Kesää on vielä jäljellä, mutta syksy lähestyy – nyt on mainio hetki kerrata ne koulutussektorin riskienhallinnan käsitteet, joita vilisee keskusteluissa heti syyslukukauden alkaessa.
Keskustelitpa sitten digitaalisista työkaluista, oppijoiden tiedoista tai uusista tekoälyominaisuuksista, samat teemat nousevat esiin tapaamisissa IT-asiantuntijoiden, palveluntarjoajien sekä kunnan tai kuntayhtymän johdon kanssa. Kun käsitteet ovat hallussa, pystyt osallistumaan keskusteluihin paljon varmemmin, ja tiedät mistä puhut.
Alta löydät selkeän kymmenen kohdan muistilistan, johon voi palata myöhemminkin syksyn kiireiden keskellä. Kattavamman sanastomme löydät kokonaisuudessaan täältä.
Sisäänrakennettu tietosuoja tarkoittaa, että tietosuoja on rakennettu järjestelmän ytimeen alusta alkaen – ei lisätty jälkikäteen. Oletusarvoinen tietosuoja puolestaan tarkoittaa, että työkalu kerää ja jakaa oletuksena vain sen tiedon, joka on välttämätöntä – ilman, että käyttäjän tarvitsee säätää mitään itse. Jos tietoja halutaan käsitellä laajemmin, se on aktiivinen valinta, ei oletustila. Yhdessä nämä periaatteet kertovat, onko palveluntarjoaja suojannut oppijoiden tiedot ennakoivasti, vai onko vastuu jätetty käyttäjille.
Pohdittavaa: Onko digitaalinen työkalu rakennettu suojaamaan oppijoiden tiedot automaattisesti, vai riippuuko tietoturva siitä, että opettajat tai hallintohenkilöstö muuttavat asetuksia käsin?
NIS2 on EU-direktiivi, joka tiukentaa kyberturvallisuuden ja varautumisen vaatimuksia yhteiskunnan keskeisillä aloilla – koulutussektori mukaan lukien. Käytännössä tämä asettaa palveluntarjoajille tiukempia velvoitteita, selkeyttää käyttöoikeuksien hallintaa ja edellyttää oppilaitoksilta sekä koulutuksen järjestäjiltä parempaa valmiutta digitaalisten häiriötilanteiden hoitamiseen.
Pohdittavaa: Jos jokin keskeinen koulujärjestelmä kaatuu, tiedämmekö heti, keneen otetaan yhteyttä, ja miten viestimme tapahtuneesta välittömästi?
EU:n tekoälyasetus (EU AI Act) luo yhteiset säännöt sille, miten tekoälyjärjestelmiä kehitetään, myydään ja käytetään. Vaatimukset ovat erityisen tiukat silloin, kun tekoäly voi vaikuttaa merkittävästi ihmisten oikeuksiin tai tulevaisuuden mahdollisuuksiin. Koulutuksessa asetus tulee ajankohtaiseksi, jos digitaalinen työkalu hyödyntää tekoälyä esimerkiksi opintojen keskeyttämisriskin tunnistamiseen, automaattiseen palautteeseen, suosituksiin tai päätöksenteon tukemiseen.
Pohdittavaa: Mitä tekoäly käytännössä tekee, mitä tietoja se käyttää ja kuka vastaa siitä, että tulokset ovat oikeita ja oikeudenmukaisia?
Rekisterinpitäjä on se taho, joka päättää, miksi ja miten henkilötietoja käytetään. Koulutuksen alalla rekisterinpitäjä on lähes aina opetuksen tai koulutuksen järjestäjä – kuten kunta, kuntayhtymä tai yksityisen oppilaitoksen ylläpitäjä. Yksittäinen oppilaitos puolestaan toimii tämän järjestäjän määrittelemien linjausten mukaisesti.
Pohdittavaa: Pystymmekö selittämään selkeästi, miksi käytämme juuri näitä oppijoiden tietoja? Kuka kantaa lopullisen vastuun kyseisestä päätöksestä?
Henkilötietojen käsittelijä käsittelee henkilötietoja rekisterinpitäjän eli koulutuksen järjestäjän puolesta. Yleensä kyseessä on ulkopuolinen kumppani tai yritys, joka tarjoaa oppilaitokselle tai korkeakoululle digitaalisen alustan, pilvipalvelun, teknisen tuen tai analytiikkatyökalut. Käsittelijän on aina noudatettava rekisterinpitäjän antamia kirjallisia ohjeita.
