TIETOSUOJAVALTUUTETUN TOIMISTO. Dnro 3051/03/2012 '

Transkriptio

1 Dnro 3051/03/2012 ' Opetus- ja kulttuuriministeriö Eeva-Riitta Pirhonen Aino-Inkeri Hansson Lausuntopyyntö hallituksen esitysluonnoksesta laiksi oppilas- ja opiskelijahuollosta (Dnro 39/010/2012) Opetus- ja kulttuuriministeriön ja sosiaali- ja terveysministeriön valmistelema hallituksen esitysluonnos oppilas- ja opiskeluhuoltolaiksi koskee esiopetusta, perusopetusta, lukiokoulutusta ja ammatillista koulutusta. Uuteen lakiin ehdotetaan koottavaksi lainsäädännössä nyt hajallaan olevat oppilas- ja opiskeluhuoltoa ja henkilötietojen käsittelyyn, kirjaamiseen, rekisteröimiseen ja salassa pitoon liittyvät säännökset. Esityksen mukaan koulunkäynnin tukea koskeva lastensuojelulain 9 kumottaisiin. Koulu- ja opiskelijaterveydenhuollosta säädettäisiin edelleen terveydenhuoltoa koskevassa lainsäädännössä. Lakiehdotuksessa vahvistetaan nyt, että opiskeluhuollon kuraattoreiden ja sosiaalityöntekijöiden yksilökohtaisessa asiakastyössä sovelletaan sosiaalihuollon asiakkaan asemasta ja oikeuksista annettua lakia. Lausun toimivaltaani kuuluvan henkilötietojen käsittelyn kannalta lakiluonnoksesta seuraavaa. 1. TIETOSUOJAVALTUUTETUN TOIMIVALTA Tietosuojavaltuutettu antaa henkilötietolain 38 :n mukaan henkilötietojen käsittelyä koskevaa ohjausta. Valtuutetun on lain 40 :n mukaan edistettävä hyvää tietojenkäsittelytapaa. Asianomaisen viranomaisen on 41 :n mukaan varattava tietosuojavaltuutetulle tilaisuus tulla kuulluksi valmisteltaessa lainsäädännöllisiä ja hallinnollisia uudistuksia, jotka koskevat henkilöiden oikeuksien ja vapauksien suojaamista henkilötietojen käsittelyssä. TIETOSUOJAVALTUUTETUN TOIMISTO Postiosoite Käyntiosoite Vaihde Sähköposti ja kotisivut PL 315 Albertinkatu 25 A tietosuoja@om.fi Helsinki 3. kerros Neuvonta ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00

2 2. HENKILÖTIETOJEN KÄSITTELYSTÄ SÄÄNTELY Perustuslain (731/1999) 10 turvaa yksityisyyden suojan perusoikeutena jokaiselle. Perustuslain mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Yleinen henkilötietojen suojaa koskeva laki on henkilötietolaki. Jos erityislaissa on tarkoitus poiketa henkilötietolaissa säädetyistä velvoitteista, on säännökset otettava lakiin. Eduskunnan perustuslakivaliokunta on todennut, että henkilötietojen suojaa koskevan perusoikeussäännöksen kannalta tärkeitä sääntelykohteita ovat ainakin (PeVL 14/1998 vp, kts. Myös PeVL 25/1998 vp, PeVL 12 ja 14/2002 vp sekä PeVL30/2005 vp) : rekisteröinnin tavoite, rekisteröitävien henkilötietojen sisältö, henkilötietojen sallitut käyttötarkoitukset mukaan luettuna tietojen luovutettavuus ja tietojen säilytysaika henkilörekisterissä sekä rekisteröidyn oikeusturva samoin kuin näiden seikkojen sääntelemisen kattavuus ja yksityiskohtaisuus lain tasolla. Perustuslakivaliokunta on myöhemmin todennut lailla säätämisen vaatimuksen ulottuvan myös mahdollisuuteen luovuttaa henkilötietoja teknisen käyttöyhteyden avulla (PEVL 51/2002vp). Perustuslakivaliokunnan lausuntokäytännössä on myös katsottu, että henkilörekisterien yhdistämisestä on säädettävä laissa. Jos eri rekisterissä olevia henkilötietoja yhdistetään valvontatarkoituksessa, perustuslakivaliokunnan mukaan on tarpeen säätää yhdistämisen perusteella saatujen tietojen hävittämisajoista samoin kuin kiellosta luovuttaa edelleen yhdistämällä saatuja tietoja (kts. esim. PeVL 14/2002 vp ja 30/2005 vp). Hallintovaliokunnan mukaan lain tasolla on ilmettävä ainakin perustuslakivaliokunnan edellä mainitussa lausunnossa mainitut asiat (mm. hallintovaliokunnan lausunnot HaVL 16 ja 19/1998 vp sekä hallintovaliokunnan mietinnöt HaVM 25 ja 26/1998 vp). Asetustasolla on hallintovaliokunnan kannan mukaan mahdollista antaa rekisterin tietosisältöä täydentäviä ja tarkentavia säännöksiä, kunhan lakitekstin perusteella voidaan riittävän selkeästi päätellä asetuksen tasoisen sääntelyn sisältö. Hallintovaliokunta pitää kuitenkin asianmukaisena lähtökohtana pyrkimystä mahdollisimman yksityiskohtaisesti säätää henkilötietojen suojaan liittyvistä seikoista jo lain tasolla. Perustuslakivaliokunnan ja hallintovaliokunnan edellä mainitut linjanvedot henkilörekistereiden ja henkilötietojen käsittelyn sääntelystä on otettava huomioon myös silloin, kun tällaisia säännöksiä on tarkoitus sisällyttää erityislainsäädäntöön ja kun erityislainsäädännön säädöksiä ja niiden mahdollisia tarkistamistarpeita arvioidaan. TIETOSUOJAVALTUUTETUN TOIMISTO Postiosoite Käyntiosoite Vaihde Sähköposti ja kotisivut PL 315 Albertinkatu 25 A tietosuoja@om.fi Helsinki 3. kerros Neuvonta ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00

