REGISTERBESKRIVNING OCH INFORMERING (DATASKYDDSBESKRIVNING)

1 REGISTERBESKRIVNING OCH INFORMERING (DATASKYDDSBESKRIVNING) Denna blankett innehåller både uppgifterna i registerbeskrivningen och den information som skall ges till de registrerade i samband med behandling av personuppgifter. Blanketten är avsedd för anordnare av utbildning (modellen kan ändras så att den lämpar sig för verksamheten i fråga) Ifyllningsanvisningar medföljer som bilaga. Siffrorna hänvisar till respektive punkt i anvisningarna. 1. Den registeransvarige som ansvarar för verksamheten Namn Utbildningsanordnare som fått tillstånd att ordna utbildning/läroinrättningens namn Som registeransvarig fungerar utbildningsanordnaren, som beslutar om antagning (se 8 och 9 i lagen om yrkesutbildning samt 4 och 5 i lagen om yrkesinriktad vuxenutbildning) eller den instans som fått behörigt tillstånd (se 3 och 6 i yrkeshögskolelagen). Anvisning: Om till exempel en kommun har fått tillstånd att ordna utbildning, är den nämnd som ansvarar för undervisningsväsendets förvaltning i enlighet med kommunallagen registeransvarig för antagningsregistret. Antagningsuppgifter om sökande till utbildning som ordnas på basis av ett och samma tillstånd att ordna utbildning kan utgöra ett antagningsregister. Om undervisning däremot tillhandahålls vid flera separata läroinrättningar (t.ex. en teknisk läroanstalt och en hälsovårdsläroanstalt), bildar antagningsuppgifterna för varje läroinrättning ett separat antagningsregister, även om en och samma instans är registeransvarig för dessa register. Nämnden utser den som ansvarar för registerföringen vid varje läroinrättning (rektorn). Läroinrättningens ledning fastställer alla ansvar och skyldigheter i anslutning till registerföringen vid läroinrättningen. Postadress Postnummer Telefon Kontaktuppgifter till läroinrättningen Besöksadress 2. Person som handlägger registerärenden eller kontaktperson Namn Person som kan ge den registrerade närmare upplysningar ur registret

2 Telefon Namn Namn 3. Registrets namn Antagningsregister (gängse förkortning av registrets namn) 4. Syftet med behandlingen av personuppgifter (registrets användningsändamål) Grund för behandling av sökandes personuppgifter (8 1 mom. 5 punkten i personuppgiftslagen) Skötsel av uppgifter i anslutning till antagning av studerande samt uppgifternas ändamål (6 i personuppgiftslagen) Bestämmelser om antagning av studerande finns i lagen om yrkesutbildning (26 och 27 ), lagen om yrkesinriktad vuxenutbildning samt yrkeshögskolelagen (20 och 22 ). Behandlingen av sökandes personuppgifter vid antagning av studerande regleras också i lagen om antagningsregistret och studentexamensregistret. 5. Registrets datainnehåll (gruppen/grupperna av registrerade och därtill anslutna uppgifter eller datagrupper - sökandens namn, personbeteckning, medborgarskap, kön, modersmål samt nödvändig kontaktinformation - uppgifter om sökandens tidigare utbildning och skolframgång samt studentexamen - uppgifter om ansökan till utbildning - material som uppstår i samband med inträdes- och lämplighetsprov - material från intervjuer - uppgifter om grunderna för antagning - uppgifter om arbetserfarenhet som inverkar på beslutet om antagning - uppgifter om antagning och mottagande av studieplats Mer sällsynta uppgifter: - hälsouppgifter som inverkar på yrkesvalet - material som