Kasvatus- ja opetustyössä käytettävien ohjelmistojen tietosuojan kartoittaminen

Keravan kaupunki käyttää kasvatus- ja opetustyössä yhteensä n. 230 erilaista ohjelmistoa, ohjelmaa, sovellusta ja selainlisäosaa (jatkossa edellä mainituista asioista käytetään nimitystä ohjelmat). Opetuksen ja varhaiskasvatuksen järjestäjä vastaa siitä, että käytettävät ohjelmat ja sovellukset täyttävät niille asetetut vaatimukset sekä perusopetus- ja varhaiskasvatuslain että tietosuojalainsäädännön näkökulmasta. Keravan kaupungin kasvatuksen ja opetuksen toimiala kilpailuttaa jo käytössä olevien sekä uusien ohjelmien ja sovellusten tietosuoja- ja tietoturvakäytänteiden vaatimusten mukaisuuden arviointiin liittyvät työt.

Keravan kaupungin kasvatuksen ja opetuksen toimiala kilpailuttaa jo käytössä olevien ja uusien ohjelmien ja sovellusten tietosuoja- ja tietoturvakäytänteiden kartoittamiseen ja selvittämiseen liittyvät työt kaupungin ulkopuolisilla palveluntuottajilla. Keravan kaupunki käyttää kasvatus- ja opetustyössä yhteensä n. 230 erilaista ohjelmistoa, ohjelmaa, sovellusta ja selainlisäosaa (jatkossa edellä mainituista asioista käytetään nimitystä ohjelmat). Opetuksen ja varhaiskasvatuksen järjestäjä vastaa siitä, että käytettävät ohjelmat ja sovellukset täyttävät niille asetetut vaatimukset sekä perusopetus- ja varhaiskasvatuslain että tietosuojalainsäädännön näkökulmasta. Hankinta sisältää kaikkien käytössä olevien ja tulevien ohjelmistojen tarkistamisen. Tarjouspyynnöllä ilmoitettu ohjelmien, ohjelmistojen ja sovellusten määrä on viitteellinen. EU:n yleinen tietosuoja-asetus (2016/679) edellyttää rekisterinpitäjältä riskilähtöistä lähestymistapaa henkilötietojen käsittelyyn. Rekisterinpitäjän tulee tunnistaa jo suunnitteluvaiheessa ne toimenpiteet, joihin sen on ryhdyttävä riskien hallitsemiseksi ja henkilötietojen asianmukaisen käsittelyn turvaamiseksi. Rekisterinpitäjän on lisäksi varmistettava tietosuojaperiaatteiden tehokas toteutuminen henkilötietojen käsittelyssä koko tiedon elinkaaren ajan. Tietojen käsittelyssä on huomioitava myös tiedonhallintalain (906/2019) asettamat vaatimukset tiedonhallinnalle ja tietojen käsittelyssä käytettäville ohjelmistoille. Tämä edellyttää ohjelmien ja sovellusten tietosuojan ja tietoturvan kartoittamista, sekä pedagogisten näkökohtien huomioimista osana ohjelmien ja sovellusten käyttöä. Kartoituksen pääpaino kohdistuu opetus- ja varhaiskasvatustyössä käytettäviin sovelluksiin. Kartoitustyö sisältää jo käytössä olevien ja uusien ohjelmien ja sovellusten tietosuojan ja tietoturvan riskilähtöisen kartoittamisen ja selvittämisen, dokumentoimisen, sekä pedagogisten näkökohtien arvioimisen Keravan kaupungin ennalta määrittelemien kriteerien pohjalta. Kriteeristö perustuu Keravan kaupungilla käytössä oleviin tietosuojariskienarvioinnin työkaluihin, sekä perusopetus- ja varhaiskasvatuslain vaatimuksiin. Kartoitustyön tarkoituksena on varmistaa, että Keravan kaupungin kasvatuksen ja opetuksen toimialan käytössä olevat sovellukset täyttävät tietosuojasääntelyn sekä perusopetus- ja varhaiskasvatuslain vaatimukset. Uusien, käyttöönotettavien sovellusten tarkastusmäärä vaihtelee varhaiskasvatuksen, perusopetuksen sekä lukion tarpeista riippuen. Tarkastusten kokonaistyömäärä riippuu tarkistettavan ohjelmiston/sovelluksen toiminnoista ja rakenteista sekä palveluntarjoajan aiemmasta kokemuksesta vastaavassa palvelussa. Käyttöönotettavan sovelluksen tietosuojaa arvioidaan käytännössä erillisen kysymyspatteriston avulla. Alla esimerkkejä niistä kysymyksistä, joita käytetään kasvatuksen ja opetuksen toimialan oppimissovellusten vaatimustenmukaisuuden arvioinnissa. Kriteeristö on ohjeellinen ja lopullinen kriteeristö käydään läpi yhteistyössä valitun palveluntuottajan kanssa ennen palvelun käytön aloittamista. 1. Kuvaus arvioinnin kohteesta ja käyttötarkoituksesta 2. Mitä tietoja sovellus kerää käyttäjistä ja käyttäjien toimista palvelussa? 3. Mihin tarkoituksiin palveluntuottaja käyttää kerättyjä tietoja? 4. Luovutetaanko tietoja kolmansille osapuolille? 5. Mikä on palvelunkäytön ikäraja? 4. Kohdistuuko palveluun henkilötietojen siirtoja EU/ETA-alueen ulkopuolelle? 5. Onko palvelun käyttäjällä mahdollisuutta hallinnoida tietojaan? Keravan kaupungilta ilmoittaa tarkastusta vaativasta ohjelmistosta/sovelluksesta palveluntarjoajalle tarpeen ilmentyessä. Palveluntarjoaja käy tämän jälkeen läpi tietosuojakäytänteen ja toimittaa tietosuojatarkastuksen raportin Keravan kaupungille. Työ tehdään palveluntuottajan tiloissa. Sopimuskausi on 2 vuotta + 1 vuoden optio.