3 3. LAKIEHDOTUKSEN ARVIOINTI 3.1 Sovellettava lainsäädäntö Henkilötietoja ovat henkilötietolain 3 :n 1 kohdan mukaan kaikki luonnollista henkilöä tai hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavat merkinnät, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi. Lakiehdotukseen sisältyy oppilaiden ja opiskelijoiden sekä jossain määrin myös muiden henkilötietojen käsittelyä moniammatillisessa opiskeluhuoltotyössä. Käsittelyllä tarkoitetaan henkilötietolain 3 :n 2 kohdan mukaan henkilötietojen keräämistä, tallettamista, käyttöä ja luovuttamista sekä muita henkilötietoihin kohdistuvia toimenpiteitä. Tulee arvioida, mitä henkilötietojen käsittelyä koskevia velvoitteita tai muutoksia ehdotus aiheuttaisi. Opiskeluhuoltoon sisältyvät lakiehdotuksen 3 :n 4 momentin mukaan koulutuksen järjestäjän hyväksymän opetussuunnitelman mukainen opiskeluhuolto sekä opiskeluhuollon palvelut, joita ovat psykologi ja kuraattoripalvelut sekä koulu- ja opiskelijaterveydenhuollon palvelut. Henkilötietojen käsittelyyn opiskeluhuollossa tultaisiin soveltamaan ehdotettua opiskeluhuoltolakia ja sosiaali- ja terveydenhuollon lainsäädäntöä. Kouluterveydenhuollon tehtävistä säädetään terveydenhuoltolaissa. Lakiehdotuksen 19 :n 3 momentin mukaan koulu- ja opiskeluterveydenhuollon henkilöstö ja muut terveydenhuollon ammattihenkilöt kirjaavat opiskelijan yksilötapaamiset potilaan asemasta ja oikeuksista annetun lain (potilaslaki) 12 :ssä tarkoitettuihin potilasasiakirjoihin, joiden käsittelyyn sovelletaan sanottua lakia ja sen nojalla annettuja säädöksiä. Keskeinen säännös on sosiaali- ja terveysministeriön asetus potilasasiakirjoista (2009/298). Potilaslain 12 :n mukaan terveydenhuollon ammattihenkilön tulee merkitä potilasasiakirjoihin potilaan hoidon järjestämisen, suunnittelun, toteuttamisen ja seurannan turvaamiseksi tarpeelliset tiedot. Psykologi on terveydenhuollon ammattihenkilö. Opiskeluhuollon psykologipalvelulla tarkoitetaan lakiehdotuksen 5 :n mukaan psykologin antamaa opiskelun ja koulunkäynnin tukea ja ohjausta, joilla ehkäistään ja poistetaan pykälän 2 kohdassa mainittuja asioita. Sovelletaanko opiskeluhuollon psykologin asiakastietojen käsittelyyn aina potilaslakia? Opiskeluhuollon sosiaalityöntekijät ja kuraattorit kirjaavat lakiehdotuksen 19 :n 4 momentin mukaan yksilötapaamisissa kertyneet asiakastiedot opiskeluhuollon sosiaalityön asiakaskertomukseen, johon sovelletaan sosiaalihuollon asiakkaan asemasta ja oikeuksista annetun lain (asiakaslaki) säännöksiä. Lakiehdotuksessa todetaan, että lain tarkoituksena on selkeästi siirtää koulukuraattoreiden työ toteutettavaksi kunnan sosiaalitoimessa. Pidän säännöstä tärkeänä, koska aikaisemmin asiakaslain soveltamisala on ollut tältä osin tulkinnanvarainen. Lisäksi henkilötietolakia (HTL) sovellettaisiin yleislakina. Viranomaistoiminnassa henkilötietojen käsittelyyn vaikuttaa myös yleislakina sovellettava viranomaisten toiminnan julkisuudesta annettu laki (julkisuuslaki), jossa säädetään muun muassa henkilötietojen luovuttamisesta henkilörekisteristä (kts. HTL 8.4 ja julkisuuslain 7 TIETOSUOJAVALTUUTETUN TOIMISTO Postiosoite Käyntiosoite Vaihde Sähköposti ja kotisivut PL 315 Albertinkatu 25 A tietosuoja@om.fi Helsinki 3. kerros Neuvonta ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00

4 luku), hyvästä tiedonhallintavasta (18 ) ja tietojen salassa pidosta (24 ). Lakiehdotuksessa 20 :ssä säädetään, että opiskeluhuollon rekistereihin tallennettavien tietojen käsittelyssä noudatetaan julkisuuslain säännöksiä. Säännös on tärkeä, koska opiskeluhuoltoa tulevat järjestämään myös yksityiset opetuksen järjestäjät (vrt. JulkL 4.2 ). 3.2 Henkilötietojen käsittelyn peruste opiskeluhuollossa Henkilötietojen käsittelyn yleiset edellytykset ilmenevät lain 8 :stä. Henkilötietoja voi käsitellä esimerkiksi, jos käsittely johtuu rekisterinpitäjälle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta (kts. HTL 8 :n 1 momentin 1, 4 ja 5 kohta). Lain 11 :ssä määriteltyjen arkaluonteisten henkilötietojen käsittelyn edellytyksistä säädetään lain 12 :ssä. Henkilötietojen käsittely voi johtua välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä (12 :n 1 momentin 5 kohta). Lakiehdotuksen 3 :ssä määritellään opiskeluhuolto. Siihen sisältyvät koulutuksen järjestäjän hyväksymän opetussuunnitelman mukainen yhteisöllinen ja yksilökohtainen opiskeluhuolto (4, 7 ja 8 ), opiskeluhuollon psykologi- ja koulukuraattoripalvelut (5 ) sekä koulu- ja opiskeluterveydenhuollon palvelut (6 ), jotka kaikki on määritelty tarkemmin lakiehdotuksessa luvussa 2. Oppilaiden ja opiskelijoiden henkilötietojen käsittely perustuu näihin lakiehdotuksessa säädettyihin eri tehtäviin. 3.3 Rekisterinpitäjä vastaa henkilötietojen käsittelystä Henkilötietojen käsittelystä vastaa rekisterinpitäjä (HTL 3 4 kohta). Moniammatillisen opiskeluhuollon toteutukseen osallistuu useita rekisterinpitäjiä. Eri toimijoiden vastuusta opiskeluhuollon toteuttamisessa säädetään lakiehdotuksen 11 :ssä. Opetuksen ja koulutuksen järjestäjä vastaa siitä, että opetussuunnitelmaan sisältyvä oppilaitoksen opiskeluhuoltosuunnitelma toteutuu ja että opiskeluhuolto järjestetään sosiaali- ja terveystoimen opiskeluhuoltopalveluista vastuussa olevien viranomaisten kanssa yhtenäisenä kokonaisuutena. Oppilaitoksen sijaintikunta vastaa opiskeluhuollon psykologi- ja kuraattoripalveluiden järjestämisestä kunnan alueella. Lakiehdotuksen 20 :n mukaan koulutuksen järjestäjä ylläpitää rekisterinpitäjänä yksilökohtaisen opiskeluhuollon rekisteriä. Terveyskeskus toimii lakiehdotuksen 20 :n 2 momentin mukaan rekisterinpitäjänä koulu- ja opiskelijaterveydenhuollossa. Saman pykälän ja lakiehdotuksen 19 :n 3 momentin perusteella myös muut terveydenhuollon ammattihenkilöt kirjaavat opiskelijan yksilötapaamiset terveydenhuollon potilasrekisteriin, jonka rekisterinpitäjänä toimiii terveyskeskus. Opiskeluhuollon psykologi on terveydenhuollon ammattihenkilö, jonka tehtävistä säädetään ehdotetun lain 5 :ssä. Onko lain tarkoituksena, että opiskeluhuollon psykologi on aina töissä terveyskeskuksessa? Jos näin ei ole, jää epäselväksi, millä perusteella terveyskeskus voisi siinä tapauksessa olla opiskeluhuollon psykologin asiakasrekisterin rekisterinpitäjänä. Opiskeluhuollon sosiaalityön asiakasrekisterin rekisterinpitäjänä toimii lakiehdotuksen 20 :n 2 momentin mukaan TIETOSUOJAVALTUUTETUN TOIMISTO Postiosoite Käyntiosoite Vaihde Sähköposti ja kotisivut PL 315 Albertinkatu 25 A tietosuoja@om.fi Helsinki 3. kerros Neuvonta ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00

