CSC – Tieteen tietotekniikan keskus Oy (Toimittaja) on tehnyt korkeakoulujen (Tilaaja) kanssa sopimukset, joiden yhteydessä suoritetaan sellaista palvelua, jossa Toimittaja toimii Tilaajan ylläpitämään henkilörekisteriin kuuluvien henkilötietojen käsittelijänä. Korkeakoulut ovat rekisterinpitäjiä VIRTA-opintotietopalvelun suhteen ja CSC on tietojen käsittelijä. 

Tällä sivulla kuvataan tämänhetkiset (5.4.2024) korkeakoulujen edustajista kootun työryhmän laatimat käsittelytoimet, joita Toimittaja henkilötietojen käsittelijänä tekee Tilaajan puolesta, henkilötietojen tyypit, käsiteltävät henkilötiedot sekä kuvaus teknisistä ja organisatorisista suojatoimista. Käsittelytoimien kuvaus liitetään osaksi sopimuksia.

Tätä ohjeistusta katselmoidaan ja päivitetään säännöllisesti. Päivitystarve aktivoituu seuraavissa tilanteissa:

1. Lakiin valtakunnallisista opinto- ja tutkintorekistereistä (884/2017) tulee merkittävä muutos velvoitteisiin tallentaa tietoja VIRTA-opintotietopalveluun, tai
2. Joku rekisterinpitäjistä ja käsittelijä tekee aloitteen tämän ohjeistuksen päivittämiseksi.

Lisäksi ohjeistus katselmoidaan vuosittain edellisestä päivityksestä, jolloin arvioidaan tarve päivittää ohjeistus, vaikkeivät 1. tai 2. kohdat olisi aktivoituneet. Ohjeistuksen päivittämisestä vastaa VIRTA-yhteyshenkilöiden ryhmä.

Taustamateriaali: Tietojen luovutus VIRTA-opintotietopalvelusta

Henkilötietojen käsittelytoimien kuvaus

Yleistä

Henkilötietojen käsittelyn yleisistä ehdoista korkeakoulujen ja CSC - Tieteen tietotekniikan keskus Oy:n välillä sovitaan osapuolten välisen puitesopimuksen liitteessä 1. Henkilötietojen käsittelyn ehdot. Tässä korkeakoulujen ja CSC:n väliseen puitesopimukseen sisältyvässä palvelutilauksessa sovitaan tarkemmin henkilötietojen käsittelyn kuvauksesta, käsittelyssä toteutettavista suojatoimenpiteistä ja alikäsittelijöistä VIRTA-opintotietopalvelussa.

VIRTA-opintotietopalvelu on vuonna 2014 käyttöönotettu valtakunnallinen tietovaranto, johon kootaan korkeakoulujen opiskelijatietoja sisältävien rekisterien tietosisältöä. Tietosisältö välitetään luotettavasti, tehokkaasti ja yhteismitallisesti eri toimijoiden ja palveluiden käytettäväksi. Keskitetysti ja yhteismitallisesti saatavilla olevat tiedot vähentävät tiedon toimittajien ja käyttäjien työmäärää. 

VIRTA-opintotietopalvelu on lakisääteinen yhteisrekisteri, jonka laissa säädetyt tehtävät mahdollistavat tietojen monipuolisen ja läpinäkyvän käytön. VIRTA-opintotietopalveluun on mahdollista integroitua teknistä rajapintaa käyttämällä joko VIRTAn ulkoista ws-rajapintaa tai vuodesta 2016 alkaen Kansallisen Palveluväylän kautta. VIRTA-opintotietopalvelun tietoja on mahdollista hyödyntää myös CSC - Tieteen tietotekniikan keskus Oy:n toteuttamien tietopoimintojen kautta.

