Tietosuoja-asetus korkeakouluissa: kattava opas (2026)

Lähteisiin perustuva yleiskatsaus korkeakoulujen tietosuojaan tietosuojavastaaville, IT-henkilöstölle ja kirjastoille: mitä tietosuoja-asetus edellyttää korkeakoululta, miten muut eurooppalaiset korkeakoulut soveltavat sitä, mistä valvontaviranomaiset ovat määränneet yliopistoille ja kouluille seuraamuksia, ja 12 kuukauden suunnitelma asetuksen viemiseksi käytäntöön. Jokaisesta osiosta on linkki perusteellisempaan oppaaseen.

Julkaistu 9. lokakuuta 2026 · Lähteet tarkistettu 9. lokakuuta 2026

Saatavilla myös kielillä: English · Svenska · Nederlands · Norsk · Dansk · Français · Español · Português

1. Mitä tietosuoja-asetus tarkoittaa korkeakoululle?

Tietosuoja-asetusta sovelletaan jokaiseen EU- ja ETA-maiden korkeakouluun, julkiseen tai yksityiseen, koska jokainen korkeakoulu käsittelee opiskelijoiden, hakijoiden, henkilöstön, tutkittavien, alumnien, kirjaston asiakkaiden ja vierailijoiden henkilötietoja. Julkinen korkeakoulu on yleensä viranomainen, mikä muuttaa kolmea asiaa: mitä käsittelyperusteita se voi käyttää, sen velvollisuutta nimetä tietosuojavastaava ja joissakin maissa sitä, voidaanko sille määrätä seuraamusmaksuja.

Korkeakoulu on tietosuojan kannalta vaativa ympäristö. Se on samaan aikaan työnantaja, opetuslaitos, tutkintoja myöntävä viranomainen, tutkimusorganisaatio, kirjasto, vuokranantaja ja joskus terveydenhuollon kumppani. Tiedekunnat ja tutkimusryhmät valitsevat usein omat työkalunsa. Joka vuosi aloittaa tuhansia uusia opiskelijoita, ja moni työntekijä toimii useissa organisaatioissa ja maissa. Tietosuoja-asetuksessa ei ole korkeakouluja koskevia erityissäännöksiä, mutta se jättää tilaa kansalliselle lainsäädännölle, ja kansalliset korkeakoulu- ja arkistolait muovaavat suurta osaa päivittäisestä käytännöstä.

Tämä opas käy koko kentän läpi yleiskatsauksen tasolla. Itse asetuksen tekstin löydätte sivulta tietosuoja-asetus selitettynä. Jokaisesta alla olevasta aiheesta on linkki perusteellisempaan oppaaseen, malliin tai ilmaiseen työkaluun.

2. Mitä käsittelyperustetta korkeakoulu käyttää?

Useimmat eurooppalaiset julkiset korkeakoulut nojaavat tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohtaan: käsittely on tarpeen yleisen edun mukaisen tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Artiklan 3 kohdan mukaan perusteesta on säädettävä unionin tai jäsenvaltion lainsäädännössä, joten korkeakoulu viittaa kansalliseen lakiin, joka antaa sille sen tehtävät, kuten yliopistolakiin. Lakisääteinen velvoite (6 artiklan 1 kohdan c alakohta) kattaa lakisääteiset velvollisuudet.

Yleisen edun mukainen tehtävä, joka perustuu kansalliseen lakiin

Asetuksen 6 artiklan 3 kohdan mukaan c ja e alakohdassa tarkoitetun käsittelyn perustasta ”on säädettävä joko” unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä. Korkeakoulujen tietosuojaselosteet näyttävät, miten tämä toimii käytännössä:

• Oslon yliopisto perustaa opiskelijatietojen käsittelyn 6 artiklan 1 kohdan e alakohtaan yhdessä Norjan yliopisto- ja korkeakoululain 2-1 ja 2-8 §:n kanssa.
• Helsingin yliopiston mukaan käsittely ”is based on the University's statutory tasks carried out in the public interest (section 2 of the Universities Act)” (perustuu yliopiston yleisen edun mukaisiin lakisääteisiin tehtäviin, yliopistolain 2 §).
• Tukholman yliopiston mukaan yleisin käsittelyperuste on ”a task of public interest in accordance with Article 6(1)(e)” (yleisen edun mukainen tehtävä 6 artiklan 1 kohdan e alakohdan mukaisesti).
• Uppsalan yliopisto toteaa, että opiskelija-asioissa käsittely ”is often an aspect of the exercise of official authority” (liittyy usein julkisen vallan käyttöön) ja että tutkimuksessa käsittely tapahtuu usein yleisen edun nimissä.
• Trinity College Dublin perustaa tutkimuksen 6 artiklan 1 kohdan e alakohtaan ja Irlannin vuoden 1997 yliopistolakiin, jonka mukaan tutkimuksen edistäminen on ”a primary object and function of the University” (yliopiston ensisijainen tavoite ja tehtävä).
• Barcelonan yliopisto käyttää opiskelijaliikkuvuuden tiedoissa yleistä etua ja viittaa Espanjan yliopistojärjestelmää koskevaan orgaaniseen lakiin 2/2023 (LOSU) ja Katalonian yliopistolakiin.

Samassa selosteessa voi olla useita perusteita. Université Paris-Saclayn hakijoiden tietosuojaseloste (syyskuu 2026) mainitsee hakemusten käsittelyn perusteena yleisen edun mukaisen tehtävän, ilmoittautumisen perusteena lakisääteisen velvoitteen ja valmistujaistilaisuuksiin kutsumisen perusteena oikeutetun edun. Tällainen tarkoituskohtainen lähestymistapa on hyvä käytäntö ja helpottaa selosteen käsittelytoimista ylläpitoa.

