30.12.2021

Lakisääteisen velvoitteen noudattaminen henkilötietojen käsittelyperusteena

Asiassa saadun selvityksen mukaan rekisterinpitäjä on soveltanut henkilötietojen käsittelyperusteena yleisen tietosuoja-asetuksen 6(1)(c) artiklaa. Yleisen tietosuoja-asetuksen 6(1)(c) artiklan mukaan henkilötietojen käsittely on lainmukaista ainoastaan, jos ja vain siltä osin kuin:

c) käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi

Rekisterinpitäjä täsmentää selvityksessään, että se käsittelee oppilaiden henkilötietoja sähköisessä opetusohjelmassa lakisääteisen velvoitteen noudattamiseksi eli perusopetuksen järjestämiseksi perusopetuslain mukaisesti.

Rekisterinpitäjän esittämän henkilötietojen käsittelyperusteen osalta todettakoon seuraavaa: Silloin, kun henkilötietojen käsittelyperusteena on rekisterinpitäjän lakisääteisen velvoitteen noudattaminen, velvoitteen asettavan lain on täytettävä kaikki merkitykselliset ehdot, jotta velvoite on pätevä ja sitova, ja sen on myös täytettävä tietosuojalainsäädännön vaatimukset tarpeellisuutta, oikeasuhteisuutta ja käyttötarkoituksen rajaamista koskeva vaatimus mukaan lukien. Rekisterinpitäjällä ei myöskään saa olla valinnanvaraa sen suhteen, täyttääkö se velvoitteen. Näin ollen vapaaehtoiset yksipuoliset sitoumukset ja julkisen ja yksityisen sektorin kumppanuudet, joissa käsitellään tietoja laajemmin kuin mitä lainsäädännössä edellytetään, eivät kuulu lakisääteistä tehtävää koskevan henkilötietojen käsittelyperusteen soveltamisalaan. Lisäksi itse laillisen velvoitteen on oltava riittävän selvä sen edellyttämän henkilötietojen käsittelyn suhteen. Näin ollen rekisterinpitäjän lakisääteistä velvoitetta koskevaa henkilötietojen käsittelyperustetta sovelletaan sellaisten säännösten perusteella, joissa viitataan nimenomaisesti käsittelyn luonteeseen ja tavoitteeseen. Rekisterinpitäjällä ei saisi olla kohtuutonta harkinnanvaraa sen suhteen, miten se noudattaa laillista velvoitetta.

Nyt arvioitavana olevassa asiassa rekisterinpitäjän lakisääteinen velvoite järjestää perusopetusta perustuu perusopetuslain (628/1998) 4 §:ään, jonka mukaan kunta on velvollinen järjestämään sen alueella asuville 26 §:n 1 momentissa tarkoitetuille oppivelvollisuusikäisille perusopetusta. Tämä rekisterinpitäjän velvollisuus järjestää perusopetusta edellyttää kiistatta oppilaiden henkilötietojen käsittelyä, ja tietosuojavaltuutettu korostaa, että lakisääteisen velvoitteen noudattaminen on pääsääntöinen käsittelyperuste koulun käsitellessä oppilaiden henkilötietoja. Perusopetuslaissa ei kuitenkaan viitata nimenomaisesti käsittelyn luonteeseen, eikä perusopetuslain mukaisen velvoitteen täyttäminen sellaisenaan edellytä esimerkiksi sähköisen opetusohjelman käyttöä. Tietojenkäsittelyn keinoja ei ole laissa määritelty, ja sääntely jättää näiltä osin merkittävää harkinnanvaraa sen suhteen, millaisia keinoja rekisterinpitäjä käyttää henkilötietojen käsittelyssä toteuttaessaan laista tulevaa velvoitettaan.

Tietosuojavaltuutettu kiinnittää asiassa huomiota myös seuraaviin seikkoihin:

