top of page
Etsi

Henkilötietojen käsittely (3945/2023)

Hallinto-oikeus: henkilötietojen käsittelyä Googlen etäopetusalustan välityksellä ei voinut perustella lakisääteisellä velvoitteella

Helsingin hallinto-oikeuden käsittelyssä olleessa tapauksessa (3945/2023) kunta oli hyödyntänyt mm. Google Workspace for Education -opetusalustaa perusopetuksen järjestämiseen. Kunnan näkemyksen mukaan kyseisen kaltaisten alustojen käyttäminen on valtakunnallisesti laaja käytäntö, ja sen käyttö pohjautuu perusopetuslain säännöksiin. Kunnan mukaan perusopetuksen järjestäminen ilman sähköistä opetusohjelmaa ei ylipäätään ollut edes mahdollista koronapandemian aikaan. Tapauksessa vastapuolena ollut tietosuojavaltuutetun toimisto oli aiemmassa päätöksessään todennut kunnan toimineen yleisen tietosuoja-asetuksen vastaisesti käsitellessään henkilötietoja.

Hallinto-oikeudelle annetussa vastineessaan tietosuojavaltuutetun toimisto totesi, että vaikka henkilötietojen käsittely sähköisessä opetusohjelmassa voi olla tarpeen perusopetuksen järjestämiseksi, tulee rekisterinpitäjän kuitenkin huolehtia ohjelmistoa valitessaan, että se pystyy noudattamaan tietosuojasääntelystä tulevia velvoitteitaan. Käsittelyperustetta ei tule tulkita liian laajasti. Tietosuojavaltuutetun toimisto totesi myös, että koulujen käyttöön soveltuvia sähköisiä opetusohjelmia tarjoavat useat eri palveluntarjoajat. Kuntien on myös mahdollista hankkia yksittäiseltä palveluntarjoajalta juuri sellaisista elementeistä koostuva kokonaisuus, jonka se toiminnassaan tarvitsee. Perusopetuslaki ei edellytä nimenomaan Googlen tai Microsoftin opetusohjelmien käyttämistä. IT-taitojen opettaminen on mahdollista myös ilman, että oppilas on omilla tunnuksilla kirjautuneena tiettyyn ohjelmaan tai muutoin palveluntarjoajan tunnistettavissa.

Hallinto-oikeus hylkäsi kunnan valituksen. Tuomioistuimen mukaan perusopetuslain mukaisen velvoitteen täyttäminen ei edellyttänyt sähköisen opetusohjelman tai jonkin nimenomaisen opetusohjelman käyttämistä. Siksi hallinto-oikeus totesi, kuten tietosuojavaltuutettukin valituksenalaisessa päätöksessään, että Googlen opetusohjelman käytössä tehtävää henkilötietojen käsittelyä ei voitu perustella lakisääteisen velvoitteen täyttämisellä.

Tietosuojasääntelyn noudattaminen ei ole aina yksinkertaista, vaan saattaa nostaa useita kysymyksiä. Henkilötietojen käsittelyperusteen valitseminen voi olla haastavaa, sillä se vaatii aina tapauskohtaista arviointia käsittelyn luonteesta, tarpeellisuudesta ja syistä. Käsittelyperusteiden arviointi ja valinta rakentuvat käsittelyn tarkoitusten arvioinnille. Mistä sitten voi tietää, mikä käsittelyperuste soveltuu yksittäisessä tapauksessa?

Henkilötietojen käsittely voi olla tarpeen lakisääteisen velvoitteen noudattamiseksi. Lakisääteisen velvoitteen perusteella tapahtuvan käsittelyn on täytettävä tietyt ehdot ja tietosuojalainsäädännön vaatimukset muun muassa käsittelyn tarpeellisuutta, oikeasuhtaisuutta ja käyttötarkoituksen rajaamista koskien. Laillisen velvoitteen on myös riittävän selvästi velvoitettava henkilötietojen käsittelyyn ja rekisterinpitäjällä ei saa olla valinnanvaraa sen suhteen, täyttääkö se tämän velvoitteen. Rekisterinpitäjällä ei saa myöskään olla kohtuutonta harkinnanvaraa, miten se noudattaa tätä velvoitetta. Käsittelyperuste tuleekin kyseeseen sellaisten säännösten perusteella, joissa viitataan nimenomaisesti käsittelyn luonteeseen ja tavoitteeseen.

Kuitenkaan oikean käsittelyperusteen valinta, tai edes rekisteröidyn suostumus eivät automaattisesti tee henkilötietojen käsittelystä lainmukaista, sillä lisäksi on noudatettava muitakin tietosuoja-asetuksen vaatimuksia.

Milloin lakisääteisen velvoitteen noudattamista voi käyttää perusteena henkilötietojen käsittelylle? Sopisiko käsittelyperusteeksi paremmin rekisteröidyn suostumus? Velvollisuus lainmukaisen käsittelyperusteen olemassaolon osoittamiseen on rekisterinpitäjällä. Seuraamme Hankintajuristeilla tarkasti tietosuojasääntelyn ja oikeuskäytännön kehitystä ja autamme mielellämme niin oikean käsittelyperusteen valinnassa, käsittelyn tarkoituksen arvioinnissa kuin myös kaikissa muissa tietosuojaan liittyvässä asioissa!


Commentaires


bottom of page