2014_01_31_tietosuojan_kaytannesaannoista Synergiaryhmän kommentti korkeakoulujen opintotietojen tietosuojan käytännesääntöluonnoksesta Käytännesääntöjen tarpeellisuus ja toimintamalli niiden hallintaan Synergiaryhmä kiittää mahdollisuudesta saada kommentoida luonnosta korkeakoulujen opintotietojen tietosuojan käytennesäännöistä. Asiaan liittyvä lainsäädäntö on laaja ja maallikolle osin vaikeatulkintainen. Käytennesääntökokoelma on siis erittäin tarpeellinen ja hyödyllinen. On erinomaista, että hajallaan oleva tieto ja aiheeseen liittyvät tulkinnat ja käytännön toimintaohjeet on koottu yhteen dokumenttiin esimerkein varustettuna. Synergiaryhmä esittää painokkaan toiveen, että ensimmäisen julkaistun version valmistuttua dokumenttia edelleen paitsi ylläpidetään ja pidetään ajantasaisena, myös kehitetään korkeakoulujen esittämien tarpeiden mukaisesti. Tätä varten tarvitaan toimintamalli käytännesääntöjen hallintaan ja siinä selkeästi määritellyt vastuutahot. Käytennesäännöt voidaan nähdä osana opiskelun ja opetuksen tukipalveluiden ja hallinnon yhteentoimivuuden tukimateriaaleja ja Synergiaryhmä ehdottaakin, että 7.1.2014 aloittanut korkeakoulujen opiskelun ja opetuksen tukipalveluiden ja hallinnon yhteistyöryhmä vastaa jatkossa myös käytännesääntöjen kehittämis- ja ylläpitotyön ohjaamisesta. CSC:n OPI-koordinaatio ja Synergiaryhmä voivat puolestaan organisoida korkeakoulukentän kehittämistoiveiden keräämisen. Synergiaryhmä pitää erittäin tärkeänä, että käytännesääntöluonnoksen valmistelleen lakimiestyöryhmän ja heidän kollegoidensa on jatkossakin mahdollista huolehtia dokumentin lainopillisesta sisällöstä. Synergiaryhmä puoltaa ehdotusta vahvistaa käytännesääntödokumentin sisältö tietosuojavaltuutetulla. Jos käytännesääntödokumentti vahvistetaan tietosuojavaltuutetulla, onko tällä vaikutusta dokumentin sijoituspaikkaan? Käytännesääntödokumentti voidaan tarvittaessa sijoittaa myös CSC:n OPI-koordinaation tuella osaksi https://confluence.csc.fi/display/opi/yhteentoimivuuden+tuki -sivuston materiaaleja, jolloin säännöt ovat helposti kaikkien korkeakoulujen saatavilla muun yhteentoimivuuden tukimateriaalin kanssa samassa paikassa. Käytännesääntöjen julkaisun yhteyteen olisi hienoa saada valtakunnallinen koulutustilaisuus tai niiden sarja korkeakoulujen henkilöstölle tietosuoja-asioista. Käytännesääntödokumentin rakenne ja käytettävyys Ohjeen rakenteeseen on ennen julkaisua syytä kiinnittää huomiota. Ketkä ovat ohjeen loppukäyttäjiä? Esimerkiksi jokapäiväisessä opiskelijaneuvonnan työssä tarvitaan erityyppistä ohjeistusta kuin tietojärjestelmien ja tietojenkäsittelyn suunnittelussa. Dokumenttiin on hyvä tuoda asiakaspalvelutyön tueksi jokaisen luvun alkuun tiivistelmälaatikot esimerkkeineen ja pitää syventävä tieto mukana leipätekstissä. Myös lakiviittaukset tulee sijoittaa vasta leipätekstiin. Lukukohtaisista tiivistelmälaatikoista on näin mahdollista koota rautalankaohjeistus niille loppukäyttäjille, jotka eivät koe tarpeelliseksi syventyä koko käytännesääntöpakettiin. Tällainen loppukäyttäjoukko on esimerkiksi opetushenkilökunta. Opettajien on syytä olla tietoisia tietosuojan perusteista tietojenluovutuksen suhteen esimerkiksi tehdessään yritysyhteistyötä opetuksen osana. Synergiaryhmä kokee laintulkintaa konkretisoimaan tuodut esimerkkitapaukset erittäin