• viranomaisraportointi (esim. KOSKI)

• tutkintotodistukset

Lisäksi:

• käyttäjätunnusten luominen ja hallinta (M365)

• digitaalisten oppimisympäristöjen käyttö

• Workseed-ympäristön käyttö SSO-tunnistautumisella

• toiminnan raportointi Eduappi-järjestelmän avulla

• Valttikortin tilaaminen työelämäjaksoa varten silloin, kun työpaikka sitä edellyttää.

Primuksen tietojen perusteella muodostetaan käyttäjätunnukset oppilaitoksen tietojärjestelmiin.

6. Käsittelyn oikeusperuste

Henkilötietojen käsittely perustuu käsittelytarkoituksesta riippuen EU:n yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan (rekisterinpitäjän lakisääteinen velvoite), 6 artiklan 1 kohdan e alakohtaan (yleistä etua koskevan tehtävän suorittaminen tai rekisterinpitäjälle kuuluvan julkisen vallan käyttäminen) tai 6 artiklan 1 kohdan a alakohtaan (rekisteröidyn suostumus). Suostumukseen perustuvassa käsittelyssä sovelletaan lisäksi tietosuoja-asetuksen 7 artiklaa. Erityisten henkilötietoryhmien käsittelyssä sovelletaan tietosuoja-asetuksen 9 artiklaa. Rekisteröidyn informoinnista ja oikeuksista kerrotaan tarkemmin tämän selosteen kohdissa 13–15.

• opiskelijavalinnat, opiskeluoikeuden hallinta, opetuksen järjestäminen, HOKS-prosessit, arviointi, opintosuoritukset, todistukset ja viranomaisraportointi: GDPR 6 artiklan 1 kohdan c alakohta ja/tai e alakohta sekä erityisesti laki ammatillisesta koulutuksesta (531/2017), laki valtakunnallisista opinto-, koulutus- ja tutkintorekistereistä (884/2017), oppivelvollisuuslaki (1214/2020) soveltuvin osin sekä hallintolaki (434/2003).

• opiskeluhuoltoon ja tukitoimiin liittyvä käsittely sekä tarpeellisten Primus-tietojen luovuttaminen opiskeluhuollon toimijoille: GDPR 6 artiklan 1 kohdan c ja/tai e alakohta. Erityisten henkilötietoryhmien osalta käsittely voi perustua GDPR 9 artiklan 2 kohdan g ja/tai h alakohtaan silloin, kun käsittely on välttämätöntä lakisääteisen opiskeluhuollon toteuttamiseksi. Kansallisena sääntelynä sovelletaan erityisesti oppilas- ja opiskelijahuoltolakia (1287/2013), tietosuojalain (1050/2018) 6 §:ää ja julkisuuslain (621/1999) salassapitosäännöksiä.

• henkilötunnuksen käsittely: tietosuojalain (1050/2018) 29 §, kun yksiselitteinen yksilöinti on tärkeää opiskelijahallinnossa, opinto-oikeuden hallinnassa, viranomaisraportoinnissa, todistuksissa, opiskeluhuollon välttämättömissä luovutuksissa tai muussa lakisääteisessä tehtävässä

• kuvien julkaiseminen yleisessä viestinnässä: GDPR 6 artiklan 1 kohdan a alakohta, kun julkaisu perustuu opiskelijan tai alaikäisen opiskelijan huoltajan antamaan suostumukseen

• Valttikortin tilaamiseen liittyvä käsittely: GDPR 6 artiklan 1 kohdan c alakohta ja/tai e alakohta silloin, kun työelämäjakson työpaikka edellyttää kuvallista henkilökorttia ja veronumeron käyttöä. Käsittely liittyy erityisesti työturvallisuuslain (738/2002) 52 a §:n mukaiseen yhteisen rakennustyömaan henkilötunnisteeseen sekä lakiin veronumerosta ja veronumerorekisteristä (473/2021). Veronumerorekisterinpitäjänä toimii Verohallinto.