Kouluvuosien aikana oppilaasta kertyy esimerkiksi hänen elämäänsä ja kehitystään kuvaavia tietoja pitkältä ajanjaksolta. Rekisterinpitäjän antaman selvityksen mukaan tiedot saattavat sisältää myös erityisiin henkilötietoryhmiin kuuluvia, eli niin sanottuja arkaluonteisia tietoja. Koska rekisterinpitäjä on soveltanut henkilötietojen käsittelyperusteena yleisen tietosuoja-asetuksen 6(1)(c) artiklaa (lakisääteisen velvoitteen noudattaminen), yleisen tietosuoja-asetuksen 9(1) artikla (erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn kielto) ei ole rekisterinpitäjän mukaan tullut tietosuojalain 6 §:n mukaisesti sovellettavaksi. Huomioitakoon, että sähköisen opetusohjelman kautta käsitellään myös merkittävästi enemmän henkilötietoja kuin esimerkiksi perinteisen lähiopetuksen yhteydessä. Esimerkiksi Googlen koulukäyttöön tarkoitettuun palvelupakettiin sisältyy ohjelmia, joiden kautta saatetaan kerätä ja tallentaa rekisteröidyn puhetta, videokuvaa rekisteröidystä, sekä videokuvaan sisältyvää muuta informaatiota, kuten kuvaan sisältyvä näkymä oppilaan kodista. Oppilaan henkilötietojen käsittely ei näin ollen rajoitu ainoastaan esimerkiksi koulutehtävänannon kannalta välttämättömiin tietoihin, ja oppilaasta kerätään yksityiskohtaisesti myös sellaista tietoa, jonka käsittely liittyy nimenomaisesti sähköisen opetusohjelman käyttöön.

Sähköisen palvelun käytöllä on vaikutuksia myös rekisterinpitäjän mahdollisuuksiin valvoa henkilötietojen käsittelijöiden ja alihankkijoiden suorittamaa henkilötietojen käsittelyä. Tässä tapauksessa tietojenkäsittelyn luonne, kesto ja henkilötietojen määrä kunkin yksittäisen rekisteröidyn kohdalla huomioiden, rekisterinpitäjän kontrolli henkilötietojen käsittelyssä jää vähäiseksi ottaen myös huomioon, että rekisterinpitäjä on hyväksynyt henkilötietojen käsittelijän laatiman vakiomuotoisen tietojenkäsittelysopimuksen ja palvelun käyttöehdot, sekä erityisesti sen, että kyse on lasten henkilötiedoista. Rekisterinpitäjän tietosuojavaltuutetun toimistolle toimittamien asiakirjojen pohjalta on myös merkillepantavaa, että henkilötietojen käsittely on hajautettu sekä maantieteellisesti että useina henkilötiedoista tehtyinä kopioina.

Edellä todettuun liittyen voidaan huomioida rekisterinpitäjän 26.11.2021 antama lisäselvitys, jonka mukaan rekisterinpitäjä on tehnyt opetusohjelman osalta yleisen tietosuoja-asetuksen 35 artiklan mukaisen tietosuojaa koskevan vaikutustenarvioinnin. Rekisterinpitäjä on vaikutustenarvioinnissaan nostanut esille, että ” Google Workspace -palvelu perustuu Google for Education yleisiin kaupungille tarjoamiin sopimusehtoihin. Koska ehdot ovat yleiset ja osittain vaikeasti tulkittavat, palvelun käyttöön liittyy riski siitä, että käsittelytapoja ei ole määritelty tarpeeksi läpinäkyvästi ja selkeästi, eikä pystytä varmistamaan tarkasti tietojen käsittelytapoja ”.

Nyt arvioitavana olevassa asiassa huomiota tulee kiinnittää myös siihen, että opetusohjelmaa käytetään koulun ohella kotona, oppilaan omasta verkosta ja omilla laitteilla. Tietosuojavaltuutettu toteaa, että tällainen toimintatapa edellyttää rekisteröidyn vapaaehtoisuutta, eikä menettelyä voida oikeuttaa lakisääteisen perusopetuksen järjestämisvelvoitteen noudattamisen nojalla.

Tietosuojavaltuutettu kiinnittää huomiota lisäksi siihen, että oppilaan käyttäjätilin tunnisteen luomisessa tehtävä henkilötunnuksen salaus on esitetyn mukaan muodostettu MD5-menetelmällä, joka estää henkilötunnuksen siirtymisen salaamattomana eteenpäin. MD5-algoritmin katsotaan kuitenkin tietoturvamielessä olevan vanhentunut, sillä algoritmi on murrettu ja sen murtamiseen on esimerkiksi löydettävissä ohjelmistoja internetistä.