Oikeutetun edun rajoitus

Asetuksen 6 artiklan 1 kohdan viimeisen alakohdan mukaan oikeutettua etua koskevaa f alakohtaa ”ei sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä”. Johdanto-osan 47 kappaleen mukaan lainsäätäjän tehtävä on säätää viranomaisten käsittelyn oikeusperusteesta lailla. Euroopan tietosuojaneuvoston oikeutettua etua koskevissa ohjeissa 1/2024 (versio 1.0, julkaistu lausuntokierrokselle) todetaan lisäksi, että viranomaiset voivat vedota siihen vain ”in exceptional and limited cases” (poikkeuksellisissa ja rajatuissa tapauksissa) toiminnassa, joka ei liity niiden erityisiin tehtäviin, jos kansallinen laki sen sallii, ja että tämä on dokumentoitava sisäisesti.

Validemicin analyysi Käytännössä julkisen korkeakoulun ei pidä turvautua oikeutettuun etuun opetuksessa, arvioinnissa, opiskelijahallinnossa tai tutkimuksessa. Aidosti sivullisessa toiminnassa, kuten joissakin alumnitapahtumissa tai kampuskaupassa, se voi kansallisesta laista riippuen olla perusteltavissa. Jos käytätte sitä, tehkää ja säilyttäkää tasapainotesti; tähän sopii oikeutetun edun arvioinnin malli.

Miksi suostumus on heikko peruste ydinkäsittelylle

Johdanto-osan 43 kappaleen mukaan suostumuksen ei pitäisi olla pätevä oikeudellinen peruste tilanteessa, jossa ”rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta”, erityisesti kun rekisterinpitäjänä on viranomainen. Oslon yliopiston henkilöstöohje soveltaa tätä työsuhteisiin ja toteaa, että yliopisto työnantajana ”would normally not be able to use consent as a processing basis for employees” (ei tavallisesti voi käyttää suostumusta työntekijöiden tietojen käsittelyperusteena). Sama logiikka koskee opiskelijoita, joiden on käytettävä järjestelmää läpäistäkseen opintojakson. Suostumuksella on edelleen paikkansa vapaaehtoisessa toiminnassa: uutiskirjeissä, markkinoinnissa käytettävissä valokuvissa tai vapaaehtoisessa kokeilutyökalussa. Euroopan tietosuojaneuvoston suostumusta koskevissa ohjeissa kuvataan edellytykset. Tutkimuksen käsittelyperusteen valintaa käsitellään oppaassa tutkimuksen käsittelyperuste tietosuoja-asetuksen mukaan.

3. Keiden tietoja korkeakoulu käsittelee?

Korkeakoulu käsittelee ainakin seitsemän henkilöryhmän tietoja. Kullakin ryhmällä on omat tarkoituksensa, käsittelyperusteensa, säilytysaikansa ja riskinsä, joten tietosuojaselosteet, seloste käsittelytoimista ja säilytysaikataulut kannattaa järjestää ryhmittäin. Taulukko on tyypillinen lähtökohta eikä sääntö: tarkistakaa oma kansallinen lainsäädäntönne.

4. Erityiset henkilötietoryhmät ja rikostiedot

Asetuksen 9 artiklan 1 kohta kieltää erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn, ellei jokin 9 artiklan 2 kohdan poikkeuksista sovellu. Ryhmiä ovat rotu tai etninen alkuperä, poliittiset mielipiteet, uskonnollinen tai filosofinen vakaumus, ammattiliiton jäsenyys, geneettiset tiedot, henkilön tunnistamiseen käytettävät biometriset tiedot, terveystiedot sekä seksuaalista käyttäytymistä tai suuntautumista koskevat tiedot. Korkeakoulut käsittelevät niitä kaikkia.

Tavallisia esimerkkejä korkeakouluista:

• Terveystiedot opintojen ja tenttien erityisjärjestelyissä, sairauspoissaoloissa ja työterveyshuollossa.
• Biometriset tiedot joissakin etätenttien valvontatyökaluissa, kasvojentunnistuksessa ja kulunvalvonnassa.
• Ammattiliiton jäsenyys palkasta perittävissä jäsenmaksuissa.
• Tutkimusaineistot lääketieteessä, psykologiassa, yhteiskuntatieteissä ja valtiotieteissä, joissa erityiset henkilötietoryhmät ovat usein itse tutkimuksen kohteena.

Korkeakoulun ydintehtävissä yleisimmät poikkeukset ovat 9 artiklan 2 kohdan b alakohta (työoikeus), g alakohta (laissa säädetty tärkeä yleinen etu) ja j alakohta (tutkimus 89 artiklan suojatoimin). Oslon yliopisto toteaa, että opiskelijoiden erityisten henkilötietoryhmien osalta ”the legal basis is Article 9 g) of the GDPR” (käsittelyperuste on tietosuoja-asetuksen 9 artiklan g alakohta) yhdessä kansallisen lain kanssa. Jokainen näistä poikkeuksista edellyttää unionin tai kansallista lainsäädäntöä, joten tarkka reitti vaihtelee maittain.

Rikostuomioita ja rikkomuksia koskevista tiedoista säädetään erikseen 10 artiklassa, jonka mukaan niitä saa käsitellä vain viranomaisen valvonnassa tai jos unionin tai jäsenvaltion lainsäädännössä sallitaan käsittely. Tällä on merkitystä opettaja-, terveys- ja sosiaalialan koulutusten opiskelijoiden rikostaustan selvittämisessä, joka perustuu yleensä kansalliseen lakiin.

5. Tarvitseeko korkeakoulu tietosuojavastaavan?

Kyllä, jos se on viranomainen tai julkishallinnon elin. Asetuksen 37 artiklan 1 kohdan a alakohta edellyttää tietosuojavastaavaa, kun ”tietojenkäsittelyä suorittaa jokin muu viranomainen tai julkishallinnon elin kuin lainkäyttötehtäviään hoitava tuomioistuin”. Yksityisetkin korkeakoulut tarvitsevat yleensä tietosuojavastaavan, koska erityisiin henkilötietoryhmiin kuuluvien tietojen laajamittainen käsittely tai henkilöiden säännöllinen ja järjestelmällinen seuranta on korkeakoulutuksessa tavallista (37 artiklan 1 kohdan b ja c alakohta).