5 palvelun järjestänyt kunnan toimielin (kts. Tietosuojavaltuutetun opas Henkilötietolaki ja asiakastietojen käsittely kunnallisessa sosiaalihuollossa). 3.4 Opiskeluhuollon eri rekisterit Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään (HTL 6 ja 7 ). Henkilötietolaissa on omaksuttu looginen rekisterikäsite (HTL 3 3 kohta). Samaan henkilörekisteriin kuuluvat erikseen pidetyt atk-rekisterit ja manuaaliset luettelot ja kortistot, jos niitä käytetään saman lainsäädännössä määrätyn tehtävän hoitamiseen. Myös asiakirjat voivat kuulua henkilörekisteriin. Oppilaitoksissa ylläpidetään oppilas- ja opiskelijarekistereitä. Oppilasrekisteriin kuuluvat oppilaista opetuksen järjestämiseksi kerätyt tiedot. Siihen talletetaan oppilaan perustiedot ja oppilaan arviointitiedot. Loogisesti oppilasrekisteriin kuuluvia henkilötietoja käsitellään myös kodin ja koulun yhteistyössä, josta kerrotaan tarkemmin tietosuojavaltuutetun toimiston oppaassa Oppilaan henkilötietojen käsittely kodin ja koulun yhteistyössä. Oppilasrekisterin osarekisterin muodostavat oppilaasta opetuksen tukitoimien aikana kerättävät tiedot samoin kuin oppilaan poissaoloja ja oppilaalle annettuja rangaistuksia koskevat tiedot. Erilaisista henkilötietoja sisältävistä kyselyistä muodostuu erillisiä henkilörekistereitä. Tällaisia voivat olla esimerkiksi ns. kiusaamiskyselyt. Myös koulutuksen järjestäjän suorittamiin arviointeihin voi liittyä tällaisia kyselyitä. Kts. Tietosuojavaltuutetun toimiston opas Henkilötietojen kerääminen koulutuksen itsearviointiin liittyvissä kyselyissä. Yksilökohtaisen opiskeluhuollon rekisteri kuuluu oppilaitoksissa ylläpidettävien henkilörekisreiden kokonaisuuteen. Lakiehdotuksen 20 :ssä säädetään opiskeluhuollon rekistereistä. Koulutuksen järjestäjä ylläpitää yksilökohtaisen opiskeluhuollon rekisteriä. Lakiehdotuksen 19 :n mukaan oppilaitoksen järjestämässä yksilökohtaisessa opiskeluhuollossa asiaa käsittelevän opiskeluhuoltoryhmän jäsenen on kirjattava opiskelijan opiskeluhuoltokertomukseen opiskelijaa koskevat tiedot. Velvoite koskee opiskeluhuoltoryhmän sekä opiskelun asiantuntijaryhmän jäseniä. Kertomuksen tarkoituksena on lakiehdotuksen perustelujen mukaan turvata se, että opiskeluhuollon tarpeen selvitysprosessi ja sen pohjalta toteutetut toimenpiteet sekä niiden perusteet dokumentoidaan asianmukaisesti, jotta opiskeluhuollon tilannearvio ja sen pohjalta tehdyt suunnitelmat ja toimenpiteet voidaan perustaa loogisesti kaikkiin tarpeellisiin ja saatavilla oleviin asiakastietoihin. Opiskelijan opiskelijahuoltokertomus laaditaan saman pykälän mukaan jatkuvaan muotoon aikajärjestyksessä eteneväksi, mikä on hyvä mainita laissa, koska asiasta on syntynyt epätietoisuutta. Terveyskeskus ylläpitää lakiehdotuksen 20 :n 2 momentin mukaan koulu- ja opiskelijaterveydenhuollon potilasrekisteriä. Opiskeluhuollon psykologipalvelussa ylläpidetty asiakasrekisteri on erillinen henkilörekisteri, johon talletetaan lakiehdotuksen 5 :ssä määriteltyjen tehtävien hoitamiseksi tarpeelliset asiakastiedot. Se on lakiehdotuksen 19 :n 3 momentin perusteella potilasrekisteri. Jos opiskeluhuollon psykologi työskentelee terveyskeskuksessa, opiskeluhuollon TIETOSUOJAVALTUUTETUN TOIMISTO Postiosoite Käyntiosoite Vaihde Sähköposti ja kotisivut PL 315 Albertinkatu 25 A tietosuoja@om.fi Helsinki 3. kerros Neuvonta ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00

6 psykologirekisteri on terveyskeskuksessa erillinen rekisteri eikä muilla työntekijöillä voi käsitykseni mukaan olla pääsyä siihen. Koulu- ja opiskelijaterveydenhuolto voi saada tästä rekisteristä salassa pidettäviä asiakastietoja vain lakiehdotuksen 22 :n 1 momentin perusteella tai asiakkaan/huoltajan nimenomaisella suostumuksella. Mielestäni lakiehdotus on tältä osin epätäsmällinen. Opiskeluhuollon sosiaalityöntekijä ja kuraattori kirjaavat lakiehdotuksen 19 :n 4 momentin ja 20 :n 2 momentin perusteella yksilötapaamisissa kertyvät asiakastiedot opiskeluhuollon sosiaalityön asiakasrekisteriin (kts. TSV:n opas Henkilötietolaki ja henkilötietojen käsittely kunnallisessa sosiaalihuollossa kohta 5). 3.5 Rekistereihin talletettavat tiedot Henkilötietolaissa säädetään käsiteltävien tietojen laadusta (HTL 9, kts. Myös HTL 6 ja 7 ). Lisäksi henkilötietojen käsittelyn tulee olla asiallisesti perusteltua rekisterinpitäjän toiminnan kannalta (HTL 6 ). Rekisterinpitäjä voi toiminnassaan käsitellä laissa säädettyjen tehtäviensä hoitamiseksi tarpeellisia tietoja. Erityislaista tulee kuitenkin ilmetä rekisteröitävien henkilötietojen sisältö. Asetustasolla on hallintovaliokunnan kannan mukaan mahdollista antaa rekisterin tietosisältöä täydentäviä ja tarkentavia säännöksiä, kunhan lakitekstin perusteella voidaan riittävän selkeästi päätellä asetuksen tasoisen sääntelyn sisältö. Yksilökohtaisen opiskelijahuoltokertomuksen sisältö on määritelty tarkemmin lakiehdotuksen 19 :n 2 momentissa. Lisäksi pykälän 5 momentin mukaan opiskelijan yksilökohtaiseen opiskeluhuoltoon osallistuvilla ammattihenkilöillä on salassapitovelvoitteiden estämättä laissa säädetty kirjaamisvelvollisuus opiskeluhuoltokertomukseen. Kirjaamisvelvollisuus koskee sellaisia ammatillisessa tehtävässä saatuja, opiskelijaa koskeviat tietoja, jotka ovat välttämättömiä tämän koulutuksen tai opiskeluhuollon suunnittelun, järjestämisen tai toteuttamisen kannalta. Opiskeluhuollon sosiaalityön asiakasrekisteriin tallennetaan lakiehdotuksen 5 :ssä säädetyssä opiskeluhuollon kuraattoripalvelussa tarpeellisia tietoja. Saman pykälän mukaan koulukuraattoripalveluita antaisivat sosiaalityöntekijät sekä kuraattorit, jotka ovat suorittaneet vähintään sosiaalialan alemman korkeakoulututkinnon. Koulukuraattorien kelpoisuudesta ei ole säädetty aikaisemmin. Pidän säännöstä tarpeellisena henkilötietojen käsittelyn kannalta. Palvelun antajan kelpoisuuden määrittely vaikuttaa palvelun sisältöön ja sitä kautta siihen, minkälaiset asiakastiedot katsotaan tarpeellisiksi palvelussa. Lakiehdotuksen perusteluista ei ilmene, onko lainvalmistelussa arvioitu koulutuksen järjestäjän ylläpitämän oppilas- tai opiskelijarekisterin ja yksilökohtaisen opiskeluhuollon rekisterin keskinäistä suhdetta. Esitän esimerkkejä asiasta. Perusopetuslain mukaisten tukitoimien järjestämistä voidaan käsitellä moniammatillisessa oppilashuoltotyössä, mutta näitä tietoja tarvitaan myös opetuksen järjestämisessä. Oppilaitoksissa käsitellään erilaisia kiusaamisasioita ja täytetään lomakkeita (esim. KivaKoulu-lomakkeisto). Kiusaamisasioita käsitellään myös yksilökohtaisessa opiskeluhuollossa. Kouluterveydenhuollon laajaan terveystarkastukseen sisältyy päivähoidon ja esiopetuksen henkilökunnan arvio TIETOSUOJAVALTUUTETUN TOIMISTO Postiosoite Käyntiosoite Vaihde Sähköposti ja kotisivut PL 315 Albertinkatu 25 A tietosuoja@om.fi Helsinki 3. kerros Neuvonta ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00