Korkeakoulujen tietovarannosta ja siitä tapahtuvasta tiedonluovutuksesta säädetään tällä hetkellä voimassa olevassa laissa valtakunnallisista opinto- ja tutkintorekistereistä (884/2017). Lainsäädäntö velvoittaa kaikki opetus- ja kulttuuriministeriön hallinnonalaan kuuluvat korkeakoulut tuomaan opintotietoja VIRTA-opintotietopalveluun. Korkeakoulut ja opetus- ja kultuuriministeriö toimivat tietovarannon yhteisrekisterinpitäjinä.  Myös muut korkeakoulut eli Poliisiammattikorkeakoulu, Maanpuolustuskorkeakoulu ja Högskolan på Åland voivat tuoda tietojaan VIRTAan. Polamk tuo tietonsa VIRTAan samassa laajuudessa kuin muutkin ammattikorkeakoulut,  Maanpuolustuskorkeakoulu tuo VIRTAan vain tutkinto- ja opiskeluoikeustietoja. Högskolan på Åland ei ole tällä hetkellä mukana VIRTAssa.

VIRTA-opintotietopalvelun toimintaa ohjaa Opetus- ja kulttuuriministeriön asettama Oppijan tietovirtojen ja VIRTA-opintotietopalvelun ohjausryhmä. Ohjausryhmällä on tehtävien mukainen mandaatti ohjata VIRTA-opintotietopalvelun toimintaa, huomioiden kuitenkin opintotietopalvelun opetus- ja kulttuuriministeriöstä tuleva rahoitusohjaus. 

VIRTA-opintotietopalvelun ylläpidon ja kehittämisen perustana on toimijoiden välinen tiivis yhteistyö. VIRTA-tietojen saatavuuteen, laatuun, yhteismitallisuuteen ja hyödyntämiseen liittyviä kysymyksiä käsitellään erilaisissa VIRTA-opintotietopalvelun yhteistyöryhmissä: säännöllisesti järjestettävissä korkeakoulujen VIRTA-yhteyshenkilöiden kokouksissa, viranomaistiedonkeruiden asiantuntijaryhmissä ja tarvittaessa järjestettävissä työpajoissa ja kokouksissa, joissa valmistellaan tietomallin laajentamistarpeita tai uusia tiedonhyödyntämisen käyttötapauksia. OKM informoi tietotarpeisiinsa tulevista muutoksista vuosittain KOTA-seminaarissa.  CSC fasilitoi yhteistyöryhmien toimintaa, tukee korkeakouluja VIRTA-tietojen tuotannossa ja tiedonhyödyntäjätahoja tietojen käytössä.

Eri toimijatahojen vastuut on kuvattu VIRTA-opintotietopalvelun hallintamallissa. Huom! Hallintamallin päivitystyö on kesken. 

Kuvaus henkilötietojen käsittelystä

Rekisterinpitäjä: Korkeakoulu (”Tilaaja” puitesopimuksessa)

Käsittelijä: CSC - Tieteen tietotekniikan keskus Oy ("Toimittaja" puitesopumuksessa)

Sopimus, johon tämä asiakirja liittyy: Korkeakoulujen ja CSC:n välinen puitesopimus

Käsittelyn tarkoitus ja luonne

Opetus- ja kulttuuriministeriö vastaa VIRTA-opintotietopalvelun yleisestä toiminnasta sekä teknisestä käyttöyhteydestä tietojen tallentamista, käsittelyä ja luovutusta varten. Yliopistot ja ammattikorkeakoulut vastaavat tallentamiensa tietojen yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan d alakohdassa tarkoitetusta täsmällisyydestä sekä 16 artiklan mukaisesta rekisteröidyn oikeudesta tietojen oikaisemiseen. Opetus- ja kulttuuriministeriö vastaa muista yleisessä tietosuoja-asetuksessa rekisterinpitäjälle säädetyistä velvollisuuksista. (Laki valtakunnallisista opinto- ja tutkintorekistereistä 884/2017, 24 §.) Opetus- ja kulttuuriministeriön valtuuttamana CSC KTPO-sopimuksen puitteissa vastaa mm. teknisen tietovarannon ja sen rajapintojen ylläpidosta sekä tietovarannon tietojen käytön tuesta.

