Artikkeli on julkaistu alun perin vuoden 2024 ITK-konferenssin julkaisussa. Löydät julkaisun kokonaisuudessaan täältä.

Tietosuojan tarkoituksena on osoittaa, milloin henkilötietoja voidaan käsitellä sekä toisaalta ehkäistä henkilötietojen laitonta käsittelyä. Tietosuojan tarkoituksena on suojata henkilötietoja esimerkiksi siltä, että ne vuotaisivat verkkoon, mikä voi johtaa jopa identiteettivarkauteen. EU:n yleinen tietosuoja-asetus (GDPR) asettaa kaiken kokoisille organisaatioille, kuten verkkoalustoille, kunnille ja harrastusseuroille, velvollisuuksia, joita niiden tulee noudattaa henkilötietojen käsittelyssä. Lisäksi ihmisillä on erilaisia tietosuojaoikeuksia, joilla pyritään takaamaan henkilötietojen käsittelyn läpinäkyvyyttä. Tietosuoja pyrkii siis suojaamaan meidän jokaisen henkilökohtaisia tietoja ja turvaamaan yksityisyyttä.

Henkilötietoa on kaikki tieto, jonka pohjalta henkilö voidaan tunnistaa. Arjessa henkilötietoja käsitellään mm. harrastustoimintaan osallistuttaessa, jaettaessa valokuvia sosiaalisessa mediassa tai luotaessa käyttäjätili verkkopalveluun. Henkilötietojen käsittelyä kohdataan entistä enemmän digitaalisissa palveluissa, joissa dataa saattaa joskus liikkua kulisseissa melko paljonkin käyttäjien sitä täysin hahmottamatta.

Monien digitaalisten palvelujen toimintaan kuuluu keskeisesti käyttäjien henkilötietojen, kuten yhteystietojen, videoiden ja kuvien käsitteleminen. Palvelun houkuttelevuutta saattaa lisätä esimerkiksi personoitu sisältö, joka perustuu käyttäjän antamien tietojen ja toiminnan analysointiin. Digitaalisia palveluja käyttäessä on hyvä tiedostaa, millaisia henkilötietoja itsestään luovuttaa ja mihin tarkoituksiin. Käyttäjällä on oikeus saada tietoa siitä, miten hänen tietojaan käsitellään palveluissa.

On tärkeää, että myös lapset oppivat tunnistamaan, mitä henkilötiedot ovat ja löytämään tietoa siitä, miten eri palvelut käsittelevät heidän henkilötietojaan. Etenkin digitaalisten palvelujen koukuttavassa maailmassa kynnys jakaa itseään koskevia tietoja on matala, eikä lapsi välttämättä osaa etsiä tietoa siitä, mitä tietoja hän on luovuttanut palvelulle ja mihin tarkoituksiin. Tämän vuoksi on tärkeää, että lapsille opetetaan tietosuojaan ja yksityisyyden suojaamiseen liittyviä taitoja.

Opetuksen kentälläkin on nähty tärkeäksi, että lasten ja nuorten ymmärrystä tietosuojasta kehitetään. Esimerkiksi Opetushallitus ja Kansallinen audiovisuaalisen instituutti (2022) ovat Uudet lukutaidot -kehittämisohjelmassa esittäneet ikäluokittain tavoitteita sille, millä tasolla lasten ja nuorten tietosuoja- ja tietoturvaosaamisen tulisi olla. Tavoitteissa ehdotetaan lapsien opettelevan esimerkiksi yksityisyysasetusten hallitsemista ja turvallisia toimintatapoja digitaalisissa palveluissa. Opettajillakin on täten yhä merkittävämpi rooli sen varmistamisessa, että lapset ja nuoret osaavat käyttää digitaalisia palveluja turvallisesti ja ovat tietoisia henkilötietojensa käsittelystä.

