En

Karelia-ammat­ti­kor­kea­kou­lun tietosuojapolitiikka

Karelia-ammat­ti­kor­kea­kou­lun tieto­suoja- ja tieto­tur­va­ryh­män laatima

Käsi­telty 20.2.2018 Karelia-ammat­ti­kor­kea­kou­lun yhteis­työ- ja työsuo­je­lu­toi­mi­kun­nassa. Päivi­tetty 11.8.2022.

EU:n tieto­suoja-asetuk­sen (EU 2016/679)1 sovel­ta­mi­nen on alkanut 25.05.2018 ja tässä tieto­suo­ja­po­li­tii­kassa on tämä asetus otettu huomioon.

Tieto­suo­jasta huoleh­ti­mi­sella varmis­te­taan toimin­nan vastuul­li­suus ja asian­mu­kai­suus niin lain­sää­dän­nön kuin eettis­ten toimin­ta­ta­po­jen kannalta. Lisäksi tieto­suo­jasta huoleh­ti­mi­nen on osa ammat­ti­kor­kea­kou­lun riskien hallin­taa. Tieto­suo­ja­po­li­tii­kassa määri­tel­lään perus­pe­ri­aat­teet, kuinka kaikissa ammat­ti­kor­kea­kou­lun toimin­noissa pyri­tään varmis­ta­maan henki­lö­tie­to­jen lain­mu­kai­nen käsit­tely ja tieto­suo­jan korkea taso. Tieto­suo­ja­po­li­tiik­kaa täyden­ne­tään käytän­nön työohjeistuksilla.

Tieto­suo­ja­po­li­tii­kan katta­vuus, tavoit­teet ja periaatteet

Tieto­suo­jaan kuulu­vat henki­löi­den yksi­tyi­se­lä­män suoja ja yksi­tyi­syy­den suojaa turvaa­vat muut oikeu­det henki­lö­tie­toja käsi­tel­täessä. Tieto­suo­jalla tarkoi­te­taan henki­lö­tie­to­jen ja muiden henki­lön luot­ta­muk­sel­lis­ten tai arka­luon­teis­ten tieto­jen suojaa­mista. Tieto­suo­ja­lain­sää­däntö edel­lyt­tää, että henki­lö­tie­to­jen käsit­tely on turvat­tava ja henki­lö­tie­dot on suojat­tava asiat­to­malta käsit­te­lyltä. Tieto­jen ja tieto­jär­jes­tel­mien käyttöä seura­taan ja väärin­käy­tök­siin puutu­taan ammat­ti­kor­kea­kou­lun IT-sään­tö­jen mukaisesti.

EU:n tieto­suoja-asetus sisäl­tää sisään­ra­ken­ne­tun ja oletusar­voi­sen tieto­suo­jan periaatteet.

Tieto­suo­ja­pe­ri­aat­teet ovat:

  • käsit­te­lyn lain­mu­kai­suus, kohtuul­li­suus ja läpinäkyvyys
  • käyt­tö­tar­koi­tus­si­don­nai­suus
  • tieto­jen minimointi
  • tieto­jen täsmällisyys
  • tieto­jen säily­tyk­sen rajoittaminen
  • tieto­jen eheys ja luottamuksellisuus
  • rekis­te­rin­pi­tä­jän osoitusvelvollisuus

”Sisään­ra­ken­ne­tun tieto­suo­jan peri­aate edel­lyt­tää, että edellä maini­tut tieto­suo­ja­pe­ri­aat­teet otetaan tehok­kaasti osaksi henki­lö­tie­to­jen käsit­te­lyä sisäl­tä­viä toimin­toja niiden kaikissa vaiheissa.

Oletusar­voi­sen tieto­suo­jan peri­aate merkit­see, että rekis­te­rin­pi­tä­jän tulee oletusar­voi­sesti käsi­tellä vain käsit­te­lyn kunkin erityi­sen tarkoi­tuk­sen kannalta tarpeel­li­sia henki­lö­tie­toja. Velvol­li­suus koskee kerät­ty­jen henki­lö­tie­to­jen määrää, käsit­te­lyn laajuutta, säily­ty­sai­kaa ja saata­villa oloa. Rekis­te­rin­pi­tä­jän on toteu­tet­tava toimen­pi­teet, jotka varmis­ta­vat etenkin sen, että henki­lö­tie­toja ei oletusar­voi­sesti saateta rajoit­ta­mat­to­man henki­lö­mää­rän saata­ville ilman luon­nol­li­sen henki­lön myötävaikutusta.”

