Informointi henkilötietojen käsittelystä

Informointi henkilötietojen käsittelystä

1. Yleistä

Tutkittavien informoiminen henkilötietojen käsittelystä on keskeinen osa läpinäkyvyyden periaatetta. Informoinnin perusteella tutkittavien tulee ymmärtää, kuinka heitä koskevia henkilötietoja kerätään, käytetään, luovutetaan, säilytetään ja muulla tavoin käsitellään. Henkilötietojen käsittelyä koskevassa informoinnissa korostuu etukäteissuunnittelun merkitys. Jos tutkimuksen vaiheita ja sovellettavia säännöksiä ei ole kartoitettu riittävällä tarkkuudella, voi informointi olla haastavaa. Toisaalta, jos henkilötietojen käsittely tutkimuksessa on etukäteen suunniteltu huolellisesti ja systemaattisesti, on informoinnin toteuttaminen useissa tapauksissa suoraviivaista.

Henkilötietojen käsittelyä koskevan informoinnin sääntöihin vaikuttaa se, kerätäänkö henkilötietoja suoraan tutkittavalta vai muuten kuin suoraan tutkittavalta. Informointia suunniteltaessa on hyvä eritellä tutkimukseen liittyvät henkilötietovirrat näiden kahden kategorian mukaisesti. Tällä on vaikutusta informoinnin ajankohtaan ja osin sisältöön. Käytännön eroja kuvataan informoinnin ajankohtaa ja sisältöä koskevissa kappaleissa.

  • Henkilötietoja katsotaan kerättävän suoraan tutkittavalta, kun tutkittava tietoisesti antaa omia henkilötietojaan tutkijoille. Tavallisia soveltamistilanteita ovat tutkittavan haastatteleminen ja lomakekysely. Lisäksi henkilötietoja katsotaan saatavan suoraan tutkittavalta, kun tietoja saadaan tutkittavaa havainnoimalla tai tarkkailemalla, esimerkiksi äänittämällä tai videoimalla tutkimustarkoituksiin jokin tutkittavan tekemä suoritus tai sosiaalisen vuorovaikutuksen tilanne.
  • Muuten kuin suoraan henkilötietoja katsotaan saatavan, jos henkilötietoja saadaan esimerkiksi muilta rekisterinpitäjiltä, julkisesti saatavilla olevista lähteistä tai muilta rekisteröidyiltä. Tämän kohdan tyypillisiä soveltamistilanteita ovat rekisteriaineistojen yhdistäminen muuhun tutkimusaineistoon sekä tutkimusaineiston rikastaminen laajaan tutkimushankkeeseen kuuluvalta toiselta rekisterinpitäjältä saatavilla henkilötiedoilla.

Joskus tutkimuksessa voivat tulla sovellettavaksi samanaikaisesti molemmat tilanteet. Esimerkki: tutkimuksen kohderyhmään kuuluvien yhteystietoja ei saada itse tutkittavilta, vaan ulkopuoliselta taholta (organisaatio, yritys, yhdistys, virasto tai muu vastaava). Myöhemmin itse aineisto (lomakekysely tai haastattelu) kerätään niiltä kohderyhmään kuuluvilta, jotka antavat osallistumissuostumuksen tutkimukseen. Tällaisessa tapauksessa tulevat sovellettavaksi molempia tilanteita koskevat ohjeet.

Jos tarkoituksena on siirtää rekisteritietoja toiselle rekisterinpitäjälle (esimerkiksi tutkimuspartnerille) tai henkilötietojen käsittelijälle (esimerkiksi aineiston keruun ja/tai rekisteritietojen yhdistelyn toteuttavalle taholle tai litterointipalveluja tarjoavalle yritykselle), lue erityisen huolella myöhemmin informoinnin sisällön yhteydessä kuvattu kohta henkilötietojen vastaanottajat ja vastaanottajaryhmät

Tutkittavien informointiin liittyy aina erityistilanteita, jotka edellyttävät tarkempaa tapauskohtaista harkintaa, ja joita näissä yleisissä ohjeissa ei ole voitu ottaa huomioon. Erityistilanteita voivat aiheuttaa esimerkiksi informoinnin muutos- ja täydennystarpeet. Näitä esiintyy esimerkiksi tilanteissa, joissa kesken tutkimuksen tapahtuu henkilötietojen käsittelyyn vaikuttavia muutoksia. Tältä osin on hyvä tutustua informoinnin sisältöä koskevaan osuuteen sekä informoinnista poikkeamista koskevaan osuuteen.

