Isikuandmete kaitse nõue pitsitab koole

1. septembril 2017 Viljandimaal Kolga-Jaani vallas asuvas Leie koolis esimeses klassis õppima hakanud õpilased. Foto: Elmo Riig / Sakala

• Kool peab olema valmis andma teavet, milliseid isikuandmeid töödeldakse ja miks.
• Õigusest tulenevalt võib isikuandmeid kasutada pedagoogilisteks tegevusteks.
• Kui vanem ei anna nõusolekut, ei pruugi laps mõnel kooliüritusel osaleda.

Eelmise aasta mais hakkas kehtima uus Euroopa Liidu isikuandmete kaitse üldmäärus GDPR, mis on hakanud tugevasti mõjutama koolide tööd.

Koolid on kohustatud küsima igalt lapsevanemalt nõusolekut, kas lapse nime või fotot tohib näiteks õppeasutuse kodulehel, infostendil või almanahhis kasutada. Kui vanem nõus ei ole, ei pruugi laps saada osaleda mõnel kooliüritusel, kus ta paratamatult pildile võiks jääda.

Näiteks oli Tallinna Kristiine gümnaasiumis üks lapsevanem keelanud uue määrusega seoses oma lapsel koolis klassipildile jäämise. Nii oligi õpetaja sunnitud klassipildi tegemise ajal paluma sel õpilasel kõrvale minna. «Laps nuttis, ja siis vanem nõudis uue klassipildi tegemist uuel ajal,» kirjeldas jaburavõitu olukorda kooli direktor Tiina Pall, kelle sõnul on tegemist ebamõistliku määrusega.

Koolile on see kohustus, mille täitmisega küll alguses viivitati, kuid lõpuks oldi selleks siiski sunnitud. Kool on saatnud nõusolekukirja rohkem kui 850 õpilase vanematele ning enamikult on ka vastus saadud.

Kui vanem keeldub, jääb laps kõrvale

Näiteks Tallinna Kristiine gümnaasium ja Tallinna humanitaargümnaasium lähtuvad praegu põhimõttest, et kui vanem pole otseselt keeldunud, siis kool lapse isikuandmeid kasutab. Seevastu Tartu Miina Härma gümnaasium ja Võru gümnaasium on läinud veidi mugavamat teed. Mõlema kooli puhul tuleb juba lapse kooli astudes vanematel täita vorm või taotlus, milles küsitakse ka nõusolekut isikuandmete töötlemiseks.

«Kõik meie koolis käivate laste vanemad on avalduses need osad täitnud ja täiendavaks nõusoleku küsimiseks ei näe me vajadust,» selgitas Miina Härma gümnaasiumi direktor Ene Tannberg.

Tartu Miina Härma Gümnaasiumi direktor Ene Tannberg. Foto: Margus Ansu

Koolijuht lisas siiski, et kui tegemist on mõne projektiga, kus tehakse videolõike ja fotosid, siis eraldi nõusolek ikka küsitakse. Näiteks filmiti neil õppevideo tarbeks rahvatantsurühma tantsijaid ja kõigilt lapsevanematelt küsiti kirjalikult luba.

«Meil ei ole olnud juhtumeid, et lapsevanem ei ole nendes projektides osalemiseks nõusolekut andnud. Aga kui lapsevanem ei ole nõus, siis tema laps ei saa selles osaleda. Tantsurühma ei saa filmida nii, et mõni tantsija kindlasti filmile ei jää,» selgitas Tannberg.

Mälestuste jäädvustamiseks tohib

Postimehega rääkinud koolidest oli uue määruse suhtes kõige positiivsemalt meelestatud Pärnu Mai kool, kuhu on tööle palgatud suisa andmekaitsespetsialist Hanno Saks. Kool on saatnud samuti ligi 850 õpilase vanemale nõusolekuvormi, millele enamik on ka vastanud. Saksi sõnul on GDPR igati normaalne ja kindlasti järgimist vajav reeglistik, erinevalt mõnest tema hinnangul «banaani kõveruse määrusest».

Postimehega rääkinud koolidest oli uue määruse suhtes kõige positiivsemalt meelestatud Pärnu Mai kool.

Andmekaitsespetsialist selgitas, et Mai koolil on õigus kasutada õpilaste isikuandmeid kas õigusest tulenevalt või siis lapsevanema nõusoleku alusel. Õigusest tulenevalt võib isikuandmeid Saksi sõnul kasutada pedagoogiliseks tegevuseks ja koolikeskkonna loomiseks, kuid näiteks õppeväliste ürituste jaoks on vajalik juba lapsevanema nõusolek. Nõusolekut pole vaja näiteks isiklikuks otstarbeks andmete kasutamise kohta, st kui õpetaja teeb foto ainult endale mälestuseks, siis võib ta seda rahus teha.

Saks ütles, et tegelikult soovivad ju kõik, et nendega enne räägitaks, kui nende isikuandmed kuhugi üles riputatakse. «Näiteks minu jaoks on kooli veeb okei, aga mulle on põhimõtteliselt vastuvõetamatu Facebook. Selliseid inimesi on palju,» sõnas ta ja lisas, et nende arvamusi tuleb arvestada, sõltumata kellegi isiklikust suhtumisest sotsiaalmeediasse.

Vastupidiselt mõne teise kooli praktikale ütles Saks, et kui lapsevanem jätab vastamata, tuleb seda vastavalt GDPRi nõuetele käsitleda kui mittenõustumist.

Haridus- ja teadusministeeriumi andmekaitse koordinaator Ingrid Lehto. Foto: erakogu

Haridus- ja teadusministeeriumi andmekaitse koordinaator Ingrid Lehto ütles, et koolide esindajad või koolipidajad on küll küsinud ministeeriumilt nõu ja selgitusi GDPRi kohta, kuid otsest kurtmist ta ei maininud. Koolidele on jagatud juhendmaterjale ning küsimustega saab alati pöörduda ka andmekaitse inspektsiooni poole.

GDPRi peamised muudatused koolide jaoks

Riigisisese õigusaktina reguleerib isikuandmete kaitse valdkonda isikuandmete kaitse seadus (IKS). Euroopa Liidu GDPRi rakendudes jäävad isikuandmete töötlemise üldised põhimõtted samaks, kuid on ka mõningaid muutusi:

• iga asutus peab kirjeldama ja dokumenteerima, milliseid isikuandmeid, millisel eesmärgil ja millisel õiguslikul alusel ta töötleb;
• kuna koolid täidavad haridusteenuse osutajana avalikke ülesandeid ning selle käigus töötlevad koolid suures mahus alaealiste isikuandmeid, siis peab asutuses olema määratud andmekaitsespetsialist;
• kool peab olema valmis andma teavet, milliseid isikuandmeid töödeldakse ning millisel eesmärgil;
• kool peab registreerima andmekaitsealased rikkumised, teatama neist andmekaitsespetsialistile ning teavitama andmekaitse inspektsiooni rikkumistest, mis põhjustavad tõenäoliselt suurt ohtu isikute õigustele ja privaatsusele.

Allikas: haridus- ja teadusministeerium