TIETOSUOJAVALTUUTETUN TOIMISTO. Dnro 2135/03/2016 ' Opetus- ja kulttuuriministeriö

Transkriptio

1 Dnro 2135/03/2016 ' Opetus- ja kulttuuriministeriö Lausuntopyyntö ehdotuksesta hallituksen esitykseksi perusopetuslain 46 :n muuttamisesta Pyysitte lausuntoa ehdotuksesta hallituksen esitykseksi perusopetuslain 46 :n muuttamisesta. Laissa ehdotetaan muutettavaksi oppivelvollisuusiän ylittäneille tarkoitetun perusopetuksen rakennetta esitysluonnoksesta ilmenevällä tavalla. Laissa säädettäisiin selkeämmin esimerkiksi opintojen henkilökohtaistamisesta sekä todennetun osaamisen tunnistamisesta ja tunnustamisesta. Lisäksi laissa säädettäisiin opetuksen järjestäjien välisestä yhteistyöstä ja tietojen vaihdosta. Opetuksen järjestäjä voisi hankkia opetusta muilta perusopetuksen järjestäjiltä. Alihankkijoina lukutaitovaiheen opetuksen osalta voisivat toimia myös ammatillisesta aikuiskoulutuksesta annetussa laissa sekä ammatillisesta peruskoulutuksesta annetussa laissa tarkoitetut luvan saaneet koulutuksen järjestäjät. Perusopetuksen järjestäjä vastaisi kuitenkin opetuksen kokonaisuudesta. Lausun toimivaltaani kuuluvan henkilötietojen käsittelyn kannalta hallituksen esitysluonnoksesta seuraavaa. Lakiluonnoksen arviointi henkilötietojen käsittelyn kannalta Suomen perustuslain 10 :n mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Henkilötietojen käsittelyyn sovelletaan toimintaa koskevaa lainsäädäntöä (esim. perusopetuslakia). Lisäksi henkilötietolakia (HeTiL) sovelletaan yleislakina. Henkilötietojen käsittelyyn viranomaistoiminnassa vaikuttaa myös yleislakina laki viranomaisten toiminnan julkisuudesta (julkisuuslaki). Julkisuuslaissa säädetään muun muassa hyvästä tiedonhallintatavasta (18 ) ja tietojen salassa pidosta (24 ). Lisäksi julkisuuslaissa säädetään henkilötietojen luovuttamisesta viranomaisten henkilörekistereistä. Jos luovutettaviksi pyydetyt tiedot ovat julkisia, sovelletaan julkisuuslain 16 :n 3 momenttia. Kts. Tietosuojavaltuutetun toimiston opas Henkilötietojen luovuttaminen viranomaisten henkilörekistereistä. Salassa pidettäviä tietoja voi luovuttaa, jos tiedon antamisesta tai oikeudesta tiedon saamiseen on laissa erikseen nimenomaisesti säädetty tai jos se, jonka etujen suojaamiseksi salassapitovelvollisuus on säädetty, antaa siihen suostumuksensa (julkisuuslain 7 luku).