tärkeiksi ja toivoo, että dokumenttiin sisällytettäisiin enemmänkin tämäntyyppistä tukimateriaalia. Tiivistelmälaatikoiden tapaan myös esimerkit on hyvä nostaa dokumentin taittoa suunniteltaessa erilleen leipätekstistä. Dokumentti on hyvä toimittaa verkkoon www-sivuksi, jolloin mm. viittausten, linkkien ja avainsanahakujen käyttö helpottuu. Synergiaryhmä toivoo dokumentin oheen avainsanastoa, jota voi hyödyntää myös hakemistona erityisesti ohjeen www-versiossa. Yhteentoimivuuden edistämiseksi sanasto on hyvä kytkeä soveltuvin osin julkishallinnon sanastotyön opetus- ja koulutussanastoon (OKSA) sekä korkeakoulujen tietomallissa esiintyvään käsitteistöön. Ohjeen käytettävyyden parantamiseksi on syytä kiinnittää huomiota asiakirjastandardin noudattamiseen. Dokumentin otsikoita tulee myös selkeyttää niin, että sisällysluettelo on informatiivinen. Alalukujen määrää tulee karsia (esim. 5.2.5.4. ei tarvitse omaa otsikkoa). Lisäksi on pohdittava asioiden esittämisjärjestystä (prosessi/lakiorientoitunut), sillä esim. sähköiseen asiointiin liittyvät tärkeät käytänteet hukkuvat nyt ohjeen loppupäässä muun informaation alle. Dokumentin luettavuuteen ja tiedon esitystapaan on hyvä kiinnittää ennen julkaisua vielä huomiota. Esimerkiksi luku 5.1.4 sisältää todella laajasti tietoa ja ohjeistuksia, joiden avainasioita voisi visualisoida esim. taulukkomuotoon. Tekstissä esiintyy välillä korkeakoulun sijaan pelkkä yliopisto (esim. s. 12, 14, 22 ja 37). Lisäksi tekstissä käytetty sanasto on osin yliopistolähtöistä, esim. pääaine/sivuainejako (s. 23) ja jatko-opiskelija (s. 14). Myös dokumentin oikolukuun on vielä kiinnitettävä huomiota. Esimerkiksi luvun 5.2.4.1 toisen kappaleen sisältö sivulla 25 on epäselvä: Yksityisyyden suojan vaatimuksesta voidaan katsoa myös johtuvan se tulkinta, seuraa, ettei pelkkä vanhempien halu Vastaavasti esimerkiksi sivulla 26 esiintyy useita kielioppi- ja kirjoitusvirheitä.
Käytännesäännöistä puuttuvia teemoja Synergiaryhmä tarkasteli käytännesääntöjen kattavuutta korkeakolujen opiskelun ja opetuksen tukipalveluiden ja hallinnon viitearkkitehtuuriin kirjattuja prosesseja vasten. Käytännesäännöt kattavat prosesseissa käsiteltävät asiat pääosin hyvin. Dokumenttiin olisi hyvä lisätä vielä opiskelijapalautteeseen liittyvät käytännöt siltä osin, kuin prosessissa käsitellään henkilötietoja. Synergiaryhmä toivoo, että käytännesääntödokumentissa huomioitaisiin mahdolliset erityisohjeet, jotka koskevat opiskelijalle tarjottavia organisaatiorajat ylittäviä palveluita. Esimerkkinä tämäntyyppisestä tuotettavasta palvelusta on TIPTOP-projekti, jossa toteutetaan korkeakouluriippumaton malli palvelukokonaisuudesta, joka edistää oppijoiden opintoihin kiinnittymistä, opintojen etenemistä ja tutkintojen loppuun suorittamista (opintojen suunnittelu ja opintojen hallinta tutkintojen ja korkeakoulujen rajojen yli syrjäytymisriskin vähentämiseksi ja työelämään siirtymisen nopeuttamiseksi). Olisi hyvä, jos käytännesääntödokumentin esimerkeissä olisi kerrottu tietojen luovutuksesta (myös EU/ETA-maiden ulkopuolelle) tilanteessa, jossa jonkin maan suurlähetystö Suomessa kysyy korkeakoululta tietoja kyseisessä korkeakoulussa opiskelevista kansalaisiaan. Mitä tietoja suurlähetystölle voi antaa? Huomioita luvuittain 3.3.1 Tiedon antaminen asiakirjasta suullisesti, antamalla asiakirja nähtäväksi tai jäljennettäväksi tai kuunneltavaksi Dokumentissa toistuu muotoilu suuri määrä henkilötietoja, esim. sivulla 6. Minkälaista haarukkaa tällä käytännössä tarkoitetaan ja vaihteleeko se tilanteittain? 