Lissabonin yliopiston oikeustieteellinen tiedekunta on tyypillinen esimerkki: sen tietosuojaselosteen mukaan se on nimennyt tietosuojavastaavan, ”Atendendo à obrigação legal que resulta da alínea a) do n.º 1 do artigo 37.º do RGPD” (tietosuoja-asetuksen 37 artiklan 1 kohdan a alakohdan mukaisen lakisääteisen velvoitteen vuoksi). Asetuksen 37 artiklan 3 kohta sallii useille julkisille elimille yhteisen tietosuojavastaavan niiden rakenne ja koko huomioon ottaen, ja tätä hyödyntävät jotkin pienemmät korkeakoulut.

Mitä tietosuojavastaava tekee ja mitä ei

Asetuksen 39 artiklan 1 kohdan mukaan tietosuojavastaavan on vähintään annettava korkeakoululle ja sen henkilöstölle tietoa ja neuvoja, valvottava säännösten noudattamista (mukaan lukien vastuunjako, tietoisuuden lisääminen, koulutus ja auditoinnit), annettava neuvoja vaikutustenarvioinneista sekä tehtävä yhteistyötä valvontaviranomaisen kanssa ja toimittava sen yhteyspisteenä. Utrechtin yliopisto tiivistää: ”The DPO's main job is to oversee the application and observance of the GDPR within the organisation.” (Tietosuojavastaavan päätehtävä on valvoa tietosuoja-asetuksen soveltamista ja noudattamista organisaatiossa.)

Tietosuojavastaava neuvoo, korkeakoulu päättää. Asetuksen 38 artikla suojaa tehtävää: tietosuojavastaava on otettava ”asianmukaisesti ja riittävän ajoissa” mukaan kaikkiin tietosuojakysymyksiin, hänelle on annettava tarvittavat resurssit, häntä ei saa ”erottaa tai rangaista” tehtäviensä hoitamisen vuoksi, ja hän raportoi suoraan ylimmälle johdolle. Yhteystiedot on julkaistava ja ilmoitettava valvontaviranomaiselle (37 artiklan 7 kohta). Useimmat korkeakoulut julkaisevat yleisen sähköpostiosoitteen, kuten fg@uva.nl Amsterdamin yliopistossa tai dataskyddsombud@uu.se Uppsalassa.

29 artiklan mukaisen tietosuojatyöryhmän tietosuojavastaavia koskevien ohjeiden (WP243 rev.01), jotka Euroopan tietosuojaneuvosto on vahvistanut, mukaan tietosuojavastaava ei voi toimia tehtävässä, jossa hän määrittelee käsittelyn tarkoitukset ja keinot. Esimerkkeinä mahdollisesti ristiriitaisista tehtävistä mainitaan IT-johtaja ja henkilöstöjohtaja. Euroopan tietosuojaneuvoston vuoden 2023 koordinoidussa valvontatoimessa 25 viranomaista havaitsi muun muassa tietosuojavastaavia, joilla oli riittämättömät resurssit, ja tietosuojavastaavia, joille ei ollut annettu kaikkia asetuksen edellyttämiä tehtäviä.

Validemicin analyysi Suuressa korkeakoulussa yksi tietosuojavastaava ei voi käydä läpi jokaista työkalua, selostetta ja hanketta. Parhaiten pärjäävät korkeakoulut rakentavat verkoston: tietosuojayhdyshenkilöt jokaiseen tiedekuntaan, tietosuoja-asiantuntija tutkimuspalveluihin ja tietoturva tekemään teknisen arvioinnin. Tietosuojavastaava neuvoo silloin vaikeissa tapauksissa ja valvoo kokonaisuutta.

6. Seloste käsittelytoimista (30 artikla)

Jokaisen korkeakoulun on ylläpidettävä selostetta käsittelytoimista. Alle 250 työntekijän organisaatioita koskeva 30 artiklan 5 kohdan poikkeus ei auta: sitä ei sovelleta, jos käsittely ”ei ole satunnaista” tai siihen sisältyy erityisiin henkilötietoryhmiin kuuluvia tietoja, mikä koskee jokaista korkeakoulua. Selosteessa on mainittava tarkoitukset, tietoryhmät ja rekisteröityjen ryhmät, vastaanottajat, siirrot, säilytysajat ja turvatoimet.

Seloste on myös työväline. KU Leuven kertoo opiskelijoille, että ”specific retention periods per processing activity are included in the register of processing activities” (käsittelytoimikohtaiset säilytysajat sisältyvät selosteeseen käsittelytoimista), mikä kytkee selosteen suoraan säilytysaikatauluun. Madridin Complutense-yliopisto julkaisee selosteensa (Registro de Actividades de Tratamiento) verkossa, joten kuka tahansa voi nähdä, mitä yliopisto käsittelee ja miksi.

Käytännöllinen rakenne on yksi merkintä tarkoitusta kohden ryhmiteltynä rekisteröityjen ryhmien mukaan ja oma sarake kullekin järjestelmälle ja toimittajalle. Korkeakoulujen selosteen malli ja Word-pohja noudattavat tätä rakennetta.

7. Läpinäkyvyys ja tietosuojaselosteet

Asetuksen 13 ja 14 artikla edellyttävät, että korkeakoulu kertoo ihmisille tietoja kerättäessä (tai kuukauden kuluessa, jos tiedot saadaan muualta), kuka on rekisterinpitäjä, miten tietosuojavastaavan tavoittaa, käsittelyn tarkoitukset ja perusteen, vastaanottajat, siirrot, säilytysajat ja heidän oikeutensa. Korkeakoulut julkaisevat yleensä kerroksellisia selosteita: yleisen selosteen ja sen lisäksi oman selosteen kullekin ryhmälle tai suurelle prosessille.