Käsittelijä toteuttaa käsittelyn ja ylläpitää käsittelyn turvallisuuden edellyttämät asianmukaiset tekniset ja organisatoriset toimenpiteet. Toimenpiteillä varmistetaan, että henkilötietojen käsittely noudattaa puitesopimuksen velvoitteita sekä Rekisterinpitäjän ja Käsittelijän välillä sovittuja henkilötietojen käsittelyn ehtoja ja sovittuja käytäntöjä.

Käsittelijä voi käsitellä henkilötietoja tarpeen mukaan palvelun toteuttamiseksi, mukaan lukien tarvittaessa: tietojen ylläpito ja tallennus; tietojen poiminta ja tarkistustietojen tuottaminen korkeakoulujen käyttöön; tietojen yhdistely sekä siirto tai luovutus rekisterinpitäjän puolesta; muutosten hallinta; varmuuskopiointi; käsittely- ja siirtolokitus; toipumissuunnitelman mukaiset toimenpiteet; ongelman ratkaisu; uusien tuote- tai järjestelmäversioiden päivitys; seuranta- ja testaus järjestelmän käytettävyyden ja toimintojen varmistamiseksi; IT -turvallisuustarkoitukset mukaan lukien tietoturvaloukkausten hallinta; teknisten tukijärjestelmien ja IT-infrastruktuurin ylläpito; sekä migraatiot, käyttöönotto, konfigurointi ja suorituskykytestaus. Tietojen hyödyntämisessä havaittujen puutteiden ja virhetilojen selvittely, tarvittaessa yhteistyössä tietoja käyttävien viranomaisten ja rekisterinpitäjän kanssa. Siirtotiedostomuodossa luovutettavien tietoaineistojen tekninen siistiminen tarvittaessa. 

Toimenpiteiden tarkoituksena on varmistaa henkilötietojen lainmukainen käsittely sekä henkilötietojen käsittelyyn käytettävien järjestelmien ja palveluiden luottamuksellisuus, eheys, saatavuus ja vikasietoisuus.

Käsittelijä ei käsittele eikä muulla tavoin hyödynnä sopimuksen perusteella käsittelemiään henkilötietoja muutoin kuin sopimuksen täyttämisen mukaisessa tarkoituksessa ja laajuudessa.

Rekisteröityjen ryhmät 

Korkeakoulut tallentavat VIRTA-opintotietopalveluun opiskelijarekistereissään ja muissa henkilörekistereissään (esim. liikkuvuusjaksotiedot) olevia tietoja ja jotka liittyvät korkeakoulun tutkinto-opiskelijoihin ja muussa kuin tutkintotavoitteisessa koulutuksessa opiskeleviin henkilöihin.

Palvelussa käsitellään myös lokitietoja Käsittelijän työntekijöistä.

Henkilötietojen tyypit

Korkeakoulut siirtävät opintotietoja VIRTA-opintotietopalveluun omista lähdejärjestelmistään pääsääntöisesti kerran vuorokaudessa. Tiedonsiirrossa siirretään kaikki tiedot ja ne korvaavat edellisenä vuorokautena siirretyt tiedot. Tämän seurauksena aikaisemmin tehtyjen siirtojen tiedot eivät jää tietovarantoon.

Siirto sisältää opiskelijan perustiedot, opiskeluoikeuteen liittyvät tiedot, opintosuorituksiin liittyvät tiedot sekä opiskelijan kansainväliseen liikkuvuuteen liittyvät tiedot.

Opiskelijan perustiedoilla tarkoitetaan tässä kohden henkilön yksilöintiin tarkoitettuja tietoja, joita ovat muun muassa sukunimi, etunimi, sukupuoli, kansalaisuus, äidinkieli sekä koti- ja asuinkunta. Tämän lisäksi henkilön perustietoja ovat tunnistetiedot henkilöstä, joiden avulla voidaan henkilön tietoja hakea kuten henkilötunnus ja oppijanumero.

