Sivuston tiedot on tuotettu v. 2017, joten käytännesääntöjen nykyistä paikkansapitävyyttä ei voida taata. 

Käytännesäännöissä ei ole huomioitu EU:n yleisen tietosuoja-asetuksen vaikutuksia.

7.1 Opiskelijoiden tietosuoja opintojen aikana

7.1.1 Opiskelijoiden osoite- ja muiden yhteystietojen käsittely

Opiskelijan sähköpostiosoite, postiosoite, puhelinnumero tai muu yhteystieto on henkilötieto. Rekisteröidyt opiskelijat ovat velvollisia pitämään omat yhteistietonsa ajan tasalla niin kauan kuin heidän opiskeluoikeutensa on aktiivinen. Henkilötietojen luovutukseen sisältyy yleensä nimenomaan yhteystietojen luovutus. Monet luovutuspyynnöt esim. erilaisten kyselyiden ja tutkimusten tekemiseksi koskevat sähköpostiosoitteita. Korkeakoulun omille opiskelijoilleen myöntämien sähköpostiosoitteiden luovutukseen ei ole tietojen laadun osalta rajoitteita, koska korkeakoulu voi vastata niiden virheettömyydestä ja vanhentumattomuudesta (onko tunnus voimassa). Korkeakoulun ei tule yleensä luovuttaa postiosoitteita, koska sen toimintaan ei kuulu yleinen osoitepalvelu eikä korkeakoulu voi vastata sille ilmoitettujen osoitteiden virheettömyydestä tai vanhentumattomuudesta. Sama koskee opiskelijan ilmoittamia muita kuin korkeakoulun omia sähköpostiosoitteita. Esimerkiksi jos joku haluaa selvittää tietyn henkilön osoitteen, hänet ohjataan kysymään sitä väestörekisteriviranomaisen ylläpitämästä osoitepalvelusta. Silloinkin kun on perusteltua antaa postiosoite, luovutuksensaajaa tulee pyytää selvittämään ajantasainen osoite väestötietojärjestelmästä.

Kun opiskelijan tietoihin on merkitty väestötietojärjestelmästä ja Väestörekisterikeskuksen varmennepalveluista annettuun lakiin perustuva turvakielto, opiskelijatietorekisteriin merkitään vain maistraatin osoite tai opiskelijan ilmoittama julkinen yhteysosoite. Jos opiskelijarekisterin tiedot eivät päivity suoraan väestörekisteristä, opiskelijat tulee ohjeistaa itse ilmoittamaan korkeakoululle turvakiellosta. Jos opiskelija haluaa antaa salaisen puhelinnumeronsa tai muita yhteystietoja korkeakoululle, mutta haluaa tiedot salassa pidettäviksi ja hänellä on perusteltu syy epäillä oman tai perheenjäsenensä terveyden tai turvallisuuden tulevan uhatuiksi, niin korkeakoulu käsittelee näitä yhteystietoja omassa toiminnassaan julkisuuslain 24.1 § 31 kohdan perusteella salassa pidettävinä. Tällainen julkisuuslakiin perustuva yhteystietojen salassapito ei kuitenkaan koske kuin kyseistä korkeakoulua. Myös sähköpostiosoite voi olla salassapidettävä yhteystieto. Huomattavaa on, että korkeakoulun opiskelijalleen myöntämää sähköpostiosoitetta (tyypillisesti etunimi.sukunimi@korkeakoulu.fi)  ei kuitenkaan yleensä ole mahdollisuutta tehokkaasti salata. Tietyillä viranomaisilla, esim. KELA:lla on lakiin perustuva oikeus saada opiskelijan yhteystiedot salassapitosäännösten estämättä.

7.1.2 Opiskelijoiden henkilötietojen käsittely internetissä ja muussa tietoverkossa

Julkisuuslain 6 luvun mukaan viranomaisen (esim. korkeakoulun) on edistettävä toimintansa avoimuutta ja tiedotettava toiminnastaan ja palveluistaan sekä yksilöiden ja yhteisöjen oikeuksista ja velvollisuuksista toimialaansa liittyvissä asioissa. Lisäksi yliopistoilla on yleisvelvoite toimia vuorovaikutuksessa muun yhteiskunnan kanssa ja ammattikorkeakouluilla yleisvelvoite tukea aluekehitystä. Nämä yleiset velvoitteet eivät kuitenkaan tarkoita vapaata oikeutta, saati velvollisuutta, laittaa yksittäisten opiskelijoiden henkilötietoja internetiin tai korkeakoulun sisäiseen verkkoon (intranet).

Korkeakouluilla on sekä ulkoisia, kenen hyvänsä nähtävissä olevia verkkosivuja (internet) että sisäisiä verkkosivuja (intranet). Henkilötietojen käsittelyn suhteen ulkoiset ja sisäiset verkkosivut rinnastuvat pääosin toisiinsa. Vaikka intranetiin pääsyä on rajoitettu, käyttäjäkunta on kuitenkin niin laaja ja moninainen, että intranetissa esitetyt henkilötiedot ovat lukuisten muidenkin henkilöiden (sivullisten) saatavilla kuin niiden, joita asia varsinaisesti koskee.  Henkilörekisteriin sisältyvien henkilötietojen laittaminen korkeakoulun verkkosivuille (sekä ulkoisille sivuille että intranetiin) on siis henkilötietojen sähköistä luovuttamista (JulkL 16.3 §), joka opiskelijoiden tietojen kyseessä ollessa edellyttää opiskelijan antamaa suostumusta. Korkeakoulun tilaisuuksissa opiskelijoista otetut kuvat (esim. valmistumistilaisuudessa otetut kuvat) liittyvät yleensä käyttötarkoituksensa puolesta korkeakoulun ja opiskelijan väliseen opetussuhteeseen. Tällaisten valokuvien laittamista internetiin tai intranetiin arvioidaan siis myös henkilötietojen sähköisenä luovuttamisena, jos yksittäinen opiskelija on kuvasta tunnistettavissa. Käytännössä tämä tarkoittaa sitä, että jos yksittäinen opiskelija on tunnistettavissa kuvasta, kuvan voi laittaa korkeakoulun internetiin tai intranetiin vain opiskelijan suostumuksella, paitsi milloin on kyse varsinaisesta verkkojulkaisusta (ks. jäljempänä). Linjaus perustuu paitsi lainsäädäntöön myös tietosuojavaltuutetun kannanottoon TSV 1567/41/2003.

Internetistä ja laajasta intranetistä eroavat erilaiset suljetut verkko-oppimisalustat, kurssialueet ja muut vain tiettyjen henkilöiden nähtäväksi rajatut sivut kuten esim. sähköiset oppimisalustat tai intranetin työryhmäalueet. Esimerkiksi opintojakson oppimisalustalle voi laittaa luettelon opintojakson opiskelijoista, jos se on tarpeen opintojakson suorittamisen kannalta tai valintatoimikunnan työryhmäalueelle voi laittaa tietoja erillisvalinnassa hakeneista, jos se on tarpeen valintatoimikunnan tehtävän suorittamiseksi.  Arkaluonteisia tai salassa pidettäviä henkilötietoja ei tietoturvasyistä pidä laittaa tällaisellekaan sivustolle, vaikka työryhmän jäsenillä olisi lain mukainen oikeus saada sellaisia tietoja, ellei korkeakoulun tietoturvasta vastaava ole todennut alustaa riittävän tietoturvalliseksi. Esimerkiksi valintatoimikunnan työryhmäalueelle ei ilman riittäviä tietoturvatakeita siis pidä laittaa tietoja hakijoista, jotka ovat pyytäneet erityisjärjestelyjä vamman tai sairauden takia, vaikka erityisjärjestelypyyntöjen käsittely kuuluukin valintatoimikunnan tehtäviin.

Korkeakoulun toimielimen (esimerkiksi laitosneuvosto, dekaani) pöytäkirjat eivät yleensä muodosta henkilörekisteriä. Pöytäkirjojen laittaminen internetiin tai intranetiin tiedotustarkoituksessa sellaisenaan on siten mahdollista. Pöytäkirjoihin voi kuitenkin sisältyä esimerkiksi luettelo henkilörekisteriin sisältyvistä tiedoista (esim. luettelo koulutusohjelmaan hyväksytyistä hakijoista tai luettelo opiskelijavaihtopaikan saaneista), ja tällaisen luettelon laittaminen tietoverkkoon voidaan katsoa henkilötietojen sähköiseksi luovuttamiseksi. Suositeltava menettely on, että kun päätös sisältää tällaisen luettelon, luettelo on liitteenä ja pöytäkirja laitetaan verkkoon ilman liitteitä. Asiasta kiinnostuneet voivat saada tiedon liitteestä pyynnöstä.

Yksittäistä opiskelijaa koskevista päätöksistä tiedottaminen verkossa on harvoin tarpeen. Jos kuitenkin tietyt pöytäkirjat tai tietty päätösluettelo johdonmukaisesti julkaistaan verkossa, tiettyjä osia tai päätöksiä ei tarvitse jättää pois siksi, että ne koskevat yksittäisiä opiskelijoita. Suositeltava menettely on tässäkin julkaista tarvittaessa päätös verkossa niin, että yksittäistä opiskelijaa koskevat henkilötiedot ovat liitteessä, jota ei laiteta verkkoon. Korkeakoulussa on suositeltavaa noudattaa yhtenäistä linjaa päätösten julkaisussa. On myös muistettava, että avoimeen verkkoon laitetun asiakirjan leviämistä verkossa ei voi kokonaan estää senkään jälkeen, kun asiakirja otetaan korkeakoulun sivuilta pois.

Kun kyse on opinnäytetöistä, tietosuojavaltuutetun mukaan verkossa voidaan julkistaa opiskelijan nimi ja opinnäytetyön nimi, mutta ei arvosanaa.[1] Tämä kanta perustuu opinnäytetöiden poikkeuksellisen suureen merkitykseen korkeakoulujen toiminnassa ja siitä nousevaan tiedotusintressiin.

Väittelijää, väitöstilaisuutta ja hyväksyttyä väitöskirjaa koskevat tiedot (päätökset, väitöstiedotteet) on kuitenkin perusteltua julkaista verkossa, koska väitöskirjat on lain mukaan julkisesti tarkastettava ja tieteen harjoittamiseen kuuluu julkisuus. Voidaan katsoa, että kenellä hyvänsä on oikeus saada tieto siitä, millaista tutkimusta korkeakoulussa harjoitetaan. Väittely on lain mukaan julkinen prosessi ja hyväksyttyjen väitöskirjojen tiedot ovat saatavilla julkisista sähköisistä lähteistä. Näin ollen esim. vuoden aikana tutkijakoulusta/tohtoriohjelmasta väitelleiden nimet voi julkaista koulun/ohjelman verkkosivuilla myös ilman suostumusta. Työsuhteeseen otettujen tohtori- ja muiden opiskelijoiden nimet, yhteystiedot työpaikalle ja tiedot työtehtävistä voi julkaista työnantajan (korkeakoulun) ulkoisilla sivuilla ilman suostumusta, jos tietojen julkaiseminen on asiallisesti perusteltua ja tarpeen työnantajan toiminnan kannalta.

Henkilötietolain kannalta on joka tapauksessa selvää, ettei internetiin laitettuja, henkilötietoja sisältäviä pöytäkirjoja pidä pitää verkossa esillä loputtomiin. Korkeakoulun on hyvä määritellä vuosimäärä, jonka pöytäkirjat ja päätökset ovat esillä verkossa. Esilläoloaikaa ei pidä määritellä pidemmäksi kuin mitä tiedottamistarve edellyttää.

Opiskelupaikan saaneet, valmistuneet, vaihtopaikan saaneet, apurahan saaneet ja muut vastaavat tiedot julkaistaan verkossa (koskee sekä ulkoisia sivuja että intranetiä) suostumuksella. Suostumuksen voi pyytää jo hakemuksen yhteydessä.

Kuulustelujen, tenttien ja muiden opintosuoritusten arvostelujen tulokset voi julkistaa intranetissä opiskelijanumerolla. Tällöin on kuitenkin huolehdittava siitä, että korkeakoulussa ei ole muutoin saatettu yleisesti saataville listoja tms. joista opiskelijanumero ja nimi ovat yhdistettävissä.

Korkeakouluilla on myös omia verkkojulkaisujaan, jotka saattavat ilmestyä sekä painotuotteina että verkossa tai vain verkossa. Jos tällainen julkaisu täyttää laissa sananvapauden käyttämisestä joukkoviestinnässä (460/2003) verkkojulkaisulle esitetyn määritelmän (julkaisijan tuottamasta tai käsittelemästä aineistosta aikakautisen julkaisun tapaan yhtenäiseksi laadittu verkkoviestien kokonaisuus, jota on tarkoitus julkaista säännöllisesti ja jolla on vastaava toimittaja), henkilötietoja julkaisuun laitettaessa on kyse henkilötietojen käsittelystä toimituksellisiin tarkoituksiin. Tällöin henkilötietolakia sovelletaan vain hyvin rajoitetusti (HeTiL 2 §), joten tällaiseen julkaisuun saa ilman opiskelijan lupaa laittaa esimerkiksi luettelon valmistuneista tai valokuvia, joissa opiskelijat ovat tunnistettavissa.

7.1.3 Henkilötietojen käsittely ilman rekisteröidyn suostumusta

Opintotietorekisterin henkilötietoja voidaan käsitellä korkeakoulussa opintotietorekisterin käyttötarkoitusta varten ilman erillistä suostumusta.  Tällaista käsittelyä on mm. opintosuoritustietojen lisääminen rekisteriin, opiskelijan hakemuksen käsittely, opiskelijan yhteystietojen käyttäminen yhteydenottoon opiskelijan omassa asiassa tai opiskelijan opiskeluoikeuden tarkastaminen kurssille ilmoittautumista varten.

