Dataskydd i småbarnspedagogiken och utbildningen

Utbildningsstyrelsens dataskyddsguide är en handbok som är avsedd som stöd för anordnare som ansvarar för att ordna sådan småbarnspedagogik och utbildning som avses i lagen om småbarnspedagogik (540/2018), lagen om grundläggande utbildning (628/1998), gymnasielagen (714/2018) och lagen om yrkesutbildning (531/2017). Guiden kan till lämpliga delar också användas vid anordnandet av undervisning som avses i lagen om grundläggande konstundervisning (633/1998) och utbildning som avses i lagen om fritt bildningsarbete (632/1998). I handboken används begreppet anordnare för att beskriva alla ovan nämnda anordnare och begreppet elev för att beskriva de barn, elever och studerande som deltar i småbarnspedagogik och utbildning som anordnarna tillhandahåller.

I handboken behandlas de centrala skyldigheter som anordnaren av verksamheten ska iaktta vid behandlingen av personuppgifter. Syftet med dataskyddsguiden är att ge klarhet i de juridiska frågor som anknyter till hanteringen av barnens, elevernas, de studerandes och vårdnadshavarnas uppgifter då anordnaren av verksamheten sköter sina lagstadgade uppgifter. I handboken tas inte ställning till sådan uppgiftshantering som sker utanför anordnandet av småbarnspedagogiken och utbildningen. I handboken behandlas inte heller skyldigheter som anknyter till hanteringen av personalens uppgifter.

För att sköta sina uppgifter behandlar anordnarna av verksamheten stora mängder data, som innehåller både personuppgifter och andra uppgifter. Med personuppgifter avses alla uppgifter som hör ihop med en identifierad eller identifierbar person. Det innebär att alla sådana uppgifter, utifrån vilka en elev eller vårdnadshavare kan identifieras, är personuppgifter. En elevs personuppgifter är till exempel namn, personbeteckning och kontaktuppgifter, men också uppgifter om beslut som gjorts för en elev, bedömning som berör eleven samt frånvaro och orsaker till frånvaron. Personuppgifterna kan vara i skriftlig eller elektronisk form, vilket betyder att personuppgifter som berör en elev kan samlas i till exempel digitala miljöer. Även fotografier, videor och ljudinspelningar kan vara personuppgifter, ifall den registrerade personen direkt kan identifieras utifrån dem eller ifall hen kan identifieras på basis av tilläggsinformation i anslutning till dem.

Med en registrerad avses den person som uppgifterna berör, till exempel en elev eller hens vårdnadshavare. I behandlingen av personuppgifter ska också den registrerades rättigheter och friheter beaktas. I dataskyddslagstiftningen hänvisar man med den registrerades rättigheter och friheter i första hand till rätten till dataskydd och skydd av den personliga integriteten, men de omfattar också andra grundläggande rättigheter såsom yttrandefrihet, tankefrihet, rörelsefrihet, diskrimineringsförbud samt rätt till frihet och samvets- och religionsfrihet.

Med särskilt känsliga personuppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, uppgifter om hälsa, uppgifter om en persons sexualliv eller sexuella läggning eller genetiska eller biometriska uppgifter för att entydigt identifiera en person. Definitionen har en självständig roll i förhållande till personuppgifternas offentlighet och sekretess. Uppgifternas offentlighet och sekretess bedöms separat utifrån lagen om offentlighet i myndigheternas verksamhet (621/1999) eller speciallagstiftning.

Personuppgifter är ett omfattande begrepp och inbegriper också pseudonymiserade uppgifter. Med pseudonymisering avses att personuppgifterna inte längre kan kopplas till en specifik person, utan att kompletterande uppgifter används. Kompletterande uppgifter förvaras separat från personuppgifterna. Eftersom en person fortfarande kan identifieras ur pseydonymiserade data med hjälp av de kompletterande uppgifterna, ska den som ordnar verksamheten ta i beaktande de skyldigheter som berör behandlingen av personuppgifter även i de situationer då en elevs eller vårdnadshavares uppgifter har pseudonymiserats. Pseudonymisering används i allmänhet inom forskningsverksamhet eller i statistikföring. Det är också frågan om pseudonymisering om till exempel en lärare för bok över eleverna i en digital lärmiljö med signaturer eller andra identifieringskoder, men hen fortfarande kan skilja på eleverna med hjälp av en förteckning över elevernas namn och identifieringskod.

Med behandling av personuppgifter avses alla åtgärder beträffande enskilda personuppgifter eller uppsättningar av personuppgifter. Som behandling av personuppgifter räknas bland annat insamling, lagring, användning, sammanförande, utlämning, överföring och radering. Behandlingen kan var automatisk eller manuell, aktiv eller passiv. Behandling av personuppgifter är bland annat att samla in uppgifter av eleverna eller deras vårdnadshavare i samband med olika ansökningar, att hämta personuppgifter från myndigheternas register och informationsresurser, att spara personuppgifter i en molntjänst eller annan förvaring av handlingar som innehåller uppgifter samt att sända handlingar, såsom beslut, per post.

Dataskyddslagstiftningen tillämpas inte på anonyma eller anonymiserade uppgifter. Med anonyma uppgifter avses uppgifter som inte hänför sig till en identifierad eller identifierbar fysisk person. Med anonymisering avses däremot att man vidtar sådana åtgärder med personuppgifterna att personen inte längre är identifierbar. För att anonymisera uppgifter kan de till exempel göras mindre noggranna eller så kan olika bakgrundsvariabler raderas så att personen inte längre går att identifiera.

Uppgifterna anses vara anonymiserade då anordnaren av verksamheten eller en annan aktör inte längre kan identifiera den registrerade, varken direkt eller indirekt genom en kombination med andra uppgifter. Risken att uppgifterna går att identifiera ska bedömas objektivt och i bedömningen ska man beakta alla hjälpmedel som rimligen kan komma att användas för att identifiera personen. Identifieringen kan vara direkt eller indirekt, som att man urskiljer en viss person från de andra. Faktorer som bör beaktas kan vara till exempel kostnader som uppstår vid och tid som behövs för identifiering, samt tillgänglig teknik. Anonymiserad data är bland annat statistik om småbarnspedagogik och utbildning, där inga enskilda barn, elever och studerande kan identifieras.

Anordnare av verksamhet behöver således inte beakta skyldigheterna som fastställts i dataskyddslagstiftningen då de behandlar anonyma uppgifter eller data. Anordnarna ska ändå beakta skyldigheterna i situationer då de har för avsikt att anonymisera tillgängliga personuppgifter, eftersom anonymiseringen i sig innebär behandling av personuppgifter, till exempel radering eller bearbetning. Anordnarna ska då bland annat säkerställa att personuppgifterna ursprungligen har samlats in för lagliga syften och att anonymiseringen av uppgifterna överensstämmer med det ursprungliga syftet.