3.3.2 Tiedon luovuttaminen asiakirjasta kopiona, tulosteena tai sähköisessä muodossa Sivun 7 esimerkissä tietojen luovuttamisesta korkeakouluun hakeneen äidille on hyvä selkeyden vuoski olla maininta, että koekysymykset voidaan luovuttaa, mutta koevastauksia ei voida (vertaa sivu 20). 3.3.5 Rekisteröidyn oikeus tarkastaa tietonsa Sivuilla 9-10 on kerrottu henkilön oikeudesta saada tarkastaa, mitä häntä koskevia tietoja henkilörekisteriin on talletettu. Omien tietojen tarkastusoikeus koskee kaikkia samassa loogisessa rekisterissä olevia tietoja ja näin ollen oikeus koskee siis myös korkeakoulujen valtakunnallista tietovarantoa (VIRTA), joka on korkeakoulujen opintotietorekisterien looginen osa. Tiedot ovat periaatteessa samoja tietoja, mutta tiedonsiirroissa niiden muotoa on esim. luokittelujen osalta jonkin verran muutettu. Käytännesäännöissä tulee kertoa, onko henkilölle toimitettava jäljennökset myös tietovarannon tiedoista. Jos kyllä, prosessi menisi käytännössä niin, että opiskelija pyytää tietojensa tarkistusta korkeakoululta, korkeakoulu sitten pyytää CSC:ltä jäljennöstä tietovarannossa opiskelijasta olevista tiedoista ja CSC toimittaa tiedot korkeakoululle, joka toimittaa ne vastauksensa osana opiskelijalle. 4.3 Päätöksen ja rekisterimerkinnän korjaaminen Sivulla 12 olisi hyvä muotoilla selkeämmin seuraavan lainauksen ensimmäinen virke, jotta käy selväksi, että suoritustiedot on säilytettävä: Valmis tuneiden suoritus- ym. tietoja voidaan säilyttää rekisterissä, vaikka aktiivista yhteyttä yliopistoon ei enää ole. Tiedot valmistuneiden suorituksista ja tutkinnoista eivät ole henkilötietolain tarkoittamia vanhentuneita tietoja. Valmistuneiden yhteystiedot sen sijaan voivat muuttua vanhentuneiksi, koska niitä ei enää säännönmukaisesti päivitetä. 5.1.1 Opiskelijavalinnan henkilörekisterit Luku käsittelee vain tutkintoon johtavan koulutuksen opiskelijavalintaa ( Yliopistot valitsevat opiskelijoita suorittamaan alempaa korkeakoulututkintoa, ylempää korkeakoulututkintoa, lisensiaatintutkintoa tai tohtorintutkintoa. Ammattikorkeakoulut valitsevat opiskelijoita suorittamaan ammattikorkeakoulututkintoa tai ylempää ammattikorkeakoulututkintoa. ). Tutkinnon osien opiskelu ja muu tutkintoon johtamaton korkeakoulutus olisi myös hyvä huomioida samassa yhteydessä. Sivulla 14 tulisi puhua tässä kontekstissa selvyyden vuoksi valtakunnallisesta opiskelijavalintarekisteristä, jolloin se erottuu esimerkiksi korkeakoulujen mahdollisista omista opiskelijavalintarekistereistä. Samalla sivulla on todettu, että Yliopistojen ja ammattikorkeakoulujen yhteishakuun kuuluvat opiskelijavalinnat hoidetaan opiskelijavalintarekisterin avulla. Rekisteristä säädetään laissa opiskelijavalintarekisteristä, korkeakoulujen valtakunnallisesta tietovarannosta ja ylioppilastutkintorekisteristä (1058/1998). Rekisterinpitäjänä on opetushallitus. Muotoilusta voi saada väärän käsityksen, että Opetushallitus olisi rekisterinpitäjänä muissakin kuin näistä ensimmäisessä. Lisäksi samassa kappaleessa kerrotaan, että Tietojen antaminen ja luovuttaminen rekisteristä on siis opetushallituksen