Ymmärtämällä henkilötietojen käsittelyn perusperiaatteet ja huolehtimalla omasta sekä muiden tietosuojasta oppii toimimaan turvallisesti ajassa, jossa data on myös kasvavan kaupallisen kiinnostuksen kohteena. Datan merkitys kasvaa entisestään tekoälyn hyödyntämisen myötä, sillä tekoäly vaatii päätöksiensä tueksi valtavan määrän koulutusdataa. Tekoälyn myötä henkilötietojenkin käsittely muuttuu ja automatisoituu, jolloin tietosuojasta huolehtiminen ja omien tietosuojaoikeuksien tunnistaminen tulee yhä tärkeämmäksi.

Tietosuojavaltuutetun toimisto ja TIEKE ovat lähteneet kehittämään 13–17-vuotiaiden lasten ja nuorten, vanhempien sekä harrastustoimintaa järjestävien yhdistysten ymmärrystä tietosuojasta ja siihen liittyvästä lainsäädännöstä hankkeessa GDPR4CHLDRN – Tietosuoja haltuun harrastustoiminnassa (2022-2024). Hanketta perusteli havainto siitä, että eri kohderyhmien tietoisuus aiheesta on hyvin vaihtelevaa ja monilta osin puutteellista – käytännönläheiselle ohjeistukselle olisi siis tarvetta.

Esimerkiksi lapsia ja nuoria on joskus kutsuttu diginatiiveiksi, mutta tämä ajatus on kohdannut laajaa kritiikkiä, sillä tutkimusten mukaan lapset ja nuoret eivät muodosta yhtenäistä joukkoa, joka oppisi digitaaliset perustaidot itsestään (Hietajärvi, 2021). Lapset tarvitsevat ikääntyneempien tavoin tukea alati kompleksisemman digitaalisen todellisuuden ymmärtämiseen. Sitran (2021) teettämän datatalouden kansalaiskyselyn mukaan alle 19-vuotiaat muistuttivat eniten isovanhempiaan, yli 65-vuotiaita, kun kyse on henkilötietojen suojaamisesta, datataloustietoisuudesta ja luottamuksesta digitaalisten palvelujen tarjoajiin. Euroopan komission teettämässä barometrissä (2019) havaittiin, että yli kolmannes 15–24-vuotiaista ei ollut myöskään koskaan kuullut henkilötietojen käsittelyä sääntelevästä EU:n yleisestä tietosuoja-asetuksesta (General Data Protection Regulation, GDPR).

Tietosuojavaltuutetun toimisto ja TIEKE (2023) toteuttivat hankkeensa alussa kyselyn, jonka perusteella lapset ja nuoret ovat kiinnostuneita siitä, miten henkilötietoja käsitellään harrastustoiminnassa. Alkukyselyn perusteella lapset eivät kuitenkaan ole juurikaan keskustelleet henkilötietojen käsittelyyn liittyvistä seikoista tai pyytäneet apua aikuisilta henkilötietojen käsittelyyn liittyvissä asioissa. Jos aihetta on pohdittu, sitä on tehty lähinnä henkilökohtaisella tasolla. Ilmiö ei siis ole noussut laajempaan tietoisuuteen lasten keskeisissä tai lasten ja aikuisten välisissä keskusteluissa.

Aiemmat tutkimukset ja kyselyt viittaavat siihen, että lasten ja nuorten ymmärryksessä henkilötietojen käsittelystä on vielä kehittämistä. Toisaalta alaikäisten tietosuoja ei toteudu pelkästään lasten omaa tietoisuutta lisäämällä, vaan riippuu keskeisesti siitä, miten lasten ja nuorten henkilötietoja käsittelevät tahot toimivat. Tällainen omien tavoitteidensa mukaan henkilötietoja käsittelevä taho eli rekisterinpitäjä voi olla vaikkapa oppilaidensa tietoja käsittelevä kunta, asiakkaitaan palveleva yritys tai jäsenrekisteriä ylläpitävä yhdistys. Tietosuojalainsäädäntö asettaa paljon velvoitteita rekisterinpitäjille: niiden on mm. varmistettava, että rekisteröityjä informoidaan riittävästi henkilötietojen käsittelystä.

