka näkökulmasta henkilötietojen käsittely voi hyvinkin usein olla asianmukaista ja rekisteröidyn näkökulmasta ennakoitavaa. Muita huomioitava tekijöitä ovat esimerkiksi tietojen tarpeellisuus rekisterinpitäjän tehtävien näkökulmasta, käsiteltävien tietojen luonne ja laajuus, käsittelyn yleisen edun mukaisuus tai muu yleinen hyväksyttävyys sekä tavat, joilla tietoja käsitellään.

Takaisin ylös

Erityisistä henkilötiedoista ilmenee henkilön rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus, ammattiliiton jäsenyys, terveyttä koskevia tietoja, seksuaalinen suuntautuminen tai käyttäytyminen sekä geneettisiä ja biometrisia tietoja henkilön tunnistamista varten. Erityisten henkilötietojen käsittelyyn voi liittyä merkittäviä riskejä rekisteröidyn kannalta, joten niiden käsittely on sallittua vain poikkeustapauksissa tietosuojalainsäädännössä määritellyllä tavalla.

Rekisterinpitäjä saa käsitellä erityisiä henkilötietoryhmiä esimerkiksi silloin, kun käsittelystä säädetään laissa tai joka johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Kasvatuksessa, opetuksessa ja koulutuksessa erityisten henkilötietojen käsittely perustuu yleensä siihen, että järjestäjä tarvitsee tietoja lakisääteisten tehtäviensä hoitamiseksi. Oppijan terveyteen liittyvien tietojen käsittely voi olla välttämätöntä esimerkiksi yksilökohtaisen opiskeluhuollon, erityisen tuen tai ruokailun järjestämiseksi. Uskonnolliseen vakaumukseen liittyvää tietoa voidaan puolestaan tarvita uskonnon opetuksen järjestämiseksi.

Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely lakisääteisen tehtävän perusteella edellyttää, että rekisterinpitäjä toteuttaa asianmukaiset ja erityiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi. Tällaisia suojatoimia ovat esimerkiksi toimenpiteet, joilla on jälkeenpäin mahdollista varmistaa ja todentaa kenen toimesta henkilötietoja on tallennettu, muutettu tai siirretty sekä toimenpiteet, joilla parannetaan henkilötietoja käsittelevän henkilöstön osaamista. Suojatoimia ovat myös tietosuojavastaavan nimittäminen, henkilötietojen pseudonymisointi ja henkilötietojen salaaminen. 

Rekisterinpitäjä saa käsitellä henkilötunnusta rekisteröidyn suostumuksella tai silloin, kun käsittelystä säädetään laissa. Henkilötunnusta saa käsitellä myös silloin, kun rekisteröidyn yksiselitteinen yksilöiminen on tärkeää laissa säädetyn tehtävän suorittamiseksi, rekisteröidyn tai rekisterinpitäjän oikeuksien ja velvollisuuksien toteuttamiseksi taikka historiallista taikka tieteellistä tutkimusta taikka tilastointia varten. Henkilötunnusta ei tule merkitä tarpeettomasti henkilörekisterin perusteella tulostettuihin tai laadittuihin asiakirjoihin. Kasvatuksessa, opetuksessa ja koulutuksessa henkilötunnuksen käsittely perustuu yleensä tarpeeseen yksilöidä rekisteröity yksiselitteisesti laissa säädettyjen tehtävien suorittamiseksi esimerkiksi kasvatukseen, opetukseen ja koulutukseen hakeutuessa. Henkilötunnus kirjataan myös oppijalle annettaviin todistuksiin Opetushallituksen antamien määräysten mukaisesti.

Takaisin ylös