uppstått i samband med psykologiska test (även i det fall att testningen har utförts av någon testningsfirma på uppdrag av skolan) 6. Regelmässiga uppgiftskällor 1) - Läroinrättningen får i samband med antagning av studerande uppgifter om de sökande ur Utbildningsstyrelsens antagningsregister (5 i lagen om antagningsregistret och studentexamensregistret) - Läroinrättningen kompletterar uppgifterna om de sökande med de uppgifter den får av de sökande med hjälp av sina egna ansökningsblanketter. - En del av uppgifterna i registret har insamlats på den grund att den sökande har deltagit i skolans inträdes- eller lämplighetsprov. 7. Regelmässigt utlämnande av uppgifter Bestämmelser om utlämnande av offentliga uppgifter ur en myndighets personregister finns i 16 3 mom. i lagen om offentlighet i

3 och överföring av uppgifter utanför EU eller Europeiska ekonomiska samarbetsområdet myndigheternas verksamhet (offentlighetslagen). Enligt detta lagrum skall mottagaren ha rätt att registrera och använda personuppgifter som utlämnas. - uppgifter kan lämnas ut för direktmarknadsföring och för opinionseller marknadsundersökningar endast om den registrerade/den minderårigas vårdnadshavare har samtyckt till detta - läroinrättningen kan lämna ut uppgifter för vetenskaplig forskning under de förutsättningar som nämns i 14 i personuppgiftslagen. Sekretessbelagda uppgifter kan utlämnas endast med vårdnadshavarens uttryckliga samtycke eller i enskilda fall med ett tillstånd som skall begäras separat (28 i lagen om offentlighet i myndigheternas verksamhet) - läroinrättningen överför från registret över sökande till läroinrättningens elevregister de uppgifter om de antagna studerandena som är nödvändiga med tanke på anordnandet av undervisningen - läroinrättningen lämnar ut uppgifter om den sökande till det riksomfattande register för gemensam antagning som förs av Utbildningsstyrelsen (3 i lagen om antagningsregistret och studentexamensregistret) Sekretessbelagda uppgifter kan endast utlämnas med den registrerades uttryckliga samtycke eller om utlämnandet av uppgifter eller rätten att ta del av uppgifter regleras särskilt i någon lag (bestämmelserna i 7 kapitlet i offentlighetslagen). Bestämmelser om en parts rätt att ta del av en handling finns i 11 i offentlighetslagen och bestämmelser om rätten att ta del av en handling som gäller en själv finns i 12 i samma lag. I 9 föreskrivs om rätten att ta del av en offentlig handling och i 4 kapitlet bestäms om utlämnande av uppgifter. 8. Principer för skyddet av registret Gäller samtliga uppgifter: Personuppgifterna skall skyddas mot obehörig åtkomst och olaglig behandling (t.ex. förstöring, ändring eller utlämnande). Varje anställd får behandla endast de personuppgifter som han eller hon behöver i sina arbetsuppgifter. Bestämmelser om sekretessbelagda uppgifter finns i 40 i lagen om yrkesutbildning och i 24 i lagen om offentlighet i myndigheternas verksamhet. Särskild uppmärksamhet fästs vid skyddet av sekretessbelagda uppgifter och sådana känsliga uppgifter som nämns i 11 i personuppgiftslagen. A. Manuellt material Materialet förvaras skyddat mot obehörig åtkomst (t.ex. i ett låst utrymme). B. Datorlagrade uppgifter Uppgifterna har skyddats med användarrättigheter som läroinrättningen utfärdar på basis av den anställdas arbetsuppgifter och med lösenord som byts regelbundet.