Tutustumisen arvoisia esimerkkejä:

• Amsterdamin yliopisto nimeää rekisterinpitäjän selvästi: ”The Executive Board of the UvA is the controller” (rekisterinpitäjä on UvA:n hallitus).
• KU Leuvenilla on opiskelijaselosteen rinnalla erillinen seloste tutkittaville.
• Université Paris-Saclay julkaisee selosteen yhdestä tietystä prosessista (verkkohaku), jossa käsittelyperuste on ilmoitettu tarkoituksittain ja säilytysaika tietoryhmittäin.

Tutkittavien osalta 14 artiklan 5 kohdan b alakohta sallii poikkeuksen, jos jokaiselle henkilölle ilmoittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa erityisesti tutkimuksessa, mutta korkeakoulun on silloin saatettava tiedot julkisesti saataville ja toteutettava muita toimenpiteitä. Yksityiskohdat ovat tutkittavan tietosuojaselosteen mallissa.

8. Rekisteröidyn oikeudet

Opiskelijoilla, henkilöstöllä, hakijoilla ja tutkittavilla on oikeus tietojen saantiin, oikaisemiseen, poistamiseen ja käsittelyn rajoittamiseen, oikeus siirtää tiedot järjestelmästä toiseen (suostumuksen ja sopimuksen osalta) sekä vastustamisoikeus (yleisen edun mukaisen tehtävän osalta). Korkeakoulun on vastattava ”kuukauden kuluessa pyynnön vastaanottamisesta”, ja määräaikaa voidaan monimutkaisissa tapauksissa jatkaa enintään kahdella kuukaudella (12 artiklan 3 kohta).

Kolme kysymystä nousee korkeakouluissa esiin useammin kuin muualla:

1. Tarkastuspyynnöt riitatilanteissa. Arvosanaansa riitauttavat opiskelijat ja työriidoissa olevat työntekijät pyytävät usein kaiken, myös sähköpostit. Opas tarkastuspyyntöihin korkeakouluissa käsittelee tenttivastauksia, sähköposteja ja tutkimusaineistoja, ja mukana on vastauspohjia. Keskeinen lähde ovat Euroopan tietosuojaneuvoston ohjeet 01/2022 oikeudesta saada pääsy tietoihin.
2. Poistaminen ja arkistointi. Julkisten korkeakoulujen on usein säilytettävä asiakirjoja arkistolakien nojalla. Kööpenhaminan yliopiston mukaan ”no right to erasure of information that has been filed in the University's archives in accordance with the Archives Act” (arkistolain mukaisesti yliopiston arkistoon tallennettuja tietoja ei ole oikeutta saada poistetuksi). Tämä perustuu 17 artiklan 3 kohdan b ja d alakohdan poikkeuksiin.
3. Asiakirjajulkisuus. Erityisesti Ruotsissa ja Suomessa kuka tahansa voi pyytää julkisten korkeakoulujen asiakirjoja julkisuussääntöjen nojalla. Lundin yliopisto huomauttaa, että julkiset asiakirjat säilytetään painovapauslain ja arkistolain mukaisesti. Tietosuojatyö ja asiakirjahallinto on sovitettava yhteen.

Myös 22 artiklan merkitys kasvaa automaattisten työkalujen yleistyessä. Pelkästään automaattiseen käsittelyyn perustuvat päätökset, joilla on henkilöön merkittäviä vaikutuksia, kuten automaattinen hylkäys opiskelijavalinnassa, ovat sallittuja vain rajatuissa tilanteissa ja suojatoimin, joihin kuuluu ihmisen osallistuminen.

9. Milloin vaikutustenarviointi tarvitaan?

Tietosuojaa koskeva vaikutustenarviointi on tehtävä ennen käsittelyä, joka todennäköisesti aiheuttaa henkilöille ”korkean riskin” (35 artiklan 1 kohta). Euroopan tietosuojaneuvoston vahvistamissa WP248-ohjeissa on yhdeksän kriteeriä; käsittely, joka täyttää niistä kaksi, edellyttää yleensä vaikutustenarviointia. Korkeakoulutuksessa opiskelijoiden seuranta, erityiset henkilötietoryhmät, uusi teknologia ja korkeakoulun ja opiskelijan epätasainen suhde tuottavat usein yhdessä kaksi kriteeriä.

Tyypillisiä korkeakoulun käsittelyjä, jotka yleensä edellyttävät vaikutustenarviointia: etätenttien valvonta, oppimisanalytiikka ja varhaisen varoituksen järjestelmät, opiskelijoiden töitä arvioivat tai niistä palautetta antavat tekoälytyökalut, suuret terveystietoja sisältävät tutkimushankkeet, kampuksen kameravalvonta sekä uudet opiskelija- tai henkilöstöhallinnon järjestelmät. Rekisterinpitäjän on pyydettävä tietosuojavastaavalta neuvoja vaikutustenarviointia tehdessään (35 artiklan 2 kohta).

Edinburghin yliopisto näyttää toimivan vastaanottomallin: henkilöstö lähettää sähköpostia tietosuojavastaavalle ja ”will be assigned an assessment through our online tool” (saa arvioinnin verkkotyökalun kautta), ja samaa järjestelmää koskevaa olemassa olevaa vaikutustenarviointia voidaan käyttää uudelleen. Uudelleenkäytöllä on merkitystä: jos kymmenen yksikköä ottaa käyttöön saman alustan, yksi hyvin ylläpidetty vaikutustenarviointi paikallisine liitteineen on parempi kuin kymmenen puutteellista.

Aloittakaa ilmaisella vaikutustenarvioinnin esiarviointityökalulla ja käyttäkää sitten korkeakoulujen vaikutustenarvioinnin mallia. Erityisistä korkean riskin alueista on oppaat verkkotenteistä ja tenttivalvonnasta sekä oppimisanalytiikasta.