Pohdittavaa: Mitkä osat tietojen käsittelystä ovat palveluntarjoajan vastuulla, ja mitkä asiat jäävät meidän omalle vastuullemme?
Tämä on lakisääteinen ja sitova sopimus, joka velvoittaa palveluntarjoajan noudattamaan organisaation tietoturva- ja tietosuojasääntöjä. Sopimuksessa määritellään tarkasti suojatoimet, häiriötilanteiden hoitaminen, alihankkijoiden käyttö sekä se, mitä tiedoille tapahtuu palvelun käytön päättyessä.
Pohdittavaa: Onko meillä allekirjoitettu DPA-sopimus, joka vastaa palvelun todellista käyttöä oppilaitoksessa tai korkeakoulussa, eikä vain sitä, miten asia on kuvailtu myyntiesitteissä?
Käsittelyperuste on tietosuoja-asetuksen (GDPR) edellyttämä laillinen syy henkilötietojen käsittelylle. Aina kun koulutusorganisaatiossa käytetään oppijan tietoja, sille täytyy olla selkeä ja dokumentoitu lakisääteinen peruste. Ilman sitä tietojen käsittely ei ole sallittua.
Pohdittavaa: Mikä on laillinen perusteemme näiden oppijoiden tietojen käyttämiselle, ja mihin tämä peruste on kirjattu?
Riskienarviointi tulisi tehdä jokaiselle käyttöönotettavalle oppimisympäristölle. Se auttaa tunnistamaan, mikä voisi mennä vikaan, kuinka todennäköistä se on, mitä seurauksia sillä olisi ja mitä suojatoimia tarvitaan. Vaikutustenarviointi (DPIA) on puolestaan raskaampi ja muodollisempi prosessi, jota vaaditaan silloin, kun henkilötietojen käsittely aiheuttaa todennäköisesti suuren riskin oppijoiden oikeuksille ja vapauksille. Käytännössä perusriskienarviointi auttaa havaitsemaan, milloin tietosuojariski on niin korkea, että virallinen DPIA on käynnistettävä.
Pohdittavaa: Olemmeko arvioineet tämän oppimisympäristön riskit? Osoittaako arvio sellaista riskitasoa, että virallinen DPIA-prosessi on tarpeen?
Tietoturvaloukkaus on yleinen tapahtuma, joka vaarantaa tai voi vaarantaa järjestelmien tai tiedon saatavuuden, eheyden tai luottamuksellisuuden. Henkilötietojen tietoturvaloukkaus on tietosuoja-asetuksen tarkasti määrittelemä juridinen käsite tilanteelle, jossa kohteena ovat nimenomaan henkilötiedot. Ero on oleellinen: henkilötietoihin kohdistuva loukkaus voi laukaista lakisääteisen ilmoitusvelvollisuuden sekä tietosuojaviranomaiselle että niille henkilöille, joita asia koskee.
Pohdittavaa: Jos jotain tapahtuu, kuka meillä päättää, onko kyseessä henkilötietojen tietoturvaloukkaus? Mikä on aikataulumme toimenpiteille ja viestinnälle?
Pääsynhallinta määrittelee, kuka pääsee käsiksi mihinkin tietoihin ja järjestelmiin. Minimioikeuksien periaate tarkoittaa, että henkilöstölle ja oppijoille myönnetään vain ne oikeudet, jotka ovat välttämättömiä heidän roolinsa tai opintojensa kannalta – ja että nämä oikeudet poistetaan heti, kun tilanne muuttuu. Koulutusorganisaatioissa tämä on erityisen tärkeää, sillä roolit ja ryhmät, kuten opintojen ohjaus tai määräaikaiset tehtävät, vaihtuvat usein.
Pohdittavaa: Miten varmistamme, että pääsy arkaluonteisiin oppijoiden tietoihin katkeaa heti, kun työntekijän rooli muuttuu tai hän lähtee organisaatiosta?
Kun nämä kymmenen termiä ovat hallussa, on helpompi viedä digitaalisia hankkeita eteenpäin, kysyä oikeita kysymyksiä palveluntarjoajilta ja pitää langat käsissä, suuntaan kuin suuntaan.
Tämä lista on hyvä lähtökohta – jos haluat syventyä aiheeseen, tutustu Edudatan kattavaan sanastoon.