7 lapsesta sekä opettajan arvio oppilaasta (Valtioneuvoston asetus 338/2011 neuvolatoiminnasta, koulu- ja opiskeluterveydenhuollosta sekä lasten ja nuorten ehkäisevästä suun terveydenhuollosta7 ). Huoltajan kirjallisella suostumuksella kouluterveydenhuoltoon annettavassa arviossa on oltava tiedot, jotka ovat tarpeellisia terveyden- ja sairaanhoidon tai tuen tarpeen arvioimiseksi sekä niiden järjestämiseksi ja toteuttamiseksi. Opiskelijan tuen tarvetta ja opiskeluhuoltopalveluiden järjestämistä voidaan selvittää myös yksilökohtaisessa opiskeluhuollossa. Esityksen perusteella jää epäselväksi, mitkä näistä tiedoista kuuluvat oppilasrekisteriin ja mitkä yksilökohtaisen opiskeluhuollon rekisteriin? Esitysluonnoksen perusteluissa todetaan, että ammatillisesta koulutuksesta annettu laki muuttui SORA -lainsäädännön tullessa voimaan. Lain muutos sisältää merkittäviä opiskelijoiden arkaluonteisten ja salassa pidettävien henkilötietojen käsittelyä koskevia muutoksia. Pidän henkilötietojen käsittelyn kannalta tarpeellisena, että lainvalmistelun yhteydessä arvioidaan tarkemmin, mitä tietoja ammatillisessa oppilaitoksessa talletetaan yksilökohtaisen opiskeluhuollon rekisteriin ja mitä muihin opiskelijoista ylläpidettäviin henkilörekistereihin. Esitän esimerkkinä ammatillisesta koulutuksesta annetun lain 42 :n, jossa säädetään arkaluonteisten tietojen käsittelystä pykälässä mainituissa tilanteissa. Epäselvyyttä on syntynyt siitä, mitä säännöksiä oppilaitoksessa sovelletaan muiden arkaluonteisten tietojen käsittelyyn (kts. esim. lain 20-21, 28, 31, 38 ja 39 a ). 3.6 Henkilötietojen luovuttaminen ulkopuolisille Opiskeluhuoltoon sisältyy moniammatillista yhteistyötä, johon liittyy puolestaan salassa pidettävien henkilötietojen luovuttamista. Siihen tulee olla laissa säädetty peruste. Viranomaisten tiedonsaantioikeus määräytyy pääasiassa erityislainsäädännön mukaisesti. Säännöksessä edellytetään erityislain nimenomaista säännöstä oikeudesta tai velvollisuudesta antaa salassa pidettävä tieto tai säännöstä oikeudesta saada tällainen tieto. Tämä merkitsee sitä, että säännöksestä tulee ilmetä tiedon luovutuksen sallittavuus salassapitosäännöksestä riippumatta, samoin kuin se, mitkä salassapitoperusteet säännös syrjäyttää (kts. HE 30/1998 s. 101). Opiskelijan yksilökohtaiseen opiskeluhuoltoon osallistuvien oikeudesta saada toisiltaan ja luovuttaa toisilleen yksilökohtaisen opiskeluhuollon järjestämiseksi ja toteuttamiseksi välttämättömiä salassa pidettäviä tietoja, säädetään lakiehdotuksen 22 :n 1 momentissa. Myös lakiehdotuksen 19 :n 5 momentti merkitsee salassa pidettävien tietojen luovuttamista. Sovelletaanko opiskeluhuollon kuraattoripalveluissa lakiehdotuksen lisäksi myös sosiaalihuollon asiakaslain säännöksiä salassa pidettävien asiakastietojen antamisesta ja saamisesta (esim. 17 ja 20 )? Opiskelijahuollossa on lakiehdotuksen 13 :n 4 momentin perusteella tarpeen mukaan koottava asiantuntijaryhmä opiskelijan tuen tarpeen selvittämiseksi ja opiskeluhuoltopalveluiden järjestämiseksi. Ryhmän kokoajan tulee olla lakiehdotuksen 18 :ssä mainittu henkilö. Ilmeisesti hän toimisi työtehtävissään saamansa tiedon perusteella. Esityksen perusteluissa todetaan, että hän myös samalla TIETOSUOJAVALTUUTETUN TOIMISTO Postiosoite Käyntiosoite Vaihde Sähköposti ja kotisivut PL 315 Albertinkatu 25 A tietosuoja@om.fi Helsinki 3. kerros Neuvonta ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00

8 arvioisi, kenelle opiskelijan tietoja voi lain mukaan antaa siinä tilanteessa. Opiskelijan asiaa voi käsitellä myös oppilaitoksen monialaisessa opiskeluhuoltoryhmässä. Opiskelijan yksilökohtaisen opiskeluhuoltoasian käsittelyyn osallistuvat on määritelty 18 :ssä. Siihen voivat osallistua vain sellaiset henkilöt, joiden opetus- tai opiskeluhuollon tehtävien toteuttamiseen käsiteltävä asia välittömästi kuuluu tai muutoin laissa säädetyn läsnäolo-oikeuden perusteella. Opiskeluhuollon tehtävät on puolestaan määritelty lakiehdotuksen 2 luvussa. Lakiehdotuksen perusteluissa todetaan, että osallistujien määrittely on välttämätöntä, koska monialaisessa yhteistyössä luovutetaan arkaluonteisia ja salassa pidettäviä tietoja opiskelijasta. Opiskeluhuoltoryhmä voi lakiehdotuksen 13 :n 3 momentin mukaan tarvittaessa kuulla asiantuntijoita. Kuuleminen merkitsee käsitykseni mukaan salassa pidettävien tietojen luovuttamista? Esityksestä ei ilmene tarkemmin, keille tietoja voitaisiin luovuttaa, mihin luovuttaminen perustuisi ja voisiko tietoja luovuttaa salassapitosäännösten estämättä? Opiskelijan oikeudesta saada opiskeluhuollon psykologi- ja kuraattoripalveluita säädetään lakiehdotuksen 14 :ssä. Oppilaan tarvitseman riittävän tuen tarve määritellään psykologin, sosiaalityöntekijän tai kuraattorin vastaanotolla. Ehdotuksen perusteluissa todetaan, että opiskeluhuollon palvelujen käyttäminen on opiskelijalle ja hänen perheelleen vapaaehtoista. Oppilaitoksen tai opiskeluhuollon työntekijän on kuitenkin lakiehdotuksen 15 :ssä mainituissa tilanteissa otettava yhteyttä psykologiin, sosiaalityöntekijään tai kuraattoriin joskus myös ilman opiskelijan myötävaikutusta, mutta tällöin yhteydenotosta on annettava tieto opiskelijalle. Hänen on samalla annettava tiedossaan olevat tuen tarpeen arvioimiseksi tarvittavat tiedot. Lakiehdotuksessa ei säädetä siitä, että tässä yhteydessä voitaisiin antaa myös salassa pidettäviä tietoja. Tavoitteena on, että tieto oppilaan ja opiskelijan avun tarpeesta kulkisi mahdollisimman nopeasti ja myös että henkilökunta saisi riittävän ammatillisen tuen ongelmatilaiteissa. Harkinta siitä, milloin opiskelijan asioissa olisi aihetta olla yhteydessä lastensuojeluun, siirtyisi suurelta osin pois opetushenkilökunnalta. Myös muu henkilö voi lakiehdotuksen 14 :n 3 momentin mukaan ottaa yhteyttä opiskeluhuollon palveluihin salassapitosäännösten estämättä. Lakiehdotuksen perusteluissa mainitaan esimerkkejä. Koska 3 momentti merkitsee myös salassa pidettävien tietojen luovuttamista, se ei ole mielestäni riittävän täsmällinen. Hallituksen esityksessä perusopetuslain muuttamiseksi (HE 109/2009) käsitellään opettajan oikeutta saada sellaisia oppilaan terveydentilaa koskevia tietoja kouluterveydenhuollosta, joilla on merkitystä oppilaan opetuksen järjestämisessä. Esityksessä todetaan seuraavaa. Esimerkiksi jos oppilaalla on sairaus, joka opettajan tulee ottaa huomioon opetustilanteissa, kyse on säännöksessä tarkoitetusta tiedosta, joka on opettajan välttämätöntä tietää, jotta hän voi järjestää opetustilanteet siten, että oppilaan tai muiden oppilaiden turvallisuus ei vaarannu. Tapahtuisiko tällainen tietojen luovuttaminen edelleen perusopetuslain säännösten mukaan? TIETOSUOJAVALTUUTETUN TOIMISTO Postiosoite Käyntiosoite Vaihde Sähköposti ja kotisivut PL 315 Albertinkatu 25 A tietosuoja@om.fi Helsinki 3. kerros Neuvonta ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00