Jäljempänä on käsitelty tarkemmin ne tilanteet, joissa opintotietorekisterin henkilötietoja voidaan käsitellä muuhunkin kuin rekisterin käyttötarkoitukseen ilman rekisteröidyn suostumusta: tutkimus, tilasto, henkilömatrikkeli, sukututkimus, viranomaisen suunnittelu- ja selvitystehtävät. Lisäksi on esitetty erityislakeihin perustuvat tavallisimmat säännönmukaiset luovutukset.

Suurin osa opintotietorekisterin henkilötietojen käsittelyn edellytyksiä koskevista kysymyksistä koskee julkisuuslain perusteella julkiseksi katsottavia, mutta henkilörekisteriin sisältyvien henkilötietojen luovuttamista kopiona, tulosteena tai sähköisessä muodossa. Julkisuuslain 16.3 §:n perusteella henkilötietoja saa luovuttaa viranomaisen henkilörekisteristä kopiona, tulosteena tai sähköisesti vain, jos luovutuksensaajalla on oikeus käsitellä tietoja henkilötietolain perusteella.

7.1.3.1 Henkilötietolain soveltamisalan ulkopuolelle jäävä henkilötietojen käsittely

Henkilötietolain soveltamisalan ulkopuolelle ja siten myös suostumusvaatimuksen ulkopuolelle jää henkilötietojen käsittely yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiin ja henkilötietolakia sovelletaan varsin rajoitetusti henkilötietojen käsittelyyn toimituksellisia sekä taiteellisen ja kirjallisen ilmaisun tarkoituksia varten (HeTiL 2 § 3 ja 5 momentit). Tämä tarkoittaa käytännössä sitä, että alla mainittuihin tarkoituksiin saa aina luovuttaa korkeakoulun rekistereistä julkisia henkilötietoja kopiona tai tulosteena tai sähköisessä muodossa.

Henkilötietojen käsittely yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiin

Henkilötietojen käsittelyä yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisin yksityisiin tarkoituksiin on esim. se, että opiskelija omassa asiassaan käsittelee asian kannalta relevantteja henkilötietoja valitusta, oikaisuvaatimusta tai muuta oikeusvaadetta varten. Myöskään arkaluonteisten tietojen käsittelyä (sis. luovutuksen) koskeva kielto ei rajoita henkilötietojen luovutusta tällaiseen tarkoitukseen (HeTiL 12.1§ 4 kohta), jos pyytäjällä on katsottu esim. asianosaisena olevan julkisuuslain perusteella oikeus saada tieto sellaisesta salassa pidettävästä tiedosta, joka on samalla henkilötietolain mukainen arkaluonteinen tieto (HeTiL 11 §). Arkaluonteisten tietojen osalta on kuitenkin muistettava korkeakoulun tietoturvavaatimukset, jotka yleensä rajoittavat mm. tietojen luovutusta sähköpostilla.

Henkilötietojen käsittelyä henkilökohtaiseen tai siihen verrattavaan tarkoitukseen on mm. se, kun opiskelija tai valmistunut käsittelee vuosikurssinsa opiskelijoiden yhteystietoja tapaamisen järjestämistä varten.  Huomattavaa tällöin kuitenkin on, että salassa pidettäviä yhteystietoja ei voi luovuttaa ilman suostumusta tähänkään tarkoitukseen (JulkL 24.1 § 31 kohta sekä väestötietojärjestelmästä tai väestörekisterikeskuksen varmennepalveluista annetun lain 36-37 § mukainen ”turvakielto”). Käsittelyä yksityiseen tarkoitukseen on myös, kun läheiselle annetaan kopio vainajan opintosuoritusotteesta muistokirjoituksen laatimista varten tai elossa olevan henkilön opintosuoritusotteesta esimerkiksi merkkipäiväpuheen laatimista varten.

Henkilötietojen käsittely pelkän uteliaisuuden tyydyttämiseksi ei ole korkeakoulujen opintotietorekisteriin sisältyvien tietojen käsittelyä henkilökohtaisiin tai niihin verrattavaa tavanomaista yksityistä tarkoituksiin, jos pyydettävillä tiedoilla ei ole asiallista yhteyttä pyytäjän elämänpiiriin. Muu tulkinta johtaisi henkilötietojen käsittelyyn, joka on henkilötietolain tarkoituksen (HeTiL 1 § yksityisyyden suoja, hyvän tietojenkäsittelytavan edistäminen) vastaista. Yksityisyyden suojan vaatimuksesta voidaan katsoa myös johtuvan se tulkinta, ettei pelkkä vanhempien halu saada tietoa täysi-ikäisen, elossa olevan lapsensa opinnoista vastoin opiskelijan tahtoa ole henkilötietojen käsittelyä henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiin. Vanhempi voi saada lapsensa opinnoista tietoa suullisesti tai saamalla asiakirjat kuten opintosuoritusotteen nähtäväkseen, aivan kuin kuka muu hyvänsä, eikä tietojen antamiseen tällä tavoin tarvita suostumusta. Tietojen saamiseen sähköisesti tai paperimuodossa vaaditaan kuitenkin opiskelijan suostumus.

Henkilötietojen käsittely toimituksellisia sekä taiteellisen ja kirjallisen ilmaisun tarkoituksia varten

Tiedotusvälineet pyytävät välillä esim. sähköisessä muodossa opintotietorekisterin henkilötietoja esim. jostain julkisuuden henkilöstä tai haastatellakseen tietyn alan opiskelijoita. Toimittajille voidaan luovuttaa henkilötietoja toimituksellista tarkoitusta varten. Toimittajan henkilöllisyydestä on voitava varmistua. Henkilökohtaisesti paikalla asioivalta toimittajalla tulisi olla esittää lehdistökortti. Riittävää tunnistamiseen on yleensä se, että toimittaja lähettää tietopyyntönsä edustamansa, tunnetun tiedotusvälineen sähköpostiosoitteesta esitellen itsensä. Myös ylioppilaskunnan ja muiden opiskelijajärjestöjen julkaisujen edustajat voivat pyytää ja saada henkilötietoja toimitukselliseen tarkoitukseen. Freelancer-toimittajilta selvitykseksi käy tieto suunnitellusta aiheesta tai kirjoituksen tilaajasta.

Edellä mainituissakin tilanteissa korkeakoulun tulee ottaa huomioon julkisuuslaki ja henkilötietolaki käsitellessään henkilötietoja luovutusta varten. Henkilötietolain poikkeus ei oikeuta käsittelemään salassa pidettäviä tai arkaluonteisia henkilötietoja toimituksellisiin tai vastaaviin tarkoituksiin ilman henkilön suostumusta.  Luovuttaa voi vain tarpeellisia tietoja (HeTiL 9 §) eikä henkilötunnusta pidä merkitä tarpeettomasti henkilörekisterin perusteella tulostettuihin tai laadittuihin asiakirjoihin kuten opintosuoritusotteeseen (HeTiL 13 §). Henkilötunnuksen merkitseminen voi olla tarpeen esimerkiksi, jotta tiedotusväline voi varmistua, ovatko kyseessä tietyn julkisuuden henkilön eivätkä vaikkapa hänen kaimansa opintotiedot. Rekisterinpitäjän huolellisuusvaatimuksesta (HeTiL 5 §) seuraa, että kysyjän henkilöllisyydestä pitää voida varmistua eikä esim. suuria määriä henkilötietoja voida luovuttaa suojaamattomasti sähköpostissa. Vanhentuneita, puutteellisia tai virheellisiä henkilötietoja ei tulisi käsitellä lainkaan eikä siten myöskään luovuttaa (HeTiL 9 §). Poikkeuksena tähän valmistuneiden henkilöiden mahdollisesti vanhentuneiden yhteystietojen käsittelylle voi olla perusteet, jos luovutuksensaaja yrittää niiden avulla selvittää VRK:sta henkilöiden nykyisiä osoitteita.

Henkilötietojen käsittely taiteellisen ja kirjallisen ilmaisun tarkoituksiin voi olla esimerkiksi henkilötietojen keräämistä tausta-aineistona elokuvan tai näytelmän käsikirjoituksen tai kirjan kirjoittamista varten. Henkilötietoja voi siis luovuttaa tulosteena, kopiona tai sähköisesti näihin tarkoituksiin, eikä henkilötietojen käsittely ja julkaiseminen tällaisissa teoksissa edellytä suostumusta.

Henkilötietojen käsittelyä korkeakoulun omissa vuosikertomuksissa ja muissa vastaavissa teoksissa voidaan pitää asiallisena ja yhteensopivana opintotietorekisterin käyttötarkoituksen kanssa. Opiskelijan suostumusta tietojen käsittelyyn ei tarvita, eikä käsittelyä voi kieltää. Korkeakoulun juhlajulkaisut, historiikit ja muut vastaavat teokset ovat henkilötietojen käsittelyä toimituksellisia tai kirjallisen ilmaisun tarkoituksia varten, joten suostumusta ei tarvita tällaiseenkaan käsittelyyn eikä käsittelyä voi kieltää. Jos teokseen liittyy matrikkeliosuus, kyseiseen osuuteen sovelletaan HeTiL 17 §:n henkilömatrikkelisäännöstä. Henkilöstä saa siis sisällyttää matrikkeliin lainkohdassa mainitut tiedot, ellei hän ole kieltänyt tietojensa käyttämistä henkilömatrikkeliin.

Mikäli kyse on varsinaisesta historiallisesta tai tieteellisestä tutkimuksesta, tulevat sovellettaviksi henkilötietolain tutkimusta koskevat säännökset, joita käsitellään erikseen.

7.1.3.2 Erityislakeihin perustuvat säännönmukaiset luovutukset opintotietorekisteristä

Julkisuuslain ja henkilötietolain lisäksi opiskelijoita ja opintoja koskevien tietojen käsittelyä säätelevät muutamat erityislait. Erityislakien nojalla korkeakoulut luovuttavat opiskelijoiden henkilötietoja säännönmukaisesti ainakin seuraaville tahoille ilman opiskelijan suostumusta:

-Tilastokeskukselle (Tilastolaki 23.4.2004/280) teknisenä tallenteena koulutusjärjestelmän seurantaa varten: tilastojen laatimisen kannalta välttämättömät oppilaskohtaiset henkilötiedot oppilaista, heidän suorittamistaan tutkinnoista ja saamastaan opetuksesta (TilastoL 15.5 §; tiedot yleensä julkisia ja ei-arkaluonteisia, mutta TilastoL 15.7 § mainituin edellytyksin myös arkaluonteiset henkilötiedot)

-Kansaneläkelaitokselle (Opintotukilaki 21.1.1994/65) teknisen käyttöyhteyden avulla  opintotuen täytäntöönpanoa varten: salassapitosäännösten ja muiden tiedon saantia koskevien rajoitusten estämättä korkeakouluilta opiskelijavalinnoissa hyväksytyksi tulleiden tunnistamista ja yksilöintiä koskevat tiedot sekä oppilaitosta ja opintolinjaa tai koulutusohjelmaa koskevat tiedot sekä oppilaitokselta lukukauden aikana läsnäoleviksi ilmoittautuneiden opiskelijoiden tunnistamista ja yksilöintiä koskevat tiedot sekä tiedot opintojen päätoimisuudesta ja edistymisestä (OpintotukiL 4 1 b § 1 k, 4 k)

-Työvoimaviranomaiselle, Kansaneläkelaitokselle tai työttömyyskassalle (Työttömyysturvalaki 30.12.2002/1290)työmarkkinatuen sekä työttömyyspäivärahan saamisedellytysten käsittelyä varten: oppilaitokselta salassapitosäännösten ja muiden tiedon saantia koskevien rajoitusten estämättä käsiteltävänä olevan asian ratkaisemista tai muuten työttömyysturvalain tai Suomea sitovassa sosiaaliturvasopimuksessa tai sosiaaliturvaa koskevassa muussa kansainvälisessä säädöksessä säädettyjen tehtävien toimeenpanemista varten välttämättömät tiedot (TyöttömyysturvaL 13:1 3 k)

-Maahanmuuttovirastolle ulkomaalaisrekisterin rekisterinpitäjänä (Laki ulkomaalaisrekisteristä 19.12.1997/1270) salassapitosäännösten estämättä laissa säädettyjen tehtävien suorittamiseksi välttämättömät tiedot opiskelupaikan haltijoista ja näiden opintosuorituksista (L ulkomaalaisrekisteristä 8 § 13 k)

-yliopistoista Ylioppilaiden terveydenhoitosäätiölle (YTHS) vuosittain ylioppilaskunnan jäsenmaksun maksaneiden alempaa ja ylempää korkeakoulututkintoa opiskelevien perustiedot, jotta YTHS voi hoitaa sille kuuluvia tehtäviä. YTHSltä saadun tiedon mukaan YTHS vastaa yliopisto-opiskelijoiden opiskelijaterveydenhuollon järjestämisestä kaikilla yliopistopaikkakunnilla, koska ao. kunnat ovat siirtäneet terveydenhuoltolain (30.12.2010/1326) 17.1 § perusteella järjestämisvastuun YTHSlle.  YTHSllä on myös ennaltaehkäiseviä tehtäviä.

-ammattikorkeakouluista luovutetaan asuinkunnan terveyskeskuksille (läsnä olevien) opiskelijoiden perustiedot kansanterveyslaissa ja edellä mainituissa terveydenhuoltolaissa säädettyjen tehtävien hoitamiseksi. Tietosuojavaltuutetun ammatillista aikuiskasvatuskeskusta koskevan kannanoton 31.5.2010 perusteella henkilötunnuksen luovuttamiselle ei kuitenkaan ole perusteita.

