TIETOSUOJAVALTUUTETUN TOIMISTO. Dnro 2407/03/2015 ' Opetus- ja kulttuuriministeriö

Transkriptio

1 Dnro 2407/03/2015 ' Opetus- ja kulttuuriministeriö Lausuntopyyntö hallituksen esitysluonnoksesta eduskunnalle laeiksi opiskelijavalintarekisteristä, korkeakoulujen valtakunnallisesta tietovarannosta ja ylioppilastutkintorekisteristä annetun lain sekä ylioppilastutkinnon järjestämisestä annetun lain muuttamisesta (OKM/61/010/2015) Lausun toimivaltaani kuuluvan henkilötietojen käsittelyn kannalta lakiluonnoksesta seuraavaa. LAKILUONNOSTEN ARVIOINTI HENKILÖTIETOJEN KÄSITTELYN KANNALTA Henkilötietojen käsittelyä koskeva lainsäädäntö Henkilötietojen käsittelyyn sovelletaan toimintaa koskevaa erityislainsäädäntöä. Lausunnon kohteena olevassa esityksessä henkilötietojen käsittely perustuu opiskelijavalintarekisteristä, korkeakoulujen valtakunnallisesta tietovarannosta ja ylioppilastutkintorekisteristä annettuun lakiin (opiskelijavalintarekisterilaki). Ehdotetut muutokset koskevat ammatillisen koulutuksen, lukiokoulutuksen ja muun perusopetuksen jälkeisen koulutuksen hakurekisteriä, joka on opiskelijavalintarekisterin osarekisteri, sekä myös ylioppilastutkintorekisterin säännöksiä. Lisäksi henkilötietojen käsittelyyn sovelletaan henkilötietolakia (HeTiL) yleislakina (opiskelijavalintarekisterilain 10 ). Henkilötietolaissa säädetään esimerkiksi henkilötietojen käsittelyn yleisistä edellytyksistä (8, 12 ), henkilötietojen käsittelyn suunnittelusta käsittelyn tarkoituksen määrittely (6 ) mukaan lukien ja käyttötarkoitussidonnaisuudesta (7 ) sekä käsiteltävien tietojen laadusta (9 ). Lisäksi henkilötietolaissa säädetään huolellisuusvelvoitteesta (5 ) ja suojaamisvelvollisuudesta (32 ) sekä henkilötietojen käsittelyn avoimuudesta (10 ja 24 ) ja rekisteröidyn oikeuksista (26-28 ja 29 ). Henkilötietojen käsittelyyn viranomaistoiminnassa vaikuttaa myös yleislakina sovellettava laki viranomaisten toiminnan julkisuudesta (julkisuuslaki). Julkisuuslaissa säädetään esimerkiksi tietojen salassa pidosta (24 ), hyvästä tiedonhallintatavasta (18