9 Talletettaisiinko luovutettava tieto oppilasrekisteriin? Lakiehdotuksen 22 :n 2 momentissa säädetään henkilötietojen luovuttamisesta opiskeluhuollon asiakasrekisteristä, kun opiskelija siirtyy toisen koulutuksen järjestäjän koulutukseen. Tietojen luovutus olisi mahdollista vain suostumuksen perusteella. Lakiehdotuksesta ei ilmene, onko perusopetuslain 40 :n 4 momenttia tarkoitus muuttaa. Sen mukaan aikaisemman opetuksen järjestäjän on salassapitosäännösten estämättä viipymättä toimitettava oppilaan opetuksen järjestämisen kannalta välttämättömät tiedot uudelle opetuksen järjestäjälle, jos oppilas siirtyy toisen opetuksen järjestäjän perusopetuslain mukaisesti järjestämään opetukseen tai toimintaan. Käsitykseni mukaan tämän säännöksen perusteella voitaisiin luovuttaa myös koulun oppilashuoltotyössä kerättyjä henkilötietoja oppilaasta. Lakiehdotukesssa ei ole käsitelty lakiehdotuksen 22 :n 2 momentin ja perusopetuslain 40 :n 4 momentin suhdetta. Mihin rekisteriin luovutettavat tiedot talletettaisiin uudessa koulussa? 3.7 Teknisen käyttöyhteyden avaamismahdollisuudesta 3.8 Salassapito Moniammatillisessa opiskeluhuollossa käytännössä vaihdetaan eri rekistereihin tallennettuja arkaluonteisia tietoja rekisterinpitäjien kesken, mikä todetaan esitysluonnoksen perusteluissa. Opiskeluhuoltoon osallistuvia rekisterinpitäjiä on käsitelty kohdassa 3.3. Perustuslakivaliokunta on todennut lailla säätämisen vaatimuksen ulottuvan myös mahdollisuuteen luovuttaa henkilötietoja teknisen käyttöyhteyden avulla. Kts. tarkemmin kohta 2. Tulisiko moniammatillisen opiskeluhuollon ammattihenkilöille voida avata tekninen käyttöyhteys opetuksen järjestäjän ylläpitämään opiskeluhuollon rekisteriin, johon heillä on lakiehdotuksen 19 :n 5 momentissa säädetty kirjaamisvelvollisuus? On myös kysytty, voiko koulu- ja opiskeluterveydenhuollolla sekä koulukuraattorilla ja koulupsykologilla olla tekninen käyttöyhteys oppilaitoksen oppilas- ja opiskelijarekisteriin (minkälaisiin tietoihin)? Mielestäni lainvalmistelussa olisi tarpeellista arvioida teknisen käyttöyhteyden avaamistarvetta ja säätää siitä tarvittaessa. Henkilötietojen suojaamiseen liittyy asianmukainen käyttöoikeusvalvonta ja lokitietojen käsittely (kts. TSV:n oppaat Lokitiedot henkilötietojen suojaamisen välineenä sekä Oppilaiden henkilötietojen käsittely kodin ja koulun yhteistyössä). Opiskeluhuoltoon on tarkoitus soveltaa julkisuuslain salassapitosäännöksiä sekä sosiaali- ja terveydenhuollon erityislainsäädännössä säädettyjä salassapitosäännöksiä ja sen lisäksi täydentävästi lakiehdotuksen 21 :n salassapitosäännöksiä. Salassapitovelvollisuus koskee lakiehdotuksen mukaan yksilökohtaisen opiskeluhuollon asiakirjoihin talletettuja arkaluonteisia tietoja. Lakiehdotuksesta ei ilmene, miksi salassapitovelvollisuus on säädetty koskemaan henkilötietolain 11 :ssä säädettyjä arkaluonteisia tietoja? Julkisuuslain 24 :n 30 kohdan mukaan oppilashuoltoa koskevat asiakirjat ovat salassa pidettäviä. Käsitykseni mukaan TIETOSUOJAVALTUUTETUN TOIMISTO Postiosoite Käyntiosoite Vaihde Sähköposti ja kotisivut PL 315 Albertinkatu 25 A tietosuoja@om.fi Helsinki 3. kerros Neuvonta ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00

10 oppilashuoltoryhmän työskentelystä tehdyt kirjaukset on katsottu kuuluvan näihin asiakirjoihin, vaikka toimivaltaani ei kuulu arvioida, mitkä tiedot ovat salassa pidettäviä. Onko jo tieto siitä, että opiskelija on yksilökohtaisen opiskeluhuollon kohteena, salassa pidettävä? Voiko yksilökohtaisen opiskeluhuollon asiakirjoihin sisältyä ylipäänsä julkisia tietoja? Sivullisia eivät pykälän mukaan ole ne, jotka osallistuvat asianomaisen oppilaan tai opiskelijan yksilökohtaisen opiskeluhuollon tarpeen selvittämiseen ja sen toteuttamiseen taikka niihin liittyviin tehtäviin. Ketkä ovat oppilaitoksissa sivullisia, kun opetusta järjestettäessä käsitellään oppilas- ja opiskelijarekisteriin kuuluvia oppilaiden ja opiskelijoiden arkaluonteisia ja salassa pidettäviä tietoja? Säädetäänkö tästä opetustoimen lainsäädännössä? 3.9 Tietojen saaminen Opetuksen järjestäjällä on perusopetuslain 41 :n 4 momentin mukaan salassapitosäännösten estämättä oikeus saada maksutta oppilaan opetuksen järjestämiseksi välttämättömät tiedot sosiaali- ja terveydenhuollon viranomaiselta, muulta sosiaalipalvelujen tai terveydenhuollon palvelujen tuottajalta sekä terveydenhuollon ammattihenkilöltä. Vaikuttaa siltä, että uusi perusopetuksen järjestäjä voisi tämän säännöksen perusteella saada oppilaan tietoja opiskeluhuollon kuraattorin ja psykologin asiakasrekisteristä sekä kouluterveydenhuollosta oppilaan siirtyessä toiseen kuntaan (vrt. lakiehdotuksen 22 :n 2 momentti). Talletettaisiinko näin saadut tiedot uudessa koulussa yksilökohtaisen opiskeluhuollon rekisteriin vai oppilasrekisteriin? 3.10 Rekisteröidyn oikeudet Yleislakina sovellettavassa henkilötietolaissa säädetään rekisteröidyn tarkastusoikeudesta (26-28 ) ja tiedon korjaamisesta (29 ). Henkilötietojen käsittelyn edellytetään olevan avointa (kts. HTL 10 ja 24 ). Myös julkisuuslaissa säädetään tietojen saantiin liittyvistä oikeuksista (esim. asianosaisjulkisuus). Tulisiko erityislakiin laittaa viittaussäännökset? Rekisteröidyllä on myös tietyissä tilanteissa mahdollisuus vaikuttaa tietojensa käsittelyyn. Sosiaali- ja terveydenhuollon lainsäädännössä on säännöksiä alaikäisen kielto-oikeudesta. Lakiehdotuksen 17 :ssä säädetään opiskelijan ja hänen laillisen edustajansa asemasta opiskeluhuollossa. Sen mukaan alaikäisellä olisi laissa säädetyin perustein oikeus kieltää huoltajaansa tai muuta laillista edustajaansa osallistumasta itseään koskevan opiskeluhuoltoasian käsittelyyn ja antamasta itseään koskevia salassa pidettäviä tietoja huoltajalle. 4. YHTEENVETO Yksilökohtaisen opiskeluhuollon rekisteri on yksi opetuksen järjestäjän ylläpitämä henkilörekisteri. Pidän tarpeellisena, että lainvalmistelussa arvioidaan tarkemmin TIETOSUOJAVALTUUTETUN TOIMISTO Postiosoite Käyntiosoite Vaihde Sähköposti ja kotisivut PL 315 Albertinkatu 25 A tietosuoja@om.fi Helsinki 3. kerros Neuvonta ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00

