Opetuksen tietoturva ja tietosuoja

TIETOSUOJA OPINNOISSA – YLEISOHJE OPISKELIJOILLE JA OPETUSHENKILÖSTÖLLE

Ohjeen tausta

Korkeakoulun opetushenkilökunta käsittelee säännönmukaisesti henkilötietoja muun muassa kurssi-ilmoittautumisia vastaanottaessaan, opintoja ohjeistaessaan ja opintosuorituksia arvioidessaan. Korkeakoulun opiskelija voi käsitellä henkilötietoja muun muassa osana opinnäytetutkimustaan tai muita opintosuorituksiaan.

Tämä ohje on tarkoitettu korkeakoulun opiskelijoille ja opetushenkilöstölle. Ohjeessa kuvataan yleisimpiä tilanteita, joissa korkeakoulun opetushenkilöstö ja opiskelijat käsittelevät henkilötietoja. Ohjeistuksen tavoite on, että henkilötietojen käsittelyn periaatteet ja perusteet, samoin kuin opettajan ja opiskelijan roolit ja vastuut ovat selvät ja yksiselitteiset.

Korkeakoulu vastaa opetuksessa käytettäviin järjestelmiin ja prosesseihin liittyvästä tietosuojasta. Jokainen korkeakouluyhteisön jäsen on kuitenkin velvollinen tutustumaan korkeakoulun tietosuojapolitiikkaan ennen henkilötietojen käsittelyn aloittamista tai jatkamista, ja jokainen korkeakouluyhteisön jäsen on vastuussa tietosuojalainsäädännön sekä korkeakoulun tietosuojapolitiikan ja tietosuoja- ja tietoturvaohjeistuksen noudattamisesta.

Tämä ohje täydentää korkeakoulun tietosuojapolitiikkaa ja muuta ohjeistusta.

Opetushenkilöstö

Opiskelijan henkilötietojen käsittely opetuksessa

Kurssi-ilmoittautumisten käsittely

Kurssi-ilmoittautumiset kirjataan keskitetysti sovitun järjestelmän kautta. 

Mikäli tulostat ilmoittautumislistoja tai keräät opetuksen yhteydessä läsnäololistoja, huolehdithan niiden asianmukaisesta säilyttämisestä ja hävittämisestä, kun tietojen säilyttäminen ei ole enää välttämätöntä. Ilmoittautumis- tai läsnäolotietojen säilyttäminen paperi- tai Excel-listoilla on sallittua vain väliaikaisesti. Tiedot on kirjattava niille tarkoitettuun järjestelmään mahdollisimman nopeasti. Paperi- tai Excel-listoja ei ole tarkoitettu henkilötietojen pitkäaikaissäilytykseen.

Moodlen käyttö opetuksessa

Uuden kurssin alkaessa suositeltava käytäntö on laatia uusi Moodle-alusta. Vanha kurssialusta saattaa sisältää edellisen kurssin tietoja, minkä vuoksi vanhaa alustaa (sen sisältämine tietoineen) ei pidä käyttää uudella kurssilla.

Kun myönnät oikeuksia kurssialustaan, harkitse, kenellä on tarve saada pääsy alustaan tallennettaviin tietoihin. Opettajan oikeudet kurssialustaan saavilla on oltava työhön liittyvä peruste tutustua opiskelijoiden osallistumistietoihin ja tehtäviin.

Kurssin päätyttyä on suositeltavaa, että poistat Moodlen kurssialustalta opiskelijoiden tiedot sekä muut tiedot, joita ei enää tarvita ja joiden säilyttäminen ei ole välttämätöntä. Ylipäätään on suositeltavaa poistaa säännöllisesti sellaiset opiskelijasta tehnyt merkinnät, joiden säilyttämiselle ei ole enää toiminnan kannalta perusteita.  

Tenttisuorituksia ja seminaaritöitä säilytetään arkistonmuodostamissuunnitelman (AMS) mukaan 6 kuukautta. Tämän jälkeen suoritukset tulee poistaa. Muiden opetukseen liittyvien asiakirjojen säilytysajoista löydät täältä: AMS/TOS

Sähköpostin käyttö opetuksessa

Opiskelijoiden ohjaaminen ja palautteen antaminen opiskelijoille sähköpostitse on lähtökohtaisesti sallittua. Samoin sallittua on opettajien välinen tiedonvaihto yksittäistä opiskelijaa koskevissa asioissa silloin, kun tiedonvaihtoon on työn suorittamiseen liittyvä peruste.