Tietosuojavaltuutettu toteaa yleisesti sähköisten opetusohjelmien osalta, että koska sähköisen opetusohjelman käyttöön liittyen rekisterinpitäjällä on merkittävää harkintavaltaa, ja koska eri vaihtoehtojen välillä voi olla suuria eroja esimerkiksi henkilötietojen käsittelijöiden ja alihankkijoiden lukumäärässä, maantieteellisessä sijoittautumisessa ja valvontamahdollisuuksissa sekä ohjelman tietosuoja- ja tietoturvatoteutuksessa, eikä rekisteröidyllä ole vaikutusmahdollisuutta rekisterinpitäjän tekemään valintaan, ohjelman käyttöön liittyvää henkilötietojen käsittelyä ei ole perusteltua katsoa automaattisesti siten tarpeelliseksi ja oikeasuhteiseksi, että rekisterinpitäjä voisi oikeuttaa oppilaiden henkilötietojen käsittelyn suoraan ja ilman tapauskohtaista harkintaa lakisääteisen perusopetuksen järjestämisvelvollisuutensa nojalla. Tässä arvioinnissa tietosuojavaltuutettu kiinnittää huomiota myös päätöksessä aiemmin mainittuihin seikkoihin, mukaan lukien erityisesti henkilötietojen määrä ja luonne.

Tietosuojavaltuutettu toteaa lisäksi, että silloin, kun koulu käyttää opetuksessa maksuttomia ohjelmia, sen kannattaa ennen palvelun käyttöönottoa arvioida, mihin palvelun maksuttomuus perustuu. Huomiota on perusteltua kiinnittää myös siihen, millaiseen palvelukokonaisuuteen yksittäinen palvelu kytkeytyy, ja miten esimerkiksi rekisterinpitäjyys palvelupaketin eri osia käytettäessä määräytyy, sekä mitkä sopimusehdot tulevat kulloinkin sovellettavaksi. Tietosuojavaltuutettu muistuttaa, että rekisterinpitäjällä on yleisen tietosuoja-asetuksen 25 artiklan mukainen velvollisuus huomioida tietosuoja toiminnassaan alusta alkaen, ja sisäänrakennettu ja oletusarvoinen tietosuoja tulee integroida tehokkaasti henkilötietojen käsittelyyn.

Tietosuojavaltuutettu muistuttaa myös rekisterinpitäjän velvollisuudesta huolehtia siitä, että se informoi rekisteröityjä henkilötietojen käsittelystä yleisen tietosuoja-asetuksen 12–14 artiklojen mukaisesti. Rekisteröidyn tulee saada henkilötietojen käsittelyä koskevat tiedot läpinäkyvässä, helposti ymmärrettävissä ja saatavilla olevassa muodossa, ja informaation tulee sisältää esimerkiksi tieto henkilötietojen vastaanottajista, joihin lukeutuvat myös henkilötietojen käsittelijät. Tietojen ymmärrettävyyttä on arvioitava rekisteröidyn näkökulmasta, ja esimerkiksi lapselle annettavan informaation tulee olla lapsen helposti ymmärrettävissä.

Muista henkilötietojen käsittelyperusteista

Yleisen tietosuoja-asetuksen 6(1)(f) artiklassa säädetään rekisterinpitäjän ja kolmannen osapuolen oikeutetusta edusta henkilötietojen käsittelyperusteena. Oikeutettua etua ei lainkohdan mukaan voida soveltaa käsittelyperusteena, kun kyse on tietojenkäsittelystä, jota viranomaiset suorittavat tehtäviensä yhteydessä.

Yleisen tietosuoja-asetuksen 6(1)(a) artiklan mukaisen suostumuksen kohdalla rekisterinpitäjän tulee puolestaan huomioida yleisen tietosuoja-asetuksen 7 artiklasta tulevat suostumuksen edellytykset, joihin lukeutuu esimerkiksi suostumuksen vapaaehtoisuus.

Suostumusta ei voida pitää vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta ja jos hän ei voi kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa. Toimintatapaansa määrittäessään rekisterinpitäjän tulee myös kiinnittää erityistä huomiota siihen, että lähtökohtaisesti suostumus ei sovellu henkilötietojen käsittelyperusteeksi tilanteessa, jossa rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta ja tosiasiallinen vapaaehtoisuuden edellytyksen täyttyminen on epävarmaa. Tämä koskee erityisesti tilannetta, jossa rekisterinpitäjänä on viranomainen. Suostumuksen soveltaminen käsittelyperusteena viranomaisen toiminnassa ei kuitenkaan ole täysin poissuljettua. Rekisterinpitäjän tulee tätä käsittelyperustetta soveltaessaan varmistua siitä, että se pystyy osoittamaan suostumuksen vapaaehtoisuuden ja että niille rekisteröidyille, jotka kieltäytyvät antamasta suostumustaan, tarjotaan aito, tasavertainen vaihtoehto.

