Koulun kuvauslupa

Koulun kuvauslupa Suomessa on tietosuoja-asetuksen (EU 2016/679) 6 artiklan 1 kohdan a-alakohdan ja Suomen tietosuojalain (1050/2018) mukainen huoltajan kirjallinen suostumus, jolla koulussa tai oppilaitoksessa olevan alaikäisen oppilaan vanhempi tai laillinen huoltaja antaa luvan lapsen valokuvaamiseen ja kuvamateriaalin käyttämiseen sekä julkaisemiseen koulun toiminnassa. Kuvauslupa on keskeinen henkilötietojen käsittelysuostumus kouluympäristössä.

Suomalaiset koulut — perusopetuksen ala-asteet, yläasteet, lukiot sekä ammatilliset oppilaitokset — ovat GDPR:n mukaan rekisterinpitäjiä, joilla on velvollisuus käsitellä oppilaiden henkilötietoja lainmukaisella perusteella. Oppilaan valokuva on GDPR:n 4 artiklan mukainen henkilötieto, ja se voidaan julkaista vain asianmukaisen oikeusperusteen nojalla. Alle 16-vuotiaiden osalta suostumus on hankittava huoltajalta.

Opetusministeriön ja Opetushallituksen ohjeistus sekä perusopetuslaki (628/1998) 40 pykälä velvoittavat koulun rehtoria huolehtimaan siitä, että oppilastietoja käsitellään asianmukaisesti. Tietosuojavaltuutetun toimiston (TVO) ohjeiden mukaan koulun on kirjattava kuvausluvat oppilasrekisteriin ja pidettävä rekisteriselosteet ajan tasalla.

Kouluissa kuvataan monissa eri yhteyksissä: luokkakuvat, koulun juhlatapahtumat, urheilupäivät, retkipäivät, koulun juhlakuvaukset, arkikuvaustoiminta sekä projektit paikallismedialle tai oppilaslehdelle. Jokainen näistä tilanteista on potentiaalinen henkilötietojen käsittelytilanne, jonka lainmukaisuus edellyttää joko suostumusta tai muuta GDPR-oikeusperustaa.

Sosiaalisessa mediassa — Instagram, Facebook, TikTok, X/Twitter — oppilaskuvien julkaiseminen ilman lupaa on selkeä GDPR-rikkomus. Tietosuojavaltuutettu on antanut useita ratkaisuja koulujen luvattomasta kuvamateriaalin jakamisesta sosiaalisessa mediassa. Rangaistukset voivat olla hallinnollisia sakkoja jopa 20 miljoonaan euroon tai 4 prosenttia vuosivaihtoarvosta GDPR 83 artiklan mukaan — joskin kouluihin sovelletaan julkisen sektorin käytäntöjä.

Kuvauslupa eroaa alaikäisen harrastusluvasta tai matkustusluvasta siinä, että sen ensisijainen oikeudellinen perusta on tietosuojalainsäädäntö eikä lapsenhuoltolaki. Kuvauslupa on siis nimenomaan henkilötietojen käsittelysuostumus, jonka on täytettävä GDPR:n 7 artiklan tiukat vaatimukset: suostumuksen on oltava vapaaehtoinen, yksiselitteinen, tietoon perustuva ja peruutettavissa.

Tietosuojalain (1050/2018) 5 pykälä sääntelee digitaalisen yhteiskunnan palveluihin liittyvää ikärajaa suostumukselle: 13 vuotta on suomalaisessa laissa vahvistettu ikäraja sille, että lapsi voi itse antaa suostumuksensa tietopalveluihin. Alle 13-vuotiaiden osalta huoltajan suostumus on ehdoton vaatimus. 13–17-vuotiaiden osalta tilanne on monimutkaisempi, ja koulun on hankittava huoltajan suostumus kaikessa kuvamateriaalissa.

Kuvauslupa on Suomessa vakiintunut käytäntö peruskouluissa, mutta sen sisältö vaihtelee merkittävästi koulujen välillä. Osa kouluista käyttää yksinkertaisia kyllä/ei-suostumuksia, osa taas eriteltyä lupajärjestelmää eri käyttötarkoituksille. Tietosuojavaltuutetun suositus on, että lupa olisi mahdollisimman eritelty ja kohdennettu eri käyttötarkoituksille erikseen.