Muita erityistilanteita ovat tutkimukset, joissa tutkittavina ovat lapset tai muihin haavoittuviin ryhmiin kuuluvat henkilöt. Lisäksi joissain tilanteissa tutkittaville voi olla tarpeellista antaa lisätietoja läpinäkyvyyden periaatteen toteuttamiseksi, vaikka niiden antamista ei nimenomaisesti edellytetä informointia koskevissa säännöksissä. Nämä voivat koskea esimerkiksi henkilötietojen käsittelyyn liittyviä riskejä ja suojatoimia. Voit olla tarvittaessa yhteydessä organisaatiosi tietosuojavastaavaan yksityiskohtaisten neuvojen saamiseksi.

2. Informoinnin laatuvaatimukset ja muoto

Yleisenä edellytyksenä on, että henkilötietojen käsittelyä koskevat tiedot annetaan tutkittaville tiivisti esitetyssä, läpinäkyvässä, helposti ymmärrettävissä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Informaation ymmärrettävyyttä ja henkilötietojen käsittelyn läpinäkyvyyttä tarkastellaan nimenomaan tutkittavan näkökulmasta. Tutkittavan informoinnissa tulisi siten välttää turhan monimutkaisia termejä, tutkittavalle tuntematonta jargonia ja tulkinnanvaraisia muotoiluja. Henkilötietojen käsittelyä koskevat tiedot tulisi pitää mahdollisuuksien mukaan erillään muista tiedoista. Keskeinen edellytys on, että tutkittavalla tulee olla pääsy kaikkiin informoinnin sisällön osa-alueisiin ilman, että hän joutuu omatoimisesti etsimään tietoja. Tiedot on annettava lähtökohtaisesti kirjallisesti tai sähköisesti, ellei tutkittava pyydä tietoja saatavakseen suullisesti.

Informoinnin tiiviyttä, selkeyttä ja sisällöltä edellytettävää laajuutta voidaan yhteensovittaa hyödyntämällä kerrostettua lähestymistapaa informointiin. Lähtökohtana on, että tutkittavalle annetaan kaikki tietosuoja-asetuksen edellyttämät tiedot henkilötietojen käsittelystä. Kerrostetulla lähestymistavalla tarkoitetaan informointia, jossa henkilötietojen käsittelyä koskevaa tietoa jaetaan tärkeyden perusteella eri kerroksiin.

Kerrostettu informointi

Ensimmäinen kerros (esimerkiksi tutkimusesite tai kyselyn saate) sisältää tutkimuksen kannalta tärkeimmät asiat:

  • Käsittelyn tarkoitus eli tehtävä tutkimus
  • Rekisterinpitäjän identiteetti
  • Tutkittavalle kuuluvat oikeudet
  • Yllättävät näkökulmat ja vaikutukset

Yllättäviä näkökulmia ja vaikutuksia tutkittavan näkökulmasta voivat olla esimerkiksi rekisteröidyn oikeuksien rajoittaminen kansallisen lainsäädännön perusteella tai henkilötietoja sisältävän aineiston siirto EU:n/ETA:n ulkopuolella olevalle tutkimuskumppanille.

Myöhemmissä kerroksissa voidaan antaa yksityiskohtaiset tiedot henkilötietojen käsittelystä tutkimuksessa. Esimerkiksi yksityiskohtainen tietosuojailmoitus/tietosuojaseloste voidaan sisällyttää kyselyn saatteesta löytyvän linkin kautta tutkimuksen verkkosivulle. Laadullisessa tutkimuksessa yksityiskohtainen tietosuojailmoitus/tietosuojaseloste voidaan antaa erillisenä liitteenä tutkittaville tutkimusesitteen ja allekirjoitettavan osallistumissuostumuksen lisäksi.