vastuulla ja mahdolliset tarkastus- ja virheenkorjauspyynnöt ohjataan opetushallitukselle. Korkeakoulut osarekisterinpitäjinä tekevät kuitenkin myös em. asioita. Sivulla 14 on myös käsitelty myös jatko-opiskelijoiden valintaa. Käsittely rajoittuu kuitenkin yliopistokontekstiin. Tekstissä tulee huomioida, että jatko-opiskelulla viitataan ammattikorkeakoulusektorilla ylemmän ammattikorkeakoulututkinnon suorittamiseen. Lisäksi luvussa tulisi huomioida myös opiskelijavalinta ammattikorkeakoulusektorin opettajankoulutukseen. 5.1.2. Kansainväliset valinnat Luvussa sivulla 15 käytetty käsite kansainväliset valinnat on epäeksakti termi, joka olisi syytä korvata tässä (ja myös sivulla 14 UAF:n sekä sivulla 30 henkilötietojen luovuttamisen EU/ETA-maiden ulkopuolelle yhteydessä) esim. kuvaavammalla termillä ulkomailla pohjakoulutuksensa suorittaneiden valinnat.
Luvun voisi muotoilla esimerkiksi näin: Korkeakoululla on opiskeliojavalintojen yhteydessä tarve tarkastaa hakijan antamia tietoja, esimerkiksi varmistua korkeakoulukelpoisuuden antavaan pohjakoulutukseen liittyvien asiakirjojen tai kielitaidon todentamiseen liittyvien asiakirjojen oikeellisuudesta. Valinnoissa on tällöin otettava huomioon, että HetiL:ssa on erityiset säännökset henkilötietojen siirtämisestä Euroopan unionin ulkopuolelle (ks. myös luku 5.2.6). Kun korkeakoulu tiedustelee Euroopan unionin ulkopuolella sijaitsevalta korkeakoululta asiakirjan oikeellisuutta, korkeakoulu samalla luovuttaa tiedon, että tietty henkilö hakee opiskelupaikkaa. Hakulomakkeella on näin ollen syytä pyytää hakijan suostumus hänen haun yhteydessä antamiensa tietojen oikeellisuuden tarkistamiseen, sillä HetiL 23 :n mukaan rekisteröidyn antama yksiselitteinen suostumus oikeuttaa siirtämään henkilötietoja Euroopan unionin ulkopuolelle. Hyvä dokumenttiin lisättävä esimerkki valintoihin liittyvistä käytänteistä on, että hakija on mahdollista hylätä sillä perusteella, ettei hän anna lupaa siirtää henkilötietojaan, koska korkeakoulu ei tällöin voi todentaa pohjakoulutuksen ja kielitaidon osoittavien asiakirjojen oikeellisuutta. 5.1.3. Vaihto-opiskelu ja sivuaineopiskelu Luvun on hyvä käsitellä vaihto-opiskelun ja sivuaineopiskelun (huom. yliopistotermi) sijasta koko kansainvälisen ja kotimaisen opiskelijaliikkuvuuden kenttää. Toisessa korkeakoulussa suoritetut sivuaineopinnot ovat osa opiskelijaliikkuvuutta, eikä käytännesäännöissä ole tarpeen erikseen mainita korkeakoulun sisällä tapahtuvaa sivuaineopiskelua. Luvulle parempi otsikko olisikin Kansainvälinen ja kotimainen opiskelijaliikkuvuus. Luvun on hyvä kattaa koko korkeakoulujen välisiin sopimuksiin perustuva kotimainen opiskelijaliikkuvuus, kuten JOO-opinnot tutkintoa suorittaville opiskelijoille, koulutusalakohtaisten verkostojen sopimuksiin perustuva liikkuvuus ja muut kahden/monenväliset liikkuvuussopimukset (esim. korkeakoulukonsernissa). Lisäksi käsittelyn tulee kattaa kansainvälinen opiskelijavaihto, jossa liikkuva opiskelija suorittaa kokonaista korkeakoulututkintoa kotimaassaan ja tekee osan opinnoistaan ulkomaisessa korkeakoulussa niin, että opinnot (ml. harjoittelu) hyväksiluetaan kotimaiseen tutkintoon. Kansainvälistä opiskelijavaihtoa käsiteltäessä tulee huomioida sekä ulkomailta saapuvat, että ulkomaille lähtevät vaihto-opiskelijat ja korkeakoulujen