Anvisningar om material- och dataskydd för handledare av kandidat- och magisterstuderande

Personuppgifter är sådana uppgifter som gör det möjligt att identifiera en person. Exempel på sådana uppgifter är namn, personbeteckning, registernummer för bil, lokaliseringsuppgifter från appar eller enheter, fingeravtryck, röst o.s.v.

Vissa av dessa uppgifter, t.ex. namn eller fingeravtryck, gör det möjligt att identifiera en person direkt. Sådana uppgifter kallas direkta personuppgifter eller identifikationsuppgifter.

Ibland är det möjligt att identifiera en person genom att kombinera enskilda uppgifter med andra. Då är det fråga om indirekta personuppgifter. Exempel på sådana uppgifter är yrkestitel, kön och ort. En person kan inte nödvändigtvis identifieras genom en enskild indirekt personuppgift, men i kombination med andra personuppgifter kan det till och med vara ganska lätt att identifiera personen.

• Obs! Enligt Aalto-universitetets rekommendation ska särskilda personuppgifter inte behandlas i lärdomsprov på kandidatnivå, eftersom det inte görs någon forskningsetisk bedömning av dem. Vid behov kan en forskningsetisk bedömning göras av ett lärdomsprov på magisternivå, men inte heller i dessa lärdomsprov rekommenderas behandling av särskilda personuppgifter på grund av de forskningsetiska tilläggskraven.
• Särskilda kategorier av personuppgifter innehåller känsliga uppgifter som avslöjar
  • ras eller etniskt ursprung
  • politisk åsikt
  • religiös eller filosofisk övertygelse
  • medlemskap i fackförbund
  • hälsoinformation
  • sexuellt beteende eller läggning
  • genetiska och biometriska uppgifter som kan användas för att entydigt identifiera en person.
• Även uppgifter om brottmålsdomar är i regel känsliga.
• Vid behandling av särskilda personuppgifter ska en separat grund för behandlingen anges.
• I vardagligt tal används ofta uttrycket känsliga personuppgifter för att syfta på särskilda personuppgifter.

Den personuppgiftsansvarige

• Person, högskola, företag, myndighet eller samfund.
• Fastställer varför och på vilket sätt personuppgifterna behandlas samt är ansvarig för behandlingen av personuppgifterna.
  • I lärdomsprov på kandidat- och magisternivå är det i regel den studerande som är personuppgiftsansvarig. Den studerande bestämmer vilka personuppgifter hen samlar in och behandlar i sin studie.
  • Ett undantag utgörs av studier som görs på uppdrag, i ett anställningsförhållande eller inom ramen för ett forskningsprojekt vid högskolan. I dessa fall bestämmer den studerande inte självständigt för vilket ändamål personuppgifterna samlas in och hur de behandlas.
  • Om fler än en aktör fattar beslut om insamlingen av personuppgifter är det fråga om gemensamt personuppgiftsansvar.

Personuppgiftsbiträdet

• Behandlar personuppgifter för den personuppgiftsansvariges räkning i enlighet med den personuppgiftsansvariges anvisningar.
• Kan också vara en så kallad mottagare av personuppgifter, d.v.s. en aktör som personuppgifterna överförs eller lämnas ut till.
  • Till exempel Webropol Oy är mottagare av personuppgifter när en enkät har gjorts med hjälp av Webropol.
  • Aalto-universitetet rekommenderar att personuppgifter behandlas med hjälp av informationssäkra verktyg och system från leverantörer som universitetet har ingått avtal om behandling av personuppgifter med.