11 oppilaiden ja opiskelijoiden henkilötietojen käsittelyä kouluissa ja oppilaitoksissa ja tehdään opetustoimen lainsäädäntöön tarvittavat muutokset. Asia on tärkeä myös oppilaitosten tietojärjestelmien kehittämisen kannalta. Tietosuojavaltuutettu Reijo Aarnio Ylitarkastaja Anne Tamminen-Dahlman Lisätietoja osoitteessa Malli henkilötietojen käsittelyn/henkilörekisterin rekisteritoimintojen analysoimiseksi Oppilaiden henkilötietojen käsittely kodin ja koulun yhteistyössä Lokitiedot henkilötietojen suojaamisen välineenä Henkilörekisteriin tallettujen tietojen tarkastaminen Henkilörekisteriin tallennetun tiedon korjaaminen Tietosuojavaltuutetun toimivalta Henkilötietolain (523/1999) 38 :n 1 momentin mukaan tietosuojavaltuutettu antaa henkilötietojen käsittelyä koskevaa ohjausta ja neuvontaa sekä valvoo henkilötietojen käsittelyä tämän lain tavoitteiden toteuttamiseksi ja käyttää päätösvaltaa siten kuin tässä laissa säädetään. TIETOSUOJAVALTUUTETUN TOIMISTO Postiosoite Käyntiosoite Vaihde Sähköposti ja kotisivut PL 315 Albertinkatu 25 A tietosuoja@om.fi Helsinki 3. kerros Neuvonta ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00

12 OPPILAIDEN HENKILÖTIETOJEN KÄSITTELY KODIN JA KOULUN YHTEISTYÖSSÄ Opas peruskouluille

13 OPPILAIDEN HENKILÖTIETOJEN KÄSITTELY KODIN JA KOULUN YHTEISTYÖSSÄ Kun opetuksen järjestäjä suunnittelee tieto- ja viestintätekniikan käyttämistä parantamaan ja monipuolistamaan tiedon kulkua ja yhteydenpitoa kodin ja koulun välillä, oppilaiden henkilötietojen käsittely tulee suunnitella etukäteen. Opetuksen järjestäjä vastaa henkilötietojen käsittelystä Henkilötietojen käsittelyn suunnittelu Ohjauksen antaminen Minkälaisia tietoja voi käsitellä Henkilötietojen käsittelyn tarkoituksen määrittely Tietojen tarpeellisuuden ja asianmukaisuuden arviointi Tarpeettomien tietojen poistaminen Avoimuus henkilötietojen käsittelyssä Rekisteriseloste saataville Henkilötietojen käsittelystä informointi Käytännön esimerkkejä Oppilaan poissaolomerkinnät Oppilaan arviointia koskevia merkintöjä Kurinpitokeinoja koskevat merkinnät Koteihin tehtävät kyselyt Henkilötietojen suojaaminen Henkilötietojen käyttö koulun omassa toiminnassa Huoltajat koulun palvelun käyttäjinä Henkilötietojen käsittelyn valvonta Mahdollisuudesta avata tekninen käyttöyhteys oppilasrekisteriin Liite Lähdeluettelo ja lisätietoja

14 3 OPPILAIDEN HENKILÖTIETOJEN KÄSITTELY KODIN JA KOULUN YHTEISTYÖSSÄ Perusopetuksessa tulee olla yhteistyössä kotien kanssa. 1 Opetuksen järjestäjän tulee määrätä opetussuunnitelmassaan kodin ja koulun yhteistyöstä Opetushallituksen perusopetuksen opetussuunnitelman perusteissa päättämien keskeisten periaatteiden mukaisesti. 2 Opetussuunnitelman perusteissa 3 todetaan, että paikallisessa opetussuunnitelmassa määritellään kodin kanssa tehtävän yhteistyön tavoitteet, toimintatavat, vastuut ja työnjako eri toimijoiden kesken. Tieto- ja viestintätekniikkaa käytetään parantamaan ja monipuolistamaan tiedon kulkua ja yhteydenpitoa kodin ja koulun välillä. Opetuksen järjestäjät päättävät yhteistyön järjestämistavasta ja sähköisten palveluiden käytöstä. Oppaassa tarkastellaan, miten tietosuojasäännökset ohjaavat oppilaiden henkilötietojen käsittelyä silloin 4, kun kodin ja koulun yhteistyössä käytetään sähköistä palvelua (kohta 4). Lisäksi sähköisessä palvelussa siirretään ja pidetään tarjolla viestejä, joissa huoltajat ja opettajat voivat kertoa toisilleen oppilaan koulunkäyntiin liittyvistä asioista. Viesteihin liittyy tunnistamistietoja, joista käy ilmi, kuka on lähettänyt viestin ja kenelle se on lähetetty. Tässä oppaassa ei käsitellä viestien ja tunnistamistietojen käsittelyä ja luottamuksellisuutta koskevia säännöksiä. 5 Opas on tarkoitettu erityisesti niiden käyttöön, joiden tehtäviin kuuluu oppilaiden henkilötietojen käsittelyä sekä sen suunnittelua ja ohjeistamista, mutta se tarjoaa tietoa myös huoltajille. Oppaan alaviitteissä on viittauksia säännöksiin ja eri viranomaisten tekemiin ratkaisuihin. Laajemmin oppilaiden henkilötietojen käsittelystä ja koulun rekisterinpidosta kerrotaan Opetushallituksen julkaisemassa oppaassa Julkisuus ja tietosuoja opetustoimessa opas koulujen ja oppilaitosten käyttöön (jäljempänä Julkisuus ja tietosuoja opas), jonka kanssa tätä opasta on suositeltavaa lukea rinnakkain. Opas löytyy osoitteesta 1. Opetuksen järjestäjä vastaa henkilötietojen käsittelystä 1.1 Henkilötietojen käsittelyn suunnittelu Oppilaiden henkilötietojen käsittelyyn vaikuttavat koululle perusopetuslaissa säädetyt tehtävät. Viranomaistoiminnassa henkilötietojen käsittelyyn vaikuttaa myös viranomaisten toiminnan julkisuudesta annettu laki (julkisuuslaki). Henkilötietolaki ohjaa henkilötietojen käsittelyä yleislakina. Henkilötietolain säännöksillä pyritään hyvän tietojenkäsittelytavan luomiseen. 6 Siihen sisältyvät yksityisyyttä suojaavat menettelytavat. 1 Perusopetuslain 3 3 momentti. 2 Perusopetuslain 15 2 momentti ja 14 2 momentti. Opetussuunnitelma laaditaan tältä osin yhteistyössä sosiaalija terveydenhuollon toimeenpanoon kuuluvia tehtäviä hoitavien viranomaisten kanssa. 3 Opetushallituksen määräys , Dnro 50/011/ Tietosuoja on jokaisen ihmisen perusoikeus, kts. Suomen perustuslain 10 1 momentti ja henkilötietolaki ( 5 kts. Viestintäviraston kotisivut 6 Henkilötietolain 5.