Tutkimusten mukaan rekisterinpitäjätkin kaipaavat tukea tietosuojasta huolehtimiseen. Esimerkiksi Järjestödigi-kartoituksessa (2020) on todettu, että noin kolmannes järjestöistä ja yhdistyksistä tiedostaa, että heiltä puuttuu tietosuojaan ja tietoturvaan liittyvää ymmärrystä. Melkein puolet urheilutoimintaa järjestävistä yhdistyksistä totesi, että he tarvitsevat lisäymmärrystä tietosuojasta ja tietoturvasta tai aikovat tulevaisuudessa kehittää osaamistaan aiheesta (Järjestödigi, 2020).

Lapset ja nuoret osallistuvat harrastustoimintaan Suomessa hyvin aktiivisesti. Olympiakomitean (2018) selvityksen mukaan 90% lapsista osallistuu urheiluseuran toimintaan jossakin elämänvaiheessaan. Kun mukaan lasketaan urheilun lisäksi muutkin harrastukset, päästään lähelle sataa prosenttia. Harrastusaktiivisuuden seurauksena lasten ja nuorten henkilötietojakin käsitellään harrastustoiminnassa hyvin suuria määriä. Lisähaastetta yhdistyksille tuottaa se, että harrastustoimintaa toteutetaan monesti vapaaehtoisvoimin, jolloin henkilöstöllä ei välttämättä ole riittävästi aikaa ja osaamista tietosuojasta oppimiseen ja huolehtimiseen.

Tietosuojavaltuutetun toimisto ja TIEKE lähtivät hankkeen alkukyselyn pohjalta kehittämään eri kohderyhmille ohjeistusta, joka palvelisi heitä aiheen ymmärtämisessä ja lainsäädännön soveltamisessa. Hankkeen aikana on toteutettu paljon työpajoja, joissa on kerätty palautetta kehitetystä materiaaleista sekä aiheista, joihin ohjeistusta erityisesti kaivattaisiin. Hankkeen sidosryhminä ovat toimineet Suomen Palloliitto, Suomen Olympiakomitea sekä Suomen Partiolaiset, jotka ovat olleet tukena mm. seurojen ja yhdistysten tavoittamisessa.

Lapsille ja nuorille on tuotettu yleistajuista infomateriaalia tietosuojasta sekä kaikille kuuluvista tietosuojaoikeuksista. Lapsille tarjotaan ohjeita myös tietosuojaoikeuksien käyttämiseen eli mm. siihen, miten harrastusyhdistykseltä voi pyytää omien henkilötietojen poistamista. Lasten ja nuorten vanhemmat saavat materiaaleissa lisätietoa sitä, millä edellytyksillä heidän lastensa henkilötietoa voidaan harrastustoiminnassa käsitellä. Vanhempien on hyvä olla valveutuneita aiheesta myös siksi, että he voisivat opastaa lapsiaan henkilötietojen suojasta.

Harrastustoimintaa järjestäville yhdistyksille on tuotettu laajempi opas tietosuojalainsäädännön soveltamisen ja noudattamisen tueksi. Opas sisältää paljon harrastustoiminnan arkeen liittyviä esimerkkejä sekä infolaatikoita, joiden kautta aiheeseen on mahdollista tutustua matalalla kynnyksellä. Kehitetyissä ohjeissa on huomioitu omana kohderyhmänään myös harrastuksen valmentajat ja ohjaajat.

Ohjeistavat materiaalit sisältävä sivusto julkaistaan kesällä 2024 osoitteessa tietosuojaharrastuksissa.fi. Hankkeessa tuotetut työkalut ja materiaalit julkaistaan suomeksi, ruotsiksi ja englanniksi, ja keskeisimmät materiaalit käännetään myös venäjäksi, viroksi, somaliksi ja arabiaksi. Sivustolta tulee löytymään kyselyitä, joilla voi testata omaa osaamistaan sekä visuaalisia kuvakkeita, jotka havainnollistavat tietosuojaan liittyviä konsepteja. Kuvakkeiden ja testien hyödyntäminen voisi olla yksi työkalu, jolla esimerkiksi opetustoiminnassa voitaisiin havainnollistaa lapsille ja nuorille tietosuojaan liittyviä käsitteitä.