Ammat­ti­kor­kea­kou­lussa kerä­tään ja käsi­tel­lään muun muassa opin­toi­hin, työn­te­ki­jöi­hin sekä tutki­mus-, kehit­tä­mis- ja inno­vaa­tio­toi­min­taan (TKI) liit­ty­viä henki­lö­tie­toja sisäl­tä­viä rekis­te­reitä. Karelia Ammat­ti­kor­kea­koulu Oy on näissä rekis­te­rin­pi­tä­jänä ja henki­lö­tie­toja käsit­te­le­vät ovat henki­lö­tie­to­jen käsit­te­li­jöitä. Osa käsi­tel­tä­västä tiedosta on luot­ta­muk­sel­lista, arka­luon­teista sekä salassa pidet­tä­vää ja voi paljas­tut­tu­aan rikkoa yksi­tyi­syy­den suojan ja heiken­tää luot­ta­musta ammat­ti­kor­kea­kou­lun toimin­taa kohtaan.

Henki­lö­tie­to­jen oikeel­li­suus on varmis­tet­tava, niitä on käsi­tel­tävä asian­mu­kai­sesti ja niiden on oltava tarpeen mukaan käytet­tä­vissä. Väärien, vanhen­tu­nei­den ja virheel­lis­ten tieto­jen käsit­tely on kiel­letty, ja näiden oikai­se­mi­nen on tehtävä tarpeen mukaan.

Tietoja saavat käyttää ainoas­taan niitä työs­sään tai opin­nois­saan tarvit­se­vat henki­löt ja työteh­tä­vänsä tai opin­to­jensa suorit­ta­mi­sen edel­lyt­tä­mässä laajuu­dessa. Tietoja saa luovut­taa ainoas­taan henki­lön itsensä suos­tu­muk­sella tai lain­sää­dän­nön nojalla.

Tieto­suo­jalla on kiinteä yhteys tieto­tur­vaan. Ammat­ti­kor­kea­kou­lun tieto­tur­va­po­li­tiikka määrit­te­lee, mitä tarkoi­te­taan tieto­tur­valla ja kuinka sitä ylläpidetään.

Tieto­suo­ja­po­li­tiikka ottaa huomioon myös ammat­ti­kor­kea­kou­lun avoimen tieteen poli­tii­kan ja peri­aat­teet. Tieto­suo­jan ja tieteen avoi­muu­den yhteen sovit­ta­mi­nen otetaan huomioon erityi­sesti tutki­musai­neis­toja kosket­ta­via käytän­nön ohjeis­tuk­sia ja ratkai­suja laadittaessa.

Tieto­jen elin­kaari ja käyttö

Henki­lö­tie­to­jen käsit­tely perus­tuu henki­lön suos­tu­muk­seen tai laissa määri­tel­tyyn muuhun käsit­te­ly­pe­rus­tee­seen. Henki­lö­tie­toja käsi­tel­lään vain perus­tel­lun käyt­tö­tar­koi­tuk­sen johdosta ja vain siinä määrin ja niin kauan, kun se on käyt­tö­tar­koi­tuk­sen kannalta tarpeel­lista. Käytet­tä­vien tieto­jen oikeel­li­suus pyri­tään varmis­ta­maan ja tietoja päivi­te­tään henki­löltä itsel­tään tai luotet­ta­vista lähteistä, joita ovat esim. viran­omai­set. Kun tiedot eivät enää ole käyt­tö­tar­koi­tuk­sensa vuoksi tarpeel­li­sia, tiedot tulee tuhota asianmukaisesti.

