Pilven syyssiivous: Kuka huolehtii valmistuneiden opiskelijoiden digijäljistä?

Kun valmistujaisjuhlat on juhlittu ja opiskelijat ovat suunnanneet kesälomille, oppilaitosten IT-hallinnossa alkaa yksi vuoden monimutkaisimmista urakoista: tarpeettomaksi käyneiden henkilötietojen hallinta. Onko teidän oppilaitoksessanne jo varmistettu, että tänä vuonna valmistuneiden tiedot tulevat asianmukaisesti poistetuiksi?

Tietojen poistamisessa, eli virallisemmin tietojen seulonnassa ja hävittämisessä, tasapainoillaan kahden lakisääteisen vaatimuksen välillä: velvollisuudessa arkistoida keskeiset asiakirjat ja vaatimuksesta poistaa henkilötiedot, joita ei enää tarvita.

Oikeaa tasapainoa voi olla haastavaa löytää yksin – siksi me Edudatalla olemme tukenasi tietojen poistamiseen liittyvissä kysymyksissä, lainsäädännön vaatimusten mukaisesti.

Datasaaste on näkymätön tietoturvariski

Moni organisaatio kärsii nykyään ”datasaasteesta”. Sillä tarkoitetaan tietoa, jolla ei ole enää mitään käyttötarkoitusta, mutta jota säilytetään järjestelmissä siitä huolimatta. Tämä ei ainoastaan aiheuta epäjärjestystä ja kasvata tallennuskustannuksia – se on ennen kaikkea merkittävä tietoturvariski. Mahdollisen tietomurron sattuessa vahingot ovat moninkertaiset, jos järjestelmissä lojuu yhä sellaisten opiskelijoiden henkilötietoja, jotka ovat jättäneet oppilaitoksen jo vuosia sitten.

Tasapainottelua GDPR:n ja arkistolain välillä

Julkisella sektorilla ei riitä, että noudatetaan vain yleisen tietosuoja-asetuksen (GDPR) mukaista tietojen minimoinnin periaatetta. Koulutusjärjestelmää ohjaa kaksi risteävää vaatimusta:

• Kansallinen arkistolainsäädäntö: Pohjoismaissa oikeus julkisiin asiakirjoihin ja historialliseen dokumentaatioon painaa vaa'assa paljon. Kaikkea ei saa poistaa: esimerkiksi arvosanat ja tutkintotodistukset on säilytettävä.
• GDPR (yleinen tietosuoja-asetus): Vaatii henkilötietojen poistamista heti, kun niiden käsittelyn tarkoitus on päättynyt. ”Oikeus tulla unohdetuksi” on tässä keskiössä.

Koulutuksen järjestäjien ja oppilaitosjohdon haastavana tehtävänä onkin määritellä tarkasti se hetki, jolloin yksittäinen tieto muuttuu aktiivisesta käyttöasiakirjasta joko pysyvästi arkistoitavaksi tiedoksi tai hävitettäväksi datasaasteeksi.

Tiesitkö? Ruotsissa ja Norjassa arkistolainsäädäntö ajaa GDPR:n edelle, kun kyse on viranomaisten velvollisuudesta säilyttää julkisia asiakirjoja. Tämä tarkoittaa, että tietyt tiedot (kuten arvosanat) on säilytettävä, kun taas toiset (kuten chat-lokit tai luonnokset) on poistettava.

Pohjoismaiset käytännöt vertailussa

Vaikka GDPR on yhteinen vaatimus kaikissa Pohjoismaissa, kansalliset säännökset tietojen seulonnasta ja poistamisesta eroavat toisistaan:

• Ruotsi: Toimintaa ohjaa arkistolaki, ja tietojen poistaminen vaatii paikallisia päätöksiä. Arvosanat säilytetään pysyvästi, kun taas opintohallinnon tiedot poistetaan usein kahden vuoden kuluttua tietosuojalain mukaisesti.
• Norja: Arkistolaki (Arkivloven) vaatii arkistoitavien asiakirjojen säilyttämistä, mutta tietosuojaviranomainen (Datatilsynet) painottaa, että muu data (kuten tiedostot ja kirjautumistiedot) on poistettava järjestelmällisesti heti, kun opiskelijan opiskeluoikeus päättyy.
• Suomi: Toimintaa ohjaavat arkistolaki ja tietosuojalaki. Poistot tehdään arkistonmuodostus- tai tiedonohjaussuunnitelman (TOS) mukaisesti. Se määrittelee, milloin esimerkiksi Wilman kaltaisissa opintohallintojärjestelmissä olevat tiedot on tuhottava.
• Tanska: Arkistolain (Arkivloven) myötä digitaaliset aineistot siirretään usein Kansallisarkistoon (Rigsarkivet). Tämä antaa oppilaitoksille laillisen oikeuden poistaa tiedot omista järjestelmistään.

Vaikka menetelmät vaihtelevat, (toisissa maissa tiedot poistetaan kokonaan ja toisissa ne siirretään keskusarkistoihin) tavoite on sama: oppilaitoksen ei pidä säilyttää aktiivisissa järjestelmissään ylimääräistä datasaastetta sen jälkeen, kun opiskelija on valmistunut.

Edudata apunasi

Meidän missiomme Edudatalla on suoraviivaistaa ja helpottaa oppilaitosten digitaalista arkea. Oletko epävarma siitä, täyttävätkö nykyiset käytäntönne lakisääteiset vaatimukset, tai haluatko löytää keinoja manuaalisen siivoustyön vähentämiseksi? Ota yhteyttä – olemme apunasi.