Käytännesäännöissä ei ole huomioitu EU:n yleisen tietosuoja-asetuksen vaikutuksia.
4.1 Keskeiset käsitteet
4.1.1. Henkilötieto ja henkilötietojen käsittely
...
Henkilötietolaki perustuu EU:n tietosuojadirektiiviin (Euroopan neuvoston ja parlamentin antama direktiivi 95/46/EY). Henkilötietolakia sovelletaan käsiteltäessä henkilörekisteriin kuuluvia tietoja tai käsiteltäessä muitakin henkilötietoja automaattisesti.
...
4.1.2 Korkeakoulun henkilörekisterin käsite
...
Henkilötietolain 3 § 3 kohdan mukaan henkilörekisterillä tarkoitetaan käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta.
...
Korkeakoulu voi opiskelijavalinnoissaan antaa jonkin osan, esimerkiksi soveltuvuuskokeiden järjestämisen, ulkopuolisen palveluntuottajan tehtäväksi. Korkeakoulun on tällöin tehtävä palveluntuottajan kanssa kirjallinen toimeksiantosopimus, josta ilmenee, miten työnjako on järjestetty, mitä kokeella on tarkoitus mitata ja miten kokeesta annetaan riittävää ohjauksellista tietoa testatuille. Korkeakoulun tulee varmistua siitä, että käytettävät testausmenetelmät ovat luotettavia ja testien suorittajat asiantuntevia. Kokeen järjestäjä vastaa kokeesta ja sen tuloksesta, mutta korkeakoulu vastaa koetuloksen käyttämisestä opiskelijavalinnan kokonaisuudessa sekä henkilötietojen käsittelyn lainmukaisuudesta. Henkilötietojen antaminen toimeksisaajalle (palveluntuottajalle) ei ole henkilötietojen luovuttamista, koska henkilötietoja käsitellään toimeksiantajan lukuun sopimuksen perusteella (HeTiL 8.1 § 7 kohta). Henkilötietojen antamiseen ei näin ollen tarvita hakijan suostumusta.
Korkeakoulu voi myös käyttää opiskelijavalinnoissaan standardoituja testejä kuten kielitestejä tai GRE- tai GMAT-testejä. Tällöin korkeakoulun ja testinjärjestäjän välillä ei ole sopimussuhdetta. Testin järjestäjä toimittaa testitulokset korkeakoululle hakijan pyynnön mukaisesti tai hakija toimittaa tulokset itse.
...
4.2 Henkilötietojen käsittelyn yleiset periaatteet
...
Henkilötietojen käsittelylle pitää ylipäätään olla laissa säädetty peruste (HeTiL 8 §). Korkeakouluissa hakijoiden, opiskelijoiden ja valmistuneiden tietojen käsittelyn peruste on henkilötietolain 8.1§ 5 kohdan mukainen hakijoiden, opiskelijoiden ja valmistuneiden asiakassuhteeseen verrattava asiallinen yhteys korkeakoulun toimintaan. Henkilötietoja tulee käsitellä huolellisesti (HeTiL 5 §, esim. tietoturvasta tulee huolehtia), niiden käyttö tulee etukäteen suunnitella (HetiL 6 §, esim. mitä, miksi, mistä ja minne), henkilötietojen tulee olla tarpeellisia ja virheettömiä (HeTiL 9 §, esim. sinänsä asiallisella perusteella rekisteröidystä henkilöstä ei kerätä rekisterin käyttötarkoituksen kannalta tarpeettomia tietoja) ja rekisteröityjä tulee informoida henkilötietojen käsittelystä ja oikeuksiensa käyttämisestä (HeTiL 24 §, esim. rekisterinpitäjän yhteystiedot tietojensa tarkastamista ja virheellisen rekisterimerkinnän korjausta varten). Henkilörekisteristä laadittavassa tietosuojaselosteesta tulisi ilmetä, miten nämä kaikki vaatimukset on otettu huomioon (HeTiL 10 §).
...
4.5 Rekisteröidyn oikeus tarkastaa tietonsa[7], vaatia virheellisen tiedon korjaamista sekä kieltää henkilötietojensa käsittely tiettyihin tarkoituksiin
...
HeTiL 26 §:n mukaan jokaisella on salassapitosäännösten estämättä oikeus tiedon etsimiseksi tarpeelliset seikat ilmoitettuaan saada tietää, mitä häntä koskevia tietoja henkilörekisteriin on talletettu tai, ettei rekisterissä ole häntä koskevia tietoja. Rekisterinpitäjän on samalla ilmoitettava rekisteröidylle rekisterin säännönmukaiset tietolähteet sekä, mihin rekisterin tietoja käytetään ja säännönmukaisesti luovutetaan. Hakijalla on siis oikeus saada tietää, mitä tietoja hänestä on opiskelijavalintarekisterissä, ja opiskelijalla, mitä tietoja hänestä on opintotietorekisterissä.
...