10. Käsittelijät ja toimittajasopimukset

Kun toimittaja käsittelee henkilötietoja korkeakoulun lukuun, korkeakoulu saa käyttää vain käsittelijöitä, jotka antavat ”riittävät takeet”, ja sillä on oltava 28 artiklan 3 kohdan vaatimukset täyttävä sopimus. Tämä koskee oppimisalustaa, opintohallinnon järjestelmää, pilvitallennusta, kyselytyökaluja ja tekoälypalveluja sekä maksuttomia työkaluja, joita opettajat ottavat käyttöön omatoimisesti.

Tietosuojatyön toimittajaosuus sisältää yleensä:

• Roolianalyysin: onko toimittaja käsittelijä, joidenkin tarkoitusten (esimerkiksi tuotekehityksen tai mallien koulutuksen) osalta rekisterinpitäjä vai yhteisrekisterinpitäjä? Tutkimuskonsortioista on opas yhteisrekisterinpitäjäsopimukseen.
• Henkilötietojen käsittelysopimuksen, joka on tarkistettu kaikkia 28 artiklan 3 kohdan kahdeksaa kohtaa vasten. Käsittelysopimuksen tarkistustyökalu vertaa luonnosta jokaiseen kohtaan.
• Ajantasaisen alikäsittelijäluettelon sijainteineen ja keinon havaita muutokset ja vastustaa niitä. Alikäsittelijähälytykset auttavat seurannassa.
• Tietoturvanäytön, kuten ISO/IEC 27001 -sertifioinnin tai SOC 2 -raportin, jonka kattavuus on tarkistettu.
• Tekoälyominaisuuksien osalta: käytetäänkö korkeakoulun tietoja mallien koulutukseen ja mitkä tekoälypalvelujen tarjoajat ovat alikäsittelijöitä.

Laaja opas toimittaja-arvioinnista korkeakouluissa kattaa koko prosessin vastaanotosta irtautumiseen, ja tietosuojakatsauksemme tiivistävät, mitä toimittajat kuten Canvas, Moodle, Microsoft 365, Google Workspace, Zoom ja Turnitin dokumentoivat julkisesti. Hyväksymättömät työkalut ovat oma ongelmansa; katso varjo-IT ja hyväksymättömät tekoälytyökalut.

Onko toimittaja-arviointi juuri nyt käynnissä? Validemic käy toimittajan asiakirjat läpi tietosuoja-asetuksen ja tekoälysäädöksen valossa ja näyttää jokaisen havainnon lähteen. Kokeile demoympäristöä

11. Kansainväliset siirrot

Henkilötietoja saa siirtää ETA:n ulkopuolelle vain V luvun mukaisesti: tietosuojan riittävyyttä koskevan päätöksen, asianmukaisten suojatoimien, kuten vakiolausekkeiden ja siirtovaikutusten arvioinnin, tai suppean poikkeuksen perusteella. Myös etäkäyttö kolmannesta maasta, esimerkiksi toimittajan tukihenkilöstön toimesta, on siirto, joten pelkkä EU:ssa sijaitseva palvelinkeskus ei ratkaise kysymystä.

Yhdysvaltalaisten toimittajien osalta EU:n ja Yhdysvaltojen välistä tietosuojakehystä koskeva riittävyyspäätös (täytäntöönpanopäätös (EU) 2023/1795) kattaa DPF-luettelossa olevat organisaatiot. Valitus unionin yleisen tuomioistuimen tuomiosta, jolla päätös pidettiin voimassa, on vireillä (asia C-703/25 P), joten korkeakoulujen kannattaa tietää, mitkä toimittajat ovat sen varassa. Lisäksi 49 artiklan 3 kohdan mukaan suostumukseen ja sopimukseen perustuvia poikkeuksia ei sovelleta viranomaisiin niiden käyttäessä julkista valtaa, mikä rajoittaa niiden käyttöä julkisissa korkeakouluissa.

Siirrot ovat olleet keskiössä useissa koulutusalan tapauksissa. Tanskan Datatilsynet määräsi vuonna 2022 käsittelykiellon Helsingørin kunnan koulujen Chromebookien ja Google Workspacen käytölle, myös siirroille kolmansiin maihin; kielto myöhemmin keskeytettiin ja korvattiin määräyksillä. Ruotsin IMY määräsi Uumajan yliopistolle seuraamusmaksun tapauksessa, johon kuului arkaluonteisten tietojen tallentaminen pilvipalveluun ilman riittävää suojaa.

Lue lisää: EU:n ja Yhdysvaltojen välinen tietosuojakehys korkeakouluille, siirtovaikutusten arvioinnin malli, ilmainen siirtoperustetyökalu sekä CLOUD Act ja digitaalinen suvereniteetti.

12. Tietoturva ja tietoturvaloukkaukset

Asetuksen 32 artikla edellyttää riskiä vastaavaa tietoturvaa. Asetuksen 33 artiklan mukaan korkeakoulun on ilmoitettava henkilötietojen tietoturvaloukkauksesta valvontaviranomaiselle ilman aiheetonta viivytystä ja ”mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta”, paitsi jos loukkauksesta ei todennäköisesti aiheudu riskiä. Jos riski on korkea, myös asianomaisille henkilöille on ilmoitettava (34 artikla).

