Vantaan kaupunki, Wilma ja tietosuoja, osa 2
Sain viikko sitten Vantaan kaupungilta Wilma-järjestelmään liittyviä asiakirjoja. Pyysin heiltä vielä tuon jälkeen uudestaan hyväksyttyä, päivättyä ja allekirjoitettua vaikutustenarviointia ja viranomaispäätöstä salassapidosta.
Päätös
Sain tänään viranhaltijapäätöksen Vantaan kaupungin kasvatuksen ja oppimisen toimialan apulaiskaupunginjohtajalta, Katri Kalskeelta. Siinä todetaan, että turvajärjestelyjä koskevia tai niihin liittyviä asiakirjoja ei luovuteta. Päätöksen mukaan minulle on luovutettu tietosuojan vaikutustenarviointi sekä selosteet käsittelytoimista, siltä osin kuin ne eivät ole salassa pidettäviä. Hankinta-asiakirjojen osalta saan erillisen päätöksen myöhemmin.
Päätös on myös nähtävissä Vantaan kaupungin sivuilla: Visma InSchool / Wilma-Primus -järjestelmän asiakirjojen luovuttamista koskeva päätös.
Vaikutustenarviointi
Aiemmin pohdin jo puutteellisen vaikutustenarvioinnin vakavuutta. En meinannut uskoa, että näinkin tärkeässä järjestelmässä tuo vaikutustenarviointi olisi jäänyt puolitiehen. Nyt kaupunki on viranhaltijapäätöksellä todennut, että minulle luovutettu versio on tuo vaikutustenarviointi.
Minun arvioni mukaan 31 000 oppijan arkaluonteisten tietojen hallintaan käytetään järjestelmää, jonka tietosuojaa ei ole dokumentoidusti asianmukaisesti arvioitu.
Vaikutustenarvioinnissa hyväksyjäksi on merkitty Katri Kalske, sama apulaiskaupunginjohtaja, joka viranhaltijapäätöksen minulle teki. Hänet on siis merkitty hyväksyjäksi, mutta itse hyväksynnän allekirjoitusta ei dokumentissa ole.
Tietojen peittäminen
Päätöksessä mainitaan, että tietosuojan vaikutustenarvioinnista on peitetty tietojärjestelmän turvallisuutta koskeva tieto. Pohdin päätöstä lukiessani ja verratessani sitä vaikutustenarviointiin, että olisiko puuttuvia kohtia, riskejä ja mm. hyväksyntätieto poistettu samalla perusteella. Päätöksestä tätä ei pysty päättelemään. Hyväksyjä itsessään arvioinnissa vielä näkyy kuitenkin.
Mikäli tietopyynnön luovutetusta materiaalista jotakin peitetään salassapitoon vedoten, pitäisi peitetyt kohdat yksilöidä ja perustella. Näin ei ole kuitenkaan toimittu tässä päätöksessä. Jokaista peitettyä sanaa ei tarvitse perustella, eikä peitolle ole lain asettamaa standardimuotoista toteutustapaa. Ongelma on enemmänkin se, ettei poiston laajuutta tai perusteluja pysty yhdistämään toimitetun asiakirjan kohtiin.
Siirtovaikutusten arvioinnin puute
Siirtovaikutusten arvioinnilla (TIA) selvitetään, säilyykö henkilötietojen suoja riittävänä, kun tietoja siirretään EU/ETA-alueen ulkopuolelle. Siinä arvioidaan erityisesti kohdemaan lakeja, viranomaisten pääsyä tietoihin, ihmisten oikeussuojakeinoja sekä tarvittavia lisäsuojauksia. Pelkkä toimittajan sopimuslupaus ei välttämättä suojaa kohdemaan viranomaisvallalta, esimerkkinä USA. EDPB:n suositus (PDF-linkki).
Wilma-järjestelmä siirrettiin Amazon Web Servicesin (AWS) pilvipalveluun helmikuussa 2026. Tämä ei vielä välttämättä yksin osoita TIA:n tarvetta. Jos siirtojen vastaanottajan Data Privacy Framework (DPF) sertifiointi on varmistettu ja siirto kuuluu sen piiriin, ei välttämättä TIA:lle ole tarvetta.
Kaupunki ilmoittaa päätöksessään, ettei siirtovaikutusten arviointia ole tehty. Mielenkiintoista olisikin tieto siitä, miksei tätä ole tehty. Onko luotettu DPF-sertifiointiin tai sopimuslupauksiin? Vaikutustenarvioinnissa kaupunki ilmoittaa, ettei siirtoja ole, mikä voi myös selittää TIA:n puutteen. Jos itse olisin tekemässä tietosuoja-arvioita näin tärkeälle järjestelmälle, kirjaisin myös perustelut TIA-arvioinnin tekemättä jättämiselle suojatakseni itseni.
Prosessista
Kaupungilla kesti 55 päivää toimittaa vajavainen viranhaltijapäätös ja osa pyydetyistä asiakirjoista. Tämä sen jälkeen kun keskustelin heidän kanssaan pyynnön maksullisuuden perusteista, kysyin samaa tietoa useammin ja pyysin varmistamaan tiettyjen asiakirjojen puutteen kirjallisesti.
Silti jäin vielä odottamaan hankinta-asiakirjoja.
Tietosuojavaltuutettu
Teen todennäköisesti seuraavaksi valvontapyynnön tietosuojavaltuutetulle. Mielestäni Vantaan kaupungin toiminta tietosuojan osalta vaatii tarkempaa viranomaisen tarkastelua. En tiedä saanko tietosuojavaltuutetulta tietoa päätöksistä, mutta seuraan asiaa.