4 9. Den registrerades rätt till insyn Rätt till insyn innebär följande: Den registrerade har rätt att kontrollera sådana uppgifter i antagningsregistret som berör honom eller henne själv (26 i personuppgiftslagen). Rätten till insyn kan utövas avgiftsfritt en gång per år. Rätten till insyn skall tillgodoses utan dröjsmål. Insyn kan förvägras endast i undantagsfall. Förvägran kan till exempel grunda sig på att informationen kan medföra allvarlig fara för den registrerades hälsa eller vård eller för någon annans rättigheter (27 PuppL). Se punkterna 9 11 i anvisningarna angående uppgifter som insamlas i samband med psykologiska test. Om den registrerade förvägras rätt till insyn, skall han eller hon få ett skriftligt intyg om detta. Utövande och organisering av rätten till insyn Den registrerade har då rätt att föra ärendet vidare till dataombudsmannen för avgörande på adressen Dataombudsmannens byrå, PB 315, 00181 Helsingfors. Dataombudsmannen kan ålägga den registeransvarige att tillgodose den registrerades rätt till insyn. Hur utövas rätten till insyn? Begäran om insyn skall framställas personligen eller i form av ett dokument som försetts med egenhändig underskrift eller som bestyrkts på något annat tillförlitligt sätt. Till vem skall begäran framställas i olika situationer? För att garantera att det inte uppstår missförstånd är det säkrast att till exempel material som insamlats i samband med psykologiska test företes av den som utfört testet. Vem beslutar? Innan uppgifterna lämnas ut skall den registrerades identitet styrkas och vid behov kontrolleras. Den som fattar beslut i ärendet bestämmer vem som lämnar ut uppgifterna. Den registrerade har rätt att ta del av och syna uppgifter som gäller honom eller henne själv och att på begäran få kopior av dessa. 10. Rättelse av en uppgift Rätt att begära rättelse av en uppgift innebär följande: Den registeransvarige skall utan obefogat dröjsmål på eget initiativ eller på yrkande av den registrerade rätta, utplåna eller komplettera en personuppgift som ingår i ett register och som med hänsyn till ändamålet med behandlingen (antagningsregistrets användningsändamål) är oriktig, onödig, bristfällig eller föråldrad (29 i personuppgiftslagen).

5 Den registrerade har rätt att kräva att en uppgift skall rättas. Uppgiften skall rättas utan obefogat dröjsmål. Om den registeransvarige vägrar att rätta en uppgift, skall den registrerade få ett skriftligt intyg om detta. Den registrerade har då rätt att föra ärendet vidare till dataombudsmannen för avgörande på adressen Dataombudsmannens byrå, PB 315, 00181 Helsingfors. Dataombudsmannen kan ålägga den registeransvarige att rätta uppgiften. Utövande och organisering av rätten att begära rättelse Hur utövas rätten att begära rättelse? Begäran om rättelse skall framställas skriftligen. Den registrerades identitet skall styrkas och vid behov kontrolleras. - Till vem framställs begäran? - Vem beslutar? 11. Samtycke Personuppgifter kan lämnas ut för direktmarknadsföring och för marknads- eller opinionsundersökningar endast om den registrerade har samtyckt till detta (16 3 mom. i lagen om offentlighet i myndigheternas verksamhet).

6 IFYLLNINGSANVISNINGAR FÖR DEN UTVIDGADE REGISTERBESKRIVNINGEN Siffrorna hänvisar till respektive punkt på blanketten. Miniminivån för de uppgifter som skall antecknas i personregisterbeskrivningen anges i 10 i personuppgiftslagen. Det är emellertid ändamålsenligt att ange också till exempel registrets regelmässiga uppgiftskällor, eftersom dessa skall uppges i samband med att den registrerade utövar sin rätt till insyn. Registerbeskrivningen kan användas vid informationen till de registrerade, förutsatt att den har kompletterats med de uppgifter som skall lämnas enligt 24 i personuppgiftslagen (punkterna 9 och 10). Uppgifterna i registerbeskrivningen 1. Med registeransvarig avses en person, sammanslutning eller stiftelse för vars bruk ett register inrättas och som har rätt att förfoga över personregistret. Den registeransvarige är således vederbörande sammanslutning, myndighet eller stiftelse, däremot inte en viss avdelning eller