Lisäksi kaikki korkeakoulut tallentavat valtakunnalliseen tietovarantoon laissa opiskelijavalintarekisteristä, korkeakoulujen valtakunnallisesta tietovarannosta ja ylioppilastutkintorekisteristä säädettyjä ja lain perusteella ylläpitäjän (opetus- ja kulttuuriministeriö) kanssa tietovarantoon talletettavaksi sovittuja henkilötietoja. Tietovarannosta luovutetaan opiskelijavalintarekisteriin sellaisia tietovarantoon lakisääteisesti tallennettuja minimitietoja (kts. kappale 5.2.2), joita voidaan opiskelijavalintarekisteriin tallentaa (esim. hakijan tutkintotiedot). Korkeakoulut päättävät kukin rekisterinpitäjänä omalta osaltaan muusta tietojen luovuttamisesta tietovarannon kautta ja vastaavat luovutustensa lainmukaisuudesta.

7.1.3.3 Ylioppilaskunnan ja opiskelijakunnan oikeus käsitellä opiskelijoiden henkilötietoja

Ylioppilaskunnista säädetään yliopistolain 46 §:ssä. Sen mukaan ”Ylioppilaskunnan tarkoituksena on olla jäsentensä yhdyssiteenä ja edistää heidän yhteiskunnallisia, sosiaalisia ja henkisiä sekä opiskeluun ja opiskelijan asemaan yhteiskunnassa liittyviä pyrkimyksiä”. Ylioppilaskunnalla on HeTiL 8 §:n mukainen asiallinen yhteys jäseniinsä. Ylioppilaskunta ylläpitää jäsenrekisteriä jäsenistään, mutta se voi antaa rekisterinpidon toimeksiantosopimuksen perusteella esimerkiksi yliopiston tehtäväksi (HeTiL 8.1 § 7 kohta). Lisäksi sillä on lakisääteisiä tehtäviä kuten terveydenhuollon järjestämiseen osallistuminen tarvittaessa (terveydenhuoltolaki ja sairausvakuutuslaki 21.12.2004/1224). Ylioppilaskuntaan sovelletaan julkisuuslakia. Jäsenyys ei ole salassa pidettävä tieto.

Yliopisto luovuttaa ylioppilaskunnalle tiedot perustutkintoa opiskelemaan hyväksytyistä opiskelijoista yliopistolain 46.3 §:n perusteella. Alempaa ja ylempää korkeakoulututkintoa suorittamaan otetut opiskelijat (pois lukien tilauskoulutus) kuuluvat ylioppilaskuntaan suoraan lain nojalla. Ylioppilaskunnalla on oikeus määrätä ylioppilaskunnan jäsenten suoritettaviksi jäsenmaksu. Jäsenmaksun vahvistaa yliopiston rehtori, ja sen maksamista valvoo yliopisto.

Ylioppilaskunta voi tarjota tehtäväänsä liittyen jäsenilleen palveluita, joiden käyttämisen edellytyksenä on jäsenyyden lisäksi esim. opinnoissa eteneminen (mm. opiskelija-asuntoja). Henkilötietojen luovutukselle yliopistolta ylioppilaskunnalle tulee silloin olla muukin peruste kuin ylioppilaskunnan jäsenyys (esim. rekisteröidyn suostumus).

Ammattikorkeakoulujen opiskelijakunnista säädetään ammattikorkeakoululain 41 §:ssä. Ammattikorkeakoulun opiskelijakuntaan voivat kuulua ammattikorkeakoulun tutkintoon johtavassa koulutuksessa olevat opiskelijat. Opiskelijakunta voi hyväksyä jäsenikseen myös muita ammattikorkeakoulun opiskelijoita. Erona ylioppilaskuntaan on, että kukaan opiskelija ei ole automaattisesti jäsen, vaan jäsenyyttä on haettava erikseen. Koska jäsenyys on opiskelijalle vapaaehtoinen, opiskelijakunnalla ei toisin kuin ylioppilaskunnalla ole oikeutta saada kaikkien ammattikorkeakoulun opiskelijoiden yhteystietoja. Opiskelijakunnasta, sen asemasta ja tehtävistä on kuitenkin tärkeä tiedottaa opiskelijoille. Suositeltava menettelytapa on, että ammattikorkeakoulu tiedottaa itse opiskelijoille opiskelijakunnasta ja sen toiminnasta ja käyttää tiedottamisessa apuna opintotietorekisteriä.

Ammattikorkeakoulun opiskelijakunta tarvitsee jäseneksi hakevasta tiedon hänen opiskelustaan ammattikorkeakoulussa varmistuakseen siitä, että hakija voi kuulua opiskelijakuntaan. Lisäksi opiskelijakunta tarvitsee jäsentensä ajantasaiset yhteystiedot. Koska jäsenyys opiskelijakunnassa on vapaaehtoista, ja jäsenyys tai hakemus jäsenyydestä selviää ammattikorkeakoululle opiskelijakunnan tiedustellessa tietoja, suositeltavin on seuraava menettely: opiskelijakunnan jäsenhakemukseen liitetään kohta, jossa pyydetään jäseneksi hakevalta suostumus siihen, että tieto hänen jäsenyydestään voidaan luovuttaa ammattikorkeakoululle ja tieto hänen opiskelijastatuksestaan sekä yhteystiedot voidaan päivittää ammattikorkeakoulun opintotietorekisteristä.[1]

Ylioppilas/opiskelijakuntien lisäksi erilaiset muutkin opiskelijajärjestöt sekä ammattiliitot pyytävät jäsenyysstatuksen tarkastamiseksi valmistuneiden tietoja. Suositeltavin menettely on tällöinkin, että järjestön tai liiton jäsenhakemukseen liitetään kohta, jossa pyydetään jäseneksi hakevan suostumusta siihen, että tieto hänen jäsenyydestään voidaan luovuttaa korkeakoululle ja tieto hänen statuksestaan voidaan päivittää korkeakoulun opintotietorekisteristä. Suostumuksen pyytäminen on järjestön tai liiton vastuulla.  Opiskelijoiden ja valmistuneiden tietojen luovuttaminen esimerkiksi ammattiliitolle jäsenyyden markkinointia varten edellyttää aina suostumusta (JulkL 16.3 § suoramarkkinointi)

7.1.3.4 Elintärkeä etu

Opiskelijan henkilötietoja voi käsitellä ilman suostumusta yksittäistapauksessa opiskelijan elintärkeän edun suojaamiseksi (HeTiL 8.1 § 3 kohta). Tällaisia tilanteita ovat esimerkiksi kriisi- tai vaaratilanteesta tiedottaminen. Myös opiskelijan arkaluonteisia tietoja saa käsitellä, jos se on tarpeen hänen tai jonkun muun henkilön elintärkeän edun suojaamiseksi eikä opiskelijalta voida saada suostumusta (HeTiL 12.1 § 3 kohta). Käytännössä tämä tulee sovellettavaksi lähinnä terveydentilatietojen käsittelyyn ensiaputilanteessa. Siltä osin kun kyseessä ovat terveydenhuollon toimintayksikön tai itsenäisesti ammattiaan harjoittavan terveydenhuollon ammattihenkilön ylläpitämät potilasasiakirjat, rekisterinpitäjä arvioi tietojen luovutusta lain potilaan asemasta ja oikeuksista 13 §:n mukaisesti. Lainkohdan mukaan potilaan tutkimuksen ja hoidon järjestämiseksi tai toteuttamiseksi välttämättömiä tietoja saadaan antaa ilman potilaan suostumusta toiselle terveydenhuollon toimintayksikölle tai terveydenhuollon ammattihenkilölle, jos potilaalla ei ole mielenterveydenhäiriön tai muun vastaavan syyn vuoksi edellytyksiä arvioida annettavan suostumuksen merkitystä tai jos suostumusta ei voida saada potilaan tajuttomuuden tai muun siihen verrattavan syyn vuoksi.

7.1.4 Henkilötietojen käsittely rekisteröidyn suostumuksen perusteella

Henkilötietoja saa käsitellä rekisteröidyn yksiselitteisesti antamalla suostumuksella (HeTiL 8.1 § 1 kohta ja 3 § 7 kohta). Suostumusta edellytetään, kun luovutetaan henkilötietoja korkeakoulun ulkopuolelle tai käytetään niitä korkeakoulussa muuhun kuin opintotietorekisterin käyttötarkoitukseen yliopiston sisällä, jos laissa ei ole säädetty muuta käsittelyn perustetta kyseiseen tarkoitukseen. Opintotietorekisterin yhteydessä opiskelijoille on tarkoituksenmukaista antaa mahdollisuus antaa suostumuksensa henkilötietojen käsittelyyn tiettyjä, toistuvia tarkoituksia varten. Suostumusten merkityksestä on syytä informoida opiskelijoita.

Opintonsa päättäneet opiskelijat eivät enää aktiivisesti päivitä suostumustietojaan. Näin ollen valmistuneiden tai muusta syystä poissa kirjoilta olevien opiskelijoiden (opiskeluoikeus on päättynyt lopullisesti tai toistaiseksi ilmoittautumisen laiminlyönnin, tutkinnon suorittamisajan päättymisen, opiskelijan erottamisen, opiskelupaikan peruuttamisen tai opiskeluoikeudesta luopumisen johdosta) antamien suostumusten ei voida katsoa olevan voimassa. Sen sijaan henkilötietojen luovuttamista nimettyihin tarkoituksiin koskevien kieltojen on katsottava olevan voimassa myös opiskelijan valmistuttua tai muutoin päätettyä opintonsa.

Alla on esimerkkejä pyydettävistä suostumuksista selitteineen.

7.1.4.1 Mielipide- ja markkinatutkimus sekä suoramarkkinointi

Opiskelijan henkilötietoja voi luovuttaa opintorekisteristä julkisuuslain 16.3 §:n perusteella suoramarkkinointia ja mielipide- tai markkinatutkimusta varten vain, jos niin erikseen säädetään tai jos rekisteröity on antanut siihen suostumuksensa. Luovuttaminen ko. tarkoituksiin edellyttää siis opiskelijan suostumusta. Henkilötietojen käsittely ei saa olla yhteensopimatonta rekisterin käyttötarkoituksen kanssa, vaikka luovutukseen olisikin opiskelijan suostumus. Kun otetaan huomioon opiskelijan ja korkeakoulun välisen suhteen laatu, henkilötietoja ei tule luovuttaa puhtaasti kaupallisiin tarkoituksiin eikä korkeakoulujen lakisääteisen opetustehtävän hoitamiseen sovi opiskelijoita koskevien rekistereiden aktiivinen, kaupallinen hyödyntäminen. Jos opiskelijalta pyydetään suostumus henkilötietojen luovutukseen mielipide- ja markkinatutkimukseen tai markkinointiin, niin opintotietorekisterin käyttötarkoituksen kanssa yhteensopivana voidaan pitää ainakin henkilötietojen luovuttamista korkeakoulua lähellä olevien opiskelijajärjestöjen mielipidetiedusteluihin ja harjoitustöiden tai opinnäytteiden tekijöiden kyselytutkimuksiin.

Tähän tarkoitukseen annetun suostumuksen perusteella ei voida käsitellä salassa pidettäviä tai arkaluonteisia tietoja. Luovutettavat tiedot voivat olla yhteystietoja, joita ei ole merkitty salassa pidettäviksi. Henkilötietojen pyytäjä voi profiloida kohderyhmän riittävän yleisellä tasolla siten, että yksittäisesti henkilöstä ei luovuteta tosiasiassa liikaa tietoja (esim. kandidaattiopiskelijat, maisteriopiskelijat, tohtoriopiskelijat, tiedekunta, koulutusohjelma, pääaine). Luovutettujen yhteystietojen lukumäärässä on lisäksi otettava huomioon korkeakoulun tietoturvasäännöt mm. massasähköpostituksen suhteen. Yleensä pyyntöä saada esimerkiksi korkeakoulun kaikkien suostumuksensa antaneiden opiskelijoiden sähköpostiosoitteet ei siten voida toteuttaa.

Rekisteröityjen yksityisyyden suojan kannalta suositeltava menettely on, että korkeakoulussa on mahdollisuus välittää itse asialliseksi katsomiaan pyyntöjä erilaisiin kyselyihin osallistumiseksi tai markkinointia markkinoijan profiiliin sopiville opiskelijoille. Opiskelijat voivat siten itse päättää, haluavatko antaa omia henkilötietojaan kyselijälle. Kyselyiden välittäminenkin on kuitenkin henkilötietojen käsittelyä, joten välittäminen suostumuksen perusteella on mahdollista vain luovutussuostumuksensa antaneille opiskelijoille.

Vaikka opiskelija ei antaisi suostumustaan henkilötietojen luovuttamiseen mielipide- ja markkinointitutkimukseen, niin se ei rajoita henkilötietojen luovutusta tieteelliseen tutkimukseen tai tietojen käsittelyä korkeakoulun omiin tilastointi- tai selvitystehtäviin. Tieteellisessä tutkimuksessakin on muistettava kuitenkin suostumuksen ensisijaisuus. Jos esim. tieteellisenä pidettävää opinnäytetutkimusta varten tulee paljon pyyntöjä luovuttaa yhteystietoja kyselyn / haastattelupyynnön tekemiseksi, korkeakoulun kannattaa harkita erillisen, yleisen suostumuksen pyytämistä yhteystietojen luovuttamiseen tällaista tarkoitusta varten. Rekisteröityjen yksityisyyden suojan kannalta suositeltava menettely tässäkin on, että korkeakoulussa on yhteystietojen luovuttamisen sijaan mahdollisuus tarvittaessa välittää opiskelijoille pyyntöjä osallistua tieteellisen tutkimusta varten toteutettaviin kyselyihin.