Opiskeluoikeuteen liittyvillä tiedoilla tarkoitetaan tässä kohden tutkintoa/koulutusta, jossa henkilö opiskelee. Näihin tietoihin liittyvät opiskeluoikeuden tyyppi, opiskeluoikeuden alkamis- ja päättymispäivämäärät, koulutuskoodi, opiskelupaikkakunta ja koulutuskieli sekä opiskeluoikeuden status. Opiskeluoikeuden statuksella tarkoitetaan opiskeluoikeuden tilaa, jolla määritellään oikeutta suorittaa opintoja. Opiskeluoikeuteen liittyviin tietoihin kuuluvat myös lukukaudelle ilmoittautumisen tiedot, joka on tutkinto-opiskelijoille lakisääteinen. Opiskeluoikeuteen linkittyy tieto koulutuksen rahoituslähteestä.

Opintosuorituksiin liittyvillä tiedoilla tarkoitetaan opiskelijan suorittamia opintosuorituksia sekä niihin liittyviä arvosanoja, suorituspäiviä ja tutkintoa sekä tutkinnon tuottamaa pätevyyttä.

Kansainväliseen liikkuvuuteen liittyvillä tiedoilla tarkoitetaan niin lähtevien kuin saapuvien vaihto-opiskelijoiden tietoja. Nämä tiedot käsittävät liikkuvuuden alkamis- ja päättymispäivämäärät, liikkuvuusohjelman, lähtö- ja kohdemaan sekä liikkuvuuden tyyppi kuten opiskelija-/harjoitteluvaihto.

Ulkomaalaisten (EU, ETA ja Sveitsin ulkopuolelta tulevien) tutkinto-opiskelijoiden lukuvuosimaksutiedot.

Lisäksi yllämainittuja tietoja muista kuin tutkintoon johtavassa koulutuksessa opiskelevista henkilöistä. Tässä kohden tarkoitetaan esimerkiksi avoimen korkeakouluopetuksen, erillisten opintojen,  opettajakoulutuksen opintojen, maahanmuuttajien valmentavan koulutuksen ja erikoislääkärikoulutuksen opiskeluoikeustietoja.

Muut korkeakoulun määrittämät VIRTA-opintotietopalveluun tuotavat tiedot.

Käsittelyn kesto

Valtakunnallisista opinto- ja tutkintorekistereistä annetun lain 27 §:ssä säädetään, että 25 §:n 1 momentissa tarkoitetut tiedot säilytetään tietovarannossa pysyvästi.

Muiden tietojen osalta tietojen säilytyksestä vastaavat korkeakoulut oman säilytysaikapolitiikkansa mukaisesti. VIRTA-opintotietopalvelussa olevat tiedot ovat kopio korkeakoulun opiskelijarekisterin sisällöstä ja opiskelijarekisteriin tehtävät muutokset päivittyvät VIRTA-opintotietopalveluun korkeakoulun seuraavassa tiedonsiirrossa. Tällöin opiskelijarekisteristä poistetut tiedot poistuvat myös VIRTA-opintotietopalvelusta. 

Lisäksi viranomaisraportointia varten muodostettuja siirtotiedostoja säilytetään CSC:n toimesta kaksi kuukautta, jonka jälkeen tiedostot poistetaan. Poikkeuksena tästä tiedostot voidaan säilyttää erityistilanteessa tarvittaessa pidempään esim. viranomaisen pyynnöstä mutta silloinkin tiedostot poistetaan heti, kun niille ei enää ole tarvetta. 

Käsittelyyn osallistujat alihankkijat

• CGI Suomi Oy
  • Henkilötietojen käsittelyn ehdoista ja tietoturvavaatimuksista on sovittu CSC- Tieteen tietotekniikan keskus Oy:n ja CGI Suomi Oy:n välisessä palvelunostosopimuksessa.
  • CGI:tä ostettava asiantuntijapalvelu koostuu pääosin asiakaspalvelutehtävistä (tiedoissa olevien virheiden ja puutteiden selvittely, korkeakoulujen tiedonsiirron ongelmatilanteet, tiedonhyödyntäjien tuki) sekä tietopoimintojen teknisestä toteuttamisesta.
    