välillä hakuvaiheessa tapahtuvat tietojenluovutukset. Lisäksi opiskelijaliikkuvuuden yhteydessä on hyvä käsitellä opintojen hyväksilukuun liittyvät tietojenluovutuskäytännöt. Kun korkeakoulut tulevaisuudessa toteuttavat hyväksilukupalveluita, joissa tietojen vaihdossa hyödynnetään korkeakoulujen valtakunnallista tietovarantoa, tästä on hyvä lisätä käytännesääntödokumenttiin oma kappaleensa. Tietojen luovuttamista koskevan kappaleen (s. 15) voisi muotoilla esimerkiksi näin: Opiskelijaliikkuvuudessa tietojen luovuttaminen lähdekorkeakoulun ja kohdekorkeakoulun välillä ei edellytä opiskelijan suostumusta (ei myöskään EU/ETA-maiden ulkopuolelle?), koska opiskelijalla on opiskelunsa vuoksi asiallinen yhteys kummankin korkeakoulun toimintaan (HetiL 8 5 k.). Käytännesäännöissä todetaan, että opiskelijan suostumusta ei tarvita siihen, että lähdekorkeakoululle ilmoitetaan vilpin takia tai muusta syystä hylätyistä opintosuorituksista tai opiskelijaan kohdistetuista kurinpitotoimista. Onko tämänkaltainen kurinpitotietojen liikuttelu tarkoituksenmukaista? Jos on, tektin voi muotilla esimerkiksi näin: Opiskelijan suostumusta ei siis tarvita siihenkään, että lähdekorkeakoululle ilmoitetaan vilpin takia tai muusta syystä hylätyistä opintosuorituksista tai opiskelijaan kohdistetuista kurinpitotoimista. Hyvän hallinnon mukaista menettelyä on kuitenkin, että opiskelijoille tiedotetaan jo liikkuvuusjakson alkaessa, että vilpin takia hylätyistä suorituksista ja kurinpitorangaistuksista tullaan aina ilmoittamaan lähdekorkeakoululle. Kriisitilanteita koskevan kappaleen (s. 15) voisi muotoilla esimerkiksi näin: Opiskelijavaihtoon haettaessa kohdekorkeakoulun on tärkeää pyytää hakijalta etukäteen nimenomainen, kirjallinen suostumus ilmoittaa kriisitilanteesta kuten äkillisestä sairastumisesta omaisille ja lähdekorkeakoululle, sillä salassa pidettävää tietoa, kuten terveystietoja, ei saa ilmaista sivullisille (sivullisia ovat tässä yhteydessä myös täysi-ikäisen opiskelijan omaiset ja lähdekorkeakoulun henkilökunta) ilman laissa olevaa nimenomaista säännöstä tai asianomaisen opiskelijan suostumusta. Opiskelijalla on oltava mahdollisuus myös olla antamatta suostumusta tai peruuttaa suostumus, jolloin tietoja ei siis saa antaa. 5.1.5 Opiskelijavalintaa koskevien henkilötietojen antaminen ja luovuttaminen Ovatko opiskelijavalintojen kehittämisen myötä opiskelijavalinnan tuloksistailmoittamis- ja oikaisupyyntökäytännöt yhtenäistymässä lainsäädännössä? 5.2.1. Opiskelijoiden henkilötietoja sisältävien asiakirjojen julkisuus ja salassapito Luvussa olisi hyvä käsitellä myös käytänteitä, jotka liittyvät opintotietojärjestelmän ulkopuolella olevien opiskelijan tietojen käsittelyyn, esimerkikkinä opetustapahtuman läsnäololistat. 5.2.2 Opintotietorekisteri Sivulta 20 alkava luku on pitkä ja kaipaa väliotsikointia asian hahmottamiseksi. Opintotietorekisterin yhteyteen on hyvä lisätä luku sen ja korkeakoulujen valtakunnallisen tietovarannon suhteesta: Korkeakoulujen valtakunnallinen tietovaranto on opiskelun ja opetuksen tukipalveluiden ja hallinnon alueen valtakunnallinen tietovaranto. Sen toteuttaminen perustuu lakiin opiskelijavalintarekisteristä, korkeakoulujen valtakunnallisesta tietovarannosta ja ylioppilastutkintorekisteristä (484/2013). Tietovarannon tilaaja on opetus- ja kulttuuriministeriö. Sen