7.1.4.2 Henkilömatrikkelit[1]

Korkeakoulut käsittelevät itse ja luovuttavat perustietoja erilaisiin henkilömatrikkeleihin (esim. promootiomatrikkeli, opiskelijajärjestöjen matrikkelit, ammattiliittojen matrikkelit). Henkilömatrikkeleista säädetään HeTiL 17 §:ssä. Opiskelija voi kieltää henkilötietojen käsittelyn (HeTiL 30 §) matrikkeleita varten. Tämä tarkoittaa, että tietoja ei saa käsitellä matrikkelijulkaisun taustarekisteriäkään varten. Henkilötietojen luovuttamisesta henkilömatrikkeleita varten ja kielto-oikeuden käyttömahdollisuudesta tulee informoida etukäteen opiskelijoita (HeTiL 24 §). Tyypillisesti henkilötietoja pyydetään matrikkeleihin vasta valmistuneista opiskelijoista, jotka eivät enää aktiivisesti voi päivittää suostumustietojaan. Valmistunut henkilö voi kuitenkin ilmoittaa vapaamuotoisesti korkeakoululle kiellosta ja korkeakoulu voi merkitä kiellon opintotietorekisteriin. Ellei kieltoa ole, tiedot voidaan luovuttaa.

Opintotietorekisteristä asiallisesti perusteltua on luovuttaa pyynnön sisällöstä riippuen matrikkelia varten henkilön perustiedot (tyypillisesti: nimi, syntymäaika ja –paikka, yhteystiedot, valmistumisvuosi, kuolleista henkilöistä kuolinaika ja -paikka) ja matrikkelin yhdistävän tekijän kannalta olennaiset tiedot (esim. koulutusohjelma, vuosikurssi), mutta salassa pidettävien yhteystietojen luovuttaminen edellyttää suostumuksen pyytämistä rekisteröidyltä.[2] Muut tiedot matrikkelin rekisterinpitäjä kerää henkilöiltä itseltään.

Valmistuneiden tai opintonsa päättäneiden osalta osoitetietoa ei pääsääntöisesti luovuteta, koska sen virheettömyydestä ei ole varmuutta.

7.1.4.3 Sukututkimus[3]

Henkilötietojen käsittelystä sukututkimukseen säädetään HeTiL 18 §:ssä. Opiskelija voi kieltää henkilötietojen käsittelyn (HeTiL 30 §) sukututkimusta varten. Valmistunut henkilö voi ilmoittaa vapaamuotoisesti korkeakoululle kiellosta ja korkeakoulu voi merkitä kiellon opintotietorekisteriin. Ellei kieltoa ole, tiedot voidaan luovuttaa. Luovutusmahdollisuudesta ja kielto-oikeudesta on informoitava etukäteen opiskelijoita (HeTiL 24§).

Luovutettavat henkilötiedot: kts. 7.1.4.2 Henkilömatrikkelit

7.1.4.4 Suositeltavat suostumuslausekkeet opintotietorekisteriin

Opiskelijoiden informoimisen ja suunnitelmallisen henkilötietojen käsittelyn varmistamiseksi (HeTiL 6 §, 24 §) vuoksi kaikista suostumuskohdista tulisi olla saatavilla selite.  Lisäksi korkeakoululla voi olla muita tarpeita kysyä yksityiskohtaisempia suostumuksia erilaisiin tarpeisiin. Suostumuslausekkeet eivät sellaisenaan kata henkilötietojen luovutusta EU/ETA-alueen ulkopuolelle.

Tietojani saa luovuttaa mielipide- ja markkinatutkimukseen sekä markkinointiin

Suostumus on henkilötietojen luovuttamisen edellytys (JulkL 16.3 §). Suostumus luovutukseen sisältää luonnollisesti oikeuden korkeakoulun sisällä käsitellä henkilötietoja samaan tarkoitukseen. Koska suuri osa kyselyistä koskee valmistuneiden tietoja (esim. ammattiliitot, alumniyhdistykset), suostumuslausekkeeseen kannattaa lisätä mainita, että opiskelunsa valmistumisen johdosta päättäneiden osalta suostumus on voimassa 1 vuosi valmistumisvuoden jälkeen. Jos joku ei halua jättää suostumusta voimaan, hän voi poistaa suostumuksensa ennen valmistumistaan.

Tietojen vieminen kotisivuille

Opiskelijaa voidaan pyytää valmistumisen yhteydessä antamaan suostumus valmistumistietojen julkaisemiseen esimerkiksi korkeakoulun internetissä.

Kiellän tietojeni luovuttamisen henkilömatrikkeleihin

Suostumusta ei tarvitse pyytää. Mahdollisuus kieltää henkilötietojensa käsittely tähän tarkoitukseen on kuitenkin järjestettävä ja kielto-oikeudesta on informoitava opiskelijoita.

Kiellän tietojeni luovuttamisen sukututkimukseen

Suostumusta ei tarvitse pyytää. Mahdollisuus kieltää henkilötietojensa käsittely tähän tarkoitukseen on kuitenkin järjestettävä ja kielto-oikeudesta on informoitava opiskelijoita.

Suostumukset korkeakoulun tarjoamien palveluiden toteuttamista varten

Muu henkilötietojen käsittely edellyttää erityistä laissa mainittua perustetta. Jos korkeakoulu tarjoaa opiskelijalle esimerkiksi rekrytointipalveluita (korkeakoulun ja sen ulkopuoliset työ- ja harjoittelupaikat), opiskelijalta on pyydettävä informoitu suostumus hänen henkilötietojensa käsittelyyn näitä tarkoituksia varten.  Esim. ”Tietojani saa käsitellä rekrytointitarkoituksissa työ- ja harjoittelupaikoista ja urakoulutuksesta tiedottamista varten” (HeTiL 3 § 7 kohta ja 24 §). Tällöinkin opiskelijan tietoja tulisi käsitellä vain viestien välittämiseen hänelle, ei tietojen luovuttamiseen rekrytoijalle.

7.1.5 Henkilötietojen luovuttaminen EU/ETA-alueen ulkopuolelle[1]

Opintotietorekisterin rekisteriselosteeseen on syytä ottaa maininta, että henkilötietoja siirretään (ml. luovutetaan) EU/ETA-alueen ulkopuolelle vain rekisteröidyn yksiselitteisellä suostumuksella tai muissa henkilötietolain sallimissa tapauksissa (HeTiL 22§-23§). Kaikissa maissa (kuten USA) ei ole EU-säännösten mukaan riittävä tietosuojan taso, jolloin henkilötietojen luovuttamisen edellytykset ovat henkilötietolain perusteella tiukemmat. Esimerkiksi kansainvälisen opiskelijavalinnan ja opiskelijavaihdon toteuttamiseksi ja yhteydessä henkilötietoja on usein tarpeen luovuttaa EU/ETA-alueen ulkopuolelle. Koska kyseessä on tietojen siirto rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöönpanemiseksi tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä (HeTiL 23 § 2 k), suostumusta ei tarvita. Tietojen siirtämisestä on kuitenkin informoitava opiskelijoita, kun heidän henkilötietojaan kerätään vaihtoa varten.

7.1.6 Henkilötietolain mukainen käsittely erityisiä tarkoituksia varten

7.1.6.1 Tieteellinen ja historiallinen tutkimus

Korkeakoulujen opiskelijoita koskeviin rekistereitä käytetään paljon erilaisten tutkimusten tekemiseen[2]. Laissa ei ole historiallisen ja tieteellisen tutkimuksen määritelmää. Henkilötietolain esitöissä (HE 96/1998) todetaan, että historiallisen ja tieteellisen tutkimuksen sisältö määräytyisi ehdotetussa laissa samalla tavoin kuin ne yleensä ymmärretään. Historiallinen tutkimus voi olla esimerkiksi tieteellistä tutkimusta edeltävää tutkimusta tai itsenäistä tutkimusta, joka ei täytä tieteellisen tutkimuksen kriteereitä. Pykälässä tarkoitetun tieteellisen tutkimuksen on täytettävä yleisesti hyväksytyt tieteellisen tutkimuksen kriteerit. Erityisesti arkaluonteisia tietoja sisältävän tutkimuksen on täytettävä myös yleisesti hyväksytyt tutkimuseettiset periaatteet.[3],[4] Korkeimman hallinto-oikeuden ratkaisun mukaan tutkimuksen tulee täyttää myös muun ohella autonomisuuden ja julkisuuden vaatimukset[5].

Tietosuojavaltuutetun kannanoton mukaan (ylempää) ammattikorkeakoulututkinnon opinnäytetyötä varten tehtävä tutkimustoiminta voi olla henkilötietolain 14 §:ssä tarkoitettua tutkimustoimintaa silloin, kun henkilötietolaissa sekä muissa laeissa tutkimustoimintaa koskevat reunaehdot, henkilötietojen käsittelyä ohjaavat säännökset sekä vaitiolo- ja salassapitovelvoitteet huomioidaan asianmukaisesti. Tämän lisäksi arkaluonteisten tietojen käsittelyssä on huomioitava myös yleiset tutkimuseettiset periaatteet.[6]

Tieteellistä tutkimusta voi käytännössä olla vain sellainen tutkimus, johon liittyy vaatimus tutkimusetiikan noudattamisesta. Opetus- ja kulttuuriministeriön asettama tutkimuseettinen neuvottelukunta (TENK) on antanut ”Hyvä tieteellinen käytäntö ja sen loukkausepäilyjen käsitteleminen Suomessa” -ohjeet (HTK-ohjeet)[7], joita kaikki Suomen korkeakoulut ovat sitoutuneet noudattamaan. Tutkimuseettisen neuvottelukunnan hyvää tieteellistä käytäntöä ja sen rikkomusten käsittelystä annetun ohjeen (14.11.2012) mukaan maisteritasoisen, mukaan lukien ammattikor­keakoulujen ylemmät tutkinnot, tai sitä korkeamman oppiarvon saavuttamiseksi tehtyihin tieteellisiin opin­näytteisiin kohdistuvat HTK-loukkausepäilyt tutkitaan TENK:n ohjeiden mukaan, vaikka opinnäytettä ei olisi julkaistu. Hyvään tieteelliseen käytäntöön kuuluu tietosuojan huomioiminen. Eri aloilla on lisäksi omia tutkimuseettisiä ohjeitaan. Tieteellisen tutkimuksen tekijöillä on yleensä taustaorganisaatio, joka ainakin jossain määrin vastaa piirissään tehtävän tutkimuksen tutkimuseettisestä ohjeistamisesta ja valvonnasta.

Historiallisessa tutkimuksessa käsiteltävät henkilötiedot ovat tyypillisesti kuolleiden henkilöiden tietoja. Mitä vanhemmasta tiedosta on kysymys, sitä vähäisempi on yksityisyyden suojan tarve. Henkilötietoja tulee silti käsitellä huolellisesti.

Julkisuuslain 16.3 §:n mukaisesti julkisia tietoja voidaan luovuttaa otteina, kopioina tai sähköisessä muodossa, jos vastaanottajalla on oikeus käsitellä henkilötietoja[8]. Jos henkilötietoja pyydetään salassa pidettävästä asiakirjasta korkeakoulu voi antaa julkisuuslain 28 §:ssä säädetyllä tavalla luvan yksittäistapauksessa tietojen saamiseen tieteellistä tutkimusta, tilastointia taikka viranomaisen suunnittelu- tai selvitystyötä varten, jos on ilmeistä, ettei tiedon antaminen loukkaa niitä etuja, joiden suojaksi salassapitovelvollisuus on säädetty. Lupaa harkittaessa on huolehdittava siitä, että tieteellisen tutkimuksen vapaus turvataan. Jos asiakirjaan sisältyvät tiedot on annettu korkeakoululle sen suostumuksella, jonka etujen suojaamiseksi salassapitovelvollisuus on säädetty, lupaa ei saa antaa vastoin suostumuksessa tiedon käytölle ja luovutukselle asetettuja ehtoja.[9]Tietoja luovuttava rekisterinpitäjä vastaa siitä, että tietoja ei luovuteta laittomasti.

Harkittaessa henkilötietojen luovutusta historiallista tai tieteellistä tutkimusta varten on tarkistettava muun muassa seuraavat seikat:

 - Kuka on rekisterinpitäjä, joka vastaa henkilötietojen käsittelyn lainmukaisuudesta?

 - Mikä on henkilötietojen lainmukainen käsittelyperuste?

Onko tutkimuksesta laadittu asianmukainen tutkimussuunnitelma, josta ilmenee tutkimustehtävä, millä tavoin henkilötiedot ovat tarpeen tutkimuksen toteuttamiselle ja miten niitä aiotaan tutkimuksen aikana käsitellä ja sen jälkeen säilyttää ja hävittää?

- Onko tutkimuksella vastuullinen johtaja/ryhmä, joka on vastuussa tutkimuksen tosiasiallisesta toteuttamisesta?

 - Kuinka tutkimusrekisterin suojaus on varmistettu?

 - Kuinka kauan henkilötietoja on tarpeen säilyttää tutkimuksen toteuttamista ja tulosten asianmukaisuuden varmista varten?