Määräaika alkaa, kun loukkaus tulee korkeakoulun tietoon, ei vasta kun tietosuojavastaava kuulee siitä, joten sisäisen ilmoitusreitin on oltava nopea ja jokaisen työntekijän tiedossa. Korkeakoulujen menettelyissä toistuvat samat piirteet:

• Aalto-yliopisto: epäilty loukkaus ”must be immediately reported by contacting the university's information security team” (on ilmoitettava välittömästi yliopiston tietoturvatiimille); tietosuojavastaava hoitaa ilmoituksen tietosuojavaltuutetulle.
• Karolinska Institutet luettelee henkilöstölle arkisia esimerkkejä, kuten väärälle vastaanottajalle lähetetyn sähköpostin, kadonneet tiedot ja kaapatut kirjautumistunnukset.
• Trinity College Dublin pyytää henkilöstöä ilmoittamaan tietosuojatoimistolle viipymättä ja tekee selväksi, ettei loukkauksesta ilmoittaminen johda kurinpitotoimiin.
• NTNU erottaa tietoturvapoikkeamat (sen SOC:lle) tietosuojapoikkeamailmoituksista ja huomauttaa, että ilmoituksen ”must describe the action, not the person who performed it” (on kuvattava tapahtuma, ei sen tehnyttä henkilöä).

Asetuksen 33 artiklan 5 kohdan mukaan jokainen loukkaus on dokumentoitava, myös ne, joista ei ilmoiteta viranomaiselle. Euroopan tietosuojaneuvoston ohjeissa 9/2022 selitetään, milloin ilmoitus on tehtävä. Valmistautumista tukevat opas tietoturvaloukkausten käsittelyyn, tietoturvaloukkausten käsittelypaketti ja tietoturvaloukkausilmoituksen ajastin. Korkeakoulut voivat kuulua myös kansallisten NIS2-säännösten piiriin; katso NIS2 ja korkeakoulut.

13. Säilytys ja arkistointi

Henkilötietoja saa säilyttää vain niin kauan kuin on tarpeen käsittelyn tarkoituksia varten (säilytyksen rajoittaminen, 5 artiklan 1 kohdan e alakohta), mutta yksinomaan yleisen edun mukaista arkistointia tai tutkimusta varten säilytettäviä tietoja voidaan säilyttää pidempään suojatoimin. Julkisissa korkeakouluissa kansalliset arkistolait ratkaisevat usein, mitä on säilytettävä ja kuinka kauan, joten säilytysaikataulu kannattaa laatia yhdessä arkistonhoitajan eikä vain tietosuojavastaavan kanssa.

Esimerkkejä siitä, miten kansalliset säännöt muovaavat säilytystä:

• Lundin yliopisto kertoo, että Ruotsin arkistolain (1990:782) nojalla henkilötietoja voidaan säilyttää ”in some cases indefinitely in the University's archive” (joissakin tapauksissa pysyvästi yliopiston arkistossa).
• Université Paris-Saclay säilyttää hyväksyttyjen hakijoiden tiedot Ranskan arkistosääntöjen mukaan 50 vuotta: ”Pour les candidats admis, elles sont ensuite conservées pour une durée de 50 ans” (hyväksyttyjen hakijoiden tiedot säilytetään tämän jälkeen 50 vuoden ajan).
• Utrechtin yliopisto säilyttää tutkimuksen raakadatan ”for at least ten years after publication of the research results” (vähintään kymmenen vuotta tutkimustulosten julkaisemisen jälkeen) tutkimusetiikan sääntöjen mukaisesti.

Säilytys pettää useimmin toimittajien järjestelmissä: opintohallinnon järjestelmästä poistettu tieto voi elää edelleen kyselytyökalussa, videoalustalla tai varmuuskopioissa. Säilytysaikataulun mallissa (Word-tiedosto) on sarake järjestelmille, joissa kutakin asiakirjatyyppiä säilytetään.

14. Tutkimus ja 89 artikla

Tietosuoja-asetus on suhteellisen tutkimusmyönteinen. Asetuksen 9 artiklan 2 kohdan j alakohta sallii erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn tutkimusta varten unionin tai jäsenvaltion lainsäädännön perusteella, ja 89 artiklan 1 kohta edellyttää suojatoimia, erityisesti tietojen minimointia ja mahdollisuuksien mukaan pseudonymisointia. Artiklan 2 kohdan mukaan kansallisella lailla voidaan rajoittaa joitakin oikeuksia, jos ne vaikeuttaisivat tutkimusta vakavasti.

Käytännöt vaihtelevat maittain paljon, joten yleisopas voi antaa vain pääpiirteet. Joitakin esimerkkejä:

• Utrechtin yliopisto: ”Conducting scientific research is a task of public interest entrusted to the UU” (tieteellinen tutkimus on yliopistolle annettu yleisen edun mukainen tehtävä), ja erityisiin henkilötietoryhmiin pyydetään nimenomainen suostumus.
• Kööpenhaminan yliopisto: ilman suostumusta arkaluonteisia tutkimustietoja käsitellään 6 artiklan 1 kohdan e alakohdan ja Tanskan tietosuojalain 10 §:n nojalla, mutta vain ”if the processing is aimed at statistical or scientific studies with potential public interest” (jos käsittely tähtää tilastollisiin tai tieteellisiin tutkimuksiin, joilla voi olla yleistä merkitystä).
• Trinity College Dublin käyttää 9 artiklan 2 kohdan j alakohtaa ja 89 artiklan 1 kohdan suojatoimia, mutta huomauttaa, että Irlannin terveystutkimusta koskevat säännökset edellyttävät edelleen nimenomaista suostumusta terveystutkimukseen.
• University College Dublinin kirjasto muistuttaa tutkijoita, että tietosuoja-asetus ”applies to any research that uses personal data, including scientific research and studies in the arts and humanities” (koskee kaikkea henkilötietoja käyttävää tutkimusta, myös taiteiden ja humanististen alojen tutkimusta).
• Norjassa sopimuksen tehneet korkeakoulut käyttävät Siktin ilmoituslomaketta; Sikt kuvaa tehtäväkseen ”to advise and guide you on how to process personal data lawfully” (neuvoa ja ohjata henkilötietojen lainmukaisessa käsittelyssä).

