Tämä sivu on osa Opetushallituksen tietosuojaopasta kasvatuksen, opetuksen ja koulutuksen järjestäjille. Linkityksen tietosuojaoppaan muihin aiheisiin löydät sivun lopusta.
Selin oleva tyttö istuu tietokoneen ääressä
Kuva: Elina Ruokari

Toiminnan järjestäjän tulee huomioida rekisteröidyn oikeudet hyvissä ajoin ennen rekisteröidyn henkilötietojen käsittelyn aloittamista, jotta se voi toteuttaa asianmukaiset toimenpiteet oikeuksien toteuttamiseksi sekä helpotettava oikeuksien käyttämistä. Järjestäjän on esimerkiksi kerrottava oppijoille ja heidän huoltajilleen heille kuuluvista oikeuksista sekä neuvottava niiden käytössä. Järjestäjän tulee huomioida rekisteröidyn oikeudet myös silloin, kun se on ulkoistanut käsittelyyn liittyviä tehtäviä henkilötietojen käsittelijöille esimerkiksi hankintojen yhteydessä.

Rekisteröidyn oikeuksia ovat oikeus

  • saada tietoa henkilötietojensa käsittelystä),
  • saada pääsy tietoihin,
  • oikaista tietoja,
  • poistaa tiedot ja tulla unohdetuksi,
  • rajoittaa tietojen käsittelyä,
  • siirtää tiedot järjestelmästä toiseen,
  • vastustaa tietojen käsittelyä, sekä
  • olla joutumatta automaattisen päätöksenteon kohteeksi.

Rekisteröidyllä ei välttämättä ole kaikkia edellä mainittuja oikeuksia kaikissa käsittelytilanteissa, sillä oikeudet riippuvat muun muassa käsittelyyn sovellettavasta käsittelyperusteesta. Toiminnan järjestäjän on siten tapauskohtaisesti arvioitava, minkälaisia oikeuksia rekisteröidyillä kussakin tilanteessa on. Järjestäjän tulee myös huomioida, että sille on lisäksi asetettu erillinen velvollisuus ilmoittaa henkilötietojen oikaisuista, poistoista tai käsittelyn rajoituksista jokaiselle vastaanottajalle, jolle henkilötietoja on luovutettu. Tätä ei kuitenkaan tarvitse tehdä, jos ilmoittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa. Rekisteröidylle on pyynnöstä ilmoitettava näistä vastaanottajista.

Rekisteröidyn oikeutta saada tietoa henkilötietojensa käsittelystä on käsitelty tarkemmin Rekisteröityjen informoinnista huolehtiminen -sivulla (ks. linkki alla). 

Takaisin ylös

Toiminnan järjestäjän on pyynnöstä vahvistettava rekisteröidylle, käsitteleekö se rekisteröidyn henkilötietoja. Jos tietoja käsitellään, järjestäjän on tarjottava rekisteröidylle pääsy tietoihin. Järjestäjän tulisi tarjota rekisteröidylle etäpääsy suojattuun järjestelmään, jossa rekisteröity saa suoraan pääsyn henkilötietoihinsa, jos se vain on mahdollista. Muussa tapauksessa pääsy tietoihin voidaan toteuttaa toimittamalla rekisteröidylle jäljennös käsiteltävistä henkilötiedoista. Jäljennös voidaan toimittaa esimerkiksi postitse. Sähköposti voi tulla kyseeseen vain, mikäli tiedot voidaan toimittaa riittävän tietoturvallisella tavalla esimerkiksi turvapostilla. Salassa pidettäviä tietoja ei saa toimittaa salaamattomina avoimen tietoverkon välityksellä, kuten salaamattomana tavallisessa sähköpostissa.

Jos toiminnan järjestäjä käsittelee rekisteröidyn henkilötietoja, rekisteröidyllä on myös oikeus saada seuraavat tiedot käsittelyyn liittyen:

  • käsittelyn tarkoitukset,
  • käsiteltävät henkilötietoryhmät,
  • henkilötietojen vastaanottajat (etenkin kolmansissa maissa olevat ja näiltä osin tieto siirtoperusteesta),
  • mahdollisuuksien mukaan tieto henkilötietojen säilytysajasta tai sen määrittämiskriteereistä,
  • mistä henkilötiedot on saatu, jos tietoja ei ole kerätty rekisteröidyltä,
  • oikeus pyytää itseään koskevien virheellisten henkilötietojen oikaisua ja poistoa sekä oikeus pyytää käsittelyn rajoittamista, vastustaa käsittelyä sekä tehdä valitus valvontaviranomaiselle, sekä
  • oikeus saada tieto automaattisen päätöksenteon (ml. profiloinnin) olemassaolosta sekä siihen liittyvästä merkityksellisestä tiedon käsittelyyn liittyvästä logiikasta, käsittelyn merkittävyydestä ja mahdollisista seurauksista hänen kannaltaan.