Tutkittavalle täytyy aina antaa todellinen mahdollisuus tutustua tarkempaa tietoa antaviin kerroksiin. Rekisterinpitäjällä on myös osoitusvelvollisuus siitä, että informointi on suoritettu tietosuoja-asetuksen edellyttämässä laajuudessa. Tutkittaville paperilla tai sähköisesti annettavan tietosuojailmoituksen tulee sisältää tiivistettynä kaikki tietosuoja-asetuksen edellyttämät tiedot. Pelkkä tietosuojailmoituksen antaminen ei välttämättä kuitenkaan merkitse sitä, että tutkittava on ymmärtänyt kaiken saamansa tiedon. Henkilötietojen käsittelyä koskevan informoinnin sisältö (kirjallinen ja suullinen), informoinnin toteutustapa ja ajankohta pitää dokumentoida ja perustella rekisterinpitäjän osoitusvelvollisuuden toteuttamiseksi.

Tutkimuksesta informoitaessa voidaan käyttää apuna myös teknisiä ja audiovisuaalisia ratkaisuja. Täydentävää tietoa tutkimuksesta voidaan antaa tarjoamalla mahdollisuus tutustua tutkimusta esittelevään verkkosivustoon tai muuhun tutkimusta laajemmin esittelevään materiaaliin. Lisäksi esimerkiksi tutkimusta koskeva lyhyt videoesitys voi olla toimiva ratkaisu nuoriin kohdistuvan tutkimuksen yleisesittelynä.

3. Informoinnin ajankohta

Tutkittavan informoinnin ajankohtaan vaikuttaa se, kerätäänkö henkilötiedot suoraan tutkittavalta vai muulla tavalla. Suoraan tutkittavalta kerättävien tietojen osalta informoinnin ajankohtaa koskevat säännöt ovat suoraviivaisia. Muuten kuin suoraan tutkittavalta saatuja henkilötietoja koskevat yksityiskohtaisemmat säännöt. Muuten kuin suoraan tutkittavalta saatujen henkilötietojen osalta tutustu myös informoinnista poikkeamiseen.

  • Kerätessä henkilötietoja suoraan tutkittavalta henkilötietojen käsittelystä informoidaan heti, kun henkilötietoja saadaan. Informaatio voidaan antaa esimerkiksi haastattelun tai lomakekyselyn alussa.
  • Muuten kuin rekisteröidyltä saatujen tietojen osalta tutkittavia informoidaan henkilötietojen käsittelystä kohtuullisessa ajassa, mutta kuitenkin viimeistään kuukauden kuluessa siitä, kun henkilötiedot on saatu. Aikarajaa voivat lyhentää käsittelyyn liittyvät erityiset olosuhteet.

    Kun tiedot on saatu muuten kuin rekisteröidyiltä, on tutkittavia informoitava henkilötietojen käsittelystä mainittua kuukauden aikarajaa aiemmin kahdessa tilanteessa: Ensinnäkin tiedot on toimitettava tutkittavalle heti, kun häneen ollaan ensimmäisen kerran yhteydessä. Vaikka tutkimusyhteydenotto esimerkiksi haastattelun sopimiseksi olisi suunniteltu myöhemmäksi, tulee tutkittavaa informoida henkilötietojen käsittelystä joka tapauksessa kuukauden aikarajan sisällä. Toisessa poikkeustilanteessa henkilötietojen käsittelystä tulee informoida ennen aikarajan kulumista umpeen, jos henkilötietoja on tarkoitus luovuttaa toiselle vastaanottajalle. Informointi suoritetaan viimeistään silloin, kun henkilötietoja luovutetaan ensimmäisen kerran.

Sääntöjen asianmukainen soveltaminen edellyttää aineistonkeruun aikataulujen suunnittelua huolella etukäteen. Jos mahdollisten tutkittavien yhteystiedot hankitaan ulkopuoliselta taholta, on hyvä suunnitella henkilötietojen (esimerkiksi yhteystietojen) hankkimisen ajankohta tutkimuksessa niin, että informointia koskevia aikarajoja pystytään noudattamaan. Yhden kuukauden aikarajasta huolimatta tulkintasuosituksena on pidetty sitä, että rekisterinpitäjä suorittaa informoinnin hyvissä ajoin ennen aikarajan umpeutumista kohtuullisuusperiaatteen mukaisesti.

4. Henkilötietojen käsittelyä koskevan informoinnin sisältö

Taulukko 1: Henkilötietojen käsittelystä annettava informaatio.

