91�����

Suomen tietosuojavaltuutetun toimiston ohjeet tietosuojasta tieteellisessä tutkimuksessa

Kansallinen tietosuojaviranomainen Tietosuojavaltuutetun toimisto on antanut ohjeet henkilötietojen tietosuojasta tieteellisessä tutkimuksessa. Ohjeet koskevat muun muassa henkilötietojen käyttötarkoituksen määrittelyä, käsittelyperusteen valintaa ja tutkimuksen kohteena olevien henkilöiden oikeuksien toteuttamista. Verkkosivuilla kerrotaan myös osoitusvelvollisuudesta, henkilötietojen siirroista ja aineiston hävittämisestä tutkimuksen päättyessä.

Aalto-yliopistossa noudatetaan näitä kansallisia ohjeita: 

Jos käsittelet henkilötietoja, toimi seuraavasti:

1. Suunnittele tietojen keruu

Ymmärrä tutkimusprojektisi tavoitteet nyt ja tulevaisuudessa. Mieti mitä tietoa tarvitset ja myös mitä tietoa et tarvitse. Mieti miten voit suunnitella tutkimusprojektisi siten, että tieto on mahdollisimman vähän tunnistettavissa olevaa, mutta silti täyttää tutkimuksen tavoitteet. Nämä tiedon minimoinnin ja oletusarvoisen tietosuojan periaatteet ovat keskeisiä tietosuoja-asetuksen () tavoitteita.

2. Suunnittele henkilötietojen käsittelyn koko elinkaari

Suunnittele henkilötietojen käsittelyn koko elinkaari (kuten kerääminen, tallentaminen, käyttö, tutkimusyhteistyö, jatkotutkimus, arkistointi, poistaminen) ennen kuin ryhdyt  keräämään tai muutoinkäsittelemään henkilötietoja. Suunnittelussa voi käyttää apuna Aalto-yliopiston tietosuojailmoituspohjaa (ks. kohta 5). Samoin voi hyödyntää aineistonhallintasuunnitelmaa. Suunnittelussa voi hyödyntää .

on sertifioitu arkisto tutkimusaineistoille. Tietoarkiston sisältää hyviä ohjeita henkilötietojen käsittelyyn.

5. Tunnista henkilötietojen käsittelyperuste

Henkilötietoja saa käsitellä ainoastaan silloin, kun käsittelyllä on jokin tietosuoja-asetuksessa luetelluista käsittelyperusteista. Tieteellisessä tutkimuksessa käsittelyperuste on yleensä joko ”yleisen edun mukainen tehtävä” tai ”suostumus”.

• Käsittelyperusteen valinta on tärkeää, koska se vaikuttaa mm. tutkijan velvoitteisiin ja tutkimukseen liittyviin mahdollisuuksiin. Jos henkilötietojen käsittely perustuu ”suostumukseen”, on se voitava myös perua ja tutkijan on poistettava henkilötiedot pyynnöstä. 
• Jos tieteellisen tutkimuksen tavoitteet ovat yleisen edun mukaisia, kannattaa henkilötietojen tietosuoja-asetuksen mukaiseksi käsittelyperusteeksi määritellä "yleisen edun mukainen tehtävä, tietellinen tutkimus".

6. Laadi tietosuojailmoitus

Kun käsittelet henkilötietoja, käytä dokumentteja ”Suostumus osallistua tutkimukseen” ja ”Tutkimuksen tietosuojailmoitus” (engl. Privacy Notice for Research Study). Anna tai lähetä dokumentit osallistujille.

Huolehdi tutkittavien informoinnista ennen kuin ryhdyt keräämään tai muutoin käsittelemään henkilötietoja. Varmista, että henkilötietojen käsittely on kuvattu yhdenmukaisesti tutkimus- ja aineistonhallintasuunnitelmassa sekä tietosuojailmoituksessa. Tietosuojailmoitusta tarvitaan myös eettisen ennakkoarvioinnin liitteeksi. Muista, että informointi tulee tehdä kielellä jota tutkittavat ymmärtävät ja käyttävät. Aalto-yliopiston tietosuojailmoituksen asiakirjamalli sisältää myös GDPR:n edellyttämän selosteen käsittelytoimista, joten huolellisesti täytetty ilmoitus kattaa myös dokumentointivelvoitteen.

