Tietosuojan uusi oppimäärä

Jäävuoren huippu pilkistää sähköpostilaatikkoon saapuvista viesteistä: ”Matias, hyväksy muuttuneet käyttöehdot 25. toukokuuta 2018 mennessä, niin voit jatkaa Facebookin käyttöä.”

Ja seuraava: ”Päivitämme tietosuojaselostettamme ja käyttöehtojamme, jotta ne olisivat entistä ymmärrettävämmät ja läpinäkyvämmät”, viestittää toinen paikkatietoa käyttävä sovellus.

Eräpäivä uusien ehtojen hyväksymiselle on sama. Syynä on perjantaina 25. toukokuuta lopullisesti voimaan tuleva EU:n yleinen tietosuoja-asetus eli GDPR, General Data Protection Regulation.

Uudistuksessa nykyisenkaltaiseen henkilötietojen käytön villiin länteen saapuu sheriffi, joka aikoo tehdä EU:n alueesta tietosuojan edelläkävijän maailmassa.

Aivan uudenlaista herkkyyttä tietojen käsittelyssä vaaditaan oikeastaan kaikilta henkilötietoja rekistereihinsä kerääviltä organisaatioilta, esimerkiksi oppilaitoksilta. Ei siis enää vain Facebookin kaltaisilta, tiedoillamme kauppaa käyviltä yritysjäteiltä.

Mitä jokaisen opettajan sitten tulisi asetuksesta tietää? Tyhjentävää vinkkilistaa on hankala tehdä, koska henkilötietoja käytetään opetustyössä kirjavilla tavoilla. Lisäksi käytössä on monenlaisia sovelluksia ja järjestelmiä. Lain jälkeenjääneisyys teknologian kehityksestä onkin yksi uudistuksen perussyistä.

Huojentavaa on ainakin se, että oikeudellinen vastuu henkilötietojen käsittelystä on edelleen organisaatioilla, jotka rekisterejä pitävät. Näin on ollut myös vielä hetken voimassa olevan henkilötietolain aikana. Tietosuojakielellä puhutaan ”rekisterinpitäjistä”, jotka opettajien maailmassa ovat opetuksen järjestäjiä.

– Tätä vastuuta opetuksen järjestäjä ei voi edelleenkään ulkoistaa opettajille. Rekisterinpitäjä vastaa myös siitä, että henkilötietojen käsittelystä on annettu riittävät ohjeet, erityisasiantuntija Henriikka Hannula opetus- ja kulttuuriministeriöstä korostaa.

Opettajilla on edelleen oikeus käsitellä henkilötietoja jo pelkästään koulutusta koskevien lakien, kuten perusopetuslain, perusteella. Siksi ensimmäisen kysymyksen pitäisi olla, onko henkilötietojen kerääminen ja käsittely opetuksen kannalta välttämätöntä tai tarpeellista.

Nimilistojen lisäksi henkilötietoja ovat kuvat, videot ja äänitallenteet, joista ihmisen voi tunnistaa. Vaikka oppitunnit ovat sinänsä julkisia, nyrkkisääntönä opettajan kannattaa pitää sitä, että kuvattavilta tai heidän vanhemmiltaan on etukäteen saatu suostumus henkilötietoja sisältävän tallenteen julkaisuun.

Opettajien tulisi olla entistä tarkempia myös sen suhteen, mitä tietoja eri palvelut oppilaista haluavat. Jos opettaja löytää internetistä opetukseen sopivan ohjelman tai sovelluksen, ensimmäisenä tulisi miettiä, kuinka paljon ohjelmalle on pakko luovuttaa tietoa. Mitä vähemmän, sen parempi.

Helpointa olisi, jos etunimi tai pelkkä nimimerkki riittäisi. Moni sovellus vaatii kuitenkin sukunimen, luokkatiedon tai sähköpostiosoitteen. Jos ihmisen voi helposti tunnistaa tai hakea rekisteristä annettujen tietojen perusteella, syntyy henkilötietolain mukainen henkilörekisteri. Sellaisesta on oltava henkilötietojen keräämisen tarkoituksen tarkasti erittelevä rekisteriseloste.

Selosteiden teko kuuluu organisaation johdon vastuisiin, sanoo sosiaalisen median ja koulutusteknologian asiantuntija Harto Pönkä. Toisaalta opettajakin voi joutua arvioimaan, ovatko kerättävät henkilötiedot välttämättömiä opetuksessa.

Sovellusten asentaminen oppilaiden omiin laitteisiin vaatii usein luvan oppilaiden vanhemmilta.

Sovellusten asentaminen oppilaiden omiin laitteisiin vaatii usein luvan oppilaiden vanhemmilta. Opettaja voikin pyytää alaikäisten oppilaidensa vanhemmilta kerralla luvan siihen, että oppilaat voivat käyttää laitteisiinsa jo asennettuja sovelluksia myös oppitunneilla.

Silti Pönkä tarkentaisi nykyisin pyydettäviä lupia.

