Vantaan kaupunki, Wilma ja tietosuoja
Sain Vantaan kaupungilta tietopyynnön myötä asiakirjoja perusopetuksessa käytettävään Wilma-järjestelmään liittyen. Asiakirjojen saaminen ei tässäkään tapauksessa ollut ihan yksinkertaista.
Esittelen tässä kaksi erityisen mielenkiintoista asiakirjaa liittyen tietosuojaan ja tietosuojalakiin. Ne ovat Perusopetuksen käsittelytoimiseloste (2.9.2024) ja Primus-Kurre-Wilma-vaikutustenarviointi (kevät 2026).
On tärkeää huomata, että seloste kattaa useita järjestelmiä perusopetuksessa, arviointi vain kyseiset järjestelmät. Eli kaikki erot eivät välttämättä ole ristiriitoja.
Järjestelmäkokonaisuus kulkee myös nimellä Visma InSchool, ja sen on Vantaan kaupunki alun perin hankkinut vuonna 2016 Vismalta.
Regulaatio ja asian merkitys
GDPR asettaa tiettyjä vaatimuksia korkean riskin järjestelmille. Tällaisia järjestelmiä ovat esimerkiksi arkaa henkilötietoa käsittelevät järjestelmät, kuten opetuksessa käytetty Visma InSchool. Tähän järjestelmäkokonaisuuteen on tallennettu 31 000 oppijan henkilötiedot, mukana myös alaikäisiä lapsia. Tietoryhmiksi on lueteltu mm. uskonnolliset vakaumustiedot, huoltajatiedot, opiskelutiedot, kasvatustietoja sekä terveystietoja.
On siis kyse erityisen tärkeästä järjestelmästä, jonka hyvä tietosuoja vaikuttaa monen ihmisen elämään. Lähdin ensin asiaa tutkimaan ystäväni pyynnöstä, mutta tutustuttuani materiaaliin koen asian myös itse tärkeäksi.
Vaikutustenarviointi
GDPR:n mukaan järjestelmälle, joka todennäköisesti aiheuttaa suuren riskin ihmisten oikeuksille ja vapauksille, tulee suorittaa vaikutustenarviointi ennen tietojen käsittelyn aloittamista. Sain Vantaan kaupungilta vaikutustenarvioinnin.
Kyseinen dokumentti on päivätty "kevät 2026". Toimitettu versio on puutteellinen, eikä sitä ole hyväksytty tai allekirjoitettu.
Käsittelytoimiseloste
Sain myös GDPR:n mukaisen selosteen käsittelytoimista rekisterille "Perusopetuksen oppilaat". Se on päivätty 2.9.2024.
Ristiriitoja
Yhteiskäyttötunnukset
Yleisten tietoturvan parhaiden käytänteiden mukaisesti kriittisissä järjestelmissä ei tule käyttää yhteiskäyttötunnuksia. Näitä ovat tunnukset, joiden salasanat ovat usealla henkilöllä tiedossa, ja joita useat henkilöt käyttävät.
Selosteen mukaan työntekijöillä on työtehtävien mukaiset käyttöoikeudet ja henkilökohtaiset käyttäjätunnukset. Vaikutustenarviointi taas kertoo yhteiskäyttöisistä sijaistunnuksista. Sama ongelma on havaittu riskikartoituksessa. Yhteiskäyttötunnuksia käytettäessä ei voida tietää lokitiedoista, kuka on katsellut tietyn henkilön tietoja järjestelmässä.
Lokitus
Selosteen mukaan järjestelmien käyttöä voidaan valvoa käyttölokitiedoilla. Se ei toisaalta sano, että näin tehdään. Vaikutustenarvioinnin riskikuvausluettelon erään riskin lähtötilanne puolestaan kertoo, että henkilötietojen lukemista ei lokiteta. Suojatoimena kuitenkin on Wilman lukuloki, johon tallentuu katselu ja tulostukset. Se ei vielä kerro lokituksen kattavuutta, käyttöönottoajankohtaa tai käytännön valvontatoimenpiteitä.
Vaikutustenarvioinnin puutteet
Kuten jo aiemmin mainitsin, vaikutustenarviointi on hyväksymätön ja allekirjoittamaton. On mahdollista, että kaupungilla on hyväksytty versio, mutta sitä ei minulle toimitettu syystä tai toisesta. Pyysin tähän selvennyksen kaupungilta tänään.
Kaupunki ilmoitti, että he poistivat salassa pidettäviä tietoja vaikutustenarvioinnista. Dokumentti oli luotu generoimalla se jonkinlaisesta Excel-pohjasta. Tiedot oli poistettu jo tästä pohjasta, ennen PDF:ksi vientiä. Näin ollen minulle toimitetussa materiaalissa ei ole peittomerkintöjä, joista voisin tarkistaa, mitä tietoja on salattu.
Myöhässä tehdyt arviot
Vaikutustenarviointi on päivätty keväälle 2026. Visma InSchool-järjestelmä hankittiin 2016, ja yleistä tietosuoja-asetusta alettiin soveltaa 2018. Muutoksia järjestelmään tehtiin ainakin 2019-2020, jolloin päätettiin päivittää järjestelmä pilvipalvelupohjaiseksi.
Vaikutustenarviointi olisi pitänyt siis tehdä aivan viimeistään tuolloin 2019, kun järjestelmään tehtiin iso päivitys ja muutos. Jos tätä arviointia ei tosiaan ole tehty, on kyseessä vakava menettelyvirhe. Saamani vaikutustenarviointi nostaa useita suuria riskejä esille riskikuvauksessa, eikä ole selkeyttä, ovatko kyseiset riskit olleet koko ajan tiedossa, olemassa ja onko suojatoimia otettu käyttöön.
Yksittäinen tapaus, prosessivika, vai osaamattomuus
Olen ollut paljon tekemisissä Vantaan kaupungin asiakirjojen kanssa tänä kesänä ja syksynä. Olen törmännyt ongelmiin ja puutteisiin sekä lainsäädännön tuntemuksessa, sen täytäntöönpanossa että hallintotavassa. Valitettavasti saamani materiaali Wilma-järjestelmän osalta vahvistaa tätä kokemustani.
Kaupungin toimittama aineisto ei osoita arvioinnin valmistumista, hyväksyntää eikä kuvattujen suojatoimien toteutumista. Toivon, että totuus on toinen, sillä tällaisenaan tilanne on huolestuttava.