Henkilötietolistojen, arkaluonteisten tai salaisten tietojen, välittäminen avoimella sähköpostilla ei kuitenkaan ole sallittua. Ohjeet turvalliseen tiedonvälitystapaan ja muun muassa sähköpostin liitetiedostojen salaukseen on koottu korkeakoulun intranetin tietoturvasivuille.

Tenttitulosten ilmoittaminen

Tenttitulokset julkistetaan tutkinto- ja oikeusturvajohtosäännön mukaan yliopiston sisäisillä sähköisillä sivuilla ja tarvittaessa järjestäneen yksikön ilmoitustaululla. Opiskelijoiden tenttisuoritukset tulee ilmoittaa opiskelijanumeroittain ja muutoinkin siten, ettei opiskelijan henkilöllisyys ole tuloslistasta tunnistettavissa.

Opiskelijan yksilöiminen opetuksessa

Mikäli opiskelija on tarpeen yksilöidä kurssisuorituksen yhteydessä, pohdi aina, mikä on riittävä vähimmäiskeino yksilöidä opiskelija (tietojen minimoinnin periaate). Lähtökohtaisesti esimerkiksi kurssi-ilmoittautumisissa ja tenttisuorituksissa opiskelijan yksilöimiseksi riittää opiskelijan opiskelijanumero. Henkilötunnusta ei pääsääntöisesti tarvita. Henkilötunnusta ei ylipäätään tule merkitä asiakirjoihin tarpeettomasti.

Opintosuorituksia ohjeistaessasi huolehdi mahdollisuuksien mukaan myös siitä, etteivät muut opiskelijat voi yhdistää yksittäisen opiskelijan nimeä ja opiskelijanumeroa. Kurssin muille opiskelijoille jaettaviin seminaaritöihin tai ryhmätöihin ei ole välttämätöntä merkitä opiskelijanumeroa.

Opiskelijapalautteen kerääminen

Nimettömän opiskelijapalautteen kerääminen on sallittua tutkimuseettiset lähtökohdat huomioiden.

Palautteen antoa ohjeistaessasi huomioi, että mikäli palautteesta voidaan tunnistaa joko opettaja tai opiskelija, on kyseessä tunnistettavan henkilön henkilötieto. Kysely on suunniteltava niin, ettei tarpeettomia henkilötietoja kerätä.

Voit säilyttää vastauksia, kunnes säilyttäminen ei ole enää toiminnan kannalta välttämätöntä. Tämän jälkeen vastaukset tulee hävittää tietoturvallisella tavalla. 

Mikäli haluat julkaista keräämääsi palautetta, ei julkaistaviin tietoihin saa sisältyä kenenkään henkilötietoja ilman asianomaisen henkilön lupaa.

Erityisjärjestelyjä koskevan tiedon käsittely 

Erityisjärjestelyjä koskevat hakemukset sekä hakemuksiin liitetyt terveydentilatiedot ovat salassa pidettäviä asiakirjoja ja sisältävät arkaluonteisia henkilötietoja (nk. erityisiin henkilötietoryhmiin kuuluvia tietoja).

Arkaluonteiset ja salassa pidettävät terveystiedot tiedot on säilytettävä erillään muista henkilötiedoista. Jos tiedot säilytetään paperimuodossa, ne säilytetään lukitussa kaapissa tai tilassa erillisessä mapissa. Jos tiedot säilytetään sähköisessä muodossa, säilytysjärjestelmän tai -kansion käyttöoikeudet on rajattava ja tiedot on suojattava luotettavasti salasanalla tai muulla tavalla siten, että niihin on pääsy ainoastaan sellaisilla työntekijöillä, joiden työtehtäviin on määritelty sisältyväksi kyseisten arkaluonteisten tietojen käsittely. 

Arkaluonteiset tiedot on poistettava rekisteristä välittömästi sen jälkeen, kun käsittelylle ei ole laissa säädettyä perustetta. Tarpeettomat tiedot tulee hävittää tietoturvallisesti, jotta ne eivät päädy ulkopuolisten käsiin.

Opiskelijan keräämän henkilötiedon käsittely

Opinnäytetutkimuksen vastuullisen johtajan tai ohjaajan, ja muun opintosuorituksen kohdalla opettajan, tehtävä on ohjata opiskelijaa oikeaan ja asianmukaiseen henkilötietojen käsittelyyn. Opettaja (tai korkeakoulu) ei sen sijaan vastaa opiskelijan suorittamasta henkilötietojen käsittelystä, vaan opiskelija toimii opinnäytetutkimuksensa tai muun opintosuorituksensa yhteydessä keräämänsä henkilötiedon rekisterinpitäjänä.

