Tietojen poistamisen esiselvitys

SELVITYS PÄÄTTYNYT

Johtopäätökset

1. Mikään vaihtoehdoista (1-5) ei ole yksinkertainen ja helposti toteutettava tekninen ratkaisu, jolla pystyttäisiin helpottamaan tietojen poistamista sekä oppijoilta että henkilöstöltä.
   
   1. OPH ei jatka minkään esitetyn teknisen ratkaisun selvittämistä.
2. OPH ei voi määritellä tarkkoja aikoja tietojen säilyttämiselle, koska tietosuoja-asetuksen mukaan henkilön tietojen poistaminen pitää tapahtua käsittelyperusteen lakattua ja viipymättä.

Ongelma

Nykytilassa koulutustoimijoilla (rekisterinpitäjä) ei ole tehokasta keinoa ilmoittaa viipymättä henkilötietojen käsittelijälle (palveluntarjoaja) tietojen poistamisesta käsittelyperusteen lakattua.

• Tietosuojalainsäädännön mukaan rekisterinpitäjän eli koulutustoimijan on huolehdittava viipymättä henkilötietojen poistamisesta kolmannen osapuolen palveluista, kun koulutustoimijan oikeusperuste käsitellä henkilön tietoja on päättynyt (Tietosuoja-asetus 19 artikla).

Koulutustoimijan käsittelyperuste oppijan tai opettajan henkilötietojen käsittelylle päättyy esimerkiksi näissä tilanteissa:

1. oppija valmistuu ja opinnot päättyvät
2. työntekijän palvelussuhde päättyy
3. oppija tai työntekijä muuttaa ja vaihtaa koulutustoimijaa

Miksi Opetushallitus tekee selvitystä?

• Opetushallituksen hyvään viranomaistoimintaan voisi kuulua tietojen poistamisen helpottaminen, jos se on teknisesti ja kustannustehokkaasti toteutettavissa.
• Tämä olisi kansallisen edun mukaista, jottei kaikkien koulutustoimijoiden ja palveluntarjoajien tarvitsisi tehdä omia ratkaisuja ja toimijakohtaisia integraatioita.

Nykytila

Koulutustoimijat ja palveluntarjoajat sopivat tietojen poistamisesta

1. Kahdenvälisessä DPA-sopimuksessa tai
   1. 4 vuotta lisenssin umpeutumisesta, jotta mahdollistetaan paluu käyttäjäksi ja tietojen palauttaminen tarvittaessa
   2. Sopimussuhteen päätyttyä
2. OPH:n MPASSid-käyttöehtoidoilla

   1. Palveluntarjoajan on poistettava loppukäyttäjää koskevat henkilötiedot palvelusta viipymättä…”.

   2. Koulutustoimijan on ilmoitettava palveluntarjoajalle kirjallisesti loppukäyttäjää koskevan käsittelyperusteen lakkaamisesta, mikä tavallisesti tarkoittaa koulun tai opiskelun ja siihen liittyvän aseman päättymistä.

Vaihtoehtojen kokonaisvertailua

Kyllä = Väittämä on tosi

EI = Väittämä on epätosi

Oranssiväri = vaihtoehdon kannalta kielteinen asia

Vihreä väri = vaihtoehdon kannalta hyvä asia

Vaihtoehto 1:Tekninen rajapinta palveluntarjoajalle opiskeluoikeuden voimassa olon tarkistamiseen KOSKI-palvelusta

Kuvaus: Opetushallituksen kehittämä uusi rajapintatoteutus KOSKI-palvelun tiedoille. 

Opetuksen ja koulutuksen järjestäjät ovat tallentaneet esiopetuksen, perusopetuksen, lukiokoulutuksen ja ammatillisen koulutuksen opintosuoritus- ja tutkintotiedot Koski-tietovarantoon vuodesta 2018 alkaen.

• Opetushallitus kehittäisi uuden rajapintatoteutuksen KOSKI-palveluun.
  • Tietomallin määrittely KOSKI-tiedoista.
• Palveluntarjoaja tekisi oman rajapintatoteutuksen KOSKI-palveluun.
  • Koulutustoimija antaisi rajapintaan käyttöoikeuden.
  • Palveluntarjoaja saisi henkilön oppijanumerolla ja oppilaitostiedolla haettua tiedot omaan järjestelmäänsä, onko henkilön opiskeluoikeus voimassa.
  • Palveluntarjoaja tekisi päättelyn ja poistaisi oppijan tiedot omasta järjestelmästä.
    • Kansallinen standardi päättelyn tekemiseen.