Henkilötietojen luovutuksen edellytyksenä on aina se, että tietojen saajalla on lainmukainen oikeus käsitellä henkilötietoja[1]. Henkilötietolain 14 §:n mukaisesti henkilötietojen ensisijainen käsittelyperuste historiallisessa tai tieteellisessä tutkimuksessa on tutkittavan suostumus[2]. Henkilötietoja voi käsitellä tieteellistä tai historiallista tutkimusta varten muilla kuin HeTiL 8.1 §:ssä mainituilla perusteilla (mm. rekisteröidyn yksiselitteisesti antamalla suostumuksella), jos:

1) tutkimusta ei voi suorittaa ilman henkilön yksilöintiä koskevia tietoja ja jos rekisteröityjen suostumusta ei tietojen suuren määrän, tietojen iän tai muun sellaisen syyn vuoksi ole mahdollista hankkia;

2) henkilörekisterin käyttö perustuu asianmukaiseen tutkimussuunnitelmaan ja tutkimuksella on vastuullinen johtaja tai siitä vastaava ryhmä;

3) henkilörekisteriä käytetään ja siitä luovutetaan henkilötietoja vain historiallista tai tieteellistä tutkimusta varten sekä muutoinkin toimitaan niin, että tiettyä henkilöä koskevat tiedot eivät paljastu ulkopuolisille; sekä

 4) henkilörekisteri hävitetään tai siirretään arkistoitavaksi tai sen tiedot muutetaan sellaiseen muotoon, ettei tiedon kohde ole niistä tunnistettavissa, kun henkilötiedot eivät enää ole tarpeen tutkimuksen suorittamiseksi tai sen tulosten asianmukaisuuden varmistamiseksi.

Henkilötietolain 14 §:ssä määritettyjen edellytysten tulee täyttyä kaikessa tutkimustoiminnassa riippumatta lainmukaisesta käsittelyperusteesta. Henkilötietolain mukaan tutkimuksen tulee perustua asianmukaiseen tutkimussuunnitelmaan. Vain tutkimuksen kannalta tarpeellisia henkilötietoja voidaan luovuttaa.

Kun tietoja luovutetaan, on myös tärkeä tunnistaa, kuka on muodostuvan tutkimusrekisterin rekisterinpitäjä. Tutkimuksen rekisterinpitäjä vastaa siitä, että henkilötietojen käsittely tapahtuu lainsäädännön vaatimusten mukaisesti.

Suositeltavaa on, että jos henkilötietoja pyydetään ylemmän korkeakoulututkinnon opinnäytetutkimuksen tekemistä varten, pyytäjän on tutkimussuunnitelman ja henkilötietojen käsittelysuunnitelman lisäksi toimitettava korkeakoulunsa vastuullisen ohjaajan (nimeke voi olla valvoja, vastuuprofessori tms.) kirjallinen lausunto siitä, että henkilötietojen käsittely perustuu vähintään vastuullisen ohjaajan hyväksymään suunnitelmaan ja on tarpeen opinnäytetutkimuksen toteuttamisella. Vastuullinen johtaja tai tutkimusryhmä on ilmoitettava. Ylempää korkeakoulututkintoa opiskelevalla ei yleensä ole tieteellisen tutkimuksen johtamiseen vaadittavaa osaamista. Esimerkiksi opinnäytteen vastuullinen ohjaaja voi olla tutkimuksen vastuullinen johtaja. Opinnäytetutkimusta voidaan tehdä myös tutkimusryhmässä ja osana korkeakoulun tai muun laitoksen laajempaa tutkimusta, jolloin tutkimuksen vastuullinen johtaja on joku muu kuin opinnäytteen vastuullinen ohjaaja.

Henkilötietolain 14 §:n mukaan henkilörekisteri tulee hävittää tai siirtää arkistoitavaksi tai sen tiedot on muutettava sellaiseen muotoon, ettei tiedon kohde ole niistä tunnistettavissa, kun henkilötiedot eivät enää ole tarpeen tutkimuksen suorittamiseksi tai sen tulosten asianmukaisuuden varmistamiseksi.  Se, kuka on tutkimuksen rekisterinpitäjä, määrittää myös sitä, mitä tutkimusaineistolle tapahtuu tutkimuksen jälkeen. Viranomaisen (esim. yliopistojen tai muiden valtion tutkimuslaitosten) perustamien tutkimusrekisterien säilyttämiseen sovelletaan arkistolain (831/1994) säännöksiä. Jos rekisterinpitäjänä toimii puolestaan yksittäinen tutkija tai muu yksityinen taho, arkistointi on henkilötietolain 35 §:n mukaisesti mahdollista vain Kansallisarkiston luvalla.

Tutkimusta varten kootusta henkilörekisteristä tulee laatia henkilötietolain 10 §:n mukainen rekisteriseloste, joka tulee saattaa ”jokaisen saataville”. Tutkimuksen tekijä voi hyödyntää rekisteriselostetta henkilötietojen käsittelyn suunnittelun apuvälineenä ja tietojen luovutuksesta vastaava taho luovutuksen edellytysten arvioinnissa. [3]

Korkeakoulun on rekisterinpitäjänä syytä suunnitella ja ohjeistaa menettelytavat, joita noudattaen käsitellään henkilötietojen luovutusta koskevat pyynnöt ja tehdään luovuttamista koskevat päätökset tai sopimukset. Myönnettävään käyttölupaan on syytä liittää tarpeelliset lupaehdot sekä salassapitositoumukset.[4] Henkilöitä, jotka pyytävät korkeakoulun rekisteristä henkilötietoja tieteellistä tutkimusta varten on lisäksi syytä neuvoa tutustumaan tietosuojavaltuutetun tieteellistä tutkimusta koskeviin ohjeisiin.

7.1.6.2 Tilasto

Tilastotarkoituksia varten saa henkilötietoja käsitellä ilman rekisteröidyn suostumusta, jos

1) tilastoa ei voida tuottaa tai sen tarkoituksena olevaa tiedontarvetta toteuttaa ilman henkilötietojen käsittelyä;

2) tilaston tuottaminen kuuluu rekisterinpitäjän toimialaan; sekä

3) tilastorekisteriä käytetään vain tilastollisiin tarkoituksiin eikä siitä luovuteta tietoja siten, että tietty henkilö on niistä tunnistettavissa, ellei tietoja luovuteta julkista tilastoa varten.

Kun nämä edellytykset täyttyvät, korkeakoulu voi toimittaa henkilötietoja hakija- ja opintotietorekistereistä tilastoja laativille rekisterinpitäjille, käytännössä eri alojen viranomaisille.

Salassa pidettävien henkilötietojen luovuttamisen osalta katso kohta 5.1.3.

7.1.6.3 Viranomaisten suunnittelu- ja selvitystehtävät

Viranomaisten toiminta Suomessa perustuu lakiin. Monilla viranomaisilla (kuten KELA) on lakiin perustuva oikeus käsitellä ja saada säännönmukaisesti tiettyjä tietoja. Monet suomalaiset viranomaiset tiedustelevat lisäksi yksittäisten opiskelijoiden tai hakijoiden tietoja, kuten poliisi, rajavartiolaitos ja maahanmuuttovirasto. Henkilötietoja voidaan luovuttaa pyydetyssä muodossa silloin kun on selvää, että pyyntö perustuu ao. viranomaisen tehtäviin.  Viranomaisellekaan ei saa luovuttaa salassa pidettävää tietoa ilman sellaista lain säännöstä, johon tiedonsaantioikeus- tai velvollisuus perustuu. Useilla viranomaisilla on heidän toimintaansa koskevassa lainsäädännössä tiedonsaantioikeutta koskeva säännös, joka oikeuttaa saamaan säännöksessä mainituin edellytyksin myös salassa pidettäviä tietoja. On tärkeää, että tietojen pyytäjä viranomainen esittää perusteen (lain säännöksen), johon sen tiedonsaantioikeus perustuu, koska tietoja luovuttava rekisterinpitäjä vastaa luovutuksen lainmukaisuudesta.

Ulkomaalaisten viranomaisten kyselyihin vastatessa on syytä selvittää käyttötarkoitus tarkemmin sekä muistaa, että henkilötietojen luovuttaminen EU/ETA-alueen ulkopuolelle on pääsääntöisesti kielletty ilman rekisteröidyn suostumusta.

Ulkomaiden Suomen-lähetystöt pyytävät välillä tietoja tietyssä korkeakoulussa opiskelevista kyseisen valtion kansalaisista pitääkseen näihin yhteyttä. Kun kyseessä on yksittäinen kutsu johonkin tilaisuuteen tms., suositeltavin menettelytapa on, että korkeakoulu välittää itse tiedon esim. sähköpostitse niille opiskelijoille, joita asia koskee. EU- tai ETA-alueen valtioiden Suomen-lähetystöillä on kuitenkin halutessaan oikeus saada tietyssä

korkeakoulussa opiskelevien kyseisen valtion kansalaisten yhteystiedot, koska opiskelijoiden henkilötietojen käsittely liittyy lähetystöjen lakisääteisten tehtävien hoitamiseen (HeTiL 8 § 4 k). EU- tai ETA-alueen ulkopuolisten valtioiden lähetystöille tietoja ei voi luovuttaa, ellei käsillä ole jokin HeTiL 5 luvussa mainittu henkilötietojen siirtoperuste.

7.1.6.4 Kyselytutkimukset

 Opiskelijat opintojaan varten ja monet muut tahot (kuten erilaiset opiskelijoita lähellä olevat järjestöt) pyytävät opintotietorekisteristä opiskelijoiden henkilötietoja erilaisten kyselytutkimusten tekemistä varten. Julkisuuslaki (kts.JulkL 16.3 § suostumusedellytys mielipide- tai markkinatutkimukseen) tai henkilötietolaki (kts.HeTiL 19 § oikeus kieltää tietojen käsittely mielipide- ja markkinointitutkimukseen) eivät tunne käsitettä kyselytutkimus vaan henkilötietojen käsittelyn peruste vaihtelee. Kyselytutkimuksena voidaan toteuttaa tieteellistä tai historiallista tutkimusta (HeTiL 14 §), mielipidetutkimukseen rinnastuvaa tutkimusta (HeTiL 19 §) tai viranomaisen omaan tarkoitukseen tehtävää selvitystä (HeTiL 16 §). Rekisteröidyn suostumus henkilötietojen luovutukseen on pääsääntö kaikissa tilanteissa ja ehdoton edellytys silloin kun kyselytutkimus rinnastuu mielipide- tai markkinatutkimukseen. Lähtökohtaisesti opiskelijoiden opintosuorituksiaan varten tekemät kyselyt rinnastuvat mielipide- tai markkinatutkimukseen. Kohdassa 7.1.61 käsitellään niitä edellytyksiä, joilla opiskelijan tekemä tutkimus voi olla tieteellistä tutkimusta. Henkilötietojen käsittelyn edellytykset tutkimusta ja viranomaisen suunnittelu- ja selvitystehtävää varten ovat samankaltaiset. Viranomaisen suunnittelu- ja selvitystehtävän toteuttamisessa henkilörekisterin pitäjä on kuitenkin yleensä viranomainen itse.[1]

7.1.7 Henkilötietojen käsittely valmistuneiden ja entisten opiskelijoiden osalta

Opiskelijan yhteys korkeakouluun ei ole aktiivinen enää sen jälkeen kun opiskelija valmistuu, luopuu opiskeluoikeudestaan, laiminlyö ilmoittautumisen tai hänen määräaikainen opiskeluoikeutensa tai sille myönnetty lisäaika päättyy. Tällaisten opiskelijoiden yhteystietojen säilyttämiseen on kuitenkin perusteita, koska korkeakoulu voi tarvita yhteystietoa myöhemmin erilaisiin tarkoituksiin (kyselyt valmistuneille tms.). Vanhentuneita henkilötietoja ei saa käsitellä (HeTiL 9.2 §). Rekisteröidyn yhteystietoja ei tule luovuttaa korkeakoulun ulkopuolelle lainkaan. Korkeakoulun sisälläkin ajantasaiset yhteystiedot tulee tarkistaa esim. väestörekisteriviranomaisen ylläpitämästä väestötietojärjestelmästä ennen yhteydenottoa, kun opiskeluoikeuden päättymisvuodesta on kulunut 6 kk (esimerkiksi 31.7.2016 päättynyt opinto-oikeus-> 30.6.2017 saakka voi luovuttaa yhteystietoja, jos luovutuksen perusteet muutoin olemassa). Poikkeuksena ovat tilanteet, joissa vanha osoitetieto on tarpeellinen uuden selvittämiseksi. Tälläinen tilanne on esimerkiksi, jos väestötietojärjestelmässä on paljon samannimisiä henkilöitä tai henkilö ei asu Suomessa.

Korkeakoulut voivat tiedottaa alumnitoiminnasta, tarjoamastaan täydennyskoulutuksesta ym. valmistuneille ilman aikarajaa, vaikka valmistunut ei olisi erikseen antanut suostumusta. Valmistuneiden yhteystietoja ei kuitenkaan enää pidä säännöllisesti ja kattavasti päivittää opintotietorekisterissä. Jos henkilö on itse ilmoittanut haluavansa tulla rekisteröidyksi korkeakoulun alumnirekisteriin, hänen yhteystietojaan voidaan päivittää alumnirekisterissä. Sen sijaan opintotietorekisteristä valmistuneiden tietoja otettaessa yhteystiedot on syytä päivittää erikseen väestötietojärjestelmästä kutakin yhteydenottoa varten ja vain siinä laajuudessa, kun kyseiseen yhteydenottoon tarvitaan.

Opiskelija voi myös kesken opintojensa luopua opiskeluoikeudesta ilmoittamalla luopumisesta kirjallisesti korkeakoululle. Opiskeluoikeudesta luopuminen merkitään opintotietorekisteriin. Tällaisen opiskelijan tietoja käsitellään kuten valmistuneen tietoja: opintosuoritukset siis säilyvät rekisterissä, mutta yhteystietoja ei päivitetä eikä vanhoja yhteystietoja pidä luovuttaa ilman erityistä syytä.