Vertaistoiminta ja oppilaiden keskinäinen kuvaaminen. Oppilaat kuvaavat toisiaan älypuhelimilla koulussa. Tämä on GDPR:n kannalta monimutkainen alue, koska oppilaan yksityiskäyttöä varten tehtyä kuvausta ei välttämättä säännellä GDPR:llä samoin kuin institutionaalista toimintaa. Koulun on kuitenkin ohjeistettava oppilaita asiallisesta kuvaamisesta ja sosiaalisen median käytöstä.

Koulun kuvauslupa Suomessa on tarpeen kaikissa seuraavissa tilanteissa GDPR (EU 2016/679) ja tietosuojalain (1050/2018) mukaisesti.

Lukuvuoden alussa. Kouluun ilmoittautumisen yhteydessä tai ensimmäisinä koulupäivinä koulun on syytä kerätä huoltajilta kuvauslupa kaikille oppilaille. Moni koulu sisällyttää kuvausluvan osaksi lukuvuoden alun lomakepakettia yhteystietolomakkeiden ja ruokailulupien kanssa.

Ammattimainen luokkakuvaus. Vuosittainen virallinen luokkakuvaus, jonka tekee koulun ulkopuolinen ammattimainen kuvaaja, edellyttää erillistä suostumusta. Luokkakuvaaja on ulkopuolinen henkilötietojen käsittelijä GDPR:n mielessä, ja koulun ja kuvaajan välillä on oltava asianmukainen henkilötietojen käsittelysopimus.

Koulun verkkosivut ja sosiaalinen media. Koulun rehtori ja opettajat usein julkaisevat kuvia koulun tapahtumista verkkosivuilla, Instagram- tai Facebook-tileillä. Jokainen tunnistettava oppilas tarvitsee erillisen julkaisuluvan, koska julkaiseminen on GDPR-mielessä erillinen henkilötietojen käsittelytarkoitus.

Paikallismedian vierailu. Paikallislehtien toimittajat tai kunnan viestinnän edustajat vierailevat kouluissa tapahtumien yhteydessä. Heidän ottamansa kuvien julkaiseminen edellyttää huoltajan lupaa jokaiselta tunnistettavalta oppilaalta.

Oppilaslehtitoiminta. Koulun oppilaslehdessä tai -blogissa julkaistavat kuvat edellyttävät nimenomaista lupaa, vaikka kuvaaja olisi toinen oppilas. Oppilaiden ottamat kuvat toisistaan eivät automaattisesti vapauta lupavelvoitteesta.

Markkinointimateriaalit. Koulun esitteet, hakuoppaat, julisteet tai muut markkinointimateriaalit, joissa on kuvia oppilailta, edellyttävät nimenomaista lupaa markkinointikäyttöön. Tämä on erillinen käyttötarkoitus verkkosivujulkaisuista.

Filmaukset ja videotuotannot. Videoiden kuvaaminen, esimerkiksi koulun lukuvuosivideota tai oppimateriaalia varten, edellyttää erikseen kuvaus- ja julkaisuluvan. Videolle tallentaminen on GDPR:n mielessä merkittävämpi henkilötietojen käsittely kuin valokuva.

Teknologian ja tiedotusvälineiden opetus. Jos oppilaita kuvataan osana mediakasvatuksen tai tietotekniikan tuntiharjoituksia, huoltajia on informoitava etukäteen ja hankittava suostumus tarvittaessa.

Kunnan tai kaupungin viestintä ja esitteet. Paikallinen koulutoimi tai kuntaviestintä voi haluta käyttää koulukuvia kunnan vuosikertomuksessa, esitteissä tai kunnan verkkosivuilla. Tähän tarkoitukseen tarvitaan erillinen lupa, koska kyseessä on koulun ulkopuolinen julkaisutoiminta. Kunnan viestintäyksikkö on erillinen rekisterinpitäjä GDPR:n mielessä, joten koulussa annettu lupa ei automaattisesti kata kunnan viestintätoimintaa.