• Lähetä käyttämäsi tietosuojailmoitus: tietosuojailmoitukset@aalto.fi.
• Tutustu tarvittaessa informointia koskevaan ohjeistukseen: Informointivastuu tietosuojasta | Aalto-yliopisto

7. Jos henkilötietoja käsitellään Aallon ulkopuolelle, huomioi seuraava:

• Jos ulkopuolinen taho käsittelee henkilötietoja Aallon määrittelemiin tarkoituksiin, esimerkiksi kun henkilötietoja käsittelee alihankkija, käytetään  Aallon henkilötietojen käsittelyn sopimusta rekisterinpitäjän ja käsittelijän välillä (DPA) jonka laatimisessa auttaa koulusi lakimies.
• Jos  yliopistot tai organisaatiot määrittelevät yhdessä käsittelyn tarkoitukset ja keinot, ne ovat yhteisrekisterinpitäjiä. Niiden tulee  tutkimuksen tutkittaville  (rekisteröidyille) läpinäkyvällä tavalla kertoa kunkin yhteisrekisterinpitäjän vastuut ja velvollisuudet tietosuojailmoituksella. Mikäli tietosuojailmoituksen lisäksi tarvitaan yhteisrekisterinpitäjäsopimus, sen laatimisessa auttaa koulusi lakimies.
• Jos henkilötietoja luovutetaan toiselle yliopistolle, tai tutkimuslaitokselle siten, että se voi itse määritellä henkilötietojen käyttötarkoituksen, tulee esim. käyttötarkoituksesta ja tutkittavien informoinnista sopia yksityiskohtaisesti kahden erillisen rekisterinpitäjän välisellä sopimuksella ennen henkilötietojen luovutusta.
• Henkilötietoja voidaan siirtää ETA-alueen ulkopuolelle vain tietyin edellytyksin. Lisätietoa löytyy: 

8. Informoi tutkittavia käsittelyn muutoksista ja päivitä dokumentit

Henkilötietoja saa käsitellä vain siten, kuin tutkittaville on ennen käsittelyn aloittamista kerrottu (tietosuojailmoituksessa). Mikäli tutkimuksen aikana on tarpeen käsitellä henkilötietoja muulla tavalla kuin mitä tutkittaville on kerrottu, täytyy muutoksista informoida tutkittavia ja päivittää kaikki tarpeelliset dokumentit, kuten tietosuojailmoitus.

9. Anonymisoi tiedot ennen arkistointia tai julkaisemista

 FSD on sertifioitu tutkimustietoarkisto, joka on tarkoitettu tutkijoille, jotka haluavat arkistoida datansa. FSD antaa neuvontaa datan ja henkilötietojen hallinnasta osoitteessa Muita arkistointiin suositeltuja palveluita on esitelty sivulla:

Avoimet data-arkistot (repositoryt)Anonymisoidut tiedot eivät ole enää henkilötietoja. Anonymisointi tarkoittaa henkilötietojen käsittelyä siten, että tunnistaminen estetään peruuttamattomasti. Rekisterinpitäjien on siinä otettava huomioon useita tekijöitä, muun muassa kaikki keinot, joita ”kohtuullisen todennäköisesti” käytetään tunnistamiseen. Katso 29 artiklan mukaisen työryhmän lausunto 05/2014 .

Ennen anonymisointia henkilötietoja on käsiteltävä edellä mainittujen lainsäädännön, periaatteiden ja ohjeiden mukaisesti.

Jos haluat kerätä ja käyttää uudelleen tietoja, joita ei ole kokonaan anonymisoitu, esimerkiksi tietyn alan ammatillisten asiantuntijoiden haastatteluja, ota yhteyttä henkilöstöön ja selvitä, voitaisiinko arkistointi tehdä ennen tietojen keräämisen aloittamista, jotta tutkimukseen osallistujille voidaan tiedottaa arkiston edellyttämällä tavalla. Arkiston henkilöstö voi auttaa tutkijoita tietojen järjestämisessä ja toimenpiteissä, joilla tutkimusdata voidaan kerätä ja säilyttää onnistuneesti. Pseudonymisoitujen tietojen käyttö on edelleen henkilötietojen käyttöä, ja silloin voidaan käyttää vain rajattua pääsyä tietoja arkistoitaessa.