Ohjeet sähköisten sovellusten käyttöön ja tietosuojaan opetustoimessa

Tähän ohjeeseen on koottu tietoa asioista, joita opettajan tulee ottaa huomioon, kun hän ottaa opetuksessaan käyttöön erilaisia sähköisiä työkaluja, sovelluksia ja järjestelmiä. 

Useat järjestelmät hankitaan, tarkastetaan ja otetaan käyttöön keskitetysti Hyvinkään kaupungin toimesta. Tietohallinto on yhteistyössä sivistystoimen perusopetuksen TVT-ryhmän kanssa laatinut listan palveluista, jotka on tarkastettu ja joita opettajat voivat käyttää työssään. Tästä ohjeesta saat neuvoja siihen, miten sinun tulee toimia, jos otat itse käyttöön netistä löytyviä sovelluksia.

 Jos opettaja haluaa ottaa käyttöön palvelun, jota ei löydy listalta, tulee opettajan olla yhteydessä tietohallintoon tai TVT-ryhmään, jotka tekevät tarvittavat tarkastukset ennen palvelun käyttöönottoa. Jos näin ei menetellä, opettaja vastaa itse sähköisen palvelun käytöstä sekä tietosuojaan liittyvistä vastuista ja velvoitteista tämän ohjeistuksen mukaisesti.

 Henkilötietojen käsittelystä

Merkittävä osa oppilaitoksista käsiteltävistä tiedoista on henkilötietoja, sillä ne liittyvät tiettyyn, tunnistettavissa olevaan oppilaaseen. Henkilötietoja ovat esimerkiksi:

• nimi, henkilötunnus, osoite, sähköpostiosoite
• tiedot kurssien suorittamisesta, poissaoloista ja saaduista arvosanoista
• tiedot, joita kertyy yksilön toimiessa sähköisessä ympäristössä

Kun sähköisen palvelun yhteydessä käsitellään oppilaiden henkilötietoja, tulee huomioida tietosuojaa ja henkilötietojen käsittelyä koskeva ohjeistus ja lainsäädäntö. Kun palvelu otetaan käyttöön, tulee kerätä tarvittavat suostumukset sekä selvittää, joutuvatko oppilaat sähköistä palvelua käyttäessään mainonta- tai markkinointitoimenpiteiden kohteeksi.

1. Henkilötietojen käsittelyperuste

Henkilötietoja voidaan käsitellä ainoastaan, jos käsittelylle on olemassa jokin tietosuoja-asetuksessa erikseen säädetty peruste. Oppilaitokset voivat käsitellä henkilötietoja opetuksen tai koulutuksen järjestämiseksi, jolloin käsittely perustuu lainsäädäntöön. Tällöin käsittelylle ei tarvita erillisiä oppilaiden tai huoltajien suostumuksia.

Pääperiaatteena on, että tieto- ja viestintätekniikan käyttö oppilaitosten toiminnassa on sallittua silloin, kun kyse on opetuksen järjestämisessä käytettävistä sähköisistä työvälineistä. Kun käytetään sähköisiä välineitä ja järjestelmiä, on henkilötietojen käsittelyyn liittyen huomioitava minimoinnin periaate: oppilaitoksissa voidaan käsitellä vain sellaisia henkilötietoja, jotka ovat tarpeen opetuksen järjestämiseksi. Ennen sähköisten palveluiden käyttöönottoa tulee aina huolellisesti arvioida

• Minkälaista henkilötietojen käsittelyä palvelun käyttöönotto edellyttää?
• Kuka tuottaa/omistaa palvelun?
• Kenen tietoja palvelussa käsitellään (opettajan, oppilaiden)?
• Vaatiiko palvelu rekisteröitymistä?

Jos sähköisessä järjestelmässä on tarkoitus käsitellä henkilötietoja muihin tarkoituksiin kuin opetuksen järjestämiseksi tai käsittelyä ei voida perustella opetuksen järjestämiseen liittyvän lakisääteisen velvoitteen täyttämisellä, tulee käsittelylle pyytää lupa huoltajilta sen käsittelyn osalta, jonka ei voida katsoa kuuluvan lakisääteisen koulutuksen järjestämisen piiriin.

2. Lasten tietojen käsittely

Kun käsitellään lasten henkilötietoja, tulee kiinnittää erityistä huomioita siihen, millä tavalla lapsille kerrotaan ja informoidaan heidän henkilötietojensa käsittelystä. Informoinnin tulee olla ikätasolle sopivaa siten, että lapsi kykenee ymmärtämään, miten ja miksi tietoja käytetään. Alle 13-vuotias ei voi itse antaa suostumusta henkilötietojen käsittelyyn. Tämän vuoksi alle 13-vuotiaalta lapselta tulee pyytää huoltajan kirjallinen suostumus lapsen henkilötietojen käsittelyyn.

 Jos sähköisen palvelun käyttö liittyy selkeästi opetuksen järjestämiseen ja käsittelyperusteena on lainsäädännön velvoite opetuksen järjestämisestä, ei erillistä huoltajan suostumusta tarvita.

Avoin ja läpinäkyvä informointi lasten henkilötietojen käsittelystä opetuksessa huoltajien suuntaan on kuitenkin suositeltavaa kaikissa tapauksissa.