Koulujen väliset yhteistyöprojektit. Kansainväliset kouluprojektit, eTwinning- tai Erasmus+-ohjelmat tai muut monikansalliset yhteistyöprojektit voivat tarkoittaa, että oppilaskuvia jaetaan muihin maihin. Tässä tilanteessa GDPR 46 artiklan kansainvälisiä siirtoja koskevia vaatimuksia on noudatettava, ja huoltajalle on kerrottava tietojen mahdollisesta siirtämisestä EU:n ulkopuolelle.

Uusi oppilas tai huoltajuuden muutos. Kun perheeseen tulee uusi huoltaja esimerkiksi uudelleenavioiduttuaan tai huoltajuusjärjestelyiden muuttuessa, koulun on varmistuttava, että uudella huoltajalla on mahdollisuus tutustua aiempiin lupiin ja tarvittaessa antaa oma kantansa voimassa olevaan kuvauslupaan. Tietosuojavaltuutetun suosituksen mukaan luvat on uusittava, kun olosuhteet muuttuvat merkittävästi.

Oikeudellisesti pätevä koulun kuvauslupa Suomessa sisältää seuraavat välttämättömät osat GDPR (EU 2016/679) 7 artiklan ja tietosuojalain (1050/2018) mukaisesti.

Oppilaan tunnistetiedot. Koko nimi koulun rekisterin mukaisesti, syntymäpäivä muodossa PP.KK.VVVV ja luokka tai opetusryhmä. Nämä tiedot yksilöivät, kenestä oppilaasta on kyse, ja varmistavat, että kuvauslupa kohdistuu oikeaan henkilöön.

Koulun tiedot rekisterinpitäjänä. Koulun virallinen nimi, sijaintikunta ja yhteyshenkilön nimi. Koulu on GDPR:n mukainen rekisterinpitäjä, jonka on ilmoitettava oppilaille ja huoltajille, miten henkilötietoja käsitellään. Tämä tieto kuuluu tietosuojailmoitukseen.

Eritelty lupajärjestelmä eri käyttötarkoituksille. GDPR:n 7 artiklan vaatimusten mukaan suostumus on hankittava erikseen eri käyttötarkoituksille. Kuvauslupa tulisi eritellä vähintään seuraaviin: koulun verkkosivut, sosiaalinen media, paikallismedia, markkinointimateriaali ja sisäinen arkistointi. Huoltajalla on oikeus antaa suostumus vain osaan käyttötarkoituksista.

Luvan voimassaoloaika. Selkeä maininta siitä, koskeeko lupa yhtä lukuvuotta, koko opiskeluaikaa koulussa vai tiettyä tapahtumaa. Epäselvä voimassaolo on GDPR-riski, koska suostumus ei voi olla rajaton. forms-legal.com tarjoaa ilmaisen mallin, jossa voimassaolo on selkeästi merkitty.

Peruuttamisoikeus. GDPR 7 artiklan 3 kohdan mukaan suostumus voidaan peruuttaa milloin tahansa. Kuvauslupalomakkeessa on mainittava, miten suostumus peruutetaan ja kenelle ilmoitus tehdään. Suostumuksen peruuttaminen ei vaikuta ennen peruuttamista suoritetun käsittelyn lainmukaisuuteen.

Huoltajan allekirjoitus ja yhteystiedot. Suostumuksen antavan huoltajan koko nimi, puhelinnumero, allekirjoitus, paikkakunta ja päivämäärä muodossa PP.KK.VVVV. Koulun yhteyshenkilön kuittaus vahvistaa, että lupa on vastaanotettu.

Informaatio henkilötietojen käsittelystä. GDPR 13 artiklan mukainen tieto siitä, mihin tarkoitukseen kuvia käytetään, kuka niitä käsittelee ja kuinka kauan niitä säilytetään. Tieto on annettava selkeästi ymmärrettävällä kielellä.

Informaatio kuvien säilytysajasta. GDPR:n tietojen minimointiperiaatteen (5 artikla 1e kohta) mukaan henkilötietoja saa säilyttää vain niin kauan kuin on tarpeellista. Koulun on kerrottava huoltajalle, kuinka kauan kuvia säilytetään ja missä järjestelmässä. Vanhenevat kuvat on poistettava asianmukaisesti, kun niillä ei enää ole käyttötarkoitusta. Säilytysajat on kirjattava koulun tietosuojaselosteeseen.