suunnittelusta, toteutuksesta ja ylläpidosta vastaa CSC - Tieteen tietotekniikan keskus Oy. Tietovaranto on Suomen korkeakoulusektorin toimijoiden opintotietorekisterien looginen osa. Kyseessä ei siis ole tietojen luovutus, vaan tiedot säilyvät osana korkeakoulun rekisteriä ja rekisterinpitäjänä korkeakoulu on niistä vastuussa. Tietovaranto on tietojärjestelmä, jossa korkeakoulut säilyttävät kopiota osasta opintotietorekisteriensä - ja tulevaisuudessa mahdollisesti muiden henkilörekisteriensä - tietosisällöstä. Tuloksena on
keskitetty fyysinen tietovaranto ja hajautettu rekisterinpito. Tämä tarkoittaa, että kukin korkeakoulu toimii rekisterinpitäjänä omien tietojensa osalta ja vastaa niiden oikeellisuudesta. CSC:n vastuulla on tietovarannon asianmukainen toiminta, tietojen säilytys ja käsittely hyvien käytäntöjen mukaisesti itse tietovarannossa. Henkilötietolain nojalla korkeakoulun on rekisterinpitäjänä varmistuttava tietojen käsittelyn asianmukaisuudesta ja erityisesti tietoturvan ja tietosuojan toteutumisesta. Korkeakoulu varmistaa tietoturvan ja tietosuojan toteutumisen yhdessä CSC:n kanssa OKM:n antamien tietovarannon ylläpitoa ja tietovarannon käyttöä koskevien määräyksien ja ohjeiden perusteella. Määräykset ja ohjeet on laadittu tietosuojavaltuutetun toimiston suosituksen mukaisen tarkistuslistan, tietojenkäsittelypalvelua koskevan sopimusmallin sisällön ja CSC:n yhteistyökumppanin tietoturvaa koskevan sopimuksen sisällön perusteella. Sopimusmallin pohjalta on laadittu muistio korkeakoulun rekisterissään ylläpitämien tietojen teknisestä tietojenkäsittelypalvelusta ja sen liitteenä on CSC:n yhteistyökumppanin turvallisuussopimuksen mukainen vastuujankoa ja velvollisuuksia koskeva muistio. Sivulla 22 on maininta, että Opintotietorekisteriin voidaan tallentaa myös tieto hylätyistä opintosuorituksista. Korkeakoulun toiminnan näkökulmasta tieto suorituksen hylkäämisestä on tärkeä ja parempi muotoilu olisikin, että tieto tulee tallentaa. Listaukset tarpeellisista tiedoista opintotietorekisterissä sivulta 22 alkaen ovat hyödyllisiä mutta olisi loogisempaa sijoittaa ne käytännesääntödokumentin sijaan osaksi korkeakoulujen opiskelun ja opetuksen tukipalveluiden ja hallinnon viitearkkitehtuuria. Tarpeellisten tietojen lisäksi tekstissä on hyvä perustella, miksi kyseiset tiedot ovat tarpeellisia. Tiedot on dokumentissa koottu yliopistolähtöisesti ja ne perustunevat Oodi-opintotietojärjestelmätuotteeseen. Tarpeellisten tietojen tulee vastata korkeakoulujen tietomallin määrityksiä. Sivulla 23 on otsikon 3. Opiskelijan opintosuoritukset alla kohta muualla suoritetuista opinnoista oppilaitos ja hyväksymispäivä. Hyväksiluettu opintosuoritus voi kuitenkin olla tapahtunut myös muodollisen koulutuksen ulkopuolella, jolloin oppilaitostietoa ei luonnollisesti ole saatavilla. Samalla sivulla on kohta 6, opettajan tiedot, johon on hyvä selventää, mitä tietoja opettajasta tarvitaan opintotietorekisterissä, sillä opintotietorekisteri ei valtaosin ole ensisijainen sijoituspaikka opettajien tiedoille. Lisäksi samalla sivulla otsikon 7 alla viitataan vain yliopistolakiin kurinpitorangaistusten osalta. 5.2.3 Opiskelijoiden osoite- ja muiden yhteystietojen käsittely Lukuun on hyvä lisätä, että suositeltava tapa hyödyntää yhteystietoja on integroitua väestötietojärjestelmään, ei itse kerätä ja tallentaa yhteystietoja opintotietorekisteriin. 