Miten opiskelijana käsittelet henkilötietoja opinnoissa - vastauksia usein kysyttyihin kysymyksiin

Kun titteli on yhdistettävissä tietyn yrityksen tiettyyn henkilöön, niin se on henkilötieto. 

Henkilötietojen käsittelyä on esimerkiksi 

• sähköpostiosoitteiden kerääminen, säilyttäminen ja tuhoaminen opinnäytettä varten tehtävän kysely- tai haastattelututkimuksen toteuttamiseksi
• tutkimukseen osallistuneiden osallistumissuostumusten kerääminen, säilyttäminen ja tuhoaminen
• sellaisen vastausaineiston kerääminen, analysointi, säilyttäminen ja tuhoaminen, josta yksittäiset henkilöt voivat olla tunnistettavissa.
• henkilötietojen haku sähköisestä järjestelmästä, kuten sosiaalisen median kanavasta vaikka kanava olisi julkinen ja tieto siten kenen tahansa haettavissa
• haastattelun äänitallenteen litterointi

Kyselyn toteuttaminen täysin anonyymisti siten, ettei kyselyssä varmasti kerätä tai käsitellä mitään henkilötietoja, on vaativaa. Yleensä henkilötietojen kertymistä kyselytutkimuksessa ei voida täysin etukäteen estää, vaikka kysely suunniteltaisiin siten, että siihen on mahdollista vastata täysin anonyymisti. Lisäksi kysely ei välttämättä ole enää tarkoitukseensa mielekäs, jos tutkimuksen kannalta relevantteja kohtia poistetaan vain siksi, että varmasti vältetään henkilötietojen käsittely ja siitä seuraavat velvoitteet. Teoriassa anonyymi kysely edellyttäisi, että kyselyä varten ei kerättäisi yhteystietoja, osallistujien henkilöllisyys ei tallentuisi minnekään eikä osallistujaa voitaisi identifioida esim. käytetyn linkin tai IP-osoitteen perusteella. Esimerkiksi kyselyssä vapaan tekstikentän kohdat ovat riskialttiita, koska osallistuja voi käytännössä kirjoittaa niihin mitä tahansa, myös osallistujan tunnistamisen mahdollistavia tietoja. Osallistujista ei tulisi kerätä mitään sellaista tietoa, jonka perusteella joku osallistuja voi olla tunnistettavissa esimerkiksi julkisia henkilörekistereitä apuna käyttäen tai osallistuja tai muu henkilö vapaaseen vastaustekstikenttään kirjoitetun tiedon perusteella.

Anonyymiin toteutustapaan kannattaa yleensä pyrkiä. Mikäli olet kuitenkin epävarma siitä, onko kyselyssä kertyvä aineisto varmasti täysin anonyymia, on turvallisempaa tehdä kyselylle tietosuojailmoitus ja huolehtia kaikista tietosuojavelvoitteista siltä varalta, että henkilötietojen käsittelyä ei voi välttää.

Tapaus 1

Opinnäytettään itsenäisesti tekevä opiskelija on käsittelemiensä henkilötietojen rekisterinpitäjä. 

Tapaus 2

Jos opiskelija tekee opinnäytettä Aalto-yliopiston tutkimusprojektissa työsuhteessa niin rekisterinpitäjä on Aalto-yliopisto. 

Tapaus 3

Jos opiskelija tekee opinnäytettä yritykselle työsuhteessa tai toimeksiannosta, niin rekisterinpitäjä on lähtökohtaisesti yritys. Jos teet yrityksen toimeksiannosta opinnäytettä niin ole yhteydessä yrityksen tietosuojavastaavaan tai muuhun yrityksen henkilötietojen käsittelystä vastaavaan henkilöön varmistaaksesi henkilötietojen käsittelyn yrityksen ohjeistuksen mukaisesti. Opinnäytetutkimuksen suunnittelussa yrityksen kanssa on tärkeää myös tuoda esille, että valmis opinnäyte on julkinen asiakirja.  

Tapaus 4

Jos opiskelijat tekevät opinnäytettä yhdessä keskenään ilman työsuhdetta tai toimeksiantoa, he ovat todennäköisesti yhteisrekisterinpitäjiä. Silloin on tärkeää, että he sopivat keskinäisestä työn- ja vastuunjaostaan selkeästi, jotta varmistutaan henkilötietojen asianmukaisesta käsittelystä.

