Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

EU:n yleinen tietosuoja-asetus koulussa

4,706 views

Published on

Webinaari Snellman-kesäyliopistolle 29.11.2017, Harto Pönkä, Innowise

Published in: Education
  • Be the first to comment

EU:n yleinen tietosuoja-asetus koulussa

  1. 1. EU:n yleinen tietosuoja-asetus koulussa Harto Pönkä 29.11.2017
  2. 2. Tänään • 25.5.2018 lähtien sovellettava EU:n yleinen tietosuoja-asetus koulussa • Perusteet tutuiksi: henkilötiedot, tietosuoja ja yksityisyys • EU:n yleinen tietosuoja-asetus lyhyesti, mikä se on ja mitä se tarkoittaa koulun tapauksessa • Tietosuoja-asetukseen valmistautuminen ja nykytilan arviointi Laajempi webinaarisarja keväällä 2018 • 1. webinaari, ti 15.5.2018, klo 16-17:30 (1,5 h) • 2. webinaari, 22.5.2018, klo 16-17:30 (1,5 h) • 3. webinaari, 29.5.2018, klo 16-17:30 (1,5 h) • https://snellman-kesayliopisto.mobie.fi/zine/97/article-26279 Webinaarin sisältö
  3. 3. Lähteet: Yle uutiset, https://yle.fi/uutiset/3-9684480, https://yle.fi/uutiset/3-7100385, https://yle.fi/uutiset/3-8596990, HS: http://www.hs.fi/kotimaa/art-2000005327088.html
  4. 4. Yksityisyyden suoja on perusoikeus Jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Henkilötietojen suojasta säädetään tarkemmin lailla. PeL 10 § Henkilötietojen luvaton käsittely sekä yksityisyyttä loukkaavan tiedon levittäminen voivat olla rikoksia. Kuva: Edvard Isto, 1899 , Hyökkäys
  5. 5. Kuva: Matthew Henry @ Unsplash Tietosuojalla suojataan ihmisten oikeutta yksityisyyteen (tunnistettavuus). Tietoturvalla suojataan henkilö- ja muitakin tietoja laittomalta käytöltä. Tietosuojan suojaamisen toimenpiteet suhteutetaan riskiarvioon tietoturvauhista.
  6. 6. • Voimaan 24.5.2017. Sovelletaan 25.5.2018 lähtien, jolloin henkilötietojen käsittelyn on oltava tietosuoja-asetuksen mukaista • Tavoitteena ajantasaistaa ja yhtenäistää tietosuojan sääntelyä EU:ssa • Koskee pääsääntöisesti kaikkia yksityisiä ja julkisia organisaatioita, jotka ovat rekisterinpitäjiä tai henkilötietojen käsittelijöitä • Tietosuoja-asetusta sovelletaan automaattiseen henkilötietojen käsittelyyn sekä henkilötietorekistereihin • Asetuksessa henkilötiedot on määritelty vastaavasti kuin henkilötietolaissa • Uutta nykyiseen henkilötietolakiin verrattuna: – Aiempaa yksityiskohtaisempi – Läpinäkyvyys ja osoitusvelvollisuus mm. dokumentoimalla – Tietosuojavastaava (pakollinen julkisissa organisaatioissa) – Pakollinen tietomurroista ilmoittaminen – Sakot (enintään 4 % liikevaihdosta tai 20 miljoonaa euroa) – Monessa EU-maassa toimiva rekisterinpitäjä voi asioida vain yhden maan valvontaviranomaisen kanssa organisaation (pää-)toimipaikan mukaan EU:n yleinen tietosuoja-asetus (GDPR) Lähde: Tietosuojavaltuutetun toimisto ja Oikeusministeriö, 2017, Miten valmistautua EU:n tietosuoja-asetukseen? http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/1Em8rT7IF/Miten_valmistautu a_EUn_tietosuoja-asetukseen.pdf
  7. 7. 4 artikla Tässä asetuksessa tarkoitetaan 1) ’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella, Lähde: EU:n yleinen tietosuoja-asetus (General Data Protection Regulation, GDPR), 2016/679, http://eur-lex.europa.eu/legal-content/FI/TXT/?uri=uriserv:OJ.L_.2016.119.01.0001.01.FIN Mitä henkilötiedot ovat?
