Taustaa

Koulutustoimialan pienryhmä päätti kokouksessaan 9.10.2017 kerätä kysymyspankkia eri tahoille saapuneista kysymyksistä ja vastauksia näihin.

Esitettyjä kysymyksiä

Rekisterinpitäjän ja henkilötietojen käsittelijän roolit

• Mihin päättyy ja kuinka pitkälle ulottuu rekisterinpitäjän vastuu? Esim. KOSKI-palvelu: Opetushallitus vastaa tiedoista KOSKi-palvelussa ja niiden käytöstä siitä eteenpäin? CSC kehittää ja ylläpitää VIRTA-opintotietopalvelua tietovarannon teknisenä ylläpitäjänä, opetus- ja kulttuuriministeriön valtuuttamana, ja on tiedon käsittelijä.
• Missä vaiheessa palvelun tarjoaja muuttuu rekisterinpitäjäksi?
• VIRTA-opintotietopalvelu (korkeakoulujen tietovaranto) perustuu lakiin: "Opetus- ja kulttuuriministeriö vastaa tietovarannon teknisenä ylläpitäjänä tietovarannon yleisestä toiminnasta sekä teknisestä käyttöyhteydestä tietojen tallentamista, käsittelyäja luovutusta varten". OKM ostaa palvelun ylläpidon ja kehittämisen CSC:ltä. Korkeakoulut toimivat VIRTAan tallennetun tiedon rekisterinpitäjänä. Onko VIRTAan liittyen tarpeen se, että korkeakoulut ohjeistavat henkilötietojen käsittelyä?Tulisiko henkilötietojen käsittelystä sopia korkeakoulujen ja OKM:n /CSC:n välillä?
  
  

Tietosuojavastaavan rooli

Tietojen luovuttaminen

• Tietojen luovuttaminen kolmannelle taholle esim. tutkimuskäyttöön. Tuleeko tieto luovutuksesta välittää opiskelijalle tai jättää rekisteriin? Miten tiedot välitetään ja pitääkö vaatia, että tietojen hävittäminen tutkimustiedon keruun jälkeen hävitetään.

Arkaluontoisten tietojen käsittely

• Mahdollisesti suosituskuvaus opiskelijoiden terveystietojen käsittelystä: miten ja kauanko tietoja säilytetään, missä? Kuka pääsee tietoihin? Arkaluonteisten tietojen käyttö kokonaisuudessaan. Vrt. henkilöstön sairauslomatodistukset ja käsittely keskitetysti

Opiskelu ja opetus

• Jos yhteistä opiskelijarekisteriä käyttää kaksi eri korkeakoulua, onko opettajilla/virkailijoilla/pääkäyttäjillä oikeus nähdä molempien korkeakoulujen opiskelijat (erillis- ja tutkinto-opiskelijat) ja heidän henkilötietoja, ilmoittautumiset kurssille ja suoritukset. Hopsit varmaankin pystytään rajaamaan tietylle opettajalle, mutta miten pääkäyttäjien rooli
• Miten suhtaudutaan esim. opettajan tallentamiin excel-listoihin, (joita käyttää esim. arvostelun yhteydessä?) Saako tallentaa niitä esim. omille muistitikuille.?
• Miten suhtaudutaan esim. opettaja käyttää korkeakoulun ulkopuolella olevaa "ilmaista" alustaa, johon opiskelijoiden pitää kirjautua esim. Facebook tai instagram tili tiedoilla?
• Mikä on opiskelijajärjestöjen asema? Niillä on linkkejä tiedonvaihdossa korkeakoulujen kanssa. Pitääkö järjestöillä olla oma tietosuojavastaava, sillä niilläkin on henkilörekisteri?
• Yliopisto- ja amk-puolella tiedonvaihto opiskelijajärjestöjen kanssa erilaista, sillä amk-puolella on jäsenyys vapaaehtoista, ei lakiin perustuvaa (lupa kuitenkin saatava).

• Satunnaisen henkilön tietojen katsominen, esim. tarkistaakseen miten tietyt tiedot kuuluu kirjata, satunnainen opiskelijanumero tai aakkosissa ensimmäinen henkilö. Miten tämä perusteellaan, jos selitettäväksi miksi kyseisen henkilön tietoja katsottu?

• Mihin hakijadataa voi käyttää ja voiko sitä yhdistää opintotietoihin. Eli voiko hakijadataa käyttää opetuksen suunnitteluun tai esimerkiksi apuna uusien valintaperusteiden laatimisessa? Tiedekunnat toivovat, että hakijan tietoja yhdistettäisiin opintotietoihin, jotta nähtäisiin onko valintapisteillä (tai yo-arvosanoilla) vaikutusta opintomenestykseen. Tätä tietoa hyödynnettäisiin sitten uusia valintaperusteita suunniteltaessa. Tiedolle olisi kysyntää erityisesti nyt, kun tiedekunnilla on tarve kehittää valintoja entistä enemmän todistusvalinnan suuntaan.

Ilmoitusvelvollisuus

• Riittääkö rekisteriselosteiden pohjalta tehty yleisempi kuvaus siitä, mitä tietoja kerätään ja miksi?