Kuvaajan tiedot ja sopimus. Jos ammattimainen kuvaaja tulee koululle ottamaan luokkakuvia, huoltajalle on syytä kertoa kuvaajan nimi ja yritys sekä se, miten kuvaajalle siirretyt tiedot suojataan. Koulun ja kuvaajan välillä on oltava GDPR 28 artiklan mukainen henkilötietojen käsittelysopimus, jossa määritellään kuvaajan oikeudet ja velvoitteet kuvien suhteen.

Rekisteröintinumero ja päivämäärä. Koulun on syytä merkitä kuvauslupaan rekisteröintinumero tai muu tunniste, jolla lupa voidaan yhdistää oppilasrekisterin tietoihin. Päivämäärä ja luvan myöntäneen henkilön allekirjoitus ovat tärkeät arkistointia ja mahdollisten reklamaatioiden käsittelyä varten.

Koulun kuvauslupa Suomessa täytetään seuraavien vaiheiden mukaisesti huoltajan ja koulun toimesta.

Vaihe 1 — Koulu lähettää kuvauslupalomakkeen. Koulu lähettää huoltajille lomakkeen täytettäväksi, tyypillisesti Wilma- tai Helmi-järjestelmän kautta tai paperilomakkeena. Lomakkeessa on oltava tieto siitä, mihin tarkoituksiin kuvia halutaan käyttää.

Vaihe 2 — Täytä oppilaan tiedot täsmällisesti. Oppilaan koko nimi koulun rekisterin mukaisesti, syntymäpäivä muodossa PP.KK.VVVV ja luokka tai opetusryhmä. Varmista, että nimi on täsmälleen sama kuin koulun oppilasrekisterissä.

Vaihe 3 — Lue käyttötarkoitukset huolellisesti. Ennen suostumuksen antamista lue läpi kaikki käyttötarkoitukset, joihin lupaa pyydetään. Sinulla on oikeus antaa suostumus vain osaan tarkoituksista — esimerkiksi voit sallia kuvien käytön koulun sisäisessä arkistoinnissa, mutta kieltää julkaisun sosiaalisessa mediassa.

Vaihe 4 — Merkitse lupa selkeästi jokaiselle käyttötarkoitukselle. Merkitse kyllä tai ei jokaiselle käyttötarkoitukselle erikseen. Epäselvät tai täyttämättä jätetyt kohdat voivat aiheuttaa tulkintaepäselvyyksiä.

Vaihe 5 — Valitse luvan voimassaoloaika. Valitse kattaako lupa vain kuluvan lukuvuoden, koko opiskeluajan vai tietyn tapahtuman. Yksittäistä tapahtumaa varten annettu lupa on suositeltava, jos et halua laajempaa lupaa.

Vaihe 6 — Allekirjoita ja palauta kouluun. Allekirjoita lomake omakätisesti, merkitse paikkakunta ja päivämäärä muodossa PP.KK.VVVV. Palauta lomake koulun ilmoittaman ohjeen mukaisesti — Wilman kautta, paperilomakkeena tai muulla tavoin.

Vaihe 7 — Ilmoita suostumuksen peruuttamisesta tarvittaessa. Jos haluat myöhemmin peruuttaa suostumuksen, ota yhteyttä koulun yhteyshenkilöön kirjallisesti. Koulu on velvollinen lopettamaan uusien kuvien julkaisemisen ilmoituksesta eteenpäin.

Vaihe 8 — Kirjaa päätöksesi selkeästi. Merkitse kyllä tai ei jokaiselle käyttötarkoitukselle selkeästi ilman tulkinnanvaraisuuksia. Jos olet epävarma jostain käyttötarkoituksesta, on parempi kieltäytyä siitä ja myöhemmin laajentaa lupaa tarvittaessa kuin antaa liian laaja lupa.