  8. 8. Kuva: Kuntaliitto ja VM, Arjen tietosuojaa, 22.6. 2017, http://vm.fi/documents/10623/4914009/Arjen+tietosuoja+- koulutusmateriaali/8d13c7db-0f52-44ee-954a-74f24feade73
  9. 9. Arkaluontoiset henkilötiedot 9 artikla Erityisiä henkilötietoryhmiä koskeva käsittely 1. Sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys sekä geneettisten tai biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely on kiellettyä. Lähde: EU:n yleinen tietosuoja-asetus (General Data Protection Regulation, GDPR), 2016/679, http://eur-lex.europa.eu/legal-content/FI/TXT/?uri=uriserv:OJ.L_.2016.119.01.0001.01.FIN
  10. 10. Kuva: Kuntaliitto ja VM, Arjen tietosuojaa, 22.6. 2017, http://vm.fi/documents/10623/4914009/Arjen+tietosuoja+- koulutusmateriaali/8d13c7db-0f52-44ee-954a-74f24feade73
  11. 11. 4 artikla 2) ’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista, Lähde: EU:n yleinen tietosuoja-asetus (General Data Protection Regulation, GDPR), 2016/679, http://eur-lex.europa.eu/legal-content/FI/TXT/?uri=uriserv:OJ.L_.2016.119.01.0001.01.FIN Henkilötietojen käsittely
  12. 12. 4 artikla 6) ’rekisterillä’ mitä tahansa jäsenneltyä henkilötietoja sisältävää tietojoukkoa, josta tiedot ovat saatavilla tietyin perustein, oli tietojoukko sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu, Lähde: EU:n yleinen tietosuoja-asetus (General Data Protection Regulation, GDPR), 2016/679, http://eur-lex.europa.eu/legal-content/FI/TXT/?uri=uriserv:OJ.L_.2016.119.01.0001.01.FIN Rekisteri
  13. 13. 4 artikla 7) ’rekisterinpitäjällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti, Lähde: EU:n yleinen tietosuoja-asetus (General Data Protection Regulation, GDPR), 2016/679, http://eur-lex.europa.eu/legal-content/FI/TXT/?uri=uriserv:OJ.L_.2016.119.01.0001.01.FIN Rekisterinpitäjä
  14. 14. 4 artikla 8) ’henkilötietojen käsittelijällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun, Lähde: EU:n yleinen tietosuoja-asetus (General Data Protection Regulation, GDPR), 2016/679, http://eur-lex.europa.eu/legal-content/FI/TXT/?uri=uriserv:OJ.L_.2016.119.01.0001.01.FIN Henkilötietojen käsittelijä
  15. 15. Organisaatioiden käyttöön tehdyissä pilvipalveluissa organisaatio on yleensä rekisterinpitäjä käyttäjilleen ja palvelun ylläpitäjä henkilötietojen käsittelijä. Kuva: Pixabay
  16. 16. • Kun henkilörekisteri muodostuu, rekisterinpitäjän tulee tehdä rekisteriseloste ja se tulee olla jokaisen saatavilla. • Rekisteriselosteessa tulee kertoa seuraavat asiat (HetiL 10 §): – Rekisterinpitäjän ja tarvittaessa tämän edustajan nimi ja yhteystiedot – Henkilötietojen käsittelyn tarkoitus – Kuvaus rekisteröityjen ryhmästä tai ryhmistä ja näihin liittyvistä tiedoista tai tietoryhmistä – Mihin tietoja säännönmukaisesti luovutetaan ja siirretäänkö tietoja Euroopan unionin tai Euroopan talousalueen ulkopuolelle – Kuvaus rekisterin suojauksen periaatteista – Lisäksi rekisterissä mainitaan yleensä sen laatimispäivä sekä viimeisimmän muutoksen päivämäärä • Rekisteriselosteeseen liitetään usein kuvaus rekisteröidyn oikeuksista, jolloin muodostuu tietosuojaseloste. Näin rekisterinpitäjä täyttää samalla selosteella henkilötietolain/tietosuoja-asetuksen mukaisen informointivelvollisuuden kertoa rekisteröidyille heidän oikeuksistaan. Rekisteriseloste ja tietosuojaseloste Lähde: Henkilötietolaki, 22.4.1999/523, http://www.finlex.fi/fi/laki/ajantasa/1999/19990523