Suostumukseen perustuvissa käsittelyissä suostumus pyydetään erikseen. Kuvien julkaisulupa voidaan antaa Wilman lomakkeella opiskelijalta tai alaikäisen opiskelijan huoltajalta. Kuvien julkaisuluvan voi perua milloin tahansa olemalla yhteydessä opintotoimistoon: kanslia@hmak.com. Erillisiin tapahtumiin ja tilaisuuksiin liittyvät kuvaus- ja julkaisuluvat pyydetään tarvittaessa erikseen.

Keskeisiä sovellettavia säädöksiä ovat EU:n yleinen tietosuoja-asetus (2016/679), tietosuojalaki (1050/2018), laki ammatillisesta koulutuksesta (531/2017), oppilas- ja opiskelijahuoltolaki (1287/2013), laki valtakunnallisista opinto-, koulutus- ja tutkintorekistereistä (884/2017), hallintolaki (434/2003), laki viranomaisten toiminnan julkisuudesta (621/1999), laki julkisen hallinnon tiedonhallinnasta (906/2019), oppivelvollisuuslaki (1214/2020), arkistointilaki (529/2026), työturvallisuuslaki (738/2002) sekä laki veronumerosta ja veronumerorekisteristä (473/2021).

7. Rekisterin tietosisältö

Opiskelijarekisteri (Primus)

Primus sisältää mm.:

• perustiedot (nimi, henkilötunnus, yhteystiedot)

• huoltajatiedot

• opiskeluoikeus- ja koulutustiedot

• HOKS

• suoritukset ja arvioinnit

• läsnäolot

• opiskeluhuollon järjestämiseen ja yhteydenpitoon liittyvät tarpeelliset tiedot

• työelämäjaksot

• kurinpitotiedot

Primukseen voi lisäksi sisältyä muita rajattuja rekisterikokonaisuuksia, kuten hakijoihin liittyviä tietoja, siltä osin kuin ne liittyvät opiskelijaksi ottamiseen ja opiskelijahallintoon.

Liitännäiset järjestelmät

• M365: käyttäjätunnus, sähköposti

• Workseed: oppimistehtävät ja dokumentointi

• Eduappi: rajattu raportointidata

Valttikorttien tilaaminen

Primus-järjestelmästä käytetään seuraavia tietoja:

• etunimi ja sukunimi

• henkilötunnus

• veronumero

• kasvokuva

8. Säännönmukaiset tietolähteet

Tietoja saadaan:

• opiskelijalta ja huoltajilta

• Opintopolusta

• viranomaisilta (DVV, OPH)

• aiemmista oppilaitoksista

• henkilöstöltä

Lisäksi:

• veronumero saadaan Verohallinnolta (vero.fi), joka rekisteröi sen julkiseen veronumerorekisteriin

Primuksen tietoja käytetään myös M365-tunnusten luomiseen.

9. Henkilötietojen käsittelijät ja luovutukset

Tietoja käsitellään:

• Visma InSchool (Primus/Wilma/Kurre)

• Microsoft 365

• Workseed

• Eduappi

Tietoja luovutetaan:

• viranomaisille (esim. KOSKI)

• toiselle oppilaitokselle

• opiskeluhuollon toimijoille siltä osin kuin Primuksessa olevat tiedot ovat tarpeen opiskeluhuollon tehtävien hoitamiseksi. Opiskeluhuollon toimijoiden omissa järjestelmissä tapahtuva käsittely ei kuulu tähän HMAK:n rekisteriin.

• taloushallintoon stipendien ja ruokarahojen maksamista varten opiskelijan nimen ja tilinumeron osalta. Taloushallinnon järjestelmissä tapahtuva käsittely ei kuulu tähän opiskelijahallinta- ja oppimisympäristöjärjestelmien rekisteriin.

Lisäksi:

• Verohallinnolle veronumeron hankkimiseksi

• Vastuu Group Oy:lle Valttikorttipalvelun käyttöä ja Valttikortin tilaamista varten.

HMAK:lla on henkilötietojen käsittelijöiden kanssa tietojenkäsittelysopimukset silloin, kun palveluntuottaja käsittelee henkilötietoja HMAK:n lukuun.

Tietoja ei käytetä kaupallisiin tarkoituksiin.