– Jos etukäteen tiedetään, mitä sovelluksia opetuksessa käytetään, miksei näitä sovelluksia luettelisi nimeltä yksitellen samalla, kun huoltajilta pyydetään muitakin lupia, Pönkä ehdottaa.

Äskettäin pikaviestisovellus Whatsapp ilmoitti nostavansa sovelluksen ikärajan EU:ssa 16 ikävuoteen GDPR:n vuoksi. Oppilaiden kännyköiden sovellusten ikärajojen valvonta ei kuitenkaan ole opettajan tehtävä, eivätkä opettajat riko lakia, jos he käyttävät Whatsappia edelleen.

Silti vasta aika näyttää, millaista varovaisuutta Whatsappin käyttöön tarttuu. Vaikka sovelluksen käyttöön olisi vanhempien lupa, keskusteluryhmän viestien tallentuminen tekee siitä tietosuoja-asetuksen tarkoittaman henkilörekisterin. Kyse voi tällöin olla joko uudesta rekisteristä tai sellaisesta, joka voidaan katsoa osaksi opetuksen järjestämisen muita rekistereitä.

– Opettajan tulisikin olla tietoinen, mitä rekistereitä on olemassa ja mitkä niiden käyttötarkoitukset ovat, Pönkä sanoo.

Tietosuoja-asetuksessa määritellään myös arkaluontoiset henkilötiedot, joiden käsittelyssä herkkyys kasvaa entisestään. Asetuksessa tällaisia ovat tiedot, joista ilmenee henkilön etninen alkuperä, poliittisia mielipiteitä tai uskonnollinen tai filosofinen vakaumus. Samaan arkaluontoiseen sarjaan kuuluvat ammattiliiton jäsenyys, geneettiset tiedot sekä terveyttä tai seksuaalista käyttäytymistä koskevat tiedot.

Opettajan on käytettävä salattua yhteyttä, jos mielii lähettää arkaluontoisia tietoja verkossa tai sähköpostissa.

Opiskelijan tasoa ja kehitystä mittaaviin oppimisympäristöihin ja -ohjelmiin voi tallentua varsin kattavia tietoja. Tästä oppimisanalytiikkaa hyödyntävästä teknologiasta on opetusministeriöön tullut oppilaitoksista ja opettajilta paljon kysymyksiä.

– On eettinenkin asia, kuinka tarkkaa analytiikkaa ja oppilaan seuraamista tarvitaan oppimisen tai opetuksen järjestämiseen, Henriikka Hannula sanoo.

Pöngän mukaan oleellinen kysymys on, tehdäänkö oppimisanalytiikassa automaattista profilointia. Profilointi tarkoittaa henkilötietojen automaattista käsittelyä, jossa arvioidaan ihmisen henkilökohtaisia ominaisuuksia. Jos näin tehdään, pelkkä opetuksen järjestäminen ei riitä henkilötietojen käsittelyn perusteeksi. Tällöin tarvitaan erillinen suostumus rekisteröidyltä tai hänen huoltajaltaan, Pönkä toteaa.

Jos inhimillisen valveutuneisuuden pitäisi nousta asetuksen myötä uudelle tasolle, samaa vaaditaan tietojärjestelmiltä.

Yleinen tietosuoja-asetus muuttaa opetuksessa käytettäviä järjestelmiä. Esimerkiksi oppilashallinnon työkalu Wilma muuttuu 25. toukokuuta mennessä siten, että jokainen tietojen katselukerta tallentuu järjestelmän lokitietoihin. Vielä näin ei ole. Lisäksi ohjelmaan tehdään pieniä muutoksia, joiden avulla käyttäjä, kuten opettaja tai huoltaja, voi huomata tilin väärinkäytökset.

Päiväkodeissa, kouluissa tai oppilaitoksissa on käytössä muitakin Wilman kaltaisia järjestelmiä, joissa liikkuu oppilaiden ja myös huoltajien tietoja.

– Ei ole itsestään selvää, saako jokaisen järjestelmän helposti päivitettyä, Pönkä sanoo.

Entä ovatko kaikki organisaatiot valmiita vaikkapa asetuksessa laajenevaan ”osoitusvelvollisuuteen”? Sen mukaan rekisterinpitäjän tulee pystyä osoittamaan, että se on huolehtinut henkilötietojen keräämisestä ja säilyttämisestä hyvin tarkkojen vaatimusten mukaan. Tällaisia vaatimukset koskevat esimerkiksi tietojen käyttötarkoitusta, läpinäkyvyyttä, tietojen määrän minimointia ja säilyttämisaikaa.

Jos vaikkapa opiskelija tai huoltaja pyytää nähtäväkseen oppilaitoksen hänestä keräämät tiedot, ne hänen tulee saada.

Ministeriön Henriikka Hannula arvelee, että ihmiset myös käyttävät laajenevia oikeuksiaan heti toukokuun lopussa.

– Ihmiset ovat uteliaita ja veikkaan, että omien tietojen tiedustelussa tulee alussa melkoinen piikki, johon varmasti kannattaa varautua oppilaitoksissakin.