Oppilaiden henkilötietojen luovuttaminen

2005

969/49/2005

Asian kuvaus:

Peruskoulusta oli luovutettu oppilaiden yhteystietoja yhdistykselle, joka järjesti oppilaille koulun opetusohjelmaan sisältyvän turvakurssin. Yhdistys lähetti kurssille osallistuvien oppilaiden koteihin tunnukset, joiden avulla pääsi tutustumaan yhdistyksen kotisivuihin. Yhdistys hankki myös vakuutukset oppilaille. Tietosuojavaltuutetulta tiedusteltiin, oliko koululla oikeus luovuttaa yhdistykselle oppilaiden yhteystiedot ilman huoltajien suostumusta.

Tietosuojavaltuutetun vastaus:

Kurssin toteuttaminen toimeksiannon perusteella

Asiassa ilmeni, että turvakurssin järjestäminen liittyi opetussuunnitelman toteuttamiseen. Perusopetuslain 4 §:n mukaan kunta on velvollinen järjestämään sen alueella asuville oppivelvollisuusikäisille perusopetusta. Oppilaitos käsittelee oppilaiden henkilötietoja opetuksen järjestämiseksi. Oppilaitoksen ja oppilaan välillä on henkilötietolain 8 §:n 1 momentin 5 kohdassa mainittu asiakassuhteeseen perustuva asiallinen yhteys, mihin oppilaiden henkilötietojen käsittely oppilaitoksissa perustuu.

Mikäli yhdistys voi koulun toimeksiannosta antaa perusopetusta, yhdistys voi tietosuojavaltuutetun käsitykseni mukaan käsitellä toimeksiannon toteuttamiseksi oppilaiden henkilötietoja. Se on henkilötietolain 8 §:n 1 momentin 7 kohdan mukaan mahdollista. Toimeksisaajalle voidaan lain 9 §:n mukaan antaa toimeksiannon toteuttamiseksi tarpeellisia henkilötietoja oppilaista. Toimeksiantosopimuksessa on todettava osapuolten tehtävät ja vastuut.

Jos perusopetuslaki ei salli, että perusopetusta toteutetaan tällaisen toimeksiannon perusteella, myöskään henkilötietojen käsittely ei voi perustua toimeksiantosopimukseen. Tietosuojavaltuutetun toimivaltaan ei kuulu ratkaista kysymystä siitä, voiko yhdistys järjestää perusopetuksen opetussuunnitelmaan liittyvän turvakurssin.

Vapaaehtoisen kurssin järjestäminen

Mikäli turvakurssi järjestettäisiin vapaaehtoisena kurssina, alaikäisen oppilaan huoltaja päättäisi kurssille osallistumisesta. Henkilötietojen käsittely perustuisi tällöin henkilötietolain 8 §:n 1 momentin 5 kohdassa mainittuun kurssilaisen ja kurssin järjestäjän välillä vallitsevaan asialliseen yhteyteen. Ilmoittautumisen yhteydessä tulisi kertoa myös kurssiin liittyvästä oppilaan henkilötietojen käsittelystä.

Henkilötietojen käsittely käsittelystä informointi

Henkilötietolain 24 § velvoittaa rekisterinpitäjää informoimaan henkilötietojen käsittelystä. On huolehdittava, että rekisteröity voi saa tiedon rekisterinpitäjästä ja henkilötietojen käsittelyn tarkoituksesta sekä siitä, mihin tietoja säännönmukaisesti luovutetaan. Myös rekisteröidyn oikeuksien käyttämisestä tulee informoida.

Järjestettiinpä turvakurssi opetusohjelmaan liittyvänä tai vapaaehtoisena, tietosuojavaltuutettu katsoi, että kurssin toteuttamiseen liittyvästä henkilötietojen käsittelystä tulee informoida oppilaiden huoltajia.

Yhteystietojen salassapidon merkitys

Osa oppilaitoksen oppilaistaan keräämistä henkilötiedoista saattaa olla salassa pidettäviä. Oppilaiden henkilötietojen salassa pidosta on säännöksiä perusopetuslain 40 §:ssä ja viranomaisten toiminnan julkisuudesta annetun lain (julkisuuslaki) 24 §:ssä. Esimerkiksi oppilaiden yhteystiedot voivat olla julkisuuslain 24 §:n 31 kohdan perusteella salassa pidettäviä

Henkilötietojen luovuttaminen suoramarkkinointiin

Jos käyttöoikeuksien myöntäminen yhdistyksen kotisivuille liittyy yhdistyksen toiminnan markkinointiin eikä turvakurssin järjestämiseen, oppilaiden julkistenkin henkilötietojen luovuttaminen käyttöoikeuksien myöntämiseksi edellytti tietosuojavaltuutetun käsityksen mukaan alaikäisten oppilaiden huoltajien suostumusta. Perusteeksi tietosuojavaltuutettu esitti viranomaisten toiminnan julkisuudesta annetun lain 16 §:n 3 momentin. Sen mukaan viranomaisen henkilörekisteristä saa luovuttaa henkilötietoja suoramarkkinointia varten vain, jos niin erikseen säädetään tai jos rekisteröity on antanut siihen suostumuksensa. Suostumusta pyydettäessä tulee oppilaiden vanhemmille kertoa, että suoramarkkinointi toteutetaan myöntämällä käyttöoikeudet yhdistyksen kotisivuille.

Sovelletut säännökset:

Henkilötietolaki 8.1 § kohta 5 §, 6 §, 8.1 kohta 7, 9 §, 24 §
Perusopetuslaki 4 §, 40 §
Laki viranomaisten toiminnan julkisuudesta 16.3 § , 24 §



 
Julkaistu 27.1.2014