10. Tietojen siirto EU/ETA-alueen ulkopuolelle

Tietoja ei pääsääntöisesti siirretä EU/ETA-alueen ulkopuolelle.

Microsoft 365 -palvelussa tietojen siirto voi tapahtua EU/ETA-alueen ulkopuolelle asianmukaisin suojatoimin, kuten Euroopan komission mallisopimuslausekkeiden ja Microsoftin tietosuojakäytäntöjen mukaisesti.

11. Tietojen säilytysaika

Tietoja säilytetään lainsäädännön, Opetushallituksen määräysten, tiedonhallintalain, arkistointilain ja HMAK:n arkistonmuodostussuunnitelman mukaisesti. Säilytysajat määräytyvät tietoryhmän ja käsittelytarkoituksen perusteella. Opintosuoritus- ja todistustiedot säilytetään pysyvästi. Muita opiskeluun, opiskeluoikeuteen, HOKS-prosessiin, koulutus- ja oppisopimuksiin, arviointiin, hakemiseen, käyttäjätunnuksiin ja kurinpitoon liittyviä tietoja säilytetään arkistonmuodostussuunnitelmassa määritellyn ajan. Valttikortin tilaamiseen liittyvät tiedot säilytetään Vastuu Groupin järjestelmässä opiskelun ajan. Säilytysajan päätyttyä tiedot poistetaan tai arkistoidaan HMAK:n tiedonhallinta- ja arkistointikäytäntöjen mukaisesti. Tarkemmat säilytysajat ilmenevät HMAK:n arkistonmuodostussuunnitelmasta.

12. Rekisterin suojauksen periaatteet

• henkilökohtaiset tunnukset

• käyttöoikeusrajaukset

• suojatut yhteydet

• lokitiedot

• suojatut palvelimet

• paperiaineiston suojaus

• salassapitovelvollisuus

13. Rekisteröidyn oikeudet

• oikeus saada tieto käsittelystä

• tarkastaa tiedot

• oikaista tiedot

• rajoittaa käsittelyä

• vastustaa käsittelyä

• peruuttaa antamansa suostumus milloin tahansa. Suostumuksen peruuttaminen ei vaikuta ennen peruuttamista tehdyn käsittelyn lainmukaisuuteen.

• saada itse toimittamansa henkilötiedot siirrettyä järjestelmästä toiseen siltä osin kuin siirto-oikeus soveltuu GDPR:n mukaisesti. Siirto-oikeus ei yleensä koske lakisääteisen tehtävän perusteella käsiteltäviä opiskelijahallinnon tietoja.

• tehdä valitus valvontaviranomaiselle

• pyytää tietojen poistamista siltä osin kuin oikeus tietojen poistamiseen soveltuu. Oikeus tietojen poistamiseen ei yleensä koske tietoja, joita HMAK käsittelee lakisääteisen velvoitteen tai yleistä etua koskevan tehtävän perusteella. Poistopyyntö arvioidaan tapauskohtaisesti.

Rekisteröidyn oikeuksia koskeva pyyntö käsitellään pääsääntöisesti kuukauden kuluessa pyynnön vastaanottamisesta. HMAK voi tarvittaessa pyytää lisätietoja henkilöllisyyden varmistamiseksi ennen pyynnön käsittelyä.

14. Valitusoikeus valvontaviranomaiselle

Rekisteröidyllä on oikeus tehdä valitus tietosuojavaltuutetulle, jos hän katsoo, että henkilötietojen käsittelyssä rikotaan tietosuojasääntelyä. Valvontaviranomainen on Tietosuojavaltuutetun toimisto. Yhteystiedot: PL 800, 00531 Helsinki; käyntiosoite Lintulahdenkuja 4, 00530 Helsinki; puhelinvaihde 029 566 6700; sähköposti tietosuoja@om.fi; verkkosivut https://tietosuoja.fi.

15. Rekisteröidyn oikeuksien käyttäminen

Rekisteröity voi käyttää kohdassa 13 kuvattuja oikeuksiaan tekemällä pyynnön HMAK:lle kirjallisesti, sähköisesti tai henkilökohtaisesti.

Pyyntö osoitetaan rekisteriä koskevien asioiden yhteyshenkilölle (kohta 2).