  17. 17. • Henkilötietojen käsittelyä toimituksellisia sekä taiteellisen tai kirjallisen ilmaisun tarkoituksia varten ei tarvitse tehdä rekisteriselostetta – Voimassa vain muutamat henkilötietolain kohdat • Yksityisen henkilön yksityiseen tarkoitukseen tekemä rekisteri kuten kännykän tai sähköpostin kontaktilista ei vaadi rekisteriselostetta – Henkilötietolakia ei sovelleta lainkaan • Kunnan toimielinten esityslistojen ja pöytäkirjojen ei ole katsottu yksinään muodostavan henkilörekisteriä – Arvioitava tapauskohtaisesti, milloin henkilötietoja on syytä julkaista – Liitteenä ei voida julkaista varsinaisten henkilötietorekisterien tietoja Poikkeuksia Lähteet: Henkilötietolaki, 22.4.1999/523, http://www.finlex.fi/fi/laki/ajantasa/1999/19990523 ja Kuntaliiton yleiskirje 15/2017: https://www.kuntaliitto.fi/yleiskirjeet/2017/kunnan-verkkotiedottaminen-seka-henkilotietojen-kasittely-ja- julkisuus-kuntalain#henkilotiedot-ja-verkkotiedottaminen
  18. 18. Mallit ja ohjeet selosteiden laadintaan: http://www.tietosuoja.fi/fi/index/materiaalia/lomakkeet/rekisteri-jatietosuojaselosteet.html Kerro tässä tarkoituksen lisäksi oikeusperuste: - Henkilön suostumus - Sopimus, jossa rekisteröity osapuolena - Laki - Julkisen tehtävän hoitaminen - Rekisterinpitäjän oikeutettu etu (esim. asiakassuhde, työsuhde, jäsenyys)
  19. 19. • Suostumuksen tulee olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen • Suostumusta ei voi antaa: – Vaikenemalla – Valmiiksi rastitetulla ruudulla – Jättämättä jotakin tekemättä • Rekisterinpitäjän on voitava osoittaa suostumuksen olemassaolo • Tietosuoja-asetuksen mukaan alle 16-vuotiaalta tarvitaan huoltajan suostumus henkilötietojen käsittelylle. – Kansallisesti voidaan määrätä ikärajaksi vähintään 13 vuotta – Suomessa ei ole vielä päätöstä ikärajasta, ehdotus 13 tai 15 v. (Nykyisenä rajana on 15 vuotta.) Suostumuksen antaminen Lähde: Tietosuojavaltuutetun toimisto ja Oikeusministeriö, 2017, Miten valmistautua EU:n tietosuoja-asetukseen? http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/1Em8rT7IF/Miten_valmistautu a_EUn_tietosuoja-asetukseen.pdf
  20. 20. Kuvakaappaus Oulun kaupungin opetustoimen rekisteriselosteesta: https://www.ouka.fi/c/document_library/get_file?uuid=d04cc48d- 822c-4118-b11d-10b63dbbd1ea&groupId=64277 (29.11.2017)
  21. 21. Mallit ja ohjeet selosteiden laadintaan: http://www.tietosuoja.fi/fi/index/materiaalia/lomakkeet/rekisteri-jatietosuojaselosteet.html Huomaa, että Tietosuojavaltuutetun toimiston tietosuojaselosteen pohjassa ei ole vielä huomioitu EU:n yleisen tietosuoja-asetuksen vaatimuksia!