Vaihe 9 — Tarkista koulun tietosuojaseloste. Koululta voi pyytää tietosuojaselosteen, jossa kerrotaan, miten oppilastietoja käsitellään. Tietosuojaseloste on GDPR 13 artiklan mukainen asiakirja, jonka koulu on velvoitettu toimittamaan rekisteröidylle. Tutustumalla tietosuojaselosteeseen tiedät paremmin, mihin käyttötarkoituksiin kuvia voidaan käyttää.

Koulun kuvauslupa Suomessa perustuu kansalliseen ja EU-tietosuojalainsäädäntöön.

Tietosuoja-asetus GDPR (EU 2016/679). GDPR on suoraan sovellettavaa EU-oikeutta Suomessa. Artiklat 6, 7 ja 9 säätelevät henkilötietojen käsittelyä ja suostumuksen vaatimuksia. Valokuva on henkilötieto, kun se mahdollistaa luonnollisen henkilön tunnistamisen. Suostumuksen on oltava vapaaehtoinen, yksiselitteinen, tietoon perustuva ja peruutettavissa. GDPR 17 artikla turvaa oikeuden tietojen poistamiseen.

Tietosuojalaki (1050/2018). Suomen kansallinen tietosuojalaki täydentää GDPR:ää. Pykälä 5 asettaa 13 vuoden ikärajan suostumukselle tietoyhteiskunnan palveluihin. Pykälä 6 sääntelee erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyä. Tietosuojavaltuutetun toimisto (TVO) valvoo lain noudattamista.

Perusopetuslaki (628/1998) 40 pykälä. Perusopetuksen järjestäjä on velvollinen pitämään oppilasrekisteriä. Rekisterin käyttötarkoitus on rajattava opetuksen järjestämiseen, ja muuhun käyttöön — kuten markkinointiin — on hankittava erillinen suostumus.

Laki lapsen huollosta ja tapaamisoikeudesta (361/1983). Alle 13-vuotiaiden osalta huoltajan suostumus on ehdoton edellytys kaikessa henkilötietojen käsittelyssä. Koulu on velvollinen noudattamaan huoltajan antamaa kuvauslupaa ja sen peruuttamista.

Laki viranomaistoiminnan julkisuudesta (621/1999). Kunnalliset koulut ovat julkisen hallinnon toimijoita, joiden toimintaan sovelletaan julkisuuslakia. Oppilasasiakirjat ovat salassa pidettäviä, mikä koskee myös oppilaskuvia. Tämä vahvistaa tarvetta erilliselle kuvausluvalle ennen kuvien julkistamista.

Oikeustoimilaki (228/1929) 3 pykälä. Alaikäinen ei pysty antamaan oikeudellisesti sitovaa suostumusta itsenäisesti ilman huoltajaa. Kuvauslupa tarvitaan huoltajalta nimenomaan alaikäisyyden takia.

Tietosuojavaltuutetun päätökset ja ratkaisut koskien koulujen kuvauslupakäytäntöjä ohjaavat käytännön toimintaa. Tietosuojavaltuutettu on antanut ratkaisuja, joissa koulu on rikkonut GDPR:ää julkaisemalla oppilaiden kuvia ilman asianmukaista lupaa.

Euroopan ihmisoikeussopimus ja yksityiselämän suoja. Euroopan ihmisoikeussopimuksen 8 artiklan mukainen yksityiselämän suoja kattaa myös oikeuden omaan kuvaan. Tämä perustaa kansainvälisen oikeusperustan sille, että kuvien käyttöön tarvitaan suostumus. Suomessa perustuslain (731/1999) 10 pykälä suojaa yksityisyydensuojaa, johon kuuluu myös oikeus omaan kuvaan. Euroopan ihmisoikeustuomioistuin (EIT) on antanut ratkaisuja kuvien luvattomasta julkaisemisesta, jotka ohjaavat kansallisten tuomioistuinten ja viranomaisten tulkintaa.

Oikeus tulla unohdetuksi GDPR 17 artiklan mukaan. Jos huoltaja peruuttaa kuvausluvan, koululle syntyy velvollisuus poistaa jo julkaistut kuvat kaikista kanavistaan kohtuullisessa ajassa. Tämä koskee myös kuvia, jotka on jaettu kolmansille osapuolille. Tietosuojavaltuutetun toimisto on antanut ohjeita siitä, miten oikeus tulla unohdetuksi toteutetaan käytännössä kouluympäristössä.