Käsittelyn maantieteellinen sijainti

Käsittelyn maantieteellinen sijainti on Suomi. VIRTA-opintotietopalvelu toimii CSC:n sisäisillä palvelimilla.

Tietoja ei luovuteta EU/ETA-alueen ulkopuolelle. Poikkeuksena tähän on kuitenkin tilanne, jossa

• opiskelija eli rekisteröity tekee omaan aktiivisuuteen perustuvan tietojensa siirtopyynnön omien tietojensa siirtämisestä EU/ETA-alueen ulkopuolelle omaan EMREX-verkostoon kuuluvaan kotikorkeakouluunsa. Tiedot luovutetaan opiskelijalle itselleen, joka välittää tiedot kotikorkeakouluunsa.

Ohjeistuksen päivittäminen

Tätä ohjeistusta katselmoidaan ja päivitetään säännöllisesti. Päivitystarve aktivoituu seuraavissa tilanteissa:

1. Lakiin valtakunnallisista opinto- ja tutkintorekistereistä (884/2017) tulee merkittävä muutos velvoitteisiin tallentaa tietoja VIRTA-opintotietopalveluun, tai
2. Joku rekisterinpitäjistä ja käsittelijä tekee aloitteen tämän ohjeistuksen päivittämiseksi.

Lisäksi ohjeistus katselmoidaan vuosittain edellisestä päivityksestä, jolloin arvioidaan tarve päivittää ohjeistus, vaikkeivät 1. tai 2. kohdat olisi aktivoituneet. Ohjeistuksen päivittämisestä vastaa VIRTA-yhteyshenkilöiden ryhmä.

Käsittelyn tekniset ja organisatoriset suojatoimet 

1. Tarkoitus

Tämä kuvaus henkilötietojen suojatoimista (technical and organisational security measures, TOMs) on osa tietosuoja-asetuksen (EU) 2016/679 artiklan 28 tarkoittamaa Rekisterinpitäjän ja Käsittelijän välistä sopimusta henkilötietojen käsittelystä. Erityisiin henkilötietoryhmiin kuuluvien tietojen suojaamisvelvoitteista on säädetty tietosuojalaissa (1050/2019). Erityisiin henkilötietoryhmiin kuuluvia tietoja kutsutaan tässä dokumentissa arkaluonteiseksi henkilötiedoksi. Alla on lueteltu suojatoimet, jotka CSC toteuttaa VIRTA-opintotietopalvelussa.

Henkilötietojen käsittelijällä on oikeus muuttaa suojatoimenpiteitä yksipuolisesti ja ilman erillistä ilmoitusta, kun muutokset säilyttävät suojauksen tason tai parantavat sitä. Yksittäinen suojatoimi voidaan korvata toisella, kun se ei heikennä henkilötietojen suojausta. CSC voi tehdä muutoksia tähän kuvaukseen, mikäli henkilötietojen suojatoimia muutetaan. Olennaisista muutoksista ilmoitetaan rekisterinpitäjälle..

2. Suojaustoimet

2.1. Yleistä

• Palvelua tuotetaan CSC:n tietosuojapolitiikan ja tietoturvahallintamallin periaatteiden mukaisesti  mukaan lukien sisäiset tarkistukset ja mahdolliset auditoinnit.
  
