Tämä sivu on osa Opetushallituksen tietosuojaopasta kasvatuksen, opetuksen ja koulutuksen järjestäjille. Linkityksen tietosuojaoppaan muihin aiheisiin löydät sivun lopusta.
Oppilaat opettajan kanssa tietokoneen ääressä
Kuva: Satu Haavisto

Opetushallituksen tietosuojaopas on tarkoitettu avuksi järjestäjille, jotka vastaavat varhaiskasvatuslaissa (540/2018), perusopetuslaissa (628/1998), lukiolaissa (714/2018) ja ammatillisesta koulutuksesta annetussa laissa (531/2017) määritellyn kasvatuksen, opetuksen ja koulutuksen järjestämisestä. Opasta voi hyödyntää soveltuvin osin myös taiteen perusopetuksesta annetussa laissa (633/1998) tarkoitettua opetusta ja vapaasta sivistystyöstä annetun lain (632/1998) mukaista koulutusta järjestettäessä. Oppaassa käytetään käsitteitä toiminnan järjestäjä ja oppija kuvaamaan kaikkia edellä mainittuja järjestäjiä sekä niiden järjestämään kasvatukseen, opetukseen ja koulutukseen osallistuvia lapsia, oppilaita ja opiskelijoita.

Oppaassa käsitellään niitä keskeisiä velvollisuuksia, jotka toiminnan järjestäjän on huomioitava käsitellessään henkilötietoja. Oppaan tarkoituksena on selventää tyypillisiä oikeudellisia kysymyksiä, joita lasten, oppilaiden, opiskelijoiden ja huoltajien tietojen käsittelyyn liittyy toiminnan järjestäjän hoitaessa lakisääteisiä tehtäviään. Oppaassa ei oteta kantaa kasvatuksen, opetuksen ja koulutuksen järjestämisen ulkopuolella tapahtuvaan tietojen käsittelyyn. Oppaassa ei myöskään käsitellä henkilökunnan tietojen käsittelyyn liittyviä velvollisuuksia.

Takaisin ylös

Jokaisen oikeus yksityisyyteen ja henkilötietojen suojaan (joista jälkimmäiseen viitataan yleisemmin tietosuojana) on vahvistettu EU:n toiminnasta annetussa sopimuksessa, EU:n perusoikeuskirjassa sekä Suomen perustuslaissa. Oikeus henkilötietojen suojaan on vahvistettu myös Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä. Tarkemmin henkilötietojen käsittelystä on säädetty EU:n yleisessä tietosuoja-asetuksessa (2016/679), sitä täydentävässä kansallisessa tietosuojalaissa (1050/2018) sekä alakohtaisessa erityissääntelyssä. Henkilötietojen käsittelyssä huomioitavia säännöksiä sisältyy myös kasvatuksen, opetuksen ja koulutuksen lainsäädäntöön, kuten esimerkiksi edellä mainittuun varhaiskasvatuslakiin, perusopetuslakiin, lukiolakiin sekä ammatillisesta koulutuksesta annettuun lakiin.

Tietojen käsittelyn velvoitteista säädetään lisäksi muun muassa julkisen hallinnon tiedonhallinnasta annetussa laissa (906/2019) arkistolaissa (831/1994) sekä laissa viranomaisten toiminnan julkisuudesta (621/1999). Tässä oppaassa järjestäjälle kuuluvia tietosuojavelvoitteita käsitellään pääasiassa tietosuoja-asetuksen sekä tietosuojalain näkökulmasta (jäljempänä myös ”tietosuojalainsäädäntö”). Mikäli velvoitteen yhteydessä on käsitelty muuta velvoitteen sisältöä täsmentävää lainsäädäntöä, se on mainittu erikseen tekstin yhteydessä. 

Lainsäädännön lisäksi henkilötietojen käsittelyyn voivat vaikuttaa myös viranomaismääräykset. Esimerkiksi Sosiaali- ja terveysalan lupa- ja valvontaviranomainen Valvira on antanut määräyksen (1/2021, V/10995/2020) yksityisten varhaiskasvatuspalvelujen omavalvontasuunnitelmasta, johon sisältyy myös asiakastietojen omavalvontaa sisältyviä kohtia. Määräysten noudattamisesta voi pyytää neuvoa määräyksen antaneelta viranomaiselta.