Tietoja käyte­tään niitä kerät­täessä kuvat­tui­hin tarkoi­tuk­siin lain­sää­dän­nön kulloin­kin salli­missa rajoissa. Tietoja luovu­te­taan vain nimen­omai­sesti kerro­tulla tai laissa maini­tulla perus­teella ja nimen­omai­sesti kerro­tuille tai laissa maini­tuille luovu­tuk­sen saajille. Tietoja saate­taan siirtää rekis­te­rin­pi­tä­jän sijain­ti­val­tion ulko­puo­lelle tai poik­keus­ta­pauk­sissa EU:n ulko­puo­lelle. Tällöin nouda­te­taan siirtoa koske­via, tieto­suo­ja­lain­sää­dän­nössä säädet­tyjä menet­te­lyitä. EU:n ulko­puo­lelle henki­lö­tie­toja siir­ret­täessä nouda­te­taan erityistä huolel­li­suutta ja siihen liit­ty­viä säännöksiä.

Rekis­te­röi­ty­jen informointi

Rekis­te­rin­pi­tä­jänä toimii Karelia Ammat­ti­kor­kea­koulu Oy. Infor­moin­ti­vel­vol­li­suutta toteu­te­taan kuvaa­malla henki­lö­tie­to­jen käsit­te­lyä rekis­te­ri­se­los­teissa. Rekis­te­röi­dyille tarjo­taan laissa tarkoi­tettu tai muuten tarpeel­li­nen infor­maa­tio henki­lö­tie­to­jen käsit­te­lystä tietoja kerättäessä.

Vastuut ja organisointi

Vastuu tieto­suo­jan toteut­ta­mi­sesta ja henki­lö­tie­to­jen käsit­te­lyn lain­mu­kai­suu­desta on ammat­ti­kor­kea­kou­lun johdolla. Jokai­sen työn­te­ki­jän ja henki­lö­tie­toja opin­nois­saan käsit­te­le­vän opis­ke­li­jan tulee tuntea ja hallita oman vastuu­alu­eensa tieto­suo­ja­sään­tely ja -riskit. Ammat­ti­kor­kea­kou­lulle on nimi­tetty tieto­suo­ja­vas­taava, joka ohjaa ja kehit­tää tieto­suo­jan toteu­tu­mista ammat­ti­kor­kea­kou­lussa. Tieto­suo­ja­vas­taa­van asema ja tehtä­vät noudat­te­lee EU:n tieto­suoja-asetuk­sen artikloja 38 ja 39 (katso liite 1). Tieto­suo­ja­vas­taa­van yhteys­tie­dot ovat julki­sesti saatavilla.

Tieto­suo­ja­vas­taa­van tukena toimii ammat­ti­kor­kea­kou­lun tieto­suoja- ja tieto­tur­va­ryhmä. Ryhmään kuulu­vat tieto­suo­ja­vas­taava, hallinto- ja talous­joh­taja, henki­lös­tö­pääl­likkö, opis­ke­li­ja­pal­ve­lu­jen pääl­likkö, työsuo­je­lu­val­tuu­tettu ja turval­li­suus­pääl­likkö. Ryhmän tehtä­vät on kuvattu liit­teessä 1.

Tieto­jen­kä­sit­te­lyä ulkois­tet­taessa tulee huoleh­tia, että valittu kump­pani noudat­taa tätä tieto­suo­ja­po­li­tiik­kaa. Henki­lö­tie­to­jen käsit­te­lyn ulkois­ta­mi­sesta laadi­taan aina kirjal­li­nen sopimus, jossa osapuol­ten vastuut ja velvol­li­suu­det määritellään.

Tieto­suo­jan varmistaminen

Tieto­suo­jan varmis­ta­mi­seen liittyy oleel­li­sesti riski­pe­rus­tai­nen lähestyminen.

”Jotta rekis­te­rin­pi­täjä voi toteut­taa asetuk­sen sisään­ra­ken­net­tua ja oletusar­voista tieto­suo­jaa ja muita asetuk­sessa säädet­tyjä velvol­li­suuk­sia, on rekis­te­rin­pi­tä­jän tehtävä perus­teel­li­nen arvio henki­lö­tie­to­jen käsit­te­lyyn liit­ty­vistä riskeistä. Tieto­suoja-asetuk­sessa riskeillä tarkoi­te­taan henki­lö­tie­to­jen käsit­te­lystä rekis­te­röi­dylle mahdol­li­sesti aiheu­tu­via fyysi­siä, aineel­li­sia tai aineet­to­mia vahin­koja esimer­kiksi silloin, kun käsit­tely saattaa johtaa syrjin­tään, iden­ti­teet­ti­var­kau­teen tai petok­seen, talou­del­li­siin mene­tyk­siin, sosi­aa­li­seen vahin­koon tai pseu­do­ny­mi­soin­nin2 kumoutumiseen.

