Framsida » Avgöranden » Behandling av personuppgifter vid antecknandet av studerandes närvaro

Behandling av personuppgifter vid antecknandet av studerandes närvaro

2006

Ärende:

Dataombudsmannens åsikt frågades efter gällande ett datasystem som planerades med vilket man skulle kunna anteckna uppgifter gällande studerandes närvaro. Antecknandet skulle ske genom att fylla i något kort i en läsarapparat eller genom identifiering av den studerandes fingeravtryck.

Dataombudsmannens svar:

Enligt personuppgiftslagens 38 § ger dataombudsmannen handledning och råd i frågor gällande behandling av personuppgifter. Dataombudsmannens ställningstaganden är inte juridiskt bindande beslut.

Den registeransvariga svarar för behandlingen av personuppgifter

I personuppgiftslagens 3 § 1 punkt definieras personuppgifter. Exempelvis är frånvarouppgifter som kan sammankopplas med en viss studerande samt biometriska identifikationer och andra identifieringsuppgifter personuppgifter, på vilka personuppgiftslagen tillämpas.

Enligt lagens 3 § 4 punkt är den registeransvariga den för vars bruk ett personregister inrättas och vilken har rätt att förfoga över registret. Den registeransvariga svarar för behandlingen av personuppgifterna. Undervisningens ordnare är den registeransvariga.

Den registeransvariga kan samla endast sådana uppgifter som är behövliga med hänsyn till verksamheten

Dataombudsmannen ansåg att mellan läroverket och den studerande fanns ett sådant sakligt samband som personuppgiftslagens 8 § 1 moment 5 punkt stadgar om, på vilket behandlingen av studerandenas personuppgifter i läroverket grundar sig. Sådana känsliga uppgifter som personuppgiftslagens 11 § stadgar om kan endast behandlas på de grunder som nämns i lagens 12 §. Med behandling avses alla åtgärder som riktar sig mot personuppgifter, så som samlande, sparande, användning och utlämnande.

I lagens 5 § förpliktas den registeransvarige till att behandla personuppgifter lagligt, iaktta aktsamhet och god informationshantering samt verka för övrigt så att den registrerades grundrättigheter som tryggar privatlivet och integritetsskyddet inte skulle begränsas utan en i lag angiven grund.

Enligt lagens 9 § skall de personuppgifter som behandlas vara behövliga med hänsyn till det angivna ändamålet med behandlingen. Personuppgifter kan anses vara behövliga med hänsyn till ändamålet med behandlingen då de är sakliga och väsentliga och inte för omfattande för det ändamål som de har samlats för och för vilket de senare behandlas.

I ett läroverk är ändamålet med behandlingen av studerandes personuppgifter att ordna undervisning. Inte ens med samtycke kan man samla obehövliga uppgifter.

Dataombudsmannen ansåg det vara sannolikt att undervisningen som läroverket gav var i enlighet med lagen om yrkesutbildning ((630/1998). Enligt lagens 34 § skall en studerande delta i undervisningen ifall han inte har beviljats befrielse från den. Enligt lagens förarbeten (RP 86/1997) är utgångspunkten den att studerandena skall delta i undervisningen. Sättet att delta i undervisningen växlar beroende på formen för ordnandet av undervisningen. Skyldigheten att utföra sina uppgifter i paragrafens 2 moment anknyter till skyldigheten att delta i undervisningen. Med hänsyn till ordnandet av undervisningen är det således behövligt att följa den studerandes frånvaron.

Behandling av kela-kort och fingeravtrycksidentifikationer

Läroverket kan med stöd av personuppgiftslagens 13 § behandla den studerandes personbeteckning. Personbeteckningen är behövlig vid entydigt individualiserande av den studerande, vilket behövs vid förverkligandet av läroverkets och den studerandes rättigheter och skyldigheter. Endast det att behandling av en personbeteckning gör förverkligandet lättare och snabbare berättigar inte till behandling av personbeteckning. Enligt dataombudsmannens uppfattning var uppföljningen av frånvaron möjligt utan att använda den studerandes personbeteckning, som uppenbarligen skulle läsas från kela-kortet.

Dataombudsmannen hade i sina tidigare ställningstaganden framfört sin synpunkt om att användningen av kela-kortet borde begränsas till ärenden gällande socialskydd. Från kela-kortet framgår personbeteckningen. Ur det kan också framgå uppgifter gällande kortinnehavarens sjukdom eller möjlig medicinering. Dataombudsmannen ansåg det vara en rekommenderad lösning att ett särskilt kort som den studerande skulle få och från vilket man t.ex. kunde utläsa ett studentnummmer skulle användas vid uppföljning av frånvaron. I varje fall skall den studerande ha möjlighet att utnyttja ett alternativt sätt vid uppföljningen av frånvaron. Den studerande skall också vara medveten om riskerna med användningen av kela-kortet. I dataombudsmannens byrå var då för tillfället ett fall under utredning där kela kortet utnyttjades i studentrestauranger.

En biometrisk identifikation kan i brist på speciallagstiftning tas i bruk endast med samtycke av användarna. Dataombudsmannen har inte ansett en sådan identifikation vara ett bra alternativ med beaktande av den biometriska identifikationens karaktär. Enligt dataombudsmannens uppfattning var en biometrisk identifikation inte en behövlig uppgift vid uppföljningen av de studerandes frånvaron.

Läroverkets arbetstagares rättigheter att behandla studerandes personbeteckningar och andra personuppgifter i ett studentregister som uppehålls med hjälp av automatisk databehandling skall definieras per användare i samband med användarkontrollen. Personuppgifterna får ses enbart av dem som behöver dem i sina arbetsuppgifter.

Informering av de registrerade

Personuppgiftslagens 24 § förpliktar den registeransvariga att informera den registrerade/minderårigas vårdnadshavare om behandlingen av personuppgifter. Personuppgiftslagens 10 § förplikar också den registeransvariga till att utarbeta registerbeskrivningar över de personregister som denne uppehåller och att hålla registerbeskrivningarna tillgängliga åt alla. Med dessa förpliktelser eftersträvas öppenhet i behandlingen av personuppgifter.

Tillämpliga bestämmelser:

Personuppgiftslag 3 § punkterna 1 och 4, 5 §, 8.1 § punkt 5, 9 §, 10 §, 11 §, 12 §,
13 §, 24 § och 38 §
Lag om yrkesutbildning 34 §

 
Publicerad 6.2.2014