Helsingin hallinto-oikeus on hylännyt Espoon kaupungin tekemän valituksen 30.6.2023. Espoon kaupunki valitti hallinto-oikeuteen Tietosuojavaltuutetun toimiston 30.12.2021 antamasta päätöksestä.
Asiassa ratkaistavana oli, että voidaanko henkilötietojen käsittelyperusteena tässä tapauksessa soveltaa yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaa. Toisin sanoen kysymys kuuluu, voiko opetuksen järjestäjä perustella Google Workspace for Educationissa tapahtuvaa oppijoiden henkilötietojen käsittelyä vedoten lakisääteiseen velvollisuuden noudattamiseen.
Hallinto-oikeus painotti, että asiassa ei ole kysymys siitä, voidaanko kouluissa käyttää Google Workspace for Educationia.
Hallinto-oikeus toteaa, että koulun käsitellessä oppilaiden henkilötietoja pääsääntöinen käsittelyperuste on lakisääteisen velvoitteen noudattaminen, mutta käsittelyperuste tulee arvioida erikseen jokaisen henkilötietojen käsittelytoiminnan yhteydessä.
Vaikka oppijan henkilötietojen käsittely sähköisessä opetusympäristössä voi olla tarpeen opetuksen järjestämiseksi, perusopetuslain velvoitteiden täyttäminen ei sellaisenaan edellytä sähköisen opetusohjelman käyttämistä. Lisäksi, henkilötietojen käsitteleminen sähköisessä opetusympäristössä ei rajoitu vain koulunkäynnin kannalta välttämättömiin tietoihin, vaan oppilaasta kerätään myös tietoa, jonka käsittely liittyy nimenomaan sähköisen opetusohjelman käyttöön – “se, että henkilötietojen käsittely sähköisessä opetusohjelmassa voi olla tarpeen nykymuotoisen perusopetuksen järjestämiseksi, ei anna aihetta arvioida asiaa tässä tapauksessa toisin”.
Kun henkilötietojen käsittelyperusteena on lakisääteinen velvoitteen noudattaminen, rekisterinpitäjällä ei saisi olla kohtuutonta harkinnanvaraa sen suhteen, miten se noudattaa laillista velvoitetta.
Päätös ei ole vielä lainvoimainen ja Espoon kaupungilla on mahdollisuus valittaa korkeimpaan hallinto-oikeuteen. Jos päätös tulee lainvoimaiseksi, se edellyttää toimenpiteitä opetuksen järjestäjiltä, jolloin käsittelytoimet, käsittelyperusteet sekä niiden lainmukaisuus tulee arvioida.
Google Workspace for Educationin kaltaisesta oppimisympäristöstä, joissa oppijaa arvioidaan tai muutoin profiloidaan, täytyy EU:n yleisen tietosuoja-asetuksen mukaan tehdä laaja tietosuojan vaikutustenarviointi (TVA). TVA on laadittava, jotta rekisterinpitäjä voi tunnistaa, arvioida ja hallita henkilötietojen käsittelyyn liittyviä riskejä.
Hallinto-oikeuden päätöksen mukaan, rekisterinpitäjän tulee arvioida yksittäisen sähköisen opetuspalvelun käyttöön liittyvää henkilötietojen käsittelyä tapauskohtaisesti.
Aiheesta lisää Edudata-tietosuojapalvelun asiakkaille Cloudpointin tietosuojailtapäivässä 17.8.2023 klo 13-15. Tervetuloa mukaan!