Tietosuojalainsäädännön tulkitsemisen avuksi on saatavilla jonkin verran Euroopan unionin tuomioistuimen ja kansallisten tuomioistuinten oikeuskäytäntöä sekä kansallisten valvontaviranomaisten ratkaisuja. Euroopan unionin tuomioistuinten ratkaisuihin voi tutustua tuomioistuimen virallisilla verkkosivuilla. Kansallisten tuomioistuinten ja valvontaviranomaisten ratkaisuja ja päätöksiä voi hakea Finlex-tietopalvelusta. 

Tietosuojalainsäädännössä asetettujen velvoitteiden tunteminen edellyttää tutustumista myös Euroopan tietosuojaneuvoston (EDPB) sekä ennen tietosuojaneuvostoa toimineen tietosuojatyöryhmän (WP29-työryhmä) hyväksyttyihin ohjeisiin, suosituksiin ja parhaisiin käytäntöihin. Nämä aineistot ovat saatavilla Euroopan komission verkkosivuilta ja ne on huomioitu oppaassa keskeisiltä osin kunkin kappaleen yhteydessä linkityksineen. Suurin osa aineistosta on saatavilla vain englanniksi, mutta osasta on saatavilla myös suomen- ja ruotsinkielinen kieliversio erikseen ladattavana tiedostona.

Viranomaisten verkkosivuilta on saatavilla erilaisia aineistoja henkilötietojen käsittelyn tueksi. Kansallisena valvontaviranomaisena toimiva tietosuojavaltuutetun toimisto on esimerkiksi julkaissut verkkosivuillaan kattavan kokonaisuuden tietosuojasta organisaatioille ja yksityishenkilöille. Lisäksi tiedonhallintalautakunnan sivuilta on  saatavilla tietoa muun muassa lautakunnan suosituksista tiedonhallintalain soveltamiseen liittyen. Julkisen hallinnon digitaalisen turvallisuuden johtoryhmän (VAHTI) verkkosivuilla voi puolestaan tutustua ryhmän tuottamiin tukimateriaaleihin. Osassa viranomaisten julkaisemaa materiaalia on saatavilla valmiita asiakirjapohjia, joita järjestäjät voivat toiminnassaan hyödyntää. Lisäksi julkishallinnon toimesta on laadittu erilaisia maksuttomia verkko- ja videokoulutuksia, kuten Tietosuojan ABC ja Arjen tietosuoja -koulutukset. Koulutukset on suunnattu erityisesti julkishallinnossa työskenteleville, mutta materiaalit ovat kaikkien asiasta kiinnostuneiden tutustuttavissa.

Toiminnan järjestäjällä voi olla myös omia ohjeita, esimerkiksi tietosuojaan, tietoturvaan sekä hankintoihin liittyen. Näistä ohjeista kannattaa tiedustella tarkemmin oman organisaation vastuuhenkilöiltä kuten tietosuojavastaavalta, jos sellainen on nimitetty.

Takaisin ylös

Toiminnan järjestäjät käsittelevät tehtäviensä hoitamiseksi laajoja tietoaineistoja, joihin sisältyy sekä henkilö- että muita tietoja. Henkilötiedoilla tarkoitetaan kaikkia tietoja, jotka liittyvät tunnistettuun tai tunnistettavissa olevaan henkilöön. Siten kaikki sellaiset oppijaan ja huoltajaan liittyvät tiedot, joiden perusteella he ovat tunnistettavissa, ovat henkilötietoja. Oppijan henkilötietoja ovat esimerkiksi nimi, henkilötunnus ja yhteystiedot, mutta myös tiedot oppijalle tehdyistä päätöksistä, oppijan arvioinneista sekä oppijan poissaoloista ja niiden syistä. Henkilötiedot voivat olla kirjallisessa tai sähköisessä muodossa, joten esimerkiksi sähköisissä ympäristöissä voi kertyä oppijaan liittyviä henkilötietoja. Myös valokuva-, video- ja äänitallenteet voivat olla henkilötietoja, jos rekisteröity on niistä tunnistettavissa suoraan, tai jos hänet voidaan tunnistaa niistä lisätietojen avulla.