Riski voi olla korkeampi silloin, kun käsi­tel­lään esimer­kiksi erityi­siä henki­lö­tie­to­ryh­miin kuulu­via tietoja. Kun henki­lö­tie­to­jen käsit­te­lyyn toden­nä­köi­sesti kohdis­tuu korkea riski, on tieto­suoja- asetuk­sen mukaan rekis­te­rin­pi­tä­jän tehtävä tieto­suo­jaa koskeva vaiku­tus­te­nar­viointi. Riskin tasoa arvioi­taessa on otet­tava huomioon henki­lö­tie­to­jen käsit­te­lyn luonne, laajuus, asiayh­teys ja tarkoi­tuk­set edellä selos­te­tun mukai­sesti.” [1]

Vaiku­tus­te­nar­vioin­nin yhtey­dessä rekis­te­rin­pi­tä­jän on pyydet­tävä neuvoja tietosuojavastaavalta.

Tieto­suoja-asiat kuulu­vat osana henki­lö­tie­toja käsit­te­le­vien uusien työn­te­ki­jöi­den pereh­dy­tyk­seen. Opis­ke­li­joille tämä sisäl­tyy amma­til­li­sen kasvun opin­to­jak­soon. Kaikkia henki­lö­tie­toja käsit­te­le­viä henki­löitä sitoo laissa sään­nelty tai erik­seen sovittu ja doku­men­toitu vaitiolovelvollisuus.

Henki­lö­tie­toja sisäl­tä­vien tieto­jär­jes­tel­mien käyttöä kont­rol­loi­daan ammat­ti­kor­kea­kou­lun käyt­tä­jä­hal­lin­ta­rat­kai­sulla tai muuten doku­men­toi­duilla menettelyillä.

Ammat­ti­kor­kea­koulu arvioi ja valvoo tieto­suo­jan toteu­tu­mista ja tekee tarkas­tuk­sia tieto­suoja-asioissa osana normaa­lia tarkas­tus­toi­min­taansa. Tieto­suo­jan toteu­tu­mi­nen varmen­ne­taan vuosit­tain rapor­toin­nilla johdolle.

1 Pseu­do­ny­mi­sointi (’sala­ni­mellä julkai­se­mi­nen’) Henki­lö­tie­to­jen käsit­te­le­mistä niin, että tietoja ei voida enää suoraan yhdis­tää tiet­tyyn rekis­te­röi­tyyn käyt­tä­mättä lisä­tie­toja. Tällai­set lisä­tie­dot tulee säilyt­tää eril­lään ja niihin sovel­le­taan tekni­siä ja orga­ni­sa­to­ri­sia toimen­pi­teitä, joilla varmis­te­taan, ettei tällaista yhdis­tä­mistä tunnis­tet­tuun tai tunnis­tet­ta­vissa olevaan henki­löön tapahdu. Lähde: Vahti-raportti 1/2016

Tieto­suo­jan ongelmatilanteet

Tieto­suoja-asetuk­sessa sääde­tään rekis­te­rin­pi­tä­jän velvol­li­suu­desta ilmoit­taa henki­lö­tie­to­jen tieto­tur­va­louk­kauk­sista tieto­suo­ja­vi­ran­omai­selle ja rekis­te­röi­dylle. Tieto­tur­va­louk­kauk­sella tarkoi­te­taan louk­kausta, jonka seurauk­sena on henki­lö­tie­to­jen vahin­gossa tapah­tuva tai lain­vas­tai­nen tuhoa­mi­nen, häviä­mi­nen, muut­ta­mi­nen, luvaton luovut­ta­mi­nen taikka pääsy tietoihin.