Koulun kuvauslupaan Suomessa liittyy yleisiä virheitä, jotka voivat johtaa GDPR-rikkomuksiin tai käytännöllisiin ongelmiin.

Virhe 1 — Yleinen kyllä/ei-lupa kaikkeen. Yksinkertainen kyllä/ei-suostumus kaikelle kuvaustoiminnalle ei täytä GDPR:n vaatimuksia. Oikea menettely on eritellä lupa eri käyttötarkoituksille: verkkosivut, sosiaalinen media, markkinointi, sisäinen käyttö.

Virhe 2 — Luvan voimassaoloaika on epäselvä. Rajaton tai epäselvä voimassaolo on GDPR-riski. Koulu tai järjestäjä ei voi vedota kerran annettuun lupaan loputtomiin. Oikea menettely on määritellä voimassaoloaika selkeästi ja uusia lupa säännöllisesti.

Virhe 3 — Peruuttamisoikeudesta ei mainita. GDPR 7 artikla edellyttää, että suostumuksen antajalle kerrotaan oikeudesta peruuttaa suostumus. Jos tätä ei mainita kuvauslupalomakkeessa, lomake ei täytä GDPR-vaatimuksia.

Virhe 4 — Koulu julkaisee kuvia ilman uusittua lupaa. Jos oppilas vaihtaa luokkaa tai lukuvuosi vaihtuu, vanha lupa ei välttämättä kata uutta tilannetta. On hyvä käytäntö uusia lupa lukuvuosittain.

Virhe 5 — Sosiaalisen median julkaisemiseen käytetään samaa lupaa kuin sisäiseen arkistointiin. Sosiaalinen media on julkinen jakamisympäristö, johon tarvitaan erikseen nimenomainen lupa. Sisäiseen arkistointiin riittää kevyempi oikeusperusta.

Virhe 6 — Ammattikuvaaja ei saa erillistä lupaa. Vuosittainen luokkakuvaus on erillinen henkilötietojen käsittelytilanne, johon tarvitaan erillinen suostumus tai ainakin sopimus koulun ja kuvaajan välillä GDPR:n henkilötietojen käsittelysopimusta koskevien vaatimusten täyttämiseksi.

Virhe 7 — Lupa hankitaan vain lapsen allekirjoituksella. Alle 13-vuotiaan kohdalla pelkästään lapsen itsensä antama suostumus ei riitä. Tietosuojalain (1050/2018) 5 pykälän mukaan alle 13-vuotiaiden osalta huoltajan suostumus on välttämätön.

Virhe 8 — Vanhemmat eivät kommunikoi luvan muutoksista. Jos toinen vanhempi on antanut luvan mutta toinen haluaa peruuttaa sen, kouluun on ilmoitettava kirjallisesti molempien huoltajien kantana. Ristiriitaiset toiveet huoltajien välillä voivat aiheuttaa ongelmia koulussa. Selkein ratkaisu on aina kirjallinen ilmoitus nimenomaisesti siitä huoltajasta, joka muuttaa kantaansa.

Virhe 9 — Digitaalinen kuva-arkisto unohtuu. Koulu voi kerätä kuvia verkkopohjaisen alustan kautta (esim. Google Drive, SharePoint). Nämäkin pilvialustat ovat GDPR-rekisterinpitäjän vastuulla, ja kuvien poistaminen on toteutettava asianmukaisesti suostumuksen peruuntuessa.

Virhe 10 — Luvan antaminen ilman aitoa harkintaa. Huoltajat allekirjoittavat usein kuvauslupalomakkeen lukematta sitä kunnolla. Koulun tulisi varmistaa, että huoltajat todella ymmärtävät, mihin suostuvat. GDPR 7 artiklan mukaan suostumuksen on oltava vapaaehtoinen ja tietoon perustuva. Automaattisesti kirjoitettu allekirjoitus ilman harkintaa ei välttämättä täytä tietoisen suostumuksen vaatimusta.