Rekisteröidyllä tarkoitetaan henkilöä, johon tiedot liittyvät, kuten oppijaa tai hänen huoltajaansa. Henkilötietojen käsittelyssä on myös huomioitava rekisteröidyn oikeudet ja vapaudet. Tietosuojalainsäädännössä viittaus oikeuksiin ja vapauksiin koskee ensisijaisesti oikeutta tietosuojaan ja oikeutta yksityisyyteen, mutta käsittää myös muita perusoikeuksia kuten sanavapauden, ajatuksenvapauden, liikkumisvapauden, syrjintäkiellon, oikeuden vapauteen sekä omantunnon ja uskonnon vapauden.

Erityisillä henkilötiedoilla tarkoitetaan tietoja, joista ilmenee rekisteröidyn rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus, ammattiliiton jäsenyys, terveyttä koskevia tietoja, seksuaalinen suuntautuminen tai käyttäytyminen, tai geneettisiä tai biometrisiä tietoja henkilön tunnistamista varten. Määritelmä on itsenäinen henkilötietojen julkisuuteen ja salassapitoon nähden. Tietojen julkisuutta ja salassapitoa arvioidaan erikseen viranomaisten toiminnan julkisuudesta annetun lain (621/1999) tai erityislainsäädännön perusteella.

Henkilötietojen käsitteen määritelmä on laaja ja se kattaa myös pseudonymisoidut tiedot. Pseudonymisointi tarkoittaa, että henkilötietoja ei voida enää yhdistää tiettyyn henkilöön käyttämättä lisätietoja, joita säilytetään erillään henkilötiedoista. Koska henkilö voidaan edelleen tunnistaa pseudonymisoidusta aineistosta lisätietojen avulla, toiminnan järjestäjän on huomioitava henkilötietojen käsittelyä koskevat velvoitteet myös silloin, kun oppijan tai heidän huoltajiensa tiedot on pseudonymisoitu. Pseudonymisointia käytetään yleensä tutkimustoiminnassa ja tilastoinnissa. Pseudonymisoinnista on kyse myös esimerkiksi silloin, jos opettaja kirjaa oppijat sähköiseen oppimisympäristöön nimimerkeillä tai muilla tunnisteilla, mutta hän pystyy edelleen erottamaan oppilaat toisistaan hallussaan olevan nimi-tunniste-listan avulla.

Henkilötietojen käsittelyllä tarkoitetaan kaikkia toimintoja, joita kohdistetaan yksittäiseen henkilötietoon tai niitä sisältäviin tietojoukkoihin. Henkilötietojen käsittelyksi katsotaan muun muassa tietojen kerääminen, säilyttäminen, käyttö, yhdistäminen, siirtäminen, luovuttaminen ja poistaminen. Käsittely voi olla automaattista tai manuaalista, aktiivista tai passiivista. Henkilötietojen käsittelyä on esimerkiksi tietojen kerääminen oppijalta tai tämän huoltajilta erilaisissa hakemuksissa, tietojen haku viranomaisten rekistereistä ja tietovarannoista, tietojen tallentaminen pilvipalveluun tai tietoja sisältävien asiakirjojen muu säilyttäminen, sekä asiakirjojen kuten päätösten postittaminen.

Takaisin ylös

Tietosuojalainsäädäntöä sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden tarkoitus on muodostaa rekisterin osa. Rekisterillä tarkoitetaan mitä tahansa jäsenneltyä henkilötietoja sisältävää tietojoukkoa, josta tiedot ovat saatavilla tietyin perustein. Ratkaisevaa rekisterin muodostumisessa on tietojen järjestäminen sellaisten kriteerien perusteella, joiden ansiosta tiedot voidaan hakea helposti myöhempää käyttöä varten. Tietojen säilytystavalla ei ole arvioinnissa merkitystä, joten rekisteri voi olla sähköisessä tai fyysisessä muodossa.