Osana henki­lö­tie­to­jen käsit­te­lyn suun­nit­te­lua ammat­ti­kor­kea­kou­lulla on prosessi myös mahdol­lis­ten tieto­tur­va­louk­kaus­ten varalle, jotta tieto­tur­va­louk­kauk­seen liit­ty­vien ilmoi­tus­vel­vol­li­suuk­sien täyt­tä­mi­nen on mahdol­lista. Jokai­nen ammat­ti­kor­kea­kou­lun yhtei­söön kuuluva on velvol­li­nen ilmoit­ta­maan havait­se­mis­taan tieto­suo­jaan liit­ty­vistä puut­teista, uhkista tai menet­te­ly­vir­heistä osoit­tee­seen [email protected]. Mikäli tieto­suo­jan epäil­lään tai havai­taan vaaran­tu­neen, asia tutki­taan viipy­mättä. Lisäksi asiasta ilmoi­te­taan viipy­mättä rekis­te­röi­dylle, jonka tieto­suoja on vaaran­tu­nut, edel­lyt­täen, että ilmoit­ta­mi­nen on aiheel­lista korjaa­vien toimen­pi­tei­den suorit­ta­mi­seksi tai vahin­gon rajaamiseksi.

Tiedot­ta­mi­nen henki­lös­tölle, rekis­te­röi­dyille ja sidosryhmille

Tästä tieto­suo­ja­po­li­tii­kasta ja sen muutok­sista tiedo­te­taan ammat­ti­kor­kea­kou­lun henki­lö­kun­nalle ja opis­ke­li­joille intra­ne­tissä. Tieto­suo­ja­po­li­tiikka päivi­te­tään tarpeen mukaan. Tämän lisäksi anne­taan sisäi­siä ohjeita tietosuoja-asioista.

Ammat­ti­kor­kea­kou­lun tieto­suo­ja­po­li­tiikka on voimassa tois­tai­seksi. Se on asia­kir­jana julki­nen ja saata­vissa ammat­ti­kor­kea­kou­lun ulkoi­silta ja sisäi­siltä verkkosivuilta.

Tieto­suo­ja­po­li­tii­kan vahvistaminen

Tieto­suo­ja­po­li­tii­kan on vahvis­ta­nut Kare­lian tieto­suoja- ja tieto­tur­va­ryhmä kokouk­ses­saan 13.3.2018.

Lähteet:

Lapin yliopis­ton tieto­suo­ja­po­li­tii­kan luonnos 7.9.2017 (iso osa teks­tistä perus­tuu tähän), linkki 6.1.2018 (edel­lyt­tää pääsyn ja kirjau­tu­mi­sen eduu­niin korkea­kou­lu­jen GDPR-yhteis­työn mate­ri­aa­liin): https://tt.eduuni.fi/sites/kity/EUGDPR/Dokumentteja/_Tiimi_MP_Muut_Palvelut/Ryhm%C3%A4%201%20d okumentit/Lapin%20yliopiston%20tietosuojapolitiikka%20LUONNOS.docx?Web=1

Tieto­suo­ja­val­tuu­te­tun ohje ”Miten valmis­tau­tua EU:n tieto­suoja-asetuk­seen?” oikeus­mi­nis­te­riön ohje 4/2017, linkki 6.1.2018 tieto­suo­ja­val­tuu­te­tun www-sivuille: http://www.tietosuoja.fi/fi/index/euntietosuojauudistus.html#mitenvalmistautuatietosuoja-asetukseen

Linkit: Tieto­tur­va­po­li­tiikka, IT-säännöt

Liit­teet:

Liite 1 Tieto­suoja- ja tietoturvaryhmä

Liite 2 Tieto­suo­ja­vas­taa­van asema ja tehtävä

Liite 1.

Toimen­hal­ti­ja­pää­tös 16.03.2022 § 72, Karelia-ammat­ti­kor­kea­kou­lun tieto­suoja- ja tieto­tur­va­ryh­män täydentäminen

Karelia-ammat­ti­kor­kea­kou­lussa on tois­tai­seksi toimiva tieto­suoja- ja tieto­tur­va­ryhmä, joka

  • on valmis­tel­lut voimassa olevan EU:n tieto­suoja-asetuk­sen sovel­ta­mista Karelia-ammattikorkeakoulussa,
  • käsit­te­lee, kommen­toi, antaa lausun­toja sekä hyväk­syy tieto­suo­jaan ja tieto­tur­vaan liit­ty­viä Karelia-ammat­ti­kor­kea­kou­lun ohjeita ja linjauksia