Rekisteröidyllä ei ole oikeutta tutustua häntä koskeviin tietoihin, jos tiedon antaminen saattaisi muun muassa vahingoittaa kansallista turvallisuutta, haitata rikosten ehkäisemistä tai selvittämistä tai jos tiedon antamisesta saattaisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai muulle hoidolle taikka rekisteröidyn tai muun oikeuksille. Tämä voi tulla kyseeseen esimerkiksi sellaisissa lastensuojelua koskevissa tilanteissa, jossa lapsi on rekisteröity ja hänen tietojensa antaminen huoltajalle olisi lapsen edun vastaista.

Takaisin ylös

Toiminnan järjestäjällä on velvollisuus huolehtia tietojen täsmällisyydestä yleisten tietosuojaperiaatteiden mukaisesti. Henkilötietojen virheettömyys on osa rekisteröidyn oikeusturvaa, sillä rekisteröidyn asian käsittely epätarkoilla tai virheellisillä tiedoilla voi aiheuttaa haittoja ja oikeudenmenetyksiä rekisteröidylle. Mikäli järjestäjä huomaa virheitä käsittelemissään henkilötiedoissa, sen on oikaistava tiedot oma-aloitteisesti myös ilman rekisteröidyn nimenomaista pyyntöä. Oikaisemisella tarkoitetaan virheellisten tietojen korjaamista, vanhentuneiden tietojen korjaamista tai poistamista sekä puutteellisten tietojen täydentämistä.

Rekisteröidyllä on oikeus vaatia puutteellisten henkilötietojen täydentämistä muun muassa toimittamalla lisäselvitys, jos täydentäminen on perusteltua henkilötietojen käsittelyn tarkoituksen kannalta. Rekisteröidyn ei tarvitse perustella pyyntöään, mutta hänen on kuitenkin pystyttävä osoittamaan, että kyseessä on virheellinen, epätarkka tai puutteellinen tieto. Jos kyse on esimerkiksi nimen kirjoitusvirheen korjaaminen tai vanhentuneiden yhteystietojen päivittäminen, lisäselvityksiä ei yleensä tarvita. Jos tiedon korjaamisella voi olla oikeusvaikutuksia, toiminnan järjestäjän tulee varmistua tarkemmin tiedon korjaamisen perusteista.

Takaisin ylös

Rekisteröidyllä on oikeus pyytää toiminnan järjestäjää poistamaan rekisteröityä koskevat tiedot ilman aiheetonta viivytystä seuraavissa tilanteissa:

  • Henkilötietoja ei enää tarvita niihin tarkoituksiin, joita varten ne kerättiin tai joita varten niitä muutoin käsiteltiin.
  • Rekisteröity peruuttaa antamansa suostumuksen, eikä käsittelylle ole muuta laillista perustetta.
  • Rekisteröity vastustaa käsittelyä henkilökohtaiseen, erityiseen tilanteeseensa liittyvällä syyllä käsittelyn perustuessa yleistä etua koskevan tehtävän suorittamiseen, julkisen vallan käyttöön tai oikeutettuun etuun, eikä käsittelylle ole perusteltua syytä eikä tietoja tarvita esimerkiksi oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Perustellulla syyllä tarkoitetaan huomattavan tärkeää ja perusteltua syytä, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet.
  • Rekisteröity vastustaa tietojensa käsittelyä suoramarkkinointiin.
  • Henkilötietoja on käsitelty lainvastaisesti.
  • Henkilötiedot on poistettava unionin oikeuteen tai jäsenvaltion lainsäädäntöön perustuvan rekisterinpitäjään sovellettavan lakisääteisen velvoitteen noudattamiseksi.
  • Henkilötiedot on kerätty tietoyhteiskunnan palvelujen tarjoamisen yhteydessä.

Kasvatuksessa, opetuksessa ja koulutuksessa henkilötietojen käsittely perustuu pääsääntöisesti lakisääteisen velvoitteen noudattamiseen eikä rekisteröity voi vaatia tietojensa poistamista niin kauan, kuin tiedot ovat tarpeen näiden velvoitteiden hoitamiseksi. Oppija ei siten voi esimerkiksi vaatia arviointitietojen poistamista vain sillä perusteella, että hän on erimielinen saamastaan arvioinnista tai ei halua arviointeja muiden tietoon. Tämän käsittelyperusteen osalta rekisteröidyn oikeus tietojen poistamiseen tullee kyseeseen lähinnä tilanteessa, jossa toiminnan järjestäjä on käsitellyt tietoja lainvastaisesti, eli esimerkiksi kun tiedoille ei ole enää käyttötarkoitusta, keräämiselle ei ole laillista perustetta tai tietoja on kerätty liian laajasti käyttötarkoitukseen nähden.

Kasvatuksessa, opetuksessa ja koulutuksessa henkilötietojen käsittely voi perustua myös yleistä etua koskevan tehtävän suorittamiseen tai julkisen vallan käyttöön. Näiltä osin rekisteröity voi vastustaa henkilötietojensa käsittelyä ja pyytää henkilötietojensa poistoa myös henkilökohtaiseen, erityiseen tilanteeseensa vedoten jäljempänä vastustamisoikeuden yhteydessä esitetyllä tavalla.