• Tiedot tallennetaan CSC:n hallinnoimille palvelimille, jotka sijaitsevat EU:ssa (Suomi).
• CSC:n henkilöstö noudattaa työssään tietosuojalain 35 § mukaista vaitiolovelvollisuutta ja heitä sitoo hyväksikäyttökielto.
• CSC:llä on nimetty tietosuojavastaava.
• CSC:llä on tietoturvavastaava, joka toimii yhteyspisteenä tietoturvaan liittyvissä asioissa.  
• Henkilötietoja käsittelevien tietosuoja- ja tietoturvaosaamista ylläpidetään säännöllisin ja pakollisin koulutuksin, joiden suorituksia seurataan aika ajoin.
• CSC:n suorittamat käsittelytoimet sovitaan kirjallisesti.
• CSC ylläpitää oman henkilöstönsä pääsyoikeuksia, jotka ovat roolipohjaisia ja noudattavat vähimpien oikeuksien periaatetta.
• Pääsy tietoihin annetaan vain niille, joiden työtehtäviin tämän palvelun henkilötietojen käsittely kuuluu ja vain siinä laajuudessa kuin se työtehtävien hoitamiseksi on välttämätöntä.
• Aineistot tarkastetaan automaattisen validoinnin avulla.
• Tietojen siirto tehdään salattua, tietoturvallisesti suojattua tiedonsiirtoyhteyttä käyttämällä.
• Palvelun eheyttä ja saatavuutta valvotaan erilliseen valvontajärjestelmään toteutetuilla kontrolleilla.
• Palvelussa on ajantasainen haittaohjelmatorjunta ja monikerroksinen suojaus.
• Palvelulla on palautumis- ja toipumissuunnitelmat.

2.2. Tietojen vastaanoton suojatoimet

• Aineistoja otetaan vastaan ainoastaan korkeakoulukohtaisesti salattua tiedonsiirtoa hyödyntäen.
• Tiedonsiirtoyhteydet VIRTA-opintotietopalvelun palvelimelle ovat asiakaskohtaisia.
• Tunnistautuminen tapahtuu asiakaskohtaisilla tunnisteilla.
• Aineistot otetaan käsittelyyn ainoastaan ennalta määritetyssä muodossa.

2.3. Tietojen säilytyksen suojatoimet

• Aineistojen varmuuskopioinnit toteutetaan ja palautetaan erikseen määriteltyjen prosessien mukaisesti. Aineistot varmuuskopioidaan sellaisessa muodossa, että niitä ei ole mahdollista lukea ilman palautuksen suorittamista. Varmuuskopioiden eheyttä valvotaan myös automaattisesti prosessien suorittamisen aikana.
  
•  Valvonnassa havaitut varmuuskopiointien tai palautuksien poikkeamat korjataan viipymättä
• Varmuuskopioita säilytetään vähintään kolme kuukautta.

2.4. Tietojen käytön ja käsittelyn suojatoimet

• Asiakasorganisaatioilla ja tiedonhyödyntäjillä on käytössä yksilöidyt tunnukset palveluun.
• Käsiteltävien tietojen tietokantoihin on ylläpito-oikeudet vain VIRTA-opintotietopalvelun ylläpitäjillä.
• Käsiteltävien tietojen tallennustilaan on ylläpito-oikeudet vain VIRTA-opintotietopalvelun ylläpitäjillä.
• Ylläpitotoimista kirjataan lokitiedot.
• Lokitietoja säilytetään vähintään kolme kuukautta.

2.5. Tietojen jakelun suojatoimet

• Tiedon jakelu tapahtuu joko rajapinnan tai muun ennalta määrätyn yhteyden kautta.
• Rajapintayhteys on toteutettu yksilöidysti avatulla pääsyllä (lupa kutsua rajapintaa).
• Muu yhteys tapahtuu asiakaskohtaisen tunnistautumisen kautta.
• Tiedonsiirroista kirjataan lokitiedot.
• Tiedonsiirroissa tapahtuvat virheet huomioidaan.

2.6. Tietojen hävityksen suojatoimet

• Aineistosta olevien varmuuskopioiden yhtäaikainen tuhoaminen kerralla ei ole mahdollista.
• Alkuperäisistä lähdetiedostoista on olemassa varmuuskopiot, joista tiedot voidaan tarvittaessa ajaa uudelleen tietokantaan.