2 Henkilötietoja ovat kaikenlaiset luonnollista henkilöä tai hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavat merkinnät, jotka voidaan tunnistaa häntä tai hänen perhettään koskeviksi (HeTiL 3 1 kohta). Yhdistäminen voi tapahtua nimen tai henkilötunnuksen ohella myös jonkin muun seikan perusteella. Kts. Tarkemmin Tietosuojatyöryhmän Lausunto 4/2007 henkilötietojen käsitteestä (ec.europa.eu). Lisäksi arkaluonteiset tiedot on määritelty henkilötietolain 11 :ssä. Aikuisille järjestettävässä perusopetuksessa käsitellään henkilötietoja, joista osa on arkaluonteisia tietoja. Toiminnassa käsitellään myös salassa pidettäviä tietoja (perusopetuslain 40 1 momentti, julkisuuslain 24 sekä oppilas- ja opiskelijahuoltolain 22 ). Henkilötietojen käsittelystä vastaa rekisterinpitäjä (HeTiL 3 4 kohta). Opetustoimessa rekisterinpitäjänä on opetuksen järjestäjä tai oppilaitoksen ylläpitäjä. Kunnan järjestämässä perusopetuksessa rekisterinpitäjänä on kuntalain mukainen opetustoimen hallinnosta vastaava toimielin, joka on yleensä lautakunta. Kts. Tarkemmin tietosuojavaltuutetun toimiston opas Kunnat ja henkilötietolaki. Esityksen käsittelemää aikuisille annettavaa perusopetusta voisivat järjestää kunnat ja kuntayhtymät sekä valtioneuvostolta perusopetuksen järjestämisluvan saaneet yhteisöt ja säätiöt. Kunnallisen opetuksen järjestäjä voisi hankkia opetusta perusopetuslain 4 :n mukaisesti. Sen mukaan kunta voi järjestää perusopetuslaissa tarkoitetut palvelut itse tai yhdessä muiden kuntien kanssa taikka hankkia ne 7 tai 8 :ssä tarkoitetulta perusopetuksen järjestäjältä. Saman pykälän mukaan kuntien välistä yhteistyötä varten voidaan perustaa kuntayhtymä, josta on voimassa, mitä opetuksen järjestäjästä säädetään. Myös yksityiset opetuksen järjestäjät voisivat pykäläehdotuksen 7 momentin mukaan hankkia lukutaitovaiheeseen kuuluvaa opetusta kunnilta, kuntayhtymiltä ja perusopetuksen luvan saaneilta 7 ja 8 :ssä tarkoitetuilta opetuksen järjestäjiltä. Alihankkijoina voisivat lukutaitovaiheen opetuksen osalta toimia myös ammatillisesta aikuiskoulutuksesta annetussa laissa ja ammatillisesta peruskoulutuksesta annetussa laissa tarkoitetut luvan saaneet koulutuksen järjestäjät. Kts. Myös kuntalain 8 ja 9. Henkilötietojen käsittelyn kannalta on tärkeä tietää, käsittelevätkö palveluiden tuottajat henkilötietoja toimeksiantosuhteen perusteella (HeTiL kohta ja julkisuuslain 5 :n 2 momentti). Silloin palvelujen hankkimisesta tehdään toimeksiantosopimus palvelut tilaavan rekisterinpitäjän (toimeksiantajana opetuksen järjestäjä) ja palveluntuottajan (toimeksisaaja) välillä. Toimeksiantaja vastaa tällöin tietojenkäsittelyn ja muunkin toiminnan lainmukaisuudesta. Palvelun tuottaja vastaa käsittelystä osapuolten välillä tehtävän toimeksiantosopimuksen mukaisesti (kts. myös HeTiL 5 ja 32 ). Toimeksisaajalla ei ole oikeutta käyttää toimeksiantosuhteessa saamiaan henkilötietoja omassa toiminnassaan, eikä käsitellä niitä vastoin sopimusta, eikä yhdistää tietoja muuhun hallussaan olevaan aineistoon. Kts. Tarkemmin tietosuojavaltuutetun toimiston opas Henkilötietojen käsittelyn ulkoistaminen, yhteiset tietojärjestelmät, verkottuminen ja niihin liittyvät sopimukset. Koska rekisterinpitäjä

3 vastaa henkilötietojen käsittelystä, on tärkeää, että esityksen kohteena olevassa perusopetuksessa rekisterinpitäjyys on kaikissa tilanteissa yksiselitteinen. Mielestäni tätä asiaa on tarpeellista arvioida lainvalmistelussa. Henkilötietojen käsittely voi perustua rekisterinpitäjälle erityislaissa säädettyihin tehtäviin (HeTiL 8 1 momentin 4 ja 5 kohdat). Osa aikuisille annettavassa perusopetuksessa käsiteltävistä tiedoista on arkaluonteisia tietoja, joita voi käsitellä vain henkilötietolain 12 :ssä säädetyin perustein (esim. jos käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetyistä tehtävistä, kts HeTiL 12 1 momentin 5 kohta). Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjien tehtävien hoitamiseksi henkilötietoja käsitellään (HeTiL 6 ), mikä rajaa henkilötietojen tulevaa käsittelyä (HeTiL 7 ). Käsiteltävien henkilötietojen tulee olla määritellyn henkilötietojen käsittelyn tarkoituksen kannalta tarpeellisia ja virheettömiä (HeTiL 9 ). Esityksessä tarkoitetun perusopetuksen järjestäjä voi käsitellä laissa säädettyjen tehtäviensä hoitamiseksi tarpeellisia henkilötietoja opiskelijoistaan. On kuitenkin tärkeää, että näistä tehtävistä säädetään täsmällisesti laissa. Samaan henkilörekisteriin kuuluvat erikseen pidetyt atk-rekisterit ja manuaalinen aineisto, jos niitä käytetään saman lainsäädännössä määrätyn tehtävän hoitamiseen (ns. looginen rekisteri, joka on määritelty HeTiL:n 3 :n 3 kohdassa). Tällainen tehtävä on esimerkiksi opetuksen järjestäminen. Oikeudesta saada tieto ja muusta henkilötietojen luovuttamisesta viranomaisen henkilörekisteristä on voimassa, mitä yleislakina sovellettavassa julkisuuslaissa säädetään (HeTiL 8 4 momentti). Viranomaisen tiedonsaantioikeus määräytyy pääasiassa erityislainsäädännön mukaisesti. Jos tietojen luovuttamista koskeva säännös koskee myös salassa pidettäviä tietoja, säännöksessä edellytetään erityislain nimenomaista säännöstä oikeudesta tai velvollisuudesta antaa salassa pidettävä tieto. Säännöksestä tulee näin ollen ilmetä tiedon luovutuksen sallittavuus salassapitosäännöksestä riippumatta (HE 30/1998 s. 101). Perusopetuslain 46 :n muutosehdotuksen 6 momentin mukaan aikaisemman opetuksen järjestäjän on salassapitosäännösten estämättä viipymättä toimitettava opiskelijan henkilökohtaista opiskelusuunnitelmaa ja suoritettuja opintoja koskevat tiedot uudelle opetuksen tai koulutuksen järjestäjälle, jos opiskelija siirtyy toisen opetuksen tai koulutuksen järjestäjän perusopetuslain, lukiolain, ammatillisesta koulutuksesta annetun lain tai ammatillisesta aikuiskoulutuksesta annetun lain mukaisesti järjestämään opetukseen tai koulutukseen. Henkilökohtaisen opetussuunnitelman sisältö on määritelty pykälän 3 momentissa. Pykäläehdotuksen 1 momentin mukaan oppivelvollisuusiän ylittäneiden perusopetukseen sovelletaan soveltuvin osin myös perusopetuslain 40 :n 2 ja 5 momenttia sekä 41 :n 4 momenttia. Lisäksi oppilas- ja opiskelijahuoltolaki tulee sen 1 :n mukaan