Käsittelyperuste on lähtökohtaisesti rekisteröidyn antama suostumus henkilötietojen käsittelyyn. Suostumuksen tulee olla yksilöity, vapaaehtoinen, tietoinen ja yksiselitteinen tahdonilmaisu. Suostumuksen voi myös peruuttaa. Kts. Opinnäyte - tietosuojailmoitus ja suostumus v2_su.docx (sharepoint.com)

Henkilötietojen käsittelystä tulee sopia opiskelijan ja opinnäytteen vastuullisen ohjaajan tai valvojan välillä. Henkilötietojen käsittely tulee kuvata tutkimussuunnitelmassa sekä tapauskohtaisesti tarvittavassa muussa dokumentaatiossa kuten aineistonhallintasuunnitelmassa ja tietosuojailmoituksessa ennen kuin henkilötietoja aletaan kerätä tai muutoin käsitellä.

Todennäköisesti olet pseudonymisoinut aineiston. Aineistossa voi silti olla henkilötietoja. 

Pseudonymisointi tarkoittaa henkilötietojen käsittelemistä siten, että henkilötietoja ei voida enää yhdistää tiettyyn henkilöön ilman lisätietoja. Pseudonymisointia on esimerkiksi kyselyyn osallistuneen henkilön nimen, osoitteen ja muiden yksilöintitietojen korvaamista satunnaisella koodilla. Pseudonymisointi on tavanomainen toimenpide tutkimuksessa henkilötietojen suojaamiseksi ja henkilötietojen käsittelyn minimoimiseksi. Pseudonymisoituja tietoja tulee käsitellä edelleen henkilötietoina. On myös hyvä pitää mielessä, että kyse voi edelleen olla henkilötiedoista, vaikka tietoja tutkimukseensa käsittelevä opiskelija ei itse pystyisi selvittämään tutkittavan henkilöllisyyttä. 

Anonymisointi tarkoittaa henkilötietojen käsittelemistä siten, että tunnistamisen estyy peruuttamattomasti ja siten, että rekisterinpitäjä tai muu ulkopuolinen taho ei voi enää hallussaan olevilla tiedoilla muuttaa tietoja takaisin tunnistettaviksi. Yleensä pelkkä osallistujien nimien ja vastaavien tunnisteiden poistaminen tutkimusaineistosta ei siihen riitä.

Tietynlaiset tutkimukset edellyttävät tutkimuseettistä arviointimenettelyä. Jos esimerkiksi suunnittelet käsitteleväsi sensitiivistä dataa, sinun tulee toimia Aalto-yliopiston tutkimuseettisen toimikunnan ohjeistuksen mukaisesti. Tutkimuseettisen ennakkoarvioinnin hakeminen on mahdollista vain, jos haet sitä ohjaajasi kanssa yhdessä ja ennen kuin tutkimuksen aineistonkeruu aloitetaan. Ennen hakemuksen tekemistä tutkimus ja henkilötietojen käsittely täytyy olla hyvin suunniteltu ja dokumentoitu. Selvitä tarve ja mahdollisuus hakea tutkimuseettistä ennakkoarviointia hyvissä ajoin jo aihetta valittaessa. 

Linkki: Miten ja milloin tulisi hakea tutkimuseettistä ennakkoarviointia | Aalto-yliopisto

Organisaatiot saattavat edellyttää tutkimusluvan hakemista, jos tutkit vaikkapa heidän oppilaitaan, asiakkaitaan, potilaitaan tai työntekijöitään. Ennen hakemuksen tekemistä tutkimus ja henkilötietojen käsittely täytyy olla hyvin suunniteltu ja dokumentoitu. Selvitä tarve ja mahdollisuus hakea tutkimuslupaa ao. organisaatiosta kuitenkin hyvissä ajoin jo aihetta valittaessa. Huomioi, että tutkimusluvan myöntäjä voi edellyttää, että myös tutkimuseettinen ennakkoarviointi on tehty.

Katso, missä tilanteissa tarvitset Aalto-yliopiston tutkimusluvan.

Linkki: Aalto-yliopiston tutkimuslupaprosessi | Aalto-yliopisto