5.2.4.2 Erityislakeihin perustuvat säännönmukaiset luovutukset opintotietorekisteristä Lukuun on hyvä lisätä maininta tietojen luovutuksesta korkeakoulujen valtakunnallisen tietovarannon (ks. luku 5.2.2) kautta ja kertoa siihen liittyvistä käytänteistä. Korkeakoulu rekisterinpitäjänä päättää tietojen luovutuksista, paitsi mitä laissa 1058/1998 automaattisista tietojen luovutuksista säädetään. CSC huolehtii siitä, että lukurajapintoja voivat käyttää ainoastaan sellaiset tahot, joilla on valtuutus tietojen käyttämiseen sekä siitä, että lukurajapintojen liikenne on suojattu. Yliopistosektorin ja tietojen luovutuksen YTHS:lle lisäksi käytännesäännöissä tulee kertoa myös ammattikorkeakoulujen opiskelijaterveydenhuoltoon liittyvistä tietojenluovtuksista. Asiasta on olemassa tietosuojavaltuutetun lausunto. 5.2.4.3 Ylioppilaskunnan ja opiskelijakunnan oikeus käsitellä opiskelijoiden henkilötietoja Sivulle 27 on hyvä saada tarkennus käytäntöön siitä, voiko ammattikorkeakoulu pitää ilmoitustaulullaan esillä tietoa opiskelijaksi valituista niin kauan, kunnes opiskelijakunta ehtii tarkistamaan näistä tiedoista jäsenyyttä hakevan opiskelijastatuksen (silloin, kun sähköinen status ja yhteystietopäivitys ei ole käytössä). Onko ammattikorkeakoululla lupa toimittaa opiskelijakunnalleen lista opiskelijaksi valituista? Luvussa tulee huomioida myös vireillä oleva, ammattikorkeakoululakiin mahdollisesti tehtävä muutos opiskelijakunnan automaatiojäsenyydestä. 5.2.7.1. Tutkimus Sivuilla 30-31 on hyvä tarkentaa ammattikorkeakoulun opinnäytetyön status - voiko sitä jossain tilanteessa katsoa tieteelliseksi tutkimukseksi? Ammattikorkeakoulun opinnäytetöissä on vaatimuksena tutkimusetiikan noudattaminen. 5.2.7.3 Viranomaisten suunnittelu- ja selvitystehtävät Ulkomaalaisviraston nimi tulee päivittää Maahanmuuttovirastoksi (Migri) sivulla 31. 5.2.8 Henkilötietojen käsittely valmistuneiden ja entisten opiskelijoiden osalta Sivulla 32 todetaan, että Opiskelija voi myös kesken opintojensa luopua opiskeluoikeudesta ilmoittamalla luopumisesta kirjallisesti korkeakoululle. Tällöin opiskeluoikeutta ei voi palauttaa hakemuksesta, vaan opiskeluoikeuden saaminen uudelleen edellyttää opiskelijavalintaan osallistumista. Jälkimmäinen virke ei pidä paikkaansa, sillä opiskelijalle voidaan myöntää opiskeluoikeus uudelleen, jos tietyt ehdot täyttyvät. Ko. virkkeen voi jättää dokumentista pois, tai viitata korkeakoulujen yhdessä muotoilemaan, korkeakoulujen valtakunnallisen tietovaraston opiskeluoikeuden tila -koodistoselitteeseen asiasta: Opiskeluoikeuden tila on luopunut, mikäli oppija on pysyvästi tai väliaikaisesti luopunut oikeudestaan opiskella siten, että opiskelu ei korkeakoulun sääntöjen mukaan ole mahdollista ilman erillisiä toimenpiteitä opiskeluoikeuden uudelleen aktivoimiseksi. Luopunut-tilassa oleva opiskeluoikeus voi muuttua vielä toiseen opiskeluoikeuden tilaan, esimerkiksi opiskeluoikeus voidaan kyseeseen tulevalla menettelyllä palauttaa aktiiviseksi. 5.3 Arkaluontoisten tietojen käsittely Sivulla 35 käsitellään salassa pidettävän tiedon antamista korkeakoulun sisällä niille työntekijöille, jotka tarvitsevat sitä työtehtävissään. Muotoilu koettiin ristiriitaiseksi Kelan opintotukilautakunnille antaman linjauksen kanssa. Kela edellyttää opintotukilautakunnan jäseniltä vaitiolovelvollisuutta, mikä tarkoittaa, että henkilökunnan edustajat eivät saa kertoa esimerkiksi opintopsykologille opiskelijasta, joka tarvitsee tukea mielenterveysasioissa.