arbetstagare eller ett dataföretag som svarar för det tekniska underhållet av personregistret. Till exempel när det gäller antagning av studerande är den registeransvarige den instans som har rätt att besluta vilka studerande som antas till läroinrättningen. Om utbildningen ordnas och besluten om antagning fattas av en kommun, är det den nämnd som ansvarar för undervisningsväsendet som fungerar som registeransvarig för antagningsregistret. I praktiken brukar denna nämnd ofta delegera den praktiska registerföringen till läroinrättningarna. Vid undervisning som ordnas på basis av ett och samma tillstånd uppstår ett antagningsregister, vars delregister består av uppgifter om studerande som sökt in till de olika läroinrättningarna. Om den registeransvarige inte har något verksamhetsställe inom Europeiska unionen men använder i Finland belägna anordningar också för annan behandling av personuppgifter än enbart för att översända uppgifter via finskt territorium, skall den registeransvarige utse en företrädare i Finland. Utöver den registeransvariges namn antecknas i denna punkt också företrädarens namn jämte kontaktuppgifter. 2. Som handläggare anges den person som till registrerade kan lämna ut närmare upplysningar ur registret och som de registrerade kan vända sig till för att till exempel begära rättelse av en uppgift och för att utöva sin rätt till insyn. 3. Personregistret skall ges ett namn som skiljer det från den registeransvariges övriga personregister (till exempel antagningsregister). Det rekommenderas att namnet i korthet anger den företeelse som registreras och/eller registrets användningsändamål. Det är skäl att på blanketten också anteckna registrets gängse förkortning. Till samma personregister hänförs också i tekniskt hänseende separata personregister, om dessa används för samma ändamål (logiskt register), till exempel för antagning. Dessa delregister kan föras såväl med hjälp av automatisk databehandling som manuellt. Om till exempel någon testningsfirma utför psykologiska test på uppdrag av en läroinrättning, skall också de uppgifter om de inträdessökande som uppstår i samband med dessa test hänföras till antagningsregistret, även om det i praktiken är testningsfirman som förfogar över uppgifterna. Till antagningsregistret hänförs förutom grundläggande uppgifter om de sökande också till exempel sådana uppgifter som insamlas i samband med urvalsprov eller psykologiska lämplighetstest.

7 4. I denna punkt skall entydigt antecknas för vilken av den registeransvariges funktioner registret inrättas (syftet med behandlingen av personuppgifter/registrets användningsändamål). Användningsändamålet skall fastställas innan registret inrättas. Syftet med behandlingen av personuppgifterna kan sammanhänga med de allmänna förutsättningar som avses i 8 i personuppgiftslagen eller med sådana särskilda ändamål som avses i lagens 4 kapitel. Dessutom kan syftet med behandlingen av personuppgifterna vara baserat direkt på någon speciallag (t.ex. skollagstiftningen): det är skäl att i beskrivningen nämna både det egentliga syftet med behandlingen och den lagbestämmelse som uppgiften baserar sig på. Vid läroinrättningar är syftet med behandlingen av personuppgifter att besluta om antagning, vilket regleras i lagstiftningen om respektive undervisningsform. Behandlingen av de sökandes personuppgifter grundar sig på en saklig anknytning mellan läroinrättningen och den sökande (8 1 mom. 5 punkten i personuppgiftslagen). Uppgifterna i registret över sökande får endast användas för det ändamål som fastslagits för registret, om inte något annat bestäms i någon annan lag. De kan dock användas i planeringen och statistikföringen av den registeransvariges egen verksamhet. 