Vaikka hankkeen materiaalit on laadittu erityisesti harrastustoiminnan kontekstissa, on niiden sisältö pitkälti sovellettavissa henkilötietojen käsittelyyn myös muissa tilanteissa. Rekisterinpitäjien tulee noudattaa samoja velvoitteita riippumatta siitä, onko kyse koulusta, harrastusseurasta tai sosiaalisen median palvelusta. Oli rekisterinpitäjä sitten kuvataidekoulu tai suuri yritys, on meillä myös esimerkiksi oikeus saada tietoa henkilötietojemme käsittelystä. Hankkeen materiaaleja on täten mahdollista hyödyntää myös opetustoiminnassa, esimerkiksi tietosuojaoikeuksien havainnollistamisessa lapsille.

Lasten ja nuorten tietosuojan toteutuminen vaatii useiden tahojen, kuten koulujen, vanhempien ja harrastustoimintaa järjestävien yhdistysten perehtymistä henkilötietojen käsittelyyn. Aikuisten tuella on suuri merkitys siinä, että lapset oppivat tärkeitä tulevaisuuden taitoja ja kykenevät toimimaan digitaalisessa maailmassa turvallisesti. Toivomme, että hankkeen tuotokset auttavat osaltaan tietosuojan edistämisessä harrastustoiminnassa ja sen ulkopuolellakin!

Artikkeli on julkaistu alun perin vuoden 2024 ITK-konferenssin julkaisussa. Löydät julkaisun kokonaisuudessaan täältä.

European Commission. (2019). Special Eurobarometer 487a – The General Data Protection Regulation. https://cnpd.public.lu/content/dam/cnpd/fr/actualites/international/2019/ebs487a-GDPR-sum-en.pdf

Hietajärvi, L. (2021). Diginatiiveja ei ole. Teoksessa Tiedeneuvonnan kehittämishanke Sofi (toim.), Ilmiökartta: digitalisen median vaikutukset lapsiin, nuoriin ja ikäihmisiin, 24–28. https://acadsci.fi/wp-content/uploads/2023/06/Ilmiokartta_Digimedian-vaikutukset_koontiraportti_Sofi_2021.pdf

Tietosuojavaltuutetun toimisto ja TIEKE Tietoyhteiskunnan kehittämiskeskus ry. (2022). GDPR4CHLDRN – Tietosuoja haltuun harrastustoiminnassa. https://tieke.fi/hankkeet/gdpr4chldrn/

Tietosuojavaltuutetun toimisto ja TIEKE Tietoyhteiskunnan kehittämiskeskus ry. (2023). Alkukyselyn tulokset linjassa aikaisempien selvitysten kanssa – hankkeen tuotoksille kysyntää kentällä. https://tieke.fi/hankkeet/gdpr4chldrn/alkukyselyn-tulokset/

Vitec Avoine Oy, TIEKE Tietoyhteiskunnan kehittämiskeskus ry ja Viestintä-Piritta Oy. (2020). Järjestödigi-kartoitus. https://www.jarjestodigi.fi/tulokset/2020/

Olympiakomitea. (2018). Miten seuratoiminta on muuttunut? https://www.olympiakomitea.fi/2018/10/25/miten-seuratoiminta-on-muuttunut/

Opetushallitus ja Kansallinen audiovisuaalinen instituutti. (2022). Digitaalisen osaamisen kuvaukset: Vastuullisuus ja turvallisuus. Saatavilla 29.2.2024 https://eperusteet.opintopolku.fi/#/fi/digiosaaminen/8706410/osaamiskokonaisuuspaaalue/8709072

Sitra. (2021). Yksilöiden luottamuspula datatalouden kompastuskivenä. https://www.sitra.fi/artikkelit/yksiloiden-luottamuspula-datatalouden-kompastuskivena/

_{Euroopan unionin rahoittama. Tämän julkaisun sisältö edustaa vain kirjoittajien näkemyksiä ja he ovat niistä yksin vastuussa. Euroopan unioni tai Euroopan komissio eivät ole vastuussa tämän julkaisun sisällöstä.}