15 4 Rekisterinpitäjä 7 vastaa henkilötietojen käsittelyn lainmukaisuudesta. Rekisterinpitäjä vastaa henkilötietojen käsittelystä, vaikka se antaisi toimeksiantosopimuksen perusteella henkilötietojen käsittelyyn liittyviä tehtäviä esimerkiksi jonkin yrityksen tehtäväksi. 8 Henkilötietojen käsittely tulee suunnitella etukäteen. 9 Kunnan järjestämässä perusopetuksessa rekisterinpitäjänä on kuntalain mukainen opetustoimen hallinnosta vastaava toimielin (yleensä lautakunta). Tämä lautakunta voi delegoida rekisterinpitoon liittyviä tehtäviä koulujen hoidettaviksi, jos sille on kunnan johtosäännössä määrätty tällainen delegointitoimivalta, mutta lautakunnan asiana on määrätä tarkemmin rekisterinpidon vastuista ja tehtävistä. Yksityisessä koulussa rekisterinpitäjänä on koulutusta ylläpitävä yhteisö ja valtion oppilaitos on itse rekisterinpitäjä. Opetuksen järjestäjä vastaa siitä, että kodin ja koulun yhteistyöhön sisältyvä oppilaiden henkilötietojen käsittely suunnitellaan etukäteen. 1.2 Ohjauksen antaminen Opetuksen järjestäjä vastaa siitä, että kouluille annetaan tarpeellinen ohjaus oppilaiden henkilötietojen käsittelystä ja rekisterinpidosta. Se vastaa myös rekisteriselosteen laatimisesta ja siitä, että huoltajia ja oppilaita informoidaan henkilötietojen käsittelystä (kohta 3) sekä neuvotaan koulun sähköisten palveluiden käytössä. 2 Minkälaisia henkilötietoja voi käsitellä 2.1 Henkilötietojen käsittelyn tarkoituksen määrittely Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään. 10 Henkilötietoja voi pääsääntöisesti käsitellä vain näiden tehtävien hoitamiseksi. 11 Koulun tehtävät on määritelty perusopetuslaissa. 12 Kodin ja koulun yhteistyön päälinjat vahvistetaan opetuksen järjestäjän opetussuunnitelmassa. 13 Oppilaiden henkilötietojen käsittelyn tarkoitukset tulee määritellä etukäteen. Koulussa kaikki sellaiset merkinnät, jotka voidaan yhdistää oppilaaseen tai hänen huoltajiinsa jollakin tavalla, ovat henkilötietoja Tietojen tarpeellisuuden ja asianmukaisuuden arviointi 7 Henkilötietolain 3 4 kohta. 8 Henkilötietolain kohta sekä julkisuuslain 5.2. Kts. myös henkilötietolain 5 ja 32 sekä TSV:n opas Henkilötietojen käsittelyn ulkoistaminen, yhteiset tietojärjestelmät, verkottuminen ja niihin liittyvät sopimukset ( 9 Henkilötietolain 5 ja Henkilötietolain Henkilötietolain Kodin ja koulun yhteistyöstä kts. perusopetuslain 3 3 momentti. 13 Opetushallituksen määräys , Dnro 50/011/ Henkilötieto on määritelty henkilötietolain 3 :n 1 kohdassa.

16 5 Koulussa voidaan kerätä vain sellaisia oppilasta, hänen huoltajiaan ja kotiaan koskevia tietoja, joiden tarpeellisuus pystytään perustelemaan oppilaan opetuksen järjestämisen kannalta. Käyttötarkoituksen kannalta tarpeettomia tietoja ei saa käsitellä edes henkilön suostumuksella. Käsiteltävien henkilötietojen tulee olla myös virheettömiä. Henkilötietojen käsittelyn tulee olla koulun toiminnan kannalta asiallisesti perusteltua. 15 Arkaluonteisten tietojen käsittelyn tulee johtua välittömästi perusopetuslaissa säädetyistä tehtävistä. 16 Monesti arkaluonteiset tiedot ovat myös salassa pidettäviä. 17 Arkaluonteisia tietoja ovat esimerkiksi henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettaja hoitotoimenpiteitä kuvaavat tiedot. Arkaluonteisten tietojen luettelo on henkilötietolaissa Tarpeettomien tietojen poistaminen Tulee arvioida, miten kauan oppilaan tietoja on opetuksen järjestämisen kannalta tarpeellista säilyttää koulun tietojärjestelmässä. 19 Suositeltavaa on poistaa säännöllisesti (esimerkiksi lukukauden päättyessä) sellaiset oppilaasta tehnyt merkinnät, joiden säilyttämiselle ei ole enää toiminnan kannalta perusteita. Arkaluonteiset tiedot on poistettava rekisteristä välittömästi sen jälkeen, kun käsittelylle ei ole henkilötietolaissa säädettyä perustetta. Arkaluonteisten tietojen säilyttämisen perustetta ja tarvetta on arvioitava pääsääntöisesti viiden vuoden välein. 20 Tietojärjestelmän käytön valvonnan tarkoituksessa kertyneiden lokitietojen käsittelystä ja säilyttämisestä kts. kohta 5.4. Henkilötietojen säilyttämistarpeeseen vaikuttaa esimerkiksi se, että opetuksen järjestämistä koskevaa asiaa saatetaan myöhemmin käsitellä kanteluviranomaisessa tai vahingonkorvausasiana. Joskus oppilaan koulunkäynnissä tarpeellisia merkintöjä (esimerkiksi poissaolotietoja) voi olla tarpeellista säilyttää koulun oppilashuoltotyön kirjausten liitteenä pidempään, vaikka tiedot poistettaisiin sähköisestä palvelusta. Tarpeettomat tiedot tulee hävittää tietoturvallisesti, jotta ne eivät päädy ulkopuolisten käsiin. 21 Kunnan ja kuntayhtymän järjestämään opetukseen sovelletaan arkistolakia. 22 Arkistonmuodostamissuunnitelmassa määritellään, kuinka kauan oppilaiden henkilötietoja säilytetään arkistossa Henkilötietolain Henkilötietolain 12 1 momentti 5 kohta. 17 Perusopetuslain 40, julkisuuslain 24. Kts. tarkemmin Julkisuus ja tietosuoja -opas. 18 Määrittely henkilötietolain Henkilötietolain 9 ja 34. Kts. myös Arkistolaitoksen opas säilytysaikojen määrittelyn periaatteiksi ( pdf). 20 Henkilötietolain 11 ja 12 2 momentti. 21 Henkilötietolain Arkistolain soveltamisesta valtion oppilaitoksiin ja yksityisiin kouluihin kts. arkistolain Kts. Kuntaliiton verkkojulkaisu Kunnallisten asiakirjojen säilytysajat Määräykset ja suositukset Opetustoimi.

17 6 3 Avoimuus henkilötietojen käsittelyssä 3.1 Rekisteriseloste saataville Rekisterinpitäjän on laadittava henkilörekisteristä rekisteriseloste. 24 Samaan henkilörekisteriin kuuluvat käyttötarkoituksensa vuoksi yhteenkuuluvat merkinnät (looginen rekisteri) riippumatta siitä, mihin ne on talletettu. 25 Oppilasrekisteriin kuuluvat kaikki opetuksen järjestämiseksi kerätyt tiedot. Oppilaista tehdään kodin ja koulun yhteistyössä oppilasrekisteriin kuuluvia merkintöjä, jotka tulee merkitä tietotyypeittäin oppilasrekisterin rekisteriselosteeseen. Rekisterinpitäjän on pidettävä rekisteriseloste jokaisen saatavilla. Tulee huolehtia siitä, että sähköiseen palveluun laitetaan linkki selosteeseen. Tietosuojavaltuutettu suosittelee rekisteriselosteen sijasta laatimaan tietosuojaselosteen. 26 Se on rekisteriselostetta laajempi, koska se sisältää myös selostuksen rekisteröidyn oikeuksien käyttämisestä Henkilötietojen käsittelystä informointi Rekisterinpitäjän on henkilötietoja kerätessään huolehdittava siitä, että rekisteröity voi saada tiedon rekisterinpitäjästä, henkilötietojen käsittelyn tarkoituksesta sekä siitä, mihin tietoja säännönmukaisesti luovutetaan. Lisäksi kirjallisessa informoinnissa kerrotaan, miten rekisteröidyn oikeuksia käytetään. 28 Rekisteröidyllä on pääsääntöisesti oikeus tarkastaa henkilörekisteriin talletetut tietonsa. Rekisteröity voi myös pyytää tiedon korjaamista. 29 Rekisteröidyn tarkastusoikeudesta ja tiedon korjaamisesta kerrotaan tarkemmin tietosuojavaltuutetun oppaissa Henkilörekisteriin talletettujen tietojen tarkastaminen ja Henkilörekisteriin tallennetun tiedon korjaaminen. Oppaissa kerrotaan myös, miten huoltaja voi käyttää lapsensa puolesta näitä oikeuksia. Oppaat löytyvät tietosuojavaltuutetun toimiston kotisivuilta. 30 Opetuksen järjestäjän tulee huolehtia siitä, että sähköisessä palvelussa informoidaan huoltajia ja oppilaita 31 henkilötietojen käsittelystä ja rekisteröidyn oikeuksien käyttämisestä. Kouluille tulee antaa ohjausta noudatettavista menettelytavoista. Esimerkiksi sähköisen palvelun käyttöohjeissa voidaan lyhyesti kertoa oppilaiden henkilötietojen käsittelystä ja siitä, että oppilasrekisterin tietosuojaselosteesta saa lisätietoja. 32 Sähköisen palvelun käyttö on hyvä vielä mainita vaikka lukuvuositiedotteissa. 24 Henkilötietolain Henkilörekisteri on määritelty henkilötietolain 3 :n 3 kohdassa. 26 Kts. TSV:n opas Laadi tietosuojaseloste sekä tietosuojaseloste täyttöohjeineen 27 Rekisteröidyn oikeuksista tulee henkilötietolain 24 :n mukaan informoida. 28 Henkilötietolain 24 :ssä. 29 Henkilötietolain sekä TSV:n oppaat Henkilörekisteriin talletettujen tietojen tarkastaminen ja Henkilörekisteriin tallennetun tiedon korjaaminen 31 Ainakin viisitoista vuotta täyttänyttä tulee informoida huoltajan ohella. Kts. hallintolain 14 ja laki lapsen huollosta ja tapaamisoikeudesta Julkisuus ja tietosuoja oppaassa on oppilasrekisterin selostemalli.

