Tietosuoja-asetus

Mikä on opiskelijajärjestöjen asema? Niillä on linkkejä tiedonvaihdossa korkeakoulujen kanssa. Järjestöille oma tietosuojavastaava, sillä niilläkin henkilörekisteri? Yliopisto- ja amk-puolella tiedonvaihto opiskelijajärjestöjen kanssa erilaista, sillä amk-puolella on vapaaehtoista (lupa kuitenkin saatava).

 Miten suhtaudutaan esim. opettaja käyttää kk:n ulkopuolella olevaa "ilmaista" alustaa, johon opiskelijoiden pitää kirjautua esim. Facebook tai instagram tili tiedoilla?

Tietojen luovuttaminen kolmannelle taholle esim. tutkimuskäyttöön. Tuleeko tieto välittää opiskelijalle tai jättää rekisteriin? Miten tiedot välitetään ja pitääkö vaatia, että tietojen hävittäminen tutkimustiedon keruun jälkeen hävitetään.

Mahdollisesti suosituskuvaus opiskelijoiden terveystietojen käsittelystä: miten ja kauanko tietoja säilytetään, missä? Kuka pääsee tietoihin? Arkaluonteisten tietojen käyttö kokonaisuudessaan. Vrt. henkilöstön sairauslomatodistukset ja käsittely keskitetysti.

Jokaisella korkeakoululla pitää olla erikseen nimetty tietosuojavastaava. SUositeltavaa olisi että kaikilla on ryhmä, jossa on eri henkilörekisterien hallinnoivat henkilöt.

Rekisterien ylläpitäjien vastuut kasvavat.

Vaaditaan tarkempia lokitietoja.

Mikä on opiskelijajärjestöjen asema? Linkkejä tiedonvaihdossa korkeakoulujen kanssa. Järjestöille oma tietosuojavastaava, sillä niilläkin henkilörekisteri? Yliopisto- ja amk-puolella erilaista, sillä amk-puolella on vapaaehtoista (lupa saatava).

Budjetointi, päätoiminen tietosuja vastaava.

Kuvattava rajapinnat miten henkilörekisteristä siirtyy tietoa toiseen.

Kiinteä yhteistyö, muiden henkilörekisterien ylläpitäjien/pääkäyttäjien kanssa.

miten tietosuoja pitää huomioida opintohallinnon järjestelmiä tilatessa:

toisaalta mitä tietoja opiskelijasta saa kirjata.

tarvitaan kysmysyvastauspaketti keskeisimmästäopintohallintoon liittyvistä kysymyksistä.

Tarvitaan prosessi/mallinnus opiskelijajärjestöjen ja opintohallinnon tiedonvaihdosta. Mahdollisesti suosituskuvaus opiskelijoiden terveystietojen käsittelystä: miten ja kauanko tietoja säilytetään, missä? Kuka pääsee tietoihin? Arkaluonteisten tietojen käyttö kokonaisuudessaan. Vrt. henkilöstön sairauslomatodistukset ja käsittely keskitetysti.

Palvelun osto: Lokitusvelvollisuus, tietoturvaloukkauksista raportoiminen teknisen järjestelmän ylläpitäjän vastuulla.

Onko ylläpitäjä henkilötietojen käsittelijän asemassa? Jos on, tarvittavat sopimukset rekisterinpitäjän ja käsittelijän välillä.

Opintohallinnon edustaja organisaation sisäisessä tietosuojatyöryhmässä.

Tällä henkilöllä asiantuntijarooli opintohallinnon tietosuoja-asioissa.

Rekisterin riskitason määrittely.

Tietosuojariskien hallintakeinot:

• Henkilökunnan koulutus ja tietosuojatestit

Uusissa lokitetaan kaikki, vanhoissa ne tiedot jotka järkevästi lokitettavaksi.

Satunnaisen henkilön tietojen katsominen, esim. tarkistaakseen miten tietyt tiedot kuuluu kirjata, satunnainen opiskelijanumero tai aakkosissa ensimmäinen henkilö. Miten tämä perusteellaan, jos selitettäväksi miksi kyseisen henkilön tietoja katsottu?

1. Riskienarviointiprosessi

Riskianalyysi tietoturvan mitoittamisen apuvälineenä. Asetus velvoittaa rekisterinpitäjää ottamaan huomioon uusimman tekniikan ja toteuttamiskustannukset sekä toisaalta arvioimaan tietoturvakeinojenkohtuullisuutta verrattuna arvioituun riskiin.