7.1.8 Opiskelijoiden arkaluonteisten henkilötietojen käsittely korkeakoulussa

Arkaluonteiset henkilötiedot (HeTiL 11 §) on lueteltu käytännesääntöjen kohdassa 4.1.5. Arkaluonteiset henkilötiedot.

Henkilötiedon arkaluonteisuus tarkoittaa sitä, että tällaisten henkilötietojen käsittely on kielletty, ellei käsillä ole jokin HeTiL 12 §:ssä mainittu poikkeusperuste. Korkeakoulujen kannalta merkittävimmät poikkeusperusteet ovat kohta 1 ja kohta 5: rekisteröity on antanut nimenomaisen suostumuksensa arkaluontoisten tietojen käsittelyyn tai arkaluonteisten tietojen käsittelystä säädetään laissa tai se johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä (mm. YOL 37 b § ja 43 b §, AMKL 27 § ja 34 §). Esimerkiksi hakijan tai opiskelijan terveystietoja saatetaan joutua käsittelemään siksi, että korkeakoululla on yhdenvertaisuuslain 15.1 §:n perusteella velvollisuus tarvittaessa tehdä kohtuulliset mukautukset vammaisen henkilön kouluttautumisedellytysten parantamiseksi. Tällöin yleensä hakija tai opiskelija hakee erityisjärjestelyjä tai tukitoimia ja antaa siten samalla suostumuksen hakemuksen sisältämien terveystietojen käsittelyyn opiskelijavalintarekisteristä, korkeakoulujen valtakunnallisesta tietovarannosta ja ylioppilastutkintorekisteristä annetun lain 3.2 §:ssä on säädetty, että opiskelijavalintarekisteriin voidaan tallentaa hakijan ilmoituksen mukaisina ammatinvalintaan vaikuttavat terveystiedot. Nämä tiedot pyydetään ilmoittamaan ja ne tallennetaan vain silloin, kun ne ovat tarpeellisia opiskelijoiden valinnassa.

Kun opiskelija hakee erityisjärjestelyjä vamman tai sairauden perusteella, hakemukset, niihin liitetyt terveydentilatiedot ja hakemuksesta tehdyt päätökset ovat JulkL 24.1 § 25 k nojalla salassa pidettäviä. Salassa pidettäviä ovat muutkin opintoihin liittyvät terveydentilatiedot, esimerkiksi hakijan antama tieto allergiasta kenttäkurssia varten. Terveystiedot ovat myös HeTiL 11 §:ssä määriteltyjä arkaluonteisia henkilötietoja.

Korkeakoulujen on säilytettävä arkaluonteiset tiedot erillään muista henkilötiedoista (YOL 45 b.4 §, AMKL 40.4 §). Esimerkiksi kenttäopetus- tai työharjoittelujaksoa varten voi olla tarpeen kysyä opiskelijan terveystietoja, tai valintakoetta varten tarjota mahdollisuutta hakea erityisjärjestelyjä. Tällöin terveystiedot pitää kysyä erillisellä liitteellä tai lomakkeella ja myös säilyttää ne erillään muista kyseistä opintojaksoa tai valintakoetta koskevista opiskelijatiedoista.

Tällaista arkaluonteista tietoa ei pidä merkitä sähköiseen rekisteriin, ellei se ole työtehtävien hoidon kannalta tarpeellista. Jos opiskelijalle esimerkiksi on myönnetty lisäaikaa terveydellisten syiden takia, sähköiseen rekisteriin merkitään myönnetyn lisäajan pituus ja asiaa koskevan hallintopäätöksen tunnistetiedot. Sen sijaan päätöksen perusteita ei merkitä rekisteriin. Jos rekisteriin on työtehtävien hoidon kannalta tarpeellista merkitä arkaluonteisia tietoja, ne on pystyttävä luotettavasti suojaamaan siten, että tietoihin on pääsy vain niillä henkilöillä, jotka tarvitsevat kyseistä tietoa työtehtävissään.

Arkaluonteiset tiedot tulee poistaa rekisteristä välittömästi, kun niiden säilyttämiselle ei ole enää lakisääteisten tehtävien edellyttämää perustetta, kuitenkin viimeistään neljän vuoden kuluttua tietojen merkitsemisestä rekisteriin (YOL 45 b.4 §, AMKL 40.4 §). Esimerkiksi opiskelijan terveystiedot on poistettava rekisteristä, kun hän valmistuu, vaikka tietojen merkitsemisestä rekisteriin ei vielä olisi kulunut neljää vuotta. Rekisteristä poistettavat tiedot joko hävitetään luotettavalla tavalla siten, että ulkopuoliset eivät pääse niihin, tai siirretään arkistoon, sen mukaan kuin korkeakoulun arkistoinmuodostussuunnitelmassa on määrätty. Tällaiset asiakirjat säilytetään korkeakoulun arkistonmuodostussuunnitelmassa määrätyn ajan. Arkaluonteisia henkilötietoja sisältävien asiakirjojen säilytystarve on arvioitava arkistonmuodostussuunnitelmassa; jos tietojen säilyttäminen ei ole tarpeen, ne hävitetään.

Yleensä opiskelijan terveystiedon tai muun arkaluonteisen tiedon merkitsemiseen sähköiseen rekisteriin ei ole tarvetta, vaan sähköiseen rekisteriin merkitään vain rekisterin tarkoituksen kannalta tarpeellinen tieto, kuten tieto myönnetyn lisäajan pituudesta. Opiskelijalle on esimerkiksi voitu myöntää lisäaikaa tutkinnon suorittamiseen terveydentilan perusteella. Tällöin rekisterissä säilyy edelleen merkintä myönnetystä lisäajasta, vaikka hallintopäätöksen perusteena ovat terveydelliset syyt (joita ei ole merkitty sähköiseen rekisteriin). Itse hallintopäätöksen suhteen toimitaan arkistonmuodostusuunnitelman mukaisesti.

Esimerkki: opiskelija on lähdössä suorittamaan kenttäkurssia, jossa ollaan pääosin leiriolosuhteissa. Korkeakoulu voi kenttäkurssihakemuksen yhteydessä pyytää opiskelijaa ilmoittamaan erillisellä lomakkeella kenttäkurssin suorittamiseen vaikuttavista terveystiedoista (esim. sellaiset sairaudet, joihin voi liittyä äkillinen sairaanhoidon tarve, erityisruokavalion tarve kenttäkurssin ajaksi). Tiedot säilytetään erillään muista kenttäkurssia koskevista tiedoista. Näitä tietoja voidaan antaa kenttäkurssin järjestäjätahoille siinä laajuudessa, kun se on tarpeen opiskelijan turvallisuuden varmistamiseksi. Esimerkiksi kenttäkurssin ruokailun järjestävälle leirikeskukselle voidaan lähettää luettelo opiskelijoista, jotka tarvitsevat gluteenittomat ateriat. Tiedot hävitetään kenttäkurssin suorittamisen jälkeen, ellei niitä poikkeustapauksessa ole tarpeen säilyttää vaikkapa kurssilla sattuneen tapaturman selvittelyn vuoksi.

Korkeakoulun on määriteltävä ne tehtävät, joihin sisältyy arkaluonteisten tietojen käsittelyä. Korkeakoulun on suunniteltava toimintansa niin, että arkaluonteisia tietoja joutuvat työssään säännönmukaisesti käsittelemään mahdollisimman harvat työntekijät. Esimerkiksi hakemukset opiskelijavalinnan tai opetuksen erityisjärjestelyistä vammaisuuden perusteella on syytä käsitellä siten, ettei opiskelija joudu joka opintojakson yhteydessä uudelleen ja erikseen selvittämään terveydentilaansa jakson opettajalle.

YOL 45 b §:ssä ja AMKL 40 §:ssä on erikseen täsmennetty tiettyjen arkaluonteisten henkilötietojen käsittelyn edellytyksiä. Kyseessä ovat ns. SORA-asiat. (Arkaluonteisista henkilötiedoista opiskelijavalinnassa ks. jakso 7.2.3.) Kun opintoihin sisältyy alaikäisten turvallisuutta taikka potilas- tai asiakasturvallisuutta koskevia vaatimuksia, korkeakoulu voi tietyin edellytyksin peruuttaa opiskeluoikeuden (YOL 43 a §, AMKL 33 §). Samoin kun opinnot tai opintoihin kuuluva harjoittelu edellyttävät olennaisesti alaikäisten parissa työskentelyä, korkeakoulu voi tietyin edellytyksin peruuttaa opiskeluoikeuden. Näihin asioihin liittyviä hakijan ja opiskelijan terveydentilaa koskevia tietoja saavat käsitellä vain ne henkilöt, jotka valmistelevat tai tekevät päätöksen opiskelijavalinnasta, opiskeluoikeuden peruuttamisesta, opiskeluoikeuden palauttamisesta tai kurinpidosta taikka antavat lausuntoja mainituista asioista. Näihin asioihin liittyvää opiskelijan rikosrekisteriotetta koskevaa tietoa saavat käsitellä vain ne henkilöt, jotka valmistelevat tai tekevät päätöksen opiskeluoikeuden peruuttamisesta. Rikosrekisteriotteita ei ole tarkoitus säilyttää korkeakouluissa, vaan opiskelija antaa korkeakoulun pyynnöstä otteen nähtäväksi, jos hänelle annetaan opinnoissa tai opintoihin kuuluvassa harjoittelussa tehtäviä, jotka edellyttävät olennaisesti alaikäisten parissa työskentelyä (YOL 43 b.4 §, AMKL 34.4 §).

Suositeltava menettelytapa rikosrekisteriotteen käsittelyyn on seuraava: korkeakoulussa päätetään lainsäädännön rajoissa, keiltä opiskelijoilta otteen esittämistä vaaditaan ja missä vaiheessa opintoja. Opiskelija esittää otteensa korkeakoulun osoittamille henkilöille, jotka valmistelevat tai tekevät päätöksiä opiskelupaikan peruuttamisesta (esimerkiksi opintoasiainpäälliköt). Kun ote on tarkastettu eikä se ole sisältänyt mitään, mikä olisi antanut aihetta toimenpiteisiin, ote palautetaan opiskelijalle ja opiskelijarekisteriin merkitään, että ote on tarkastettu. Opiskelijan harjoittelupaikalla on oikeus saada korkeakoulusta tieto, että harjoitteluun tulevan opiskelijan ote on tarkastettu. Kun otteessa on merkintä, joka antaa aihetta lisäselvityksiin, otteesta otetaan kopio korkeakoulun käyttöön ja alkuperäinen ote palautetaan opiskelijalle. Rekisteriin ei merkitä, että ote on tarkastettu, ennen kuin hallinnollinen prosessi on käyty läpi siten, että opiskelijan opiskeluoikeus on peruutettu tai on todettu, ettei opiskeluoikeuden peruuttamiseen ole perusteita. Tällaisessa tapauksessa korkeakoulu säilyttää rikosrekisteriotteen samoin perustein ja yhtä pitkään kuin tällaiseen hallinnolliseen prosessiin kuuluvat muut asiakirjat, esimerkiksi mahdollisen kuulemistilaisuuden pöytäkirjat. Koska ote sisältää arkaluonteista henkilötietoa, se säilytetään erillään muista henkilötiedoista.

Esimerkki: Opintosuorituksia rekisteröivä toimistosihteeri ei saa käsitellä opiskelijan rikosrekisteriotetta, koska hän ei valmistele eikä tee päätöksiä opiskeluoikeuden peruuttamisesta. Myöskään harjoittelupaikan johtajalla, esimerkiksi päiväkodin johtajalla, ei ole oikeutta käsitellä harjoitteluun tulevan opiskelijan rikosrekisteriotetta, koska hän ei valmistele eikä tee päätöksiä opiskeluoikeuden peruuttamisesta. Harjoittelupaikalla on oikeus saada korkeakoulusta tieto, onko harjoitteluun tuleva opiskelija esittänyt rikosrekisteriotteen korkeakoulun nähtäväksi.

SORA-säännösten mahdollistamasta opiskeluoikeuden peruuttamisesta on erotettava YOL 45 §:n ja AMKL 38 §:n mukainen opiskelijan kurinpito. Kurinpitosäännöksiä sovelletaan kaikkien alojen opiskelijoihin, SORA-säännöksiä vain tietyillä määritellyillä aloilla. YOL 45 §:n ja AMKL 38 §:n nojalla opiskelijalle voidaan antaa kirjallinen varoitus tai hänet voidaan erottaa korkeakoulusta määräajaksi, enintään yhdeksi vuodeksi. Opiskeluoikeuden peruuttaminen ei ole kurinpitosäännösten nojalla mahdollista.

Tiedot korkeakoulun kurinpitotoimista kuten opiskelijalle annetusta varoituksesta tai opiskelijan määräaikaisesta erottamisesta ovat julkisia, myös itse kurinpitopäätökset perusteluineen, paitsi siltä osin, kun kyse on salassa pidettävistä tiedoista kuten opiskelijan terveystiedoista. Arkaluonteiset ja salassa pidettävät tiedot kuten opiskelijan terveystiedot sisällytetään päätöksen liitteeseen, jota säilytetään erillään päätöksestä. Sähköisestä opintotietorekisteristä ilmenee kurinpitopäätöksen päivämäärä, kurinpitopäätöksen tekijä sekä päätöksen tunnistetiedot (diaarinumero tai vastaava). Opiskeluoikeuden peruuttamispäätös on salassa pidettävä, koska se säännönmukaisesti perustuu salassa pidettävään tietoon ja siten ilmaisee tällaisen tiedon. Tieto siitä, että opiskelijalla on ollut opiskeluoikeus tiettynä ajankohtana, samoin kuin tieto siitä, että opiskeluoikeus ei enää ole voimassa, on kuitenkin julkinen.