Takaisin ylös

Rekisteröity voi vaatia toiminnan järjestäjää rajoittamaan tietojensa käsittelyä seuraavissa tilanteissa:

  • Rekisteröity kiistää henkilötietojen paikkansapitävyyden, jolloin käsittelyä rajoitetaan ajaksi, jonka kuluessa järjestäjä voi varmistaa niiden paikkansapitävyyden.
  • Käsittely on lainvastaista ja rekisteröity vastustaa henkilötietojen poistamista ja vaatii sen sijaan niiden käytön rajoittamista.
  • Järjestäjä ei enää tarvitse kyseisiä henkilötietoja käsittelyn tarkoituksiin, mutta rekisteröity tarvitsee niitä oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi.
  • Rekisteröity on vastustanut henkilötietojen käsittelyä henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella odotettaessa sen todentamista, syrjäyttävätkö järjestäjän oikeutetut perusteet rekisteröidyn perusteet.

Jos järjestäjä on rajoittanut käsittelyä, näitä henkilötietoja saa käsitellä tietojen säilyttämisen lisäksi ainoastaan rekisteröidyn suostumuksella tai oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Tietoja saa käsitellä myös toisen luonnollisen henkilön tai oikeushenkilön oikeuksien suojaamiseksi tai tärkeää unionin tai jäsenvaltion yleistä etua koskevista syistä. Rajoittamisen aikana tietoja ei pitäisi päästä muuttamaan tai käsittelemään muutoin. Tiedot voidaan esimerkiksi siirtää toiseen käsittelyjärjestelmään, käyttäjien pääsy niihin voidaan estää tai julkaistut tiedot piilottaa väliaikaisesti. Jos käsittelyn rajoitukset edellytykset eivät enää täyty, järjestäjän on ilmoitettava rekisteröidylle asiasta ennen käsittelyä koskevan rajoituksen poistamista.

Takaisin ylös

Rekisteröidyllä on oikeus saada järjestäjälle toimittamansa henkilötiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti käytettävässä muodossa sekä oikeus siirtää tiedot toiselle rekisterinpitäjälle, jos käsittely perustuu suostumukseen tai sopimukseen ja jos käsittelyt suoritetaan automaattisesti. Jos se on teknisesti mahdollista, rekisteröidyllä on oikeus saada tiedot siirrettyä suoraan rekisterinpitäjältä toiselle. Oikeuden käyttäminen ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin. Rekisteröidyllä ei ole tätä oikeutta silloin, kun käsittely perustuu lakisääteisen velvoitteen noudattamiseen, yleistä etua koskevan tehtävän suorittamiseen tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen. Järjestäjien toiminnan edellyttämä henkilötietojen käsittely perustuu pääsääntöisesti näihin käsittelyperusteisiin, joten oikeuden täyttymisen edellytykset on tarkistettava tapauskohtaisesti.

Takaisin ylös

Rekisteröidyllä on tiettyjen edellytysten täyttyessä oikeus vastustaa henkilötietojensa käsittelyä. Rekisteröity voi vastustaa käsittelyä henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella, kun rekisterinpitäjä käsittelee tietoja yleistä etua koskevan tehtävän suorittamiseksi, rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi, tai rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi. Tietojen käsittely on tällöin lopetettava, paitsi jos

  • rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet, tai
  • käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

Rekisteröity voi vastustaa tietojensa käsittelyä henkilökohtaiseen tilanteeseensa liittyvällä perusteella myös silloin, jos henkilötietoja käsitellään tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten. Vastustamisoikeutta ei kuitenkaan tässä tapauksessa ole, jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi. Tietoyhteiskunnan palveluita, kuten sosiaalista mediaa ja erilaisia sovelluksia, käytettäessä rekisteröidyn on voitava käyttää vastustamisoikeuttaan automaattisesti teknisiä ominaisuuksia hyödyntäen. Rekisteröidyllä olisi lisäksi oikeus vastustaa henkilötietojen käsittelyä ilman eri perusteluita silloin, jos hänen tietojaan käytettäisiin suoramarkkinointiin.

Takaisin ylös

Rekisteröidyllä on oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn, kuten profilointiin, ja jolla on häntä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi. Rekisteröidyllä ei kuitenkaan ole tätä oikeutta, jos päätös

  • on välttämätön rekisteröidyn ja rekisterinpitäjän välisen sopimuksen tekemistä tai täytäntöönpanoa varten,
  • on hyväksytty rekisterinpitäjään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa vahvistetaan myös asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi, tai
  • perustuu rekisteröidyn nimenomaiseen suostumukseen.

Toiminnan järjestäjän on toteutettava asianmukaiset toimenpiteet rekisteröidyn oikeuksien, vapauksien ja oikeutettujen etujen suojaamiseksi silloin, kun päätös on tarpeen sopimuksen tekemistä tai täytäntöönpanoa varten tai päätöksen perustuessa suostumukseen. Tämä koskee vähintään oikeutta vaatia, että tiedot käsittelee rekisterinpitäjän puolesta luonnollinen henkilö, sekä oikeutta esittää kantansa ja riitauttaa päätös. Nämä päätökset eivät kuitenkaan saa perustua erityisiin henkilötietoryhmiin, paitsi tiettyjen poikkeusedellytysten täyttyessä.

Takaisin ylös