Opinnäytetöitä tekevät opiskelijat jäävät usein katveeseen. Uppsalan yliopisto pitää yliopistoa opinnäytetöiden rekisterinpitäjänä ja kertoo opiskelijoille, että ”when processing sensitive personal data, consent must be obtained before the processing begins” (arkaluonteisia henkilötietoja käsiteltäessä suostumus on hankittava ennen käsittelyn aloittamista).

Syventäkää aiheeseen oppailla tutkimuksen käsittelyperuste, tutkittavan tietosuojaseloste, yhteisrekisterinpitäjäsopimukset, tiedonjakosopimukset, missä tutkimusaineistoja säilytetään ja tietosuoja-asetus ja tekoälytyökalut tutkimuksessa.

15. Tekoälytyökalut ja EU:n tekoälysäädös

Tietosuoja-asetusta sovelletaan tekoälytyökaluihin samalla tavalla kuin muuhunkin käsittelyyn: tarvitaan käsittelyperuste, käsittelysopimus, siirtojen tarkistus ja usein vaikutustenarviointi. EU:n tekoälysäädös (asetus (EU) 2024/1689) lisää korkeakouluille käyttöönottajina erillisiä velvoitteita. Se ei korvaa tietosuoja-asetusta, ja useimmat korkeakouluissa käytettävät tekoälytyökalut herättävät nykyään enemmän tietosuoja- kuin tekoälysäädöskysymyksiä.

Tekoälysäädöstä muutettiin asetuksella (EU) 2026/1744 (tekoälyomnibus), joka on ollut voimassa 27.7.2026 alkaen. Korkeakoulujen tilanne 9.10.2026:

Validemicin analyysi Jokaisesta tekoälytyökalusta kannattaa kysyä nämä tietosuojakysymykset: käyttääkö toimittaja korkeakoulun tietoja mallien koulutukseen, eroaako tämä maksuttoman ja organisaatiolisenssin välillä, mitkä tekoälymallien tarjoajat ovat alikäsittelijöitä ja missä ne sijaitsevat, ja tekeekö tai tukeeko työkalu opiskelijoita koskevia päätöksiä, joihin 22 artikla voisi soveltua? Korkeakoulut, jotka vastaavat näihin nyt, selviävät vuoden 2027 suuririskisyysvelvoitteista paljon helpommin.

Lue lisää: EU:n tekoälysäädös korkeakouluille, tekoälysäädös selitettynä, tekoälysäädöksen koulutustarkistin, tekoälylinjauksen malli, eurooppalaisissa yliopistoissa hyväksytyt tekoälytyökalut ja korkeakoulujen omat tekoälypalvelut Pohjoismaissa. Kirjastot, jotka neuvottelevat aineistolisenssien tekoälyehdoista, löytävät tietoa oppaasta kirjastojen lisenssisopimukset, tekoäly sekä teksti- ja tiedonlouhinta.

16. Valvonta: mistä yliopistoille ja kouluille on määrätty seuraamuksia

Valvontaviranomaiset ovat määränneet seuraamusmaksuja myös yliopistoille, eivät vain yrityksille. Se, voidaanko julkiselle elimelle määrätä seuraamusmaksu, on kansallisen lain asia: 83 artiklan 7 kohdan mukaan kukin jäsenvaltio voi päättää, ”voidaanko viranomaisille tai julkishallinnon elimille määrätä kyseisessä jäsenvaltiossa hallinnollisia seuraamusmaksuja ja missä määrin”. Alla olevat tapaukset ovat viranomaisten omilta sivuilta.

Validemicin analyysi Kuvio on johdonmukainen. Yliopistoille määrätään seuraamuksia harvoin eksoottisista oikeuskysymyksistä. Niitä määrätään tavanomaisesta tietoturvasta (sähköposti, verkkopalvelimet), valvonta- tai biometrisen teknologian käyttöönotosta ilman asianmukaista käsittelyperustetta ja vaikutustenarviointia sekä arkaluonteisten tietojen viemisestä palveluihin, joita ei ollut arvioitu. Kaikki nämä voidaan ehkäistä alla olevan ohjelman perusasioilla.

17. Kuka tekee mitäkin korkeakoulussa

Tietosuoja-asetus asettaa vastuun korkeakoululle rekisterinpitäjänä ja käytännössä sen johdolle ja kunkin prosessin omistajalle. Tietosuojavastaava neuvoo ja valvoo. Suurimman osan varsinaisesta työstä tekevät muut yksiköt, ja aukot syntyvät, kun kukin yksikkö olettaa toisen jo tarkistaneen asian.

Kirjatkaa vastuunjako. Lyhyt johdon hyväksymä vastuumatriisi ehkäisee useimmat kiistat ja mahdollistaa tietosuojavastaavan valvontatehtävän. Oppaat kirjaston asiakkaiden yksityisyydestä ja saavutettavuudesta hankinnoissa käsittelevät kahta aluetta, joilla vastuut ovat usein epäselviä.

18. 12 kuukauden ohjelma

Alla oleva suunnitelma sopii korkeakoululle, jolla perusasiat ovat paperilla mutta niiden pitää alkaa toimia. Muuttakaa järjestystä omien puutteidenne mukaan; korkeakoulu, jossa on hiljattain sattunut tietoturvaloukkaus, aloittaa tietoturvasta. Jokaisesta kohdasta pitäisi syntyä asiakirja tai päätös.