2. Turva-arkkitehtuuri

Turvallinen verkko- ja järjestelmäarkkitehtuuri sisältäen esimerkiksi asianmukaiset palomuurit, verkkojen eriyttämisen, palvelinten kovennukset sekä henkilötietojen ja tietojen siirtoväylien salaamisen.

5. Omaisuuden ja tiedon hallinta:

Tietovälineiden käsittely sekä tiedon luokittelu ja luokitellun tiedon käsittelyohjeistukset. Henkilöstölle tulee olla selvää, miten henkilötietoja on sallittua käsitellä esimerkiksi pilvipalveluun tallentamisessa, sähköpostilla siirtämisessä ja siirrettäville tietovälineille tallentamisessa. Valtionhallinnossa suojaustasot (IV – III – II – I) määräävät tiedon luokittelua ja käsittelyä.

6. Päivitysten ja muutosten hallinta

Ohjelmistokomponenttien haavoittuvuuksien saatavilla olevien päivitysten seuranta ja hallinta (CERT-ryhmät). Järjestelmien tietoturvallisuudesta huolehtiminen päivitysten ja muutosten yhteydessä. Muutosten hallinnasta ja jäljitettävyydestä huolehtiminen.

7. Fyysinen turvallisuus

Tilaturvallisuudesta huolehtiminen tarvittavin pääsykontrollein ja -rajauksin. Tietovälineiden, joilla henkilötietoja käsitellään, turvallinen huolto ja hävittäminen, jotta henkilötietoja ei päädy luvattomasti kolmansille osapuolille.

Pitääkö jatkossa kaiken tiedon myös koneen kovalevylle tallennettu olla salattu salasanalla. Myös muistitikkujen osalta pitää huomioida.

Tietojen luovuttaminen kolmannelle taholle esim. tutkimuskäyttöön. Tuleeko tieto välittää opiskelijalle tai jättää rekisteriin? Miten tiedot välitetään ja pitääkö vaatia, että tietojen hävittäminen tutkimustiedon keruun jälkeen hävitetään.

8. Henkilöstöturvallisuus

Henkilöstön tietoturvatietoisuuden ja osaamisen varmistaminen koulutuksilla ja ohjeilla. Vaitiolo- ja salassapitosopimukset henkilöstön sekä alihankkijoiden kanssa. Tarvittaessa ja lain mahdollistaessa tehtävät henkilöiden turvallisuusselvitykset.

9. Toimittajien ja sopimusten hallinta (katso myös kohta 5.8 - tässä esimerkiksi turvallisuussopimuksen osana)

Tietoturva - ja tietosuojavaatimusten määrittely sopimuksen/hankinnan kohteelle ja alihankkijoille. Sovittava tietoturvan ja tietosuojan hallinnan menettelyt, mukaan lukien henkilötietojen käsittelyn seuranta ja valvonta sekä tietoturvaraportointi ja tietoturvapoikkeamien hallinta.

10. Toiminnan jatkuvuuden hallinta

Henkilötietojen varmuuskopioinnista huolehtiminen ja niitä käsittelevien järjestelmien kapasiteetin hallinta. Tarvittavat suunnitelmat epäsuotuisiin tilanteisiin ja niistä toipumiseen, jotta voidaan taata henkilötietojen saatavuus esimerkiksi teknisen vian sattuessa.

Kilpailutusvaihe kriittinen, jotta asia on huomioitu riittävässä laajuudessa jatkossa: sopimusasia. Oikeastaan talon politiikka jo ennen kilpailutusta tärkeä, jottei tule lian kiire. Henkilötietojen käsittely voidaan ulkoistaa alihankkijalle ja tässä noudatettava tietosuoja-asetusta, tietojen emo-organisaation ohjeistuksen mukaisesti. Huomioitava kaksisuuntaisuus ja ilmoitusvelvollisuus, jos esim. alihankkijan hallusta vuotaa tietoja.

Voitaneen toimia EU:n sisämarkkinoilla vapaammin esim. järjestelmähankinnoissa.

Opiskelijavaihto- ja henkilöasioissa mobility online ja sopiusten päivitys tarvittaessa.