18 7 4 Käytännön esimerkkejä 4.1 Oppilaan poissaolomerkinnät Opetuksen järjestäjän tulee seurata oppilaan poissaoloja ja ilmoittaa luvattomista poissaoloista oppilaan huoltajalle. 33 Opetussuunnitelmassa kuvataan poissaolojen seurantaan ja luvattomista poissaoloista ilmoittamiseen liittyvät menettelytavat. 34 Koulussa voidaan käsitellä vain poissaolojen selvittämiseksi tarpeellisia tietoja. 35 Tietojen tulee olla asianmukaisia koulun toiminnan kannalta. 36 Esimerkiksi oppilaan sairautta koskevia arkaluonteisia tietoja voidaan käsitellä vain, jos se välittömästi liittyy perusopetuslaissa säädettyyn tehtävään. 37 Tarpeettomiksi käyneet poisaolomerkinnät tulee poistaa sähköisestä palvelusta. 38 Opetuksen järjestäjän tulee huolehtia siitä, että kouluille annetaan ohjausta poissaolotietojen käsittelystä ja kouluissa tulee noudattaa päätettyä menettelyä. Henkilötietojen käsittelyn kannalta on tärkeä määritellä, minkälaisia merkintöjä poissaoloista tehdään, minne merkinnät tehdään, minkälaisiin työtehtäviin kuuluu poissaolotietojen käsittelyä, mitä tietoja huoltajien tulee ilmoittaa lapsensa poissaolosta ja miten kauan poissaolomerkintöjä säilytetään. Oppilaan poissaolotiedot muodostavat oppilasrekisterin osarekisterin (kohta 3.1). Poissaoloja koskevat tiedot sisältävät arkaluonteisia ja salassa pidettäviä tietoja 39, joiden suojaamiseen tulee kiinnittää erityistä huomiota (kohta 5). Huoltajilla on velvollisuus olla kouluun yhteydessä oppilaan poissaoloista koulun antaman ohjeen mukaisesti. Huoltajia tulee myös informoida oppilaiden poissaolotietojen käsittelystä koulussa (kohta 3.2.). Opetuksen järjestäjä päättää, miten huoltajat selvittävät lapsensa poissaolon tai ilmoittavat poissaolosta etukäteen. Huoltajia tulee ohjeistaa poissaoloilmoituksen tekemisessä. Yleensä riittää huoltajan ilmoitus, että lapsi on sairas. 4.2 Oppilaan arviointia koskevia merkintöjä Oppilaan opintojen edistymisestä sekä oppilaan työskentelystä ja käyttäytymisestä on annettava riittävän usein tietoa oppilaalle ja hänen huoltajalleen. Tietojen antamisesta määrätään tarkemmin opetussuunnitelmassa. 40 Opetushallituksen määräyksen mukaan työskentelyä arvioidaan osana oppiainetta tai omana kokonaisuutenaan. Käyttäytymisen arviointi kohdistuu siihen, miten oppilas ottaa huomioon muut ihmiset ja ympäristön sekä noudattaa sääntöjä. Oppilaan käyttäytymistä arvioivat kaikki oppilasta opettavat opettajat. Opetussuunnitelmassa 33 Perusopetuslain kts tarkemmin Julkisuus ja tietosuoja opas. 34 Opetushallituksen määräys , Dnro 50/011/2010 s Henkilötietolain Henkilötietolain Henkilötietolain 12 1 momentti 5 kohta. 38 Henkilötietolain 9 ja Henkilötietolain 11, perusopetuslain 40, julkisuuslain Perusopetuslain 22 ja perusopetusasetuksen 2 luku.

19 8 tulee asettaa tavoitteet oppilaan käyttäytymiselle ja siitä voidaan antaa ohjaavaa palautetta koulun kasvatustehtävän mukaisesti. 41 Oppilasta koskevien merkintöjen tulee olla opetuksen järjestämisen kannalta tarpeellisia ja virheettömiä sekä koulun toiminnan kannalta asiallisesti perusteltuja. 42 Tulee myös arvioida, miten kauan merkintöjä on toiminnan kannalta tarpeellista säilyttää. 43 Koululla tulee olla ohjeet siitä, minkälaisilla periaatteilla oppilaan työskentelystä ja käyttäytymisestä voidaan tehdä merkintöjä, mihin merkinnät talletetaan ja kuinka kauan niitä säilytetään tietojärjestelmässä. Tehtävä merkintä voi koskea esimerkiksi oppilaan onnistumista koulutyöskentelyssä, laiminlyöntiä, myöhästymistä tai käyttäytymistä koulupäivän aikana. Sanallista arviointia varten useassa koulussa on käytössä valmiita fraaseja. Jotta toiminta on yhdenmukaista koko koulussa, on tärkeää, että kaikki opettajat noudattavat opetuksen järjestäjän antamia ohjeita ja määräyksiä. Oppilasta koskevat arviointitiedot kuuluvat loogisesti oppilasrekisteriin (kohta 3.1). Huoltajille tulee kertoa koulun arviointiperusteista 44 ja oppilaan arviointitietojen käsittelystä koulussa (kohta 3.2). 4.3 Kurinpitokeinoja koskevat merkinnät Kurinpitokeinoista säädetään perusopetuslaissa. 45 Kotitehtävänsä laiminlyönyt oppilas voidaan määrätä tekemään ne työpäivän päätyttyä valvonnan alaisena. Opetusta häiritsevä oppilas voidaan määrätä poistumaan luokasta oppitunnin jäljellä olevaksi ajaksi tai jättää jälki-istuntoon. Poikkeuksellisesti oppilaan osallistuminen opetukseen voidaan evätä jäljellä olevan työpäivän ajaksi tai poistaa koulun tilaisuudesta Kirjallinen varoitus ja erottaminen määräajaksi ovat kurinpitorangaistuksia, joista tulee antaa päätökset. Tietojen julkisuudesta kts. Julkisuus ja tietosuoja opas. Oppilaan rankaisemisesta on tehtävä koulussa tarpeelliset kirjaukset siten, että rangaistuksen syynä oleva teko tai laiminlyönti yksilöidään. Tiedot ovat lähtökohtaisesti julkisia, ellei niihin sisälly muista syistä salassa pidettäviä tietoja (esim. terveydentilaa koskevia). 46 Opettajia tulee ohjeistaa tekemään nämä kirjaukset oikeaan paikkaan. 47 Rangaistuksia koskevat tiedot muodostavat oppilasrekisterissä erillisen tiedoston (ns. osarekisterin, kts. kohta 3.1). Henkilötietojen käsittelystä tulee informoida (kohta 3.2). 41 Opetushallituksen antama Perusopetuksen oppilaan arviointi ( etuksen_oppilaan_arviointi). 42 Kts. henkilötietolain 6 ja Henkilötietolain 9 ja Perusopetusasetuksen Perusopetuslain 36, kts. tarkemmin Julkisuus ja tietosuoja -opas. 46 kts. Julkisuus ja tietosuoja opas s Henkilötietolain kohta, 6 ja 9.