2 ) sekä henkilötietojen luovuttamisesta viranomaisen henkilörekisteristä (HeTiL 8.4 sekä julkisuuslain 16.3 ja 7 luku), Henkilötietojen käsittelystä vastaa rekisterinpitäjä (HeTiL 3 4 kohta). Henkilötietoja saa käsitellä, jos käsittelystä säädetään laissa tai jos käsittely johtuu rekisterinpitäjälle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta (HeTiL kohta). Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään (HeTiL 6 ). Henkilötietolaissa on omaksuttu looginen rekisterikäsite. Henkilörekisterin muodostavat samaan käyttötarkoitukseen kerätyt tiedot (HeTiL 3 3 kohta). Opiskelijavalintarekisterin osarekisterin muutokset Ammatillisen koulutuksen, lukiokoulutuksen ja muun perusopetuksen jälkeisen koulutuksen hakurekisterin rekisterinpitäjänä on Opetushallitus (opiskelijavalintarekisterilain 1 ). Tähän opiskelijavalintarekisterin osarekisteriin on talletettu perusopetuksen lisäopetukseen ja perusasteen jälkeiseen koulutukseen hakeutuvia henkilöitä koskevat tiedot (opiskelijavalintarekisterilain 2 2 kohta). Opiskelijavalintarekisterilain 2 :ssä säädetään opiskelijavalintarekisterin käyttötarkoituksesta, 3 :ssä rekisterin tietosisällöstä, 4 :ssä Opetushallituksen tiedonsaantioikeuksista, 5 :ssä tietojen luovuttamisesta ja 6 :ssä tietojen säilytysajasta. Edellä mainitussa opiskelijavalintarekisterin osarekisterissä ei ole koko ikäluokkaa koskevia tietoja, vaan rekisteriin on talletettu ainoastaan perusopetuksen jälkeen jatkokoulutukseen hakeutuvien tiedot. Se on hallituksen esitysluonnoksen mukaan hankaloittanut koulutukseen hakeutumisen ja opiskelijavalinnan seurantaa, nuorisotakuun sekä etsivän nuorisotyön toteuttamista sekä tilastointia ja tutkimusta. Sen vuoksi esityksessä ehdotetaan opiskelijavalintarekisterin tietosisällön laajentamista siten, että rekisteriin tallennettaisiin kattavasti kaikkien Suomessa perusopetuksen sekä perusopetuksen lisäopetuksen päättäneiden tiedot. Perusopetuksen ja lisäopetuksen järjestäjät velvoitettaisiin antamaan nämä tiedot opiskelijavalintarekisteriin. Näin tiedot olisivat myös kaikkien tietoja hyödyntävien viranomaisten käytössä. Viranomaisen oikeus käsitellä henkilötietoja perustuu sille laissa säädettyihin tehtäviin. Opetushallituksen tehtävistä rekisterinpitäjänä säädetään opiskelijavalintarekisterilain 1 a :ssä. Esitysluonnoksen perusteella jää epäselväksi, mihin Opetushallituksen laissa säädettyihin tehtäviin kuuluu kerätä ja tallettaa kaikkien Suomessa perusopetuksen sekä perusopetuksen lisäopetuksen päättäneiden tiedot riippumatta siitä, osallistuvatko rekisteröidyt opiskelijavalintaan vai eivät. Kyse on opiskelijavalintarekisterin käyttötarkoituksen muutoksesta. Lakiehdotuksesta ei ilmene, mikä nyt kerättäviksi ehdotettujen henkilötietojen käsittelyn tarkoitus on. Jos Opetushallituksen laissa säädettyjen tehtävien hoitamisen kannalta on tarpeellista

3 ja asianmukaista käsitellä kaikkien perusopetuksen päättäneiden ja lisäopetuksen suorittaneiden tietoja, opiskelijavalintarekisterilaissa tulee säätää opiskelijavalintaan osallistumattomien henkilöiden tietojen käsittelyn tarkoituksesta. Perusopetuksen ja lisäopetuksen järjestäjät velvoitettaisiin opiskelijavalintarekisterilain 4 :n muutoksen mukaan antamaan opiskelijavalintaan osallistumattomien tiedot opiskelijavalintarekisterin osarekisteriin, jota käytetään valittaessa opiskelijoita laissa mainittuihin koulutuksiin ja tutkintoihin (opiskelijavalintarekisterilain 2 ). Ehdotan harkittavaksi, tulisiko nyt kerättäviksi ehdotetut tiedot tallettaa opiskelijavalintarekisteristä erilliseen henkilörekisteriin, koska tietoja ei käytetä opiskelijavalinnassa. Opiskelijavalintarekisterilain 3 :ssä säädetään opiskelijavalintarekisterin tietosisällöstä. Pykälän 6 kohtaan on ehdotettu lisättäväksi, että opiskelijavalintarekisteriin voidaan tallettaa perusopetuksen oppimäärän suorittamista koskevat tiedot ja päättötodistuksen arvosanat sekä perusopetuksen lisäopetuksen suorittamista koskevat tiedot ja lisäopetuksesta annetun todistuksen arvosanat. Hallituksen esitysluonnoksen mukaan rekisteriin on lisäksi tarkoitus tallettaa tietoja myös niistä päättötodistusta vaille jääneistä oppivelvollisuusiän ylittäneistä henkilöistä, joiden oppivelvollisuuden alkamisesta on kulunut 10 vuotta. Viimeksi mainituista rekisteriin merkittäisiin myös oppivelvollisuuden päättymispäivä. Rekisterin tietosisällöstä ei kuitenkaan käy ilmi, että tietoja on tarkoitus tallettaa myös päättötodistusta vaille jääneistä. Kiinnitän huomiota siihen, että rekisterin tietosisällöstä tulee säätää täsmällisesti. On ehdotettu, että Opetushallitus tallettaisi ylläpitämäänsä rekisteriin myös sellaisten Suomessa perusopetuksen sekä perusopetuksen lisäopetuksen päättäneiden tiedot, jotka eivät osallistu opiskelijavalintaan. Kyse on uuteen käyttötarkoitukseen kerätyistä tiedoista, mutta hallituksen esitysluonnoksessa ei ole käsitelty näiden tietojen rekisteristä luovuttamista (opiskelijavalintarekisterilain 5 ). Mielestäni lainvalmistelussa tulee vielä arvioida opiskelijavalintaan osallistumattomista henkilöistä kerättävien tietojen luovutusperusteet ja säätää niistä tarvittaessa täsmällisesti. Opiskelijavalintarekisterin tiedot säilytetään viisi vuotta opiskelijavalintapäätöksen tekemisestä (opiskelijavalintarekisterilain 6 ). Jos Opetushallitus tulee jatkossa keräämään tietoja myös opiskelijavalintaan osallistumattomista henkilöistä, kuinka kauan tietoja on tarkoitus säilyttää ja millä perusteella tiettyyn säilytysaikaan on päädytty? Kiinnitän huomiota siihen, että säilytysajoista tulee säätää täsmällisesti, kun kyse on valtakunnallisesta henkilörekisteristä. Ylioppilastutkintorekisteriä koskevat muutokset Ylioppilastutkintorekisteriä ylläpitää Ylioppilastutkintolautakunta (opiskelijavalintarekisterilain 7 ). Rekisteriä ylläpidetään ja käytetään ylioppilastutkinnon järjestämistä, suoritettuja ylioppilastutkintoja ja tutkintoihin