  22. 22. Kuvakaappaus Espoon kaupungin Google G Suite for Education –palvelun tietosuojaselosteesta: http://www.espoo.fi/download/noname/%7BD288C16C-71F6-40EE-9A16-34F6864CC620%7D/86398 (29.11.2017)
  23. 23. • Oikeus saada läpinäkyvää tietoa henkilötietojen käsittelystä (informointivelvollisuus) – Ilmoittaminen henkilötietojen käsittelystä ja rekisterinpitäjästä (rekisteri-/tietosuojaseloste) – Helposti ymmärrettävässä ja saatavilla olevassa muodossa – Kuukauden määräaika rekisteröityä koskeviin toimenpiteisiin vastaamisessa. Tarvittaessa enintään kaksi kuukautta lisäaikaa, jos rekisteröidyn pyyntö on monimutkainen tai laaja. • Rekisteröidyn oikeus saada pääsy tietoihin (tarkastusoikeus) – Oikeus tietää, käsitelläänkö henkilöä koskevia tietoja yhä – Oikeus saada jäljennös henkilötiedoista – Rekisterinpitäjä voi pyytää lisätietoja henkilöllisyyden varmistamiseksi • Oikeus tietojen oikaisemiseen – Rekisterinpitäjällä on velvollisuus korjata puutteelliset tai virheelliset tiedot viivytyksettä • Oikeus tietojen poistamiseen / oikeus tulla unohdetuksi – Rekisterinpitäjällä on myös velvollisuus kertoa tietojen poistamisesta muille rekisterinpitäjille, joille se on luovuttanut kyseisiä tietoja Rekisteröidyn oikeuksia Lähde: Tietosuojavaltuutetun toimisto ja Oikeusministeriö, 2017, Miten valmistautua EU:n tietosuoja-asetukseen? http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/1Em8rT7IF/Miten_valmistautu a_EUn_tietosuoja-asetukseen.pdf
  24. 24. • Organisaation on hahmotettava kokonaiskuva henkilötietojen käsittelyn nykytilasta ja kehitystarpeista • Arviointi sisältää esimerkiksi: – Mitä henkilötietoja organisaation hallussa on – Miten tietosuojaperiaatteet on otettu huomioon – Toimintaan liittyvät henkilötietovirrat – Henkilötietojen käsittelyn oikeusperusteet – Miten tietoturvasta on huolehdittu – Miten henkilötietojen käsittelyyn liittyvä riskienhallinta on toteutettu • Kartoituksen voi tehdä esimerkiksi laatimalla tietotilinpäätöksen, ks. http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/t ietosuojavaltuutetuntoimisto/oppaat/6JfpzNVCh/Laadi_tietotilinpaatos. pdf • Erityisesti organisaation johdon tulisi olla tietoinen tietosuoja-asetuksen sisällöstä, sillä se on viime kädessä vastuussa Henkilötietojen nykytilan arviointi Lähde: Tietosuojavaltuutetun toimisto ja Oikeusministeriö, 2017, Miten valmistautua EU:n tietosuoja-asetukseen? http://www.tietosuoja.fi/material/attachments/tietosuojavaltuutettu/tietosuojavaltuutetuntoimisto/oppaat/1Em8rT7IF/Miten_valmistautu a_EUn_tietosuoja-asetukseen.pdf
  25. 25. Kenellä on vastuu tietosuojasta? Lähde: Kuntaliitto ja VM, Arjen tietosuojaa, 22.6. 2017, http://vm.fi/documents/10623/4914009/Arjen+tietosuoja+- koulutusmateriaali/8d13c7db-0f52-44ee-954a-74f24feade73 Rekisterinpitäjä - Vastuussa rekisterin henkilötietojen käsittelyn lainmukaisuudesta - Voi olla yksi tai useampi henkilö, yritys tai muu organisaatio Organisaation johto ja esimiehet - Kokonaisvastuu henkilötietojen käsittelyn lainmukaisuudesta - Esimerkin näyttäminen Tietosuojavastaava - Vastaa neuvonnasta, kehittämisestä ja seurannasta sekä yhteydenpidosta valvontaviranomaiseen Henkilöstö - Jokainen on vastuussa toiminnastaan - Ohjeiden noudattaminen - Ongelmista ilmoittaminen