Salassa pidettävät henkilötiedot ja muut tiedot on säännelty JulkL 24 §:ssä. Salassa pidettäviä tietoja valinnoissa on käsitelty kohdassa 3.4.4 Opiskelijavalinnassa käsiteltävien asiakirjojen julkisuus ja salassapito. Salassa pidettäviä tietoja opinnoissa on käsitelty kohdassa 3.4.2 Asianosaisjulkisuus opintoja sekä opiskelijoita koskevissa tiedoissa.

Salassapito- ja vaitiolovelvollisuus koskee korkeakoulun palveluksessa olevia tai luottamustehtävää hoitavia, muttei yksityishenkilöitä, kuten opiskelijoita, elleivät nämä ole saaneet salassa pidettävää tietoa korkeakoulun palveluksessa ollessaan tai luottamustehtävää hoitaessaan. Salassapito ja vaitiolo kohdistuu sivullisiin; omasta asiastaan jokaisella on yleensä oikeus saada tieto. Lisäksi tiedonsaantioikeus salassa pidettävään tietoon voi syntyä asianosaisjulkisuuden perusteella (JulkL 11 §): Hakijalla, valittajalla sekä muulla, jonka oikeutta, etua tai velvollisuutta asia koskee (asianosainen), on oikeus saada asiaa käsittelevältä tai käsitelleeltä viranomaiselta tieto muunkin kuin julkisen asiakirjan sisällöstä, joka voi tai on voinut vaikuttaa hänen asiansa käsittelyyn.

Korkeakoulun sisällä salassa pidettävän tiedon voi antaa niille työntekijöille, jotka tarvitsevat sitä työtehtävissään. Salassa pidettävän tiedon voi muuten antaa, jos tiedon antamisesta tai oikeudesta tiedon saamiseen on laissa erikseen nimenomaisesti säädetty tai jos se, jonka etujen suojaksi salassapitovelvollisuus on säädetty, antaa siihen suostumuksensa (julkisuuslain 7 luku). Näitä molempia tiedonantamistilanteita koskevat YOL 90 a § ja AMKL 40 §. Niissä säädetään oikeudesta salassapitosäännösten estämättä antaa opiskelijan terveydentilaa ja toimintakykyä koskevia ja tehtävien hoidon kannalta välttämättömiä tietoja

1)     yliopiston/ammattikorkeakoulun rehtorille ja yliopiston/ammattikorkeakoulun turvallisuudesta vastaavalle muulle henkilölle opiskelun turvallisuuden varmistamiseksi;

2)     opinto-ohjauksesta vastaaville henkilöille muihin opintoihin ja tukipalveluihin ohjaamista varten;

3)     opiskeluterveydenhuollosta vastaaville henkilöille opiskelijan terveyden ja turvallisuuden varmistamiseksi ja tarvittaviin tukitoimiin ohjaamista varten;

4)     harjoittelusta vastaaville henkilöille opiskelijan sekä harjoittelupaikan henkilöstön ja asiakkaiden turvallisuuden varmistamiseksi; sekä

5)     poliisille ja yliopiston/ammattikorkeakoulun edustajalle, joka on ensisijaisesti vastuussa turvallisuusuhan selvittämisestä, välittömän turvallisuusuhan arvioimiseksi tai mikäli opiskelijan todetaan terveydentilan arvioinnissa olevan vaaraksi muiden turvallisuudelle.

Lainkohdissa tarkoitetuissa tilanteissa salassa pidettäviä tietoja voi siis antaa, mikäli tiedot koskevat opiskelijan terveydentilaa ja toimintakykyä, ovat tehtävien hoidon kannalta välttämättömiä ja ne annetaan säännöksissä mainituille henkilöille säännöksissä mainittuihin tarkoituksiin. Opiskelijan suostumusta tiedon antamiseen ei tarvita, koska säännöksessä on todettu, että tietoja on oikeus antaa, kun säännöksessä mainitut edellytykset täyttyvät. Nämä lainkohdat eivät koske vain ns. SORA-aloja, vaan kaikkia korkeakoulujen opintoja. Oikeus antaa tietoja säännöksen mukaisesti koskee myös korkeakoulujen opintotukilautakuntien jäseniä. KELA:n ohjeistuksen mukaan on kuitenkin suositeltavaa sopia korkeakoulun sisällä, että tietojen antaminen keskitetään opintotukilautakunnan sihteerille.

Esimerkki: Opiskelijan lopputyötä ohjaava opettaja saa opiskelijalta sähköposteja, joiden sisällön perusteella vaikuttaa siltä, että opiskelijalle on kehittymässä opintoja häiritsevä mielenterveysongelma. Opettajalla on oikeus ottaa yhteyttä opiskelijaterveydenhuoltoon ja kertoa opiskelijan avuntarpeesta.

Esimerkki: Teknisen alan opiskelija saa luennoilla jatkuvasti huimauskohtauksia, mutta ei halua keskustella asiasta. Opettajalla on oikeus kertoa asiasta harjoittelupaikkaan, koska opiskelijan on tarkoitus käsitellä harjoittelussa teknisiä laitteita ja saattaa syntyä vaaratilanne, jos hän saa huimauskohtauksen kesken työtehtävien hoitoa.

7.2 Tietosuoja opiskelijavalinnoissa ja kansainvälisessä koulutusyhteistyössä

7.2.1 Ulkomailla hakukelpoisuuden antavan koulutuksen suorittaneiden valinnat[20]

Korkeakoululla saattaa valinnoissa olla tarve tarkistaa ulkomailla koulutuksensa suorittaneen hakijan antamia tietoja, esimerkiksi varmistua tutkintotodistuksen tai testituloksen oikeellisuudesta. Testitulokset voivat olla kielitestituloksia tai muiden kansainvälisten standardoitujen valinnoissa käytettävien testien (esim. GRE tai GMAT) tuloksia.  Tällöin on otettava huomioon, että HeTiL:n 5 luvussa on erityiset säännökset henkilötietojen siirtämisestä Euroopan unionin ulkopuolelle. Kun korkeakoulu tiedustelee Euroopan unionin ulkopuolella sijaitsevalta korkeakoululta tutkintotodistuksen oikeellisuutta, korkeakoulu samalla luovuttaa tiedon, että tietty henkilö hakee opiskelupaikkaa. Hakulomakkeella on näin ollen pyydettävä hakijan suostumus hänen haun yhteydessä antamiensa tietojen oikeellisuuden tarkistamiseen, sillä HeTiL 23 §:n mukaan rekisteröidyn antama yksiselitteinen suostumus oikeuttaa siirtämään henkilötietoja Euroopan unionin ulkopuolelle. Jos hakija ei anna suostumusta, hakemus voidaan hylätä sillä perusteella, että tietojen oikeellisuuden tarkastaminen ei ole ollut mahdollista. Euroopan unionin tai ETA-alueen sisällä tietoja tarkastettaessa ei tarvita hakijan suostumusta, kun kyse on julkisten tietojen tarkastamisesta. Hakijan taustakoulutus, kielitestitulokset, standardoitujen valintatestien tulokset ja muut vastaavat tiedot ovat julkisia. Hakijalla on aiemman opiskelunsa ja hakemisen perusteella asiallinen yhteys sekä hakukohdekorkeakouluun että siihen oppilaitokseen tai muuhun koulutuksen tai testauksen järjestäjään, jonka antamien tietojen oikeellisuuden varmistamisesta on kyse (HeTiL 8 § 5 k.). Henkilötietojen säännönmukaisista luovutuksista on kuitenkin informoitava hakijoita etukäteen (HeTiL 24 §). Hakijarekisterin rekisteriselosteessa on siis mainittava, että hakijan tietojen oikeellisuus tarkistetaan koulutuksen ja testauksen järjestäjiltä.

7.2.2 Kansainvälinen ja kotimainen opiskelijaliikkuvuus[21]

Yleensä kotikorkeakoulu ensin valitsee vaihtoon lähtijät opiskelijavaihtoon hakevista opiskelijoista, ja vastaanottava korkeakoulu (vaihtokorkeakoulu) myöntää kotikorkeakoulun esittämille hakijoille määräaikaisen opiskeluoikeuden. 

Opiskelijavaihtoon haettaessa vaihtokorkeakoulun on tärkeää pyytää hakijalta/opiskelijalta etukäteen nimenomainen, kirjallinen suostumus ilmoittaa kriisitilanteesta kuten äkillisestä sairastumisesta omaisille ja kotikorkeakoululle, sillä salassa pidettävää tietoa, kuten terveystietoja, ei saa ilmaista sivullisille (sivullisia ovat tässä yhteydessä myös täysi-ikäisen opiskelijan omaiset ja kotikorkeakoulun henkilökunta) ilman laissa olevaa nimenomaista säännöstä tai asianomaisen opiskelijan suostumusta (JulkL 26 § sekä HeTiL 3 § 7 kohta ja 24 §). Suostumus voidaan pyytää jo hakulomakkeella. Opiskelijalla on oltava mahdollisuus myös olla antamatta suostumusta tai peruuttaa suostumus, jolloin tietoja ei siis saa antaa.

Opiskelijat voivat tehdä sivuaineopintoja omassa korkeakoulussaan tai toisessa korkeakoulussa. Vaihto- ja sivuaineopiskelussa tietojen luovuttaminen oman korkeakoulun ja vaihto- tai sivuainekorkeakoulun välillä ei edellytä opiskelijan suostumusta, koska opiskelijalla on opiskelunsa vuoksi asiallinen yhteys kummankin korkeakoulun toimintaan (HeTiL 8 § 5 k.). Suostumusta ei tarvita myöskään tietojen luovuttamiseen EU- ja ETA-alueen ulkopuolelle. Opiskelijaliikkuvuudessa on kyse opiskelijan ja korkeakoulun välisestä sopimuksesta, ja tietojen siirto on tarpeen sopimuksen täytäntöönpanemiseksi tai sopimusta edeltävien toimenpiteiden toteuttamiseksi (HeTiL 23.1 § 2 k.) Opiskelijan suostumusta ei siis tarvita siihenkään, että kotikorkeakoululle ilmoitetaan vilpin takia tai muusta syystä hylätyistä opintosuorituksista tai opiskelijaan kohdistetuista kurinpitotoimista. HeTiL 24 §:n mukaisesti kuitenkin edellytetään, että opiskelijoille tiedotetaan jo vaihto- tms. opintojen alkaessa tietojen keräämisestä ja luovuttamisesta vaihtoyliopistojen välillä.

7.2.3 Arkaluonteiset henkilötiedot opiskelijavalinnoissa

Useat JulkLn mukaan salassa pidettävät henkilötiedot ovat myös arkaluonteisia henkilötietoja, joiden käsittely HeTiL 12 §:n mukaan on mahdollista vain tietyin, laissa säädetyin edellytyksin. Arkaluonteisten henkilötietojen käsittelyä yleensä on selostettu tarkemmin osiossa arkaluonteisten henkilötietojen käsittely.

YOL 45 b §:ssä ja AMKL 40 §:ssä on erikseen täsmennetty tiettyjen arkaluonteisten henkilötietojen käsittelyn edellytyksiä. Kyseessä ovat ns. SORA-asiat (soveltumattomuuteen ratkaisuja). SORA-säännöksiä sovelletaan vain tutkintoihin, jotka on määritelty valtioneuvoston asetuksessa yliopistoista (770/2009), 2 a §:ssä ja valtioneuvoston asetuksessa ammattikorkeakouluista (352/2003), 18 a §:ssä.  Kun opintoihin sisältyy alaikäisten turvallisuutta taikka potilas- tai asiakasturvallisuutta koskevia vaatimuksia, korkeakoulu voi tietyin edellytyksin peruuttaa opiskeluoikeuden (YOL 43 a §, AMKL 33 §). Samoin kun opinnot tai opintoihin kuuluva harjoittelu edellyttävät olennaisesti alaikäisten parissa työskentelyä, korkeakoulu voi tietyin edellytyksin peruuttaa opiskeluoikeuden. Opiskeluoikeuden peruuttamista koskeva aiempi päätös on opiskelijaksi ottamisen esteenä, jos toisten henkilöiden terveyden ja turvallisuuden suojelemiseen liittyvät seikat sitä edellyttävät (YOL 37 a §, AMKL 26.2 § 2). Korkeakoulu voi opiskelijavalinnan yhteydessä pyytää hakijalta tietoa opiskeluoikeuden peruuttamista koskevasta päätöksestä. Korkeakoululla on myös oikeus salassapitosäännösten estämättä saada tieto opiskeluoikeuden peruuttamista koskevasta päätöksestä ja sen perusteluista toiselta korkeakoululta ja koulutuksen järjestäjältä (YOL 37 b §, AMKL 27 §). Oikeus tiedonsaantiin koskee myös vasta vireillä olevaa peruuttamisasian käsittelyä, jos opiskelija on hakenut toiseen korkeakouluun siirto-opiskelijana (YOL 43 b §, AMKL 34 §). Jo myönnetyn opiskeluoikeuden voi peruuttaa opiskeluoikeuden peruuttamispäätöksen salaamisen perusteella, jos korkeakoulu on pyytänyt hakijalta tietoa ja hakija on tiedon salannut (YOL 43 a §, AMKL 33 §).