4 kuuluvia kokeita koskevien tietojen säilyttämistä sekä ylioppilastutkinnon toimivuuden seurantaa varten. Opiskelijavalintarekisterilain 8 :ssä säädetään tietolähteistä, rekisterin sisällöstä ja tietojen säilytysajasta. Lain 9 koskee tietojen luovuttamista. Ylioppilastutkintorekisterin tietosisältöä on tarkoitus laajentaa siten, että rekisteriin talletettaisiin tietoja lukion oppimäärän tai sitä vastaavien opintojen suorittaneista. Hallituksen esitysluonnoksen mukaan lukion oppimäärää vastaaville opinnoilla tarkoitettaisiin Internetional Baccalaureate -tutkintoon johtavia opintoja. Lisäksi ylioppilastutkintorekisteriin talletettaisiin tieto ylioppilastutkintoa tasoltaan vastaavien ylioppilastutkinnon järjestämisestä annetun lain 17 :ssä tarkoitettujen tutkintojen suorittamisesta sekä suorittajan nimi, henkilötunnus, sukupuoli ja äidinkieli. Tällaisia tutkintoja ovat International Baccalaureate -tutkinto, Reifeprufung-tutkinto sekä Eurooppa-koulujen eurooppalainen ylioppilastutkinto. Viranomaisen oikeus käsitellä henkilötietoja perustuu sille laissa säädettyihin tehtäviin. Mikä viranomainen hyväksyy edellä mainittujen ylioppilastutkintoa tasoltaan vastaavien tutkintojen suorittamisen? Lakiehdotuksen perusteella jää epäselväksi, mihin Ylioppilastutkintolautakunnan laissa säädettyihin tehtäviin nyt kerättäviksi ehdotettujen tietojen käsittely perustuu (kts. HeTiL 8 ). Ylioppilastutkintorekisteriin on talletettu ylioppilastutkintoon kuuluvien kokeiden järjestämistä varten tarpeelliset tiedot ja kokelaiden lukiokoulutusta koskevat tiedot sekä ylioppilastutkintoja koskevat tiedot (opiskelijavalintarekisterilain 7 ). Nyt Ylioppilastutkintolautakunnan ylläpitämään ylioppilastutkintorekisteriin on ehdotettu talletettaviksi tietoja myös sellaisista henkilöistä, jotka eivät osallistu tai eivät ole osallistuneet ylioppilastutkintoon (lakiehdotuksen 8 2 momentin 4 kohta). Jos tällaisten tietojen kerääminen ja tallettaminen katsotaan Ylioppilastutkintolautakunnan laissa säädettävien tehtävien hoitamisen kannalta perustelluksi ja tarpeelliseksi, ehdotan vielä harkittavaksi, voisiko ylioppilastutkintoon osallistumattomien tiedot tallettaa ylioppilastutkintorekisteristä erilliseen rekisteriin (HeTiL 3 3 kohta ja 6 ). Lakiehdotuksen 7 :n mukaan ylioppilastutkintorekisterissä olevia tietoja voidaan käyttää myös lukiolaissa tarkoitetun koulutuksen rahoituksen määräämiseksi rahoitusjärjestelmän uudistuessa. Henkilötietojen käytöllä tarkoitetaan henkilötietojen käsittelyä rekisterinpitäjän omassa toiminnassa. Esitysluonnoksessa ei ole käsitelty tarkemmin sitä, minkä viranomaisen tehtäviin tulee kuulumaan lukioiden rahoituksesta päättäminen uudessa rahoitusjärjestelmässä. Tuleeko siitä Ylioppilastutkintolautakunnan tehtävä? Jos lukioiden rahoituksesta päättäminen ei tule kuulumaan Ylioppilaslautakunnan tehtäviin, mikä tietojen käsittelyn tarkoitus silloin on Ylioppilastutkintolautakunnassa? Henkilötietojen käsittelyn tarkoituksesta tulee säätää täsmällisesti. Esityksen mukaan rahoitusta määrättäessä tarvittavia tietoja olisivat koulutuksen järjestäjäkohtaiset vuosittaiset lukumäärätiedot. Jos rahoituksen määrittämisessä tarvitaan vain tilastotietoja, miksi valtakunnalliseen henkilörekisteriin on tarpeellista