3. Markkinointi ja mainonta

Koulua ja opetusta ei saa käyttää kaupallisen vaikuttamisen kanavana. Huoltajalla on oikeus päättää siitä, minkälaisen markkinoinnin kohteeksi lapsi joutuu koulussa ja päiväkodissa. Tästä syystä koulujen tai päiväkotien on hankittava vanhemman suostumus lapsiinsa kohdistuneeseen markkinointiin tai mainontaan. Sähköisten työkalujen ja palveluiden osalta opettajan tulee varmistaa, etteivät ne sisällä kaupallista vaikuttamista. Alaikäiset, eli alle 18-vuotiaat lapset ja nuoret ovat kuluttajansuojalaissa erityisasemassa: Alaikäisiin kohdistuvaa markkinointia arvioidaan keskimääräistä tiukemmin, koska alaikäisiä voidaan heidän tietojensa tai kokemustensa rajoittuneisuuden vuoksi pitää tavallista alttiimpina markkinoinnin vaikutuksille. Opetuksessa ei siis tule käyttää sellaisia tieto- ja viestintäteknisiä palveluita, jotka keräävät henkilötietoja markkinointitarkoituksiin.

4. Palvelun omat käyttösäännöt ja ikäraja

Opettajan tulee selvittää, onko palvelussa ikäraja käyttäjille. Palveluntarjoajan ikärajoja tulee noudattaa. Lisäksi palveluun liittyvien käyttöehtojen hyväksyminen on juridisesti sopimuksen tekeminen, joka edellyttää oikeustoimikelpoisuutta: alle 18-vuotias ei voi hyväksyä palvelun käyttöehtoja vaan huoltajien tulee ne hyväksyä.

5. Checklist: kun harkitset uutta sähköistä työkalua

Kunnossa

Käsittelyn tulee olla asiallisesti perusteltua oppilaitoksen toiminnan kannalta	Oppilaitoksessa on perusteltua käsitellä oppilaiden henkilötietoja valinnan suorittamiseksi ja opetuksen järjestämiseksi sekä henkilöstön henkilötietoja henkilöstöhallinnon hoitamiseksi. Onko palveluun liittyvä tietojenkäsittelyä perusteltua oppilaitoksen toiminnan kannalta?
Käsittelylle pitää määritellä lainsäädännöstä johtuva toimintaan liittyvä tarkoitus	Koulun tehtävät on määritelty koululainsäädännössä. Jokaista tehtävää varten kerätyt henkilötiedot muodostavat erillisen kokonaisuuden. Oppilaitoksessa olevan henkilörekisterin käyttötarkoituksena voi olla oppilaiden valinta tai opetuksen järjestäminen (suoritettujen kurssien kirjaaminen, arviointi, poissaolojen kirjaaminen, rangaistukset jne.). Onko henkilötietojen käyttötarkoitus määritelty?
Käsiteltävien tietojen tulee olla käsittelytarkoituksen kannalta tarpeellisia ja virheettömiä	Opettaja voi kerätä koulussa vain sellaisia oppilasta, oppilaan vanhempia tai oppilaan kotia koskevia tietoja, joiden tarpeellisuus opetuksen järjestämisen kannalta pystytään perustelemaan. Käyttötarkoituksen kannalta ylimääräisiä henkilötietoja ei saa käsitellä. Ovatko kaikki käsiteltävät henkilötiedot tarpeellisia käyttötarkoituksen kannalta?
Henkilötietojen käsittelylle tulee olla tietosuoja-asetuksessa säädetty peruste	Lakiin perustuva oikeus käsitellä tietoja -> opetuksen järjestäminen   Muissa tilanteissa suostumus (huomioi edellytykset alaikäisen suostumukselle)
Mieti tarkoin, millaisten henkilötietojen käsittelyä palvelun käyttöönotto edellyttää	• Opettajan vai oppilaiden henkilötiedot (anonyymit, pseudonyymit vai arkaluontoiset tiedot)? • Vaatiiko rekisteröitymistä? • Palvelun ikäraja?
Edellyttääkö palvelun käyttöönotto käyttöehtojen hyväksyntää	Sopimuksen tekeminen kuten verkkopalvelun käyttöehtojen hyväksyminen vaatii lain mukaan 18 vuoden ikää (oikeustoimikelpoisuus) riippumatta palvelun ikärajasta. Onko tämä huomioitu?
Mihin tarkoituksiin palveluntarjoaja käyttää palvelun kautta saamiaan henkilötietoja	Henkilötietoja ei saa käyttää palveluntarjoajan omiin tarkoituksiin muissa kuin anonyymissä muodossa. Kaupallinen palvelu edellyttää hyväksyntää (alaikäiset huoltajan suostumuksella, täysi-ikäiset omalla vastuulla). Selvitä myös, mitä tiedoille tapahtuu, kun opetus loppuu.
Mieti, miten tiedotat oppilaita ja heidän huoltajiaan palvelussa tapahtuvasta henkilötietojen käsittelystä	Oppilailla ja heidän huoltajillaan on oikeus saada informaatiota henkilötietojen käsittelystä. Palvelun käyttöönoton yhteydessä tulee määritellä, miten ja missä vaiheessa tiedottaminen hoidetaan ja pystytäänkö palvelun käyttöönotto perustelemaan.
Selvitä, missä palveluun liittyvät henkilötiedot sijaitsevat	Jos tiedot EU-/ETA-maiden ulkopuolelle, vaatii lisävarmistusta. Ja lisäharkintaa!
Kysy apua / lisätietoja tietohallinnosta tai tietosuojavastaavalta!	Jos et pysty varmistamaan edellä kuvattuja kohtia, käännyt tietosuojavastaavan tai tietohallinnon puoleen.