1. Fall 1: Lärdomsprovet är den studerandes eget självständiga arbete. → Den studerande är själv personuppgiftsansvarig.
2. Fall 2: Lärdomsprovet görs som en del av ett projekt i ett anställningsförhållande vid högskolan. → Högskolan är personuppgiftsansvarig.
3. Fall 3: Lärdomsprovet anknyter till ett pågående projekt vid högskolan, men den studerande är inte anställd. → Den personuppgiftsansvarige fastställs från fall till fall.
4. Fall 4: Lärdomsprovet görs som ett beställningsuppdrag. →  Det företag som beställt undersökningen är personuppgiftsansvarig.
5. Fall 5: Högskolan/handledaren ger den studerande tillgång till färdigt enkätmaterial.→ Högskolan eller handledaren är personuppgiftsansvarig för personuppgifterna i materialet. Även om materialet används för en ny studie som det ursprungligen inte samlats in för överförs inte rollen som personuppgiftsansvarig till den studerande. OBS! Organisationen eller handledaren ska dock ha bett om deltagarnas tillstånd för att materialet kan användas för annan forskning än den ursprungliga.

• Det finns alltid risker med behandling av personuppgifter. Handledaren ska diskutera dessa risker med den studerande och tillsammans komma överens om hur de kan undvikas.
• Exempel på risker för deltagare:
  • personuppgifter lämnas ut utan tillåtelse
  • obehöriga personer får åtkomst till personuppgifter
  • personuppgifter förstörs oavsiktligt
  • personuppgifter ändras utan tillåtelse
  • personuppgifter försvinner

• Riskbedömningen görs ur den registrerades, d.v.s. deltagarens, perspektiv.

I samband med lärdomsprov och forskning väljs en av följande rättsliga grunder för behandlingen av personuppgifter:

1. Den registrerades samtycke: Vid Aalto-universitetet används denna grund för behandling av personuppgifter i lärdomsprov på kandidat- och magisternivå, eftersom lärdomsprov i regel inte uppfyller kriterierna för vetenskaplig forskning. Visserligen är gränsen mellan ett lärdomsprov och självständig vetenskaplig forskning oklar. Läs mer om vad som krävs för att ett samtycke ska vara giltigt: https://tietosuoja.fi/sv/samtycke-av-den-registrerade.
2. Allmänt intresse: Allmänt intresse kan utgöra grund för behandlingen om kriterierna för vetenskaplig forskning uppfylls.
3. I vissa situationer kan det också vara möjligt att använda ett berättigat intresse som grund för behandlingen. I sådana fall krävs ett jämviktstest. Obs! Detta gäller inte lärdomsprov på kandidat- eller magisternivå. Se Dataombudsmannens byrå: Ett berättigat intresse hos den personuppgiftsansvarige

• Dataskyddsmeddelandet är ett dokument där deltagarna får information om hur deras personuppgifter behandlas.
• Utarbetandet av ett dataskyddsmeddelande grundar sig på EU:s dataskyddslagstiftning (GDPR), vars syfte är att skydda människors integritet och rättigheter.
• Dataskyddsmeddelandet behövs alltid när personuppgifter behandlas, oberoende av grunden för behandlingen, även i lärdomsprov på kandidat- och magisternivå där behandlingen i regel grundar sig på samtycke.
• Dataskyddsmeddelandet ska skickas för kännedom till deltagarna i ett så tidigt skede som möjligt (gärna redan när kontakten etableras, till exempel i ett följebrev), innan de bestämmer huruvida de deltar i studien eller inte.

Behandling av personuppgifter i enlighet med principerna för dataskydd är en central del av forskningsetiken: deltagarna ska ge sitt samtycke till att delta i studien (etiskt samtycke), samtycke till behandling av personuppgifter (om behandlingen grundar sig på samtycke) och samtycke till eventuell fortsatt användning av materialet. 

Forskningsetiken ska beaktas inom all forskning. Det är en oskiljaktig del av ansvarsfull vetenskap och god vetenskaplig praxis. Det går i praktiken inte att skilja mellan forskningsetik och god vetenskaplig praxis.

Forskningsetik innebär att ärlighet, omsorg och noggrannhet ska tillämpas i alla faser av forskningen och på många olika sätt beroende på forskningsämne. De etiska aspekterna är särskilt viktiga när forskningen gäller människor.