Vaihtoehto 2:Tekninen rajapinta koulutustoimijalle lähettää tiedot yhteiseen tietovarantoon ja palveluntarjoajalle poistettavaksi

Kuvaus: Opetushallituksen kehittämä uusi tietovaranto ja rajapinnat sekä koulutustoimijoille että palveluntarjoajille.

• Opetushallitus kehittäisi kansallisen tietomallin, tietovarannon sekä rajapinnat.
• Koulutustoimija kehittäisi oman rajapintatoteutuksen palveluun.
• Palveluntarjoaja kehittäisi oman rajapintatoteutuksen palveluun.

Vaihtoehto 3: Muut olemassa olevat ratkaisut

3.1 OneRoster

Kuvaus: OneRoster rajapintakuvaus (kansainvälinen rajapintastandardi), jota Digione-hankkeet hyödyntävät palveluntarjoajien kanssa.

• OneRoster speksi määrittää lähtökohtaisesti lähes kaikille rajapinnan esineille kentän, jossa voidaan asettaa tietojen statukseksi "to be deleted".

• Tätä parametriä voisi sopimuksellisesti käyttää siihen että näin merkitty tieto tulisi poistaa tietojenkäsittelysopimuksen mukaisesti ulkoisesta järjestelmästä.

• Tätä ominaisuutta ei ole määritelty tuotantonäkökulmasta, mutta valmius asiaan on OneRoster toteutuksen näkökulmasta. 

3.2 x-API 

Kuvaus: xAPI (kansainvälinen rajapintastandardi), jolla koulutustoimija voi hakea oppimispalvelusta tiedot omaan opintosuoritusjärjestelmään.

• xAPI-toteutus perustuu siihen, että tämän rajapintastandardin avulla toimija saa oppimispalveluista tiedot haettua omaan opintosuoritusjärjestelmään (Learning Record Store, LRS), jossa koulutustoimija pystyy esimerkiksi tiedolla johtamisen tarpeisiin itse käsittelemään dataa.

• LRS:ssä eikä ota kantaa siihen, miten lähdejärjestelmät hoitavat tiedonsäilytystä xAPIn ulkopuolella. 

• xAPI ei ole kehitetty tietojen poistamisen käyttötarkoituksen lähdejärjestelmästä.

Vahvuudet	Heikkoudet	Mahdollisuudet	Uhat/Riskit
Osa koulutustoimijoista käyttää jo xAPI:n mukaista rajapintatoteutusta	Perustuu siihen, että xAPI-rajapintastandardin avulla koulutustoimijat voivat hakea tiedot omaan opintosuoritusjärjestelmään (LRS) Ei ota kantaa siihen, miten lähdejärjestelmien pitäisi poistaa tiedot. Ei ole  kehitetty alun perin tietojen poistamiseen	Saattaisi taipua myös tietojen poistamiseen, jos yhteinen rakenne tietojen poistamiseen löydettäisiin	Ei ole laajasti hyödynnetty tällä hetkellä koulutustoimijoiden keskuudessa. Vaatii koulutustoimijalta osaamista ja oman toteutuksen.

Vaihtoehto 4: Suorat kyselyt MPASSid:n kautta käyttäjähakemistoihin (backchannel kyselyt)

Kuvaus: SCIM-protokollan hyödyntäminen MPASSid-palvelussa.

• SCIM-protokollaa hyödyntämällä palveluntarjoaja tekee kyselyn MPASSid:n ja MPASSid kysyy koulutustoimijalta, onko käyttäjätili voimassa.
• Palveluntarjoajan tulkinta perustuu virheviestiin, jonka palveluntarjoaja saa, kun kysyy onko henkilön käyttäjätili käyttäjähakemistossa voimassa.
• Käyttäjän yksilöinnin pitäisi perustua sekä oppijanumeroon että oppilaitostunniste.

Vaihtoehto 5: Opetushallituksen ohjeet tietojen poistamiseen

Kuvaus: Opetushallitus ohjeistaisi tarkemmin tietojen säilytysajoista ja poistamisesta.

• OPH määräisi MPASSid-käyttöehdoissa tarkemmin tietojen poistamisesta ja tietojen säilyttämisen säilytysajasta.
• OPH antaisi kansallisesti ohjeistusta tietosuoja-asetuksen tulkintaa tietojen poistamisessa.