Korkeakoulu voi pyytää opiskelijaa esittämään rikosrekisteriotteen, kun opinnoissa annetaan tehtäviä, jotka edellyttävät olennaisesti alaikäisten parissa työskentelyä (YOL 43 b §, AMKL 34 §). Ote pyydetään vasta opintojen aikana, mutta mahdollisuudesta edellyttää sen esittämistä on syytä tiedottaa jo hakuvaiheessa.

Hakijan tulee korkeakoulun pyynnöstä antaa SORA-aloilla opiskelijavalinnassa tarpeelliset terveydentilaansa koskevat tiedot (YOL 37 b §, AMKL 27 §). Tarkoitus ei ole, että kaikilta näiden alojen hakijoilta pyydetään lääkärintodistuksia, vaan hakijoita voidaan pyytää ilmoittamaan, täyttävätkö he oman arvionsa mukaan terveydentilaltaan ja toimintakyvyltään opiskelun asettamat vaatimukset. Jos hakijan ilmoituksen perusteella ilmenee aihetta, korkeakoulu voi edellyttää tarkempien terveydentilatietojen toimittamista. 

Näihin asioihin liittyviä hakijan terveydentilaa koskevia tietoja saavat käsitellä vain ne henkilöt, jotka valmistelevat tai tekevät päätöksen opiskelijavalinnasta, opiskeluoikeuden peruuttamisesta, opiskeluoikeuden palauttamisesta tai kurinpidosta taikka antavat lausuntoja mainituista asioista.

[1] Ks. tietosuojavaltuutetun opas ”Opinnäytetyöt ja tietosuoja”, saatavilla verkko-osoitteessa http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6Jfq6unMt/Opinnaytetyot_ja_tietosuoja.pdf (käyntipäivä 16.3.2015).

[2] Ks. tietosuojavaltuutetun kannanotto Dnro 2398/452/2005, saatavilla verkko-osoitteessa http://www.tietosuoja.fi/fi/index/ratkaisut/ammattikorkeakoulussaopiskelevienhenkilo.html (käyntipäivä 16.3.2015).

[3] Ks. myös tietosuojavaltuutetun opas ”Sukututkimus henkilötietolain mukaan” Saatavilla verkossa osoitteessa < http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6JfqEGkcR/Sukututkimus_henkilotietolain_mukaan.pdf> 12.5.2017

[4] Laki viranomaisten toiminnan julkisuudesta 24 § 31 kohta, turvakiellosta kts. väestötietojärjestelmästä ja Väestörekisterikeskuksen varmennepalveluista annetun lain 36-37 §.

[5] Ks. myös tietosuojavaltuutetun opas ”Henkilömatrikkelit” Saatavilla verkossa osoitteessa < http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6JfpmJ7hv/Henkilomatrikkelit.pdf > 12.5.2017

[6] Ks. myös tietosuojavaltuutetun opas ”Henkilötietojen siirto ulkomaille henkilötietolain mukaan”, saatavilla verkko-osoitteessa http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/5JpRhVW1x/HENKILOTIETOJEN_SIIRTO_ULKOMAILLE_HENKILOTIETOLAIN_MUKAAN._10.6.2014pdf.pdf 12.5.2017.

[7] Kts. tietosuojavaltuutetun oppaat ”Tietosuoja ja tieteellinen tutkimus henkilötietolain kannalta”, saatavilla verkosta osoitteessa <http://www.tietosuoja.fi/uploads/8evlt8qrbsw3ud.pdf> sekä ”Rekisteritutkimuksen tietosuojaopas tutkijoille ja tietopyyntöjä käsitteleville viranomaiselle”, saatavilla verkosta osoitteessa <http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6JfqBT5i3/Rekisteritutkimuksen_tietosuojaopas_tutkijoille_ja_tietopyyntoja_kasitteleville_viranomaisille.pdf> 12.5.2017.

[8] Hallituksen esitys Eduskunnalle henkilötietolaiksi ja eräiksi siihen liittyviksi laeiksi,  HE 96/1998

[9] kts. Tietosuojavaltuutetun antama vastaus Dnro 2460/06/2012

[10] KHO:2013:181

[11] Tietosuojavaltuutetun kannanotto 3572/452/2015. Tämä ei kuitenkaan tarkoita, että kaikkien opinnäyte- ja lopputöiden voidaan automaattisesti katsoa olevan henkilötietolain 14 §:n mukaisia tieteellisiä tutkimuksia, vaan ainoastaan sellaisten, jotka täyttävät edellä mainitut ja tietosuojavaltuutetun ratkaisussa ilmenevät ehdot.

[12] kts. Tutkimuseettisen neuvottelukunnan julkaisu ”Hyvä tieteellinen käytäntö ja sen loukkausepäilyjen käsitteleminen Suomessa” Saatavilla verkosta osoitteessa: http://www.tenk.fi/sites/tenk.fi/files/HTK_ohje_2012.pdf 12.5.2017.

[13] Tietosuojavaltuutetun opas ”Henkilötietojen luovuttaminen viranomaisen henkilörekisteristä”. Saatavilla verkosta osoitteessa: <http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6Jfpq2GsB/Henkilotietojen_luovuttaminen_viranomaisten_henkilorekistereista.pdf> 12.5.2017.

[14] Tietosuojavaltuutetun opas salassapidettävien henkilötietojen luovuttaminen viranomaisen henkilörekisteristä viranomaisen luvalla. Saatavilla verkosta osoitteessa http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6JfqDAzGZ/Salassapidettavien_henkilotietojen_luovuttaminen_viranomaisen_henkilorekisterista_viranomaisen_luvalla.pdf 12.5.2017.

[15] Kts. esimerkiksi tietosuojavaltuutetun ratkaisu Dnro 2853/44/3012 ”Voiko yliopisto luovuttaa lopputyötään tekevälle opiskelijalle muiden opiskelijoiden yhteystietoja” Saatavilla verkosta osoitteessa: http://www.tietosuoja.fi/fi/index/ratkaisut/voikoyliopistoluovuttaalopputyotaantekev.html 12.5.2017.

[16] Tietosuojavaltuutetun opas ”Henkilötietojen käsittely suostumuksen perusteella”. Saatavilla verkossa osoitteessa: : http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6JfpovHIV/Henkilotietojen_kasittely_suostumuksen_perusteella.pdf 12.5.2017.

[17] Tietosuojavaltuutetun toimiston malli tieteellisen tutkimuksen rekisteriselosteeksi sekä täyttöohjeet ovat löydettävissä täältä: http://www.tietosuoja.fi/fi/index/materiaalia/lomakkeet/rekisteri-jatietosuojaselosteet.html 12.5.2017.

[18] Katso tarkemmin tietosuojavaltuutetun toimiston opas ” Tarkistuslista henkilötietojen luovutusmenettelyä suunniteltaessa huomioon otettavista asioista”. Saatavilla verkosta osoitteessa: http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6JfqH98iF/Tarkistuslista_henkilotietojen_luovutusmenettelya_suunniteltaessa_huomioon_otettavista_asioista.pdf 12.5.2017.

[19] Kts. Tietosuojavaltuutetun kannanotto ”Voiko yliopisto luovuttaa lopputyötään tekevälle opiskelijalle muiden opiskelijoiden yhteystietoja.” Dnro 2853/44/3012 15.3.2013.

[20] Ks. myös tietosuojavaltuutetun opas ”Henkilötietojen siirto ulkomaille henkilötietolain mukaan”. Saatavilla verkosta osoitteessa <http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/5JpRhVW1x/HENKILOTIETOJEN_SIIRTO_ULKOMAILLE_HENKILOTIETOLAIN_MUKAAN._10.6.2014pdf.pdf> 12.5.2017.

[21] Ks. myös tietosuojavaltuutetun opas ”Henkilötietojen siirto ulkomaille henkilötietolain mukaan”. Saatavilla verkosta osoitteessa <http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/5JpRhVW1x/HENKILOTIETOJEN_SIIRTO_ULKOMAILLE_HENKILOTIETOLAIN_MUKAAN._10.6.2014pdf.pdf> 12.5.2017.

[1] Kts. Tietosuojavaltuutetun kannanotto ”Voiko yliopisto luovuttaa lopputyötään tekevälle opiskelijalle muiden opiskelijoiden yhteystietoja.” Dnro 2853/44/3012 15.3.2013.

[1] Kts. esimerkiksi tietosuojavaltuutetun ratkaisu Dnro 2853/44/3012 ”Voiko yliopisto luovuttaa lopputyötään tekevälle opiskelijalle muiden opiskelijoiden yhteystietoja” Saatavilla verkosta osoitteessa: http://www.tietosuoja.fi/fi/index/ratkaisut/voikoyliopistoluovuttaalopputyotaantekev.html 12.5.2017.

[2] Tietosuojavaltuutetun opas ”Henkilötietojen käsittely suostumuksen perusteella”. Saatavilla verkossa osoitteessa: : http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6JfpovHIV/Henkilotietojen_kasittely_suostumuksen_perusteella.pdf 12.5.2017.

[3] Tietosuojavaltuutetun toimiston malli tieteellisen tutkimuksen rekisteriselosteeksi sekä täyttöohjeet ovat löydettävissä täältä: http://www.tietosuoja.fi/fi/index/materiaalia/lomakkeet/rekisteri-jatietosuojaselosteet.html 12.5.2017.

[4] Katso tarkemmin tietosuojavaltuutetun toimiston opas ” Tarkistuslista henkilötietojen luovutusmenettelyä suunniteltaessa huomioon otettavista asioista”. Saatavilla verkosta osoitteessa: http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6JfqH98iF/Tarkistuslista_henkilotietojen_luovutusmenettelya_suunniteltaessa_huomioon_otettavista_asioista.pdf 12.5.2017.

[1] Ks. myös tietosuojavaltuutetun opas ”Henkilötietojen siirto ulkomaille henkilötietolain mukaan”, saatavilla verkko-osoitteessa http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/5JpRhVW1x/HENKILOTIETOJEN_SIIRTO_ULKOMAILLE_HENKILOTIETOLAIN_MUKAAN._10.6.2014pdf.pdf 12.5.2017.

[2] Kts. tietosuojavaltuutetun oppaat ”Tietosuoja ja tieteellinen tutkimus henkilötietolain kannalta”, saatavilla verkosta osoitteessa <http://www.tietosuoja.fi/uploads/8evlt8qrbsw3ud.pdf> sekä ”Rekisteritutkimuksen tietosuojaopas tutkijoille ja tietopyyntöjä käsitteleville viranomaiselle”, saatavilla verkosta osoitteessa <http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6JfqBT5i3/Rekisteritutkimuksen_tietosuojaopas_tutkijoille_ja_tietopyyntoja_kasitteleville_viranomaisille.pdf> 12.5.2017.

[3] Hallituksen esitys Eduskunnalle henkilötietolaiksi ja eräiksi siihen liittyviksi laeiksi,  HE 96/1998

[4] kts. Tietosuojavaltuutetun antama vastaus Dnro 2460/06/2012

[5] KHO:2013:181

[6] Tietosuojavaltuutetun kannanotto 3572/452/2015. Tämä ei kuitenkaan tarkoita, että kaikkien opinnäyte- ja lopputöiden voidaan automaattisesti katsoa olevan henkilötietolain 14 §:n mukaisia tieteellisiä tutkimuksia, vaan ainoastaan sellaisten, jotka täyttävät edellä mainitut ja tietosuojavaltuutetun ratkaisussa ilmenevät ehdot.

[7] kts. Tutkimuseettisen neuvottelukunnan julkaisu ”Hyvä tieteellinen käytäntö ja sen loukkausepäilyjen käsitteleminen Suomessa” Saatavilla verkosta osoitteessa: http://www.tenk.fi/sites/tenk.fi/files/HTK_ohje_2012.pdf 12.5.2017.

[8] Tietosuojavaltuutetun opas ”Henkilötietojen luovuttaminen viranomaisen henkilörekisteristä”. Saatavilla verkosta osoitteessa: <http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6Jfpq2GsB/Henkilotietojen_luovuttaminen_viranomaisten_henkilorekistereista.pdf> 12.5.2017.

[9] Tietosuojavaltuutetun opas salassapidettävien henkilötietojen luovuttaminen viranomaisen henkilörekisteristä viranomaisen luvalla. Saatavilla verkosta osoitteessa http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6JfqDAzGZ/Salassapidettavien_henkilotietojen_luovuttaminen_viranomaisen_henkilorekisterista_viranomaisen_luvalla.pdf 12.5.2017.

[1] Ks. myös tietosuojavaltuutetun opas ”Sukututkimus henkilötietolain mukaan” Saatavilla verkossa osoitteessa < http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6JfqEGkcR/Sukututkimus_henkilotietolain_mukaan.pdf> 12.5.2017

[2] Laki viranomaisten toiminnan julkisuudesta 24 § 31 kohta, turvakiellosta kts. väestötietojärjestelmästä ja Väestörekisterikeskuksen varmennepalveluista annetun lain 36-37 §.

[3] Ks. myös tietosuojavaltuutetun opas ”Henkilömatrikkelit” Saatavilla verkossa osoitteessa < http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6JfpmJ7hv/Henkilomatrikkelit.pdf > 12.5.2017

[1] Ks. tietosuojavaltuutetun kannanotto Dnro 2398/452/2005, saatavilla verkko-osoitteessa http://www.tietosuoja.fi/fi/index/ratkaisut/ammattikorkeakoulussaopiskelevienhenkilo.html (käyntipäivä 16.3.2015).

[1] Ks. tietosuojavaltuutetun opas ”Opinnäytetyöt ja tietosuoja”, saatavilla verkko-osoitteessa http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/6Jfq6unMt/Opinnaytetyot_ja_tietosuoja.pdf (käyntipäivä 16.3.2015).