Tiedonsiirrot kolmansiin maihin

Rekisterinpitäjän tietosuojavaltuutetun toimistolle toimittamien asiakirjojen mukaan rekisterinpitäjän käyttämä henkilötietojen käsittelijä voi käsitellä henkilötietoja Yhdysvalloissa, ja henkilötietojen käsittelyyn liittyy tietojen siirtäminen unionista Yhdysvaltoihin. Asiassa saadun selvityksen mukaan henkilötietojen siirrot kolmansiin maihin on tässä tapauksessa suoritettu komission tietosuojan riittävyyttä koskevan päätöksen mukaisella järjestelyllä sekä komission vakiolausekkeiden nojalla.

Yleinen tietosuoja-asetus edellyttää, että henkilötietojen siirtäminen unionista kolmansissa maissa oleville rekisterinpitäjille, henkilötietojen käsittelijöille tai muille vastaanottajille ei vaaranna yleiseen tietosuoja-asetukseen perustuvaa henkilötietojen suojan tasoa, ja riittävän tietosuojan tason turvaamiseksi EU:n ja Yhdysvaltojen välisissä tiedonsiirroissa on aiemmin käytetty niin kutsuttua Privacy Shield -järjestelyä. Unionin tuomioistuin on kuitenkin todennut ratkaisussaan asiassa C-311/18 (nk. Schrems II -ratkaisu), että EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn tarjoaman tietosuojan tason riittävyydestä annettu päätös 2016/1250 on pätemätön. Ratkaisussaan unionin tuomioistuin katsoo, että Yhdysvaltojen sisäisestä säännöstöstä, joka koskee Yhdysvaltojen viranomaisten pääsyä unionista Yhdysvaltoihin siirrettyihin henkilötietoihin ja näiden tietojen käyttöä, johtuvia henkilötietojen suojan rajoituksia ei ole rajattu tavalla, joka täyttäisi unionin oikeudesta tulevat vaatimukset. Rekisteröidyille ei myöskään anneta täytäntöönpanokelpoisia oikeuksia, joihin he voisivat vedota Yhdysvaltain viranomaisia vastaan tuomioistuimissa. Unionin tuomioistuin toteaa edelleen, että rekisterinpitäjän on keskeytettävä henkilötietojen siirrot kolmanteen maahan, jos se ei voi toteuttaa riittäviä lisätoimenpiteitä henkilötietojen suojan varmistamiseksi.

Nyt arvioitavana olevassa asiassa tietosuojavaltuutetun toimisto on pyytänyt rekisterinpitäjältä selvitystä siitä, onko se tietosuojan riittävyyttä koskevan päätöksen kumoamisen jälkeen ottanut käyttöön täydentäviä suojatoimia henkilötietojen suojan varmistamiseksi koskien kansainvälisiä tiedonsiirtoja. Rekisterinpitäjä on tietosuojavaltuutetun toimistolle antamassaan selvityksessä todennut, että Google on oman ilmoituksensa mukaan ollut vaatimusten mukainen jo aiemmin. Rekisterinpitäjä ei ole esittänyt asiassa selvitystä lisäsuojatoimenpiteistä tai tarkempaa selvitystä siitä, millä perusteilla ratkaisussa C-311/18 todetulla ei ole vaikutusta opetusohjelman käyttöön liittyviin tiedonsiirtoihin. Rekisterinpitäjä ei asiassa saadun selvityksen perusteella ole myöskään tarkastellut itse käytössä olevia suojatoimenpiteitä ja niiden riittävyyttä.

Rekisterinpitäjä on antamassaan selvityksessä kertonut tietosuojavaltuutetun toimistolle, että henkilötietoja on siirretty komission vakiolausekkeiden nojalla. Euroopan komissio on hyväksynyt päivitetyt vakiolausekkeet kesäkuussa 2021 ja ne ovat astuneet voimaan 27. kesäkuuta 2021. Päivitetyt vakiolausekkeet on laadittu vastaamaan Schrems II -tuomion edellytyksiin. Vakiolausekkeet voivat tulla sovellettavaksi sellaisenaan, mutta tämä edellyttää tapauskohtaista arviointia. Koska nyt tarkasteltavana olevassa asiassa rekisterinpitäjän toimintaa on selvitetty pääosin vakiolausekkeiden päivittämistä edeltävänä aikana, tietosuojavaltuutettu ei käytä asiassa tältä osin yleisen tietosuoja-asetuksen 58(2) artiklan mukaisia korjaavia toimivaltuuksiaan. Tietosuojavaltuutettu antaa kuitenkin rekisterinpitäjälle kansainvälisten tiedonsiirtojen osalta ohjausta (ks. päätösasiakirjan s. 10).