5 kerätä henkilötietoja? Rekisteriin talletettavien tietojen tulee olla tarpeellisia määritellyn henkilötietojen käsittelyn tarkoituksen kannalta ja rekisterin tietosisällöstä tulee säätää täsmällisesti. Lisäksi ylioppilastutkintorekisteriin ehdotetaan talletettaviksi 8 :n 2 kohdan mukaan kokelaiden koesuoritukset ja niihin kuuluvat arvostelumerkinnät kokelaiden saamien arvosanojen ja pistemäärien ohella. Tässäkin ehdotuksessa on kyse ylioppilastutkintorekisterin sisällön laajentamisesta ja pidän sääntelyä tarpeellisena. Jos kokelaiden koesuoritukset arvostelumerkintöineen määritellään henkilörekisteriin kuuluviksi, rekisteröity voi käyttää julkisuuslaissa säädettyjen tiedonsaantioikeuksien ohella henkilötietolaissa säädettyä tarkastusoikeutta näiden tietojen saamiseksi. Lakiehdotuksen 9 :n mukaan ylioppilastutkintorekisterin tietojen luovuttamiseen sovelletaan julkisuuslain säännöksiä, mutta lainvalmistelussa ei ole arvioitu tarkemmin, kenelle nyt ehdotettaviksi kerättäviä tietoja olisi tarpeellista luovuttaa eikä siitä ole säädösehdotusta. Hallituksen esitysluonnoksessa todetaan, että tietojen luovuttamista koskevat muutokset on tarkoitus arvioida myöhemmin erikseen. Pidän tätä puutteena lainvalmistelussa. Ylioppilastutkintorekisterin tiedot säilytetään pysyvästi (opiskelijavalintarekisterilain 8 4 momentti). Pidän aiheellisena, että nyt ylioppilastutkintorekisteriin kerättäviksi ehdotettujen tietojen säilytysajat arvioidaan lainvalmistelussa vielä erikseen. LAUSUNNON KESKEINEN SISÄLTÖ Viranomaisten tehtävistä ja toimivallasta säädetään toimintaa koskevassa erityislainsäädännössä, johon myös viranomaisten oikeus käsitellä tehtävissään tarpeellisia henkilötietoja perustuu. Esitin edellä huomioita henkilötietojen käsittelyä koskevan sääntelyn täsmentämiseksi. Mielestäni on myös tarpeellista, että julkisuuslain vaikutusta nyt ehdotettavaan henkilötietojen käsittelyyn arvioidaan lainvalmistelussa tarkemmin. Lisäksi pidän tärkeänä, että muutosten voimaan tulon jälkeen annettavassa informaatio-ohjauksessa annetaan ohjausta myös henkilötietojen käsittelystä. Tietosuojavaltuutettu Reijo Aarnio Ylitarkastaja Anne Tamminen-Dahlman Lisätietoja osoitteessa Henkilötietojen käsittelyä koskevan sääntelyn vaatimukset

6 Malli henkilötietojen käsittelyn/henkilörekisterin rekisteritoimintojen analysoimiseksi Lokitiedot henkilötietojen suojaamisen välineenä Henkilörekisteriin tallettujen tietojen tarkastaminen Henkilörekisteriin tallennetun tiedon korjaaminen Tietosuojavaltuutetun toimivalta Henkilötietolain (523/1999) 38 :n 1 momentin mukaan tietosuojavaltuutettu antaa henkilötietojen käsittelyä koskevaa ohjausta ja neuvontaa sekä valvoo henkilötietojen käsittelyä tämän lain tavoitteiden toteuttamiseksi ja käyttää päätösvaltaa siten kuin tässä laissa säädetään.