6.2. Kriisiviestintä Luvun otsikointi on laajempi kuin sen sisältö. Lukuun olisi hyvä lisätä ohjeistus siitä, mitä tietoa ja miten korkeakoulu saa tai on velvollinen lähettämään opiskelijalle erilaisissa kriisitilanteissa. 6.5. Korkeakoulun antamien tutkintotodistusten ja vastaavien asiakirjojen oikeellisuuden tarkastaminen Luvun yhteydessä tulee huomioida myös asiakirjaväärennökset, tutkintotehtaat ja näihin liittyvät petokset. Luvussa on hyvä kertoa tietojenluovutuskäytänteistä näiden asioiden suhteen eri korkeakoulujen välillä sekä korkeakoulujen ja eri viranomaisten, esim. maahanmuuttoviranomaisten (Migri) ja poliisin, välillä. Synergiaryhmässä nousi esiin mm. seuraavat kysymykset: Tuleeko väärennöstapauksista aina ilmoittaa poliisille? Miten menetellään, jos kyseessä on vahvistamaton epäily asiakirjan oikeellisuudesta? Entä, kun vahvistus väärennöksestä on saatu? Voivatko korkeakoulut jakaa väärennöstapauksista tietoa toistensa kesken, jos sama henkilö on hakenut useaan korkeakouluun? Entä tietojenluovutukset saman korkeakoulun eri hakukohteiden välillä? Onko korkeakoulun mahdollista säilyttää tietoa väärennöstapauksesta ja hyödyntää sitä toisessa haussa, jos sama opiskelija hakee korkeakouluun uudelleen? Luvussa on myös hyvä selventää, että ns. tutkintotehdas-korkeakoulun (degree mill) myöntämä tutkinto on aito, mutta se ei anna hakijalle korkeakoulukelpoisuutta ja hakija voidaan tällä perusteella hylätä (vrt. eri käytäntö, jos kyseessä on korkeakoulukelpoisuuden antavan tutkintoasiakirjan väärennös tai muun hakuun liittyvän asian, kuten virallisesti oikeaksi todistamisen väärennös). Käytännessäännöissä on hyvä kuvata korkeakoulujen virkailijoille asiakirjojen oikeaksitodistamiskäytännöt. Asia on ajankohtainen korkeakoulun opiskelijan hakiessa opiskelijaksi toiseen korkeakouluun. Esimerkiksi asiakirjan oikeaksi todistamiseen riittää kahden henkilön allekirjoitukset, mutta asiakirjan virallisesti oikeaksi todistamiseen vaaditaan julkinen notaari. University Admissions Finland (UAF) on laatinut jäsenyliopistoilleen edellämainituista asioista kattavat toimintaohjeet. Synergiaryhmä ehdottaa, että käytännesääntöjä laativa työryhmä pyytää mahdollisuutta saada hyödyntää näitä tekstejä luvun laadinnan pohjana. Luvun aiheeseen liittyy myös tilanne, jossa henkilö valheellisesti esiintyy korkeakoulun opiskelijana tai sieltä valmistuneena. Onko korkeakoulun aina tehtävä valetutkinnosta rikosilmoitus? 6.6. Opiskelijoiden henkilötietojen käsittely internetissä ja muussa tietoverkossa Sivuilla 37-38 mainitaan, että Korkeakoulun tilaisuuksissa opiskelijoista otetut kuvat (esim. valmistumistilaisuudessa otetut kuvat) liittyvät yleensä käyttötarkoituksensa puolesta korkeakoulun ja opiskelijan väliseen opetussuhteeseen. Tällaisten valokuvien laittamista internetiin tai intranetiin arvioidaan siis myös henkilötietojen sähköisenä luovuttamisena, jos yksittäinen opiskelija on kuvasta tunnistettavissa. Osio kaipaa konkretisointia - miten korkeakoulun tulee toimia, jotta se voi hyödyntää valokuvia internetsivuillaan tai vaikkapa hakuoppaissaan?