Framsida » Avgöranden » Hur skall behandlingen av studerandes personuppgifter fortskrida efter att studierna slutförts?

Hur skall behandlingen av studerandes personuppgifter fortskrida efter att studierna slutförts?

Drn 775/41/2010

Ärende:

Dataombudsmannen rådfrågades angående hurdan förvaring som skulle vara lämplig med tanke på dataskydd, då det handlar om raderande av studerandes personuppgifter ur studieförvaltningssystemet efter slutförda studier.

Dataombudsmannens svar:

I lagar om utbildningsverksamhet kan finnas stadganden om behandling av personuppgifter. Därutöver skall personuppgiftslagen (PuppL) användas som allmänlag. Personuppgifter definieras i lagens 3 § 1 mom.

Behandlingen av personuppgifter bör planeras. Ändamålet med behandlingen bör definieras så att det därav framgår till förmån för vilka uppgifter som registerföraren behandlar uppgifterna (6 §). I läroanstalter behandlas både elevers och ansökandes personuppgifter och behandlingen har ansetts basera sig på lagens 8 § 1 mom. 5 p. I lagens 11 § definieras känsliga uppgifter (t.ex. uppgifter som beskriver hälsotillstånd eller sjukdom) och deras behandling begränsas av 12 §.

Anteckningar som hör samman på grund av sitt användarändamål skall höra till samma personregister (3 § 3 mom.). Vid antagningsprocessen för studerande kan man samla in nödvändiga personuppgifter. Uppgifterna sparas i antagningsregistret. Då utbildning ordnas samlas nödvändiga personuppgifterna i ett studieregister. För behandlingen av personuppgifterna svarar enligt lagens 3 § 4 mom. den registeransvariga (den som svarar för utbildningen).

Behandlingen skall vara sakligt grundad för registerförarens verksamhet (6 §). Personuppgiftslagen förpliktar registerföraren med aktsamhetsprincipen (5 §), ändamålsbundenhetsprincipen (7 §) samt felfrihetskrav (9 §). Registerföraren skall skydda uppgifterna ifrån osaklig och olaglig åtkomst (32 §). Skolans personal beviljas lämpliga användarrättigheter och användarrättigheterna övervakas regelbundet.

Då man bedömer förvaringen av data skall man beakta personuppgiftslagens 9.1 §, 12.2 § och 34 §, ifall det inte finns andra mer specifika normer om förvaringen i andra författningar. Så som arkiveringslagen för kommuner och samkommuner. I planen för bildande av arkiv definieras hur länge studerandes uppgifter sparas i arkivet efter att studerandens uppgifter inte längre är nödvändiga för det dagliga bruket. Arkivverket har producerat en broschyr där ärendet närmare berörs: Guide rörande principerna för fastställande av förvaringstider (Guiden finns endast på finska). Av broschyren framgår att registerföraren inte längre för det passiva materialet använder data i sin operativa verksamhet. Data som finns i passivt material bör begränsas så att endast de personer som sköter om arkivet kan behandla dessa. Då data förstörs skall man gå till väga på ett sådant sätt att inte utomstående kan ha åtkomst till dem. Noggrannare instruktioner om arkivering ger Arkivverket.

 
Publicerad 6.2.2014