Henkilötietojen käsittelyn tarve ja edellytykset on aina käsiteltävä opiskelijan kanssa ennen kuin henkilötietoja aletaan kerätä tai muuten käsitellä. Opinnäytetutkimuksen tai muun opintosuorituksen vastuullisen johtajan tai ohjaajan on suositeltavaa kartoittaa opiskelijan kanssa keskustelemalla henkilötietojen käsittelyn tarkoitus, laajuus ja tapa, ja selvittää opiskelijan tosiasialliset mahdollisuudet suoriutua henkilötietojen käsittelystä opintosuorituksen yhteydessä.

Opiskelijan opintojen vaiheella on merkitystä erityisesti arvioitaessa, minkä laatuisia tietoja hän voi käsitellä. Suositeltavaa on, että henkilötietojen käsittelyä sisältävää tutkimussuunnitelmaa ei hyväksytä, ellei opiskelijalla ole riittävästi tietoa henkilötietojen lainmukaisesta käsittelystä opinnäytetutkimuksessaan.

Opiskelijat

Opiskelija rekisterinpitäjänä

Opiskelijana toimit itse opinnäytetutkimuksen tai muun opintosuorituksen yhteydessä keräämiesi henkilötietojen osalta rekisterinpitäjänä. Tämä tarkoittaa, että vastaat tutkimuksen tekijänä henkilötietojen käsittelyn lainmukaisuudesta ja asianmukaisuudesta. Rekisterinpitäjän velvollisuuden pitävät sisällään muun muassa velvoitteen informoida rekisteröityjä. Tarvittaessa saat henkilötietojen käsittelyyn ohjeistusta tutkimuksesi tai muun opintosuorituksesi ohjaajalta.

Henkilötietojen käsittely on kuvattava tutkimussuunnitelmassa

Henkilötietojen käsittelystä tulee sopia opinnäytetutkimuksen vastuullisen ohjaajan tai valvojan, ja muun opintosuorituksen kohdalla opettajan, kanssa ennen kuin alat kerätä tai muuten käsitellä henkilötietoja. Opinnäytetutkimuksen yhteydessä henkilötietojen käsittelyn tarkoitus, laajuus ja tapa on kuvattava mahdollisimman tarkkaan tutkimussuunnitelmassa.

Opiskelijan muistilista

Laadi suunnitelma henkilötietojen käsittelystä tarkkaan ja mahdollisimman aikaisessa vaiheessa. Mikäli keräät henkilötietoja osana opinnäytetutkimustasi, kirjaa suunnitelma henkilötietojen käsittelystä tutkimussuunnitelmaasi. Pohdi ainakin seuraavia kysymyksiä:

•     Mihin tarkoitukseen kerään henkilötietoja?
•     Mitä tietoja tarvitsen tarkoituksen toteuttamiseen (minimoinnin periaate)?
•     Miten kerään henkilötiedot?
•     Missä ja miten säilytän henkilötiedot?
•     Kauanko tarvitsen henkilötietoja?
•     Miten huolehdin tietojen tuhoamisesta tai arkistoinnista?

Sovi henkilötietojen käsittelystä

opinnäytetutkimuksen vastuullisen ohjaajan tai valvojan kanssa tai muun opintosuorituksen kohdalla opettajasi kanssa ennen henkilötietojen käsittelyn (kuten keräämisen) aloittamista.

Luvan saatuasi kerää henkilötiedot suunnitelmasi mukaisesti:

Tee asianmukainen tietosuojailmoitus ja laadi tarvittaessa informointi- ja suostumuslomakkeet ennen keräämisen aloittamista. Linkki mallilomakkeisiin on sivun alalaidassa.

Mikäli teet kyselytutkimuksen, käytä keräämiseen vain korkeakoulun osoittamia sähköisiä kyselytyökaluja.

Korkeakoulussa käytössä oleva työkalu on ensisijaisesti Webropol tai E-lomake.

Mikäli mahdollista, tarjoa vastaajille mahdollisuus vastata nimettömästi.

Mikäli mahdollista, vältä lähettämästä kyselylinkkiä yksittäisille henkilöille. Sähköpostin jakelulistan kokoaminenkin on henkilötietojen käsittelyä. Suositeltava menettely on lähettää kyselylinkki kohdeorganisaation tai -ryhmän yleissähköpostiin organisaation sisällä eteenpäin välitettäväksi.

Toteuta tutkimus suunnitelmasi mukaisesti:

Käsittele henkilötietoja aina anonyymeinä, kun rekisteröidyn henkilöllisuus ei ole välttämätön tieto tutkimuksen toteuttamiselle.

Varmista, että valmiista opintosuorituksesta ei voi tunnistaa yksittäistä henkilöä ilman kyseisen henkilön suostumusta.