  26. 26. Esimerkkejä koulun tilanteista
  27. 27. Lisätietoa: Tietosuojavaltuutetun päätös 1222/41/2013, http://www.tietosuoja.fi/fi/index/ratkaisut/virkamiestenkuvaaminenjahenkilotietojenjulkaiseminenvideotallenteenmuodossasosiaalisess amediassa.html ja Marko Forss, 17.10.2016, http://markofobbaforss.puheenvuoro.uusisuomi.fi/224559-saako-opettajaa-kuvata Opetuksen videokuvaaminen
  28. 28. Huoltajat: • Huoltajat voivat laatia ja jakaa yhteystietolistan itsenäisesti esimerkiksi vanhempainillassa, jolloin kyse on yksityishenkilöiden rekisteristä, josta koulu ei ole vastuussa. Koulu: • Huoltajille kerrotaan luettelon laatimisesta ja jakamisesta ja samalla vanhempia pyydetään ilmoittamaan ne yhteystiedot, joiden antamiseen he suostuvat • Jos yksittäinen huoltaja pyytää toisen huoltajan yhteystietoja, tiedot voi antaa, jos ne ovat julkisia. Suositeltavaa on kuitenkin pyytää kysyjää hankkimaan yhteystiedot julkisesta lähteestä. • Salassa pidettäviä yhteystietoja ei voi luovuttaa ilman huoltajan suostumusta. Salassapito tulee merkitä oppilasrekisteriin. Yhteystietojen jakaminen koteihin Lähde: OPH, 2013, Julkisuus ja tietosuoja opetustoimessa, http://www.oph.fi/download/152370_julkisuus_ja_tietosuoja_opetustoimessa.pdf
  29. 29. Keskustelu & kysymykset
  30. 30. Tietosuojasta huolehditaan, jotta jokainen tietäisi, mitä tietoja hänestä kerätään ja miten niitä voidaan käyttää.
  31. 31. 1. webinaari, ti 15.5.2018, klo 16-17:30 (1,5 h) • Päivitys EU:n tietosuoja-asetuksen soveltamiseen Suomessa - asetus astuu voimaan 25.5.2018 • Koulun henkilötietorekisterit • Rekisterinpitäjän velvollisuudet ja rekisteröidyn oikeudet • Rekisteri- ja tietosuojaselosteet, sisältö ja laatiminen • Henkilötietojen luovuttaminen ja julkaisu - millä edellytyksin mahdollista? • Henkilötietojen käsittelyn ikärajat ja huoltajilta pyydettävät luvat 2. webinaari, 22.5.2018, klo 16-17:30 (1,5 h) • Tietosuojaperiaatteet organisaatiossa • Oletusarvoinen tietoturva ja riskiperusteinen lähestymistapa • Osoitusvelvollisuus, tietosuojatoimenpiteiden dokumentointi • Kenellä on vastuu tietosuojasta koulussa? • Tietosuojavastaavan tehtävät • Opettajan vastuu oppilaiden tietosuojasta 3. webinaari, 29.5.2018, klo 16-17:30 (1,5 h) • Pilvipalvelujen käyttöehdot ja tietosuoja • Tietosuojan vastuun jakaantuminen pilvipalveluissa • Oppilaiden ja opettajien tietosuoja sosiaalisen median palveluissa • Henkilökohtainen tietoturva oman yksityisyyden suojaamisessa Lisätietoa: https://snellman-kesayliopisto.mobie.fi/zine/97/article-26279 Webinaarit toukokuussa 2018
  32. 32. Harto Pönkä http://twitter.com/hponka/ http://slideshare.com/hponka http://harto.wordpress.com/ http://www.innowise.fi/ Kiitos!

×