4 sovellettavaksi, ellei kyse ole vain yhden tai useamman perusopetuksen oppimäärään kuuluvan oppiaineen suorittamisesta. Lakiesityksessä ei ole kuitenkaan käsitelty tietojen luovuttamista koskevien pykälien keskinäistä suhdetta ja niiden merkitystä, mitä pidän puutteena. Edellä mainitun pykäläehdotuksen 3 momentista ilmenee, että opiskelijan lähtötason määrittely tehdään tarvittaessa yhteistyössä muiden viranomaisten kanssa, mutta esitysehdotuksesta ei ilmene tarkemmin, minkälaista viranomaisyhteistyötä tällä tarkoitetaan. Esitysluonnoksen perusteluissa on myös mainittu työelämä yhteistyötahona. Esitysluonnoksessa ei ole kuitenkaan käsitelty sitä, mihin yhteistyössä tarpeellinen tietojen luovuttaminen perustuisi. Pidän asiaa merkittävänä henkilötietojen käsittelyn kannalta. Lainsäädännön valmistevaiheessa tulee varmistaa, että voimassa oleva ja valmisteltava sääntely mahdollistavat oppivelvollisuusiän ylittäneiden perusopetuksessa tarpeellisen henkilötietojen käsittelyn. Tarvittaessa henkilötietojen käsittelystä tulee säätää toimintaa koskevassa erityislainsäädännössä. Liitän oheen muistion, josta ilmenee, minkälaisiin asioihin henkilötietojen käsittelyä koskevan lainsäädännön valmistelussa tulee kiinnittää huomiota. Totean lopuksi, että Euroopan unionin yleinen tietosuoja-asetus tuli voimaan tänä vuonna ja sitä tullaan soveltamaan alkaen sekä julkisella että yksityisellä sektorilla. Tietosuoja-asetus tulee aiheuttamaan muutoksia henkilötietojen käsittelystä annettuun yleiseen kansalliseen lainsäädäntöön sekä henkilötietojen käsittelyä koskevaan kansalliseen erityislainsäädäntöön. Oikeusministeriö on asettanut työryhmän henkilötietojen suojaa koskevan kansallisen lainsäädännön tarkistamiseksi (OM1/14/2016). Lausunnon keskeinen sisältö Suomen perustuslain 10 :n mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Henkilötietojen käsittelyyn sovelletaan toimintaa koskevaa lainsäädäntöä. Oppivelvollisuusiän ylittäneille järjestettävässä perusopetuksessa sovelletaan perusopetuslakia sekä myös oppilas- ja opiskelijahuoltolakia. Lisäksi henkilötietolakia sovelletaan yleislakina. Henkilötietojen käsittelyyn viranomaistoiminnassa vaikuttaa myös yleislakina sovellettava laki viranomaisten toiminnan julkisuudesta. Lainsäädännön valmisteluvaiheessa tulee varmistaa, että voimassa oleva ja valmisteltava sääntely mahdollistavat toiminnassa tarpeellisen henkilötietojen käsittelyn. Tarvittaessa henkilötietojen käsittelystä tulee säätää toimintaa koskevassa erityislainsäädännössä. Koska henkilötietojen käsittelystä vastaa rekisterinpitäjä, henkilötietojen käsittelyn kannalta on keskeistä, että rekisterinpitäjyys on yksiselitteisesti määritelty niissäkin tilanteissa, joissa esityksen kohteena olevan aikuisille järjestettävän perusopetuksen järjestäjä hankkii palveluita esimerkiksi

5 toisilta opetuksen järjestäjiltä. Henkilötietojen käsittelyllä tarkoitetaan myös tietojen luovuttamista. Lainvalmistelussa on tärkeä varmistaa, että tietojen luovuttamista koskevat säännökset eivät ole keskenään ristiriidassa. Tietosuojavaltuutetun sijainen Toimistopäällikkö Heljä-Tuulia Pihamaa Ylitarkastaja Anne Tamminen-Dahlman Liite Muistio henkilötietojen käsittelystä sääntelystä Lisätietoja Tietosuojavaltuutetun toimiston oppaat Opetushallituksen julkaisu Julkisuus ja tietosuoja opetustoimessa