Tietosuojalainsäädännön näkökulmasta rekisteriä ei muodostu sellaisista tiedoista, jotka eivät tallennu tai jotka eivät ole muutoinkaan toistettavissa. Esimerkiksi keskustelutuokiot, joita ei kuvata, äänitetä, kirjoiteta muistiin tai muutoinkaan tallenneta, eivät muodosta rekisteriä. Näiden tietojen osalta on kuitenkin muistettava, että vaikka ne eivät muodostakaan rekisteriä, saatujen tietojen käsittelyssä on silti huomioitava säännökset tietojen julkisuudesta ja salassapidosta. Tätä teemaa käsitellään tarkemmin Opetushallituksen Julkisuus ja tiedonhallinta opetustoimessa-oppaassa.

Toiminnan järjestäjät käsittelevät tietoaineistojaan pääsääntöisesti kokonaan tai osittain automaattisesti erilaisissa tietojärjestelmissä ja sähköisissä palveluissa. Näitä ovat esimerkiksi oppilas- ja opiskelijahallintojärjestelmät, erilaiset toimisto-ohjelmistot ja sähköiset oppimisympäristöt. Myös manuaalisesti käsiteltävät tiedot kuuluvat usein osaksi henkilörekisteriä tai niiden voidaan katsoa muodostavan rekisteri. Järjestäjien tyypillisiä rekistereitä ovat esimerkiksi varhaiskasvatuksen asiakasrekisteri, perusopetuksen oppilasrekisteri, lukio- tai ammatillisen koulutuksen opiskelijarekisteri sekä oppilas- ja opiskeluhuollossa muodostuvat rekisterit. Myös kameravalvonnasta syntyy yleensä henkilörekisteri. Tietosuojalainsäädäntö tulee siten pääsääntöisesti sovellettavaksi kaikkeen järjestäjän vastuulla olevaan henkilötietojen käsittelyyn.

Takaisin ylös

Tietosuojalainsäädäntöä ei sovelleta anonyymeihin tai anonymisoituihin tietoihin. Anonyymeillä tiedoilla tarkoitetaan tietoja, jotka eivät liity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Anonymisoinnilla tarkoitetaan sen sijaan erilaisia henkilötietoihin kohdistettavia toimenpiteitä, joiden seurauksena henkilön tunnistettavuus estyy peruuttamattomasti. Tietojen anonymisoimiseksi tietoaineistoja voidaan esimerkiksi karkeistaa tai niistä voidaan poistaa taustamuuttujia siten, ettei henkilöä voida enää tunnistaa.

Tietoja pidetään anonymisoituina, kun toiminnan järjestäjä tai muu taho ei voi enää tunnistaa rekisteröityä suoraan tai epäsuorasti muita tietoja yhdistämällä. Tunnistamisriskiä on arvioitava objektiivisesti ja siinä on huomioitava kaikki kohtuullisen todennäköisesti käytettävissä olevat tunnistamiskeinot. Tunnistaminen voi olla suoraa tai välillistä, kuten kyseisen henkilön erottamista muista. Huomioon otettavia tekijöitä voivat olla esimerkiksi tunnistamiseen tarvittava aika, tunnistamisesta aiheutuvat kulut sekä käytettävissä oleva teknologia. Anonymisoituja aineistoja ovat muun muassa kasvatuksen, opetuksen ja koulutukset tilastotiedot, joista yksittäinen oppija ei ole tunnistettavissa.

Toiminnan järjestäjän ei siten tarvitse huomioida tietosuojalainsäädännön velvoitteita, kun se käsittelee anonyymejä tietoja tai tietoaineistoja. Järjestäjän on kuitenkin huomioitava velvoitteet silloin, kun se aikoo anonymisoida hallussaan olevia henkilötietoja, koska anonymisointi pitää sisällään henkilötietojen käsittelyä kuten poistoa ja muokkaamista. Toiminnan järjestäjän on tällöin varmistuttava muun muassa siitä, henkilötiedot on alun perin kerätty laillista käyttötarkoitusta varten ja että tietojen anonymisointi on yhteensopivaa alkuperäisen käyttötarkoituksen kanssa.

Takaisin ylös