Lähteet

1. Asetus (EU) 2016/679 (yleinen tietosuoja-asetus), virallisen lehden teksti, johdanto-osan 43 ja 47 kappale, 5, 6, 9, 10, 12–14, 17, 22, 28, 30, 32–39, 49, 83, 88 ja 89 artikla (haettu 9.10.2026).
2. Asetus (EU) 2024/1689 (tekoälysäädös), 4, 5, 26, 27 ja 50 artikla sekä liite III, ja asetus (EU) 2026/1744 (tekoälyomnibus).
3. Komission täytäntöönpanopäätös (EU) 2023/1795 (EU:n ja Yhdysvaltojen välinen tietosuojakehys) ja valitus asiassa C-703/25 P.
4. Euroopan tietosuojaneuvosto, Guidelines 1/2024 on processing based on Article 6(1)(f) GDPR (ohjeet oikeutettuun etuun perustuvasta käsittelystä), versio 1.0, kohdat 98 ja 99 (haettu 9.10.2026).
5. Euroopan tietosuojaneuvosto, ohjeet 05/2020 suostumuksesta (haettu 9.10.2026).
6. 29 artiklan mukainen tietosuojatyöryhmä, Guidelines on Data Protection Officers (WP243 rev.01) (ohjeet tietosuojavastaavista) (haettu 9.10.2026).
7. Euroopan tietosuojaneuvosto, Coordinated Enforcement Action: Designation and Position of Data Protection Officers (koordinoitu valvontatoimi tietosuojavastaavien nimeämisestä ja asemasta), raportti julkaistu tammikuussa 2024 (haettu 9.10.2026).
8. 29 artiklan mukainen tietosuojatyöryhmä, Guidelines on DPIA (WP248 rev.01) (ohjeet vaikutustenarvioinnista) (haettu 9.10.2026).
9. Euroopan tietosuojaneuvosto, ohjeet 01/2022 oikeudesta saada pääsy tietoihin (haettu 9.10.2026).
10. Euroopan tietosuojaneuvosto, ohjeet 9/2022 henkilötietojen tietoturvaloukkauksista ilmoittamisesta (haettu 9.10.2026).
11. Data Protection Commission (Irlanti): Inquiry into University College Dublin ja päätös 17.12.2020 (haettu 9.10.2026).
12. Garante per la protezione dei dati personali: päätös 16.9.2021 Università Bocconista (docweb 9703988) ja uutiskirje 18.2.2020 (docweb 9266789) (haettu 9.10.2026).
13. IMY (Ruotsi): Umeå universitet ja Gymnasienämnden i Skellefteå kommun (haettu 9.10.2026).
14. Autoriteit Persoonsgegevens: HAN University of Applied Sciences fined EUR 175,000 (haettu 9.10.2026).
15. Datatilsynet (Tanska): päätös 14.7.2022 Chromebook-asiassa (Helsingør) (haettu 9.10.2026).
16. ICO: Essex school reprimanded after using facial recognition technology for canteen payments, heinäkuu 2024 (haettu 9.10.2026).
17. Sikt: Notification form for personal data (haettu 9.10.2026).
18. Oslon yliopisto: Declaration on data protection (students) ja Conditions for processing personal data (haettu 9.10.2026).
19. Uppsalan yliopisto: Data protection policy ja GDPR in degree projects (haettu 9.10.2026).
20. Lundin yliopisto: Processing of personal data at Lund University (haettu 9.10.2026).
21. Tukholman yliopisto: Processing of personal data at Stockholm University (haettu 9.10.2026).
22. Karolinska Institutet: Report information security incidents and personal data breaches (haettu 9.10.2026).
23. Helsingin yliopisto: Data protection (haettu 9.10.2026).
24. Aalto-yliopisto: Aalto University data protection policy (haettu 9.10.2026).
25. Kööpenhaminan yliopisto: Privacy policy (haettu 9.10.2026).
26. NTNU: Information security: digital security incidents and deviations (haettu 9.10.2026).
27. KU Leuven: Processing of student data ja Processing of research participants' data (haettu 9.10.2026).
28. Amsterdamin yliopisto: Privacy statement (haettu 9.10.2026).
29. Utrechtin yliopisto: Privacy statement for participants in scientific research ja Data protection officer (haettu 9.10.2026).
30. Trinity College Dublin: Legal basis for research ja Data breaches (haettu 9.10.2026).
31. University College Dublinin kirjasto: Research data management: GDPR (haettu 9.10.2026).
32. Edinburghin yliopisto: Data protection impact assessments (haettu 9.10.2026).
33. Université Paris-Saclay: hakijatietojen käsittelyä koskeva seloste (eCandidat), syyskuu 2026 (haettu 9.10.2026).
34. Madridin Complutense-yliopisto: Delegado de Protección de Datos (haettu 9.10.2026).
35. Barcelonan yliopisto: tietosuojatiedot (SICUE-liikkuvuus) (haettu 9.10.2026).
36. Lissabonin yliopisto, oikeustieteellinen tiedekunta: Política de Privacidade (2021) (haettu 9.10.2026).

Tietoa tästä sivusta

Lähteet tarkistettu 9.10.2026. Luimme tietosuoja-asetuksen EU:n julkaisutoimiston julkaisemana virallisen lehden versiona, yllä luetellut Euroopan tietosuojaneuvoston ja 29 artiklan mukaisen tietosuojatyöryhmän asiakirjat, valvontaviranomaisten omat päätössivut sekä mainittujen korkeakoulujen tietosuojasivut. Asetuksen lainaukset ovat sen virallisesta suomenkielisestä tekstistä. Muunkieliset lainaukset on esitetty alkuperäiskielellä, ja niiden perässä on suomennos tai selitys suluissa; suomennokset ovat omiamme eivätkä sanatarkkoja lainauksia. Korkeakouluesimerkit näyttävät, miten yksi organisaatio soveltaa tietosuoja-asetusta oman kansallisen lainsäädäntönsä puitteissa; ne eivät ole malleja jokaiseen maahan. Tekoälysäädöksen aikataulu ja EU:n ja Yhdysvaltojen välinen tietosuojakehys voivat muuttua, ja päivitämme sivun, kun niin käy. Oma tulkintamme on merkitty Validemicin analyysiksi. Sivu on yleistä tietoa eikä oikeudellista neuvontaa. Jos huomaatte virheen tai vanhentuneen kohdan, ottakaa yhteyttä, niin korjaamme sen.