5. Personregistrets datainnehåll skall definieras innan registret inrättas. I beskrivningen antecknas vilka typer av data personregistret innehåller (dvs. vilka uppgifter som registreras om de sökande). Anteckningarna skall göras så entydigt att den som läser registerbeskrivningen vet vilka uppgifter om honom eller henne som har införts i registret. Det är skäl att ange de uppgifter som behövs för individualiseringen av en person (t.ex. personens namn, personbeteckning, adress). Alla uppgifter skall vara relevanta med avseende på beslut om antagning. Till övriga delar kan det vara tillräckligt att beskriva datatyperna eller kategorierna (t.ex. uppgifter som insamlats i samband med urvalsprov och psykologiska lämplighetstest kan anges som separata kategorier). Vid behov kan en innehållsförteckning upprättas som en särskild bilaga. Om registret innehåller flera delregister, skall uppgifterna i dessa grupperas med hjälp av mellanrubriker. I detta syfte kan datainnehållet också beskrivas till exempel genom angivande av de olika funktioner som registret används för. 6. Som en ändamålsenlig beskrivning av registrets datainnehåll betraktas också en beskrivning där endast registrets regelmässiga uppgiftskällor anges. Viktig information är hur och av vem uppgifterna insamlats (av sökanden till exempel med läroinrättningens ansökningsblankett eller via intervjuer, urvalsprov och psykologiska test, av utomstående), vilka uppgifter som insamlats och på vilken grund (den registrerades samtycke, bestämmelse i en angiven lag). 7. Regelmässigt utlämnande av uppgifter beskrivs så att här anges till vem och för vilket ändamål uppgifter lämnas ut. Dessutom anges också vilka uppgifter som lämnas ut och på vilken grund (t.ex. samtycke eller lagbestämmelse). Vid behov anges på vilken grund mottagaren har rätt att behandla uppgifterna. Vidare anges också på vilket sätt uppgifterna lämnas ut (genom teknisk anslutning, som teknisk upptagning, som utskrift på etiketter eller papper e.d.). I 5 kapitlet i personuppgiftslagen finns bestämmelser om översändande av personuppgifter utanför EU eller EES. I denna punkt skall anges om avsikten är att översända uppgifter under de allmänna förutsättningar som regleras i det detta kapitel (22 ) eller på någon undantagsgrund (23 ).

8 8. I denna punkt anges principerna för skyddande av registret (ingen detaljerad information om skyddet), som naturligtvis inte får yppas för utomstående eller ens för de registrerade. Principerna för skyddet skall anges för att det skall kunna bedömas om skyddsförpliktelserna har blivit uppfyllda. I denna punkt kan det också vara bra att ange om personuppgifterna i registret är sekretessbelagda (ange vilka bestämmelser tystnadsplikten och/eller handlingssekretessen baserar sig på). Bestämmelser om tystnadsplikt i fråga om uppgifterna om sökande finns till exempel i skollagarna (42 i lagen om yrkesutbildning) och i lagen om offentlighet i myndigheternas verksamhet (24 ). Informering 9, 10 och 11 För att rätten till insyn och rättelse av uppgifter skall kunna tillgodoses förutsätts också att de därtill anslutna förfaringssätten organiseras. Också med tanke på informationen till de sökande skall läroinrättningen således planera och fastställa: vem som tar emot begäran om rätt till insyn eller yrkande på rättelse av en uppgift i olika situationer och hur begäran/yrkandet skall framställas. Om en sökande har deltagit i ett psykologiskt lämplighetstest, får han eller hon i egenskap av registrerad med stöd av rätten till insyn ta del av testen och testprotokollen. Den registeransvarige skall dock inte ge den sökande kopior av testprotokollen över den psykologiska undersökning som han eller hon deltagit i. Däremot har den sökande rätt att få respons om sin egen prestation av den psykolog som utfört undersökningen i samband med att psykologen går igenom undersökningsresultaten med den testade. vem som beslutar om tillgodoseende av rätt till insyn och rättelse av uppgifter vem som tillgodoser rätten till insyn och yrkanden på rättelse av en uppgift inom vilken tid och på vilket sätt uppgiften rättas samt hur detta anges vilka eventuella anvisningar och modellblanketter det finns om detta ärende och var dessa finns att få Ändring i beslut om antagning skall sökas separat (22 i yrkeshögskolelagen, 44 i lagen om yrkesutbildning). Vidare skall det avvägas om det är nödvändigt att lämna ut personuppgifter om de sökande i direktmarknadsföringssyfte och hur de sökandes samtycke i så fall skall begäras.