Tutkittavalle annettava tieto henkilötietojen käsittelystä Kerätään suoraan tutkittavalta Kerätään muutoin kuin suoraan tutkittavalta
Rekisterinpitäjän identiteetti ja yhteystiedot x x
Tietosuojavastaavan yhteystiedot x x
Henkilötietojen käsittelyperuste x x
Rekisterinpitäjän tai kolmannen osapuolen oikeutetut edut, jos käsittely perustuu 6 artiklan 1 kohdan f alakohtaan x x
Tiedot oikeudesta peruuttaa suostumus ja suostumuksen peruuttamisen vaikutuksista x x
Henkilötietojen käsittelytarkoitus x x
Tiedot oikeudesta peruuttaa suostumus ja suostumuksen peruuttamisen vaikutuksista x x
Henkilötietojen vastaanottajat tai vastaanottajaryhmät x x
Henkilötietojen säilyttämisaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit x x
Henkilötietojen ryhmät ja tiedot henkilötietojen lähteestä x
Tieto siitä, mistä henkilötiedot on saatu x
Tieto oikeudesta tehdä valitus valvontaviranomaiselle x x
Rekisteröidyn oikeudet x x
Tiedot koskien henkilötietojen siirtoa kolmansiin maihin x x
Tiedot henkilötietojen antamisen liittymisestä sopimusperusteiseen tai lakisääteiseen velvollisuuteen x
Automaattinen päätöksenteko ja profilointi x x

4.1 Rekisterinpitäjän identiteetti ja yhteystiedot

Tutkittavia tulee informoida rekisterinpitäjän identiteetistä ja yhteystiedoista. Siksi on selvitettävä hyvissä ajoin ennen tutkimuksen aloittamista tutkimusaineistoon liittyvät henkilötietojen käsittelyn roolit ja vastuut. Rekisterinpitäjän määrittäminen oikein ja rekisterinpitäjän ilmoittaminen tutkittavalle ovat vastuullisen ja läpinäkyvän henkilötietojen käsittelyn keskeisimpiä elementtejä.

Rekisterinpitäjällä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, virastoa tai muuta elintä, joka yksin tai yhdessä toisen kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Jos useampi rekisterinpitäjä määrittelee yhdessä käsittelyn tarkoitukset ja keinot, pidetään heitä yhteisrekisterinpitäjinä.

Tämän informointivaatimuksen täyttämiseksi tulee kiinnittää huomiota kahteen asiaan. Ensinnäkin rekisterinpitäjä tulee olla yksiselitteisesti tutkittavan identifioitavissa. Ulkopuolisen henkilön on usein vaikeaa päätellä rekisterinpitäjää, jos informoinnissa on mainittu useita henkilöitä tai organisaatioita. Myös tutkimuksen toteuttaminen esimerkiksi yrityksen tai viraston tiloissa voi luoda tutkittavalle väärän käsityksen tutkimuksessa käsiteltävien henkilötietojen rekisterinpitäjästä.

Toiseksi edellytetään sitä, että rekisterinpitäjän yhteystiedot ovat riittäviä. Mahdollisuuksien mukaan tutkittavalle tulisi tarjota useita yhteydenottotapoja rekisterinpitäjään, esimerkiksi puhelinnumero, sähköpostiosoite ja postiosoite. Annettavia yhteystietoja valittaessa on hyvä kiinnittää huomiota niiden pysyvyyteen ja rekisterinpitäjän saavutettavuuteen niiden kautta. Tutkittavalla tulisi olla rekisteröitynä oikeus käyttää hänelle kuuluvia oikeuksia tehokkaasti ilman puutteellisten yhteystietojen aiheuttamaa viivästymistä.

Selkeä perusratkaisu edellä mainittuihin vaatimuksiin on sisällyttää esimerkiksi informointilomakkeeseen seuraavanlainen kohta:

Rekisterinpitäjä: Organisaatio, postiosoite
Yhteystiedot: [puhelinnumero], [sähköposti]

Jos tutkimuksella on yhteisrekisterinpitäjiä, on rekisterinpitäjien välistä järjestelyä koskevien keskeisten tietojen oltava tutkittavien saatavilla. Tutkijoiden on hyvä varautua vastaamaan tutkittavan kysymyksiin siitä, mitä rekisterinpitäjällä tarkoitetaan. Lyhyenä yleiskielisenä vastauksena voidaan pitää esimerkiksi sitä, että rekisterinpitäjä on taho, joka on vastuussa tutkittavien henkilötietojen asiallisesta ja lainmukaisesta käsittelystä. Tämän voi halutessaan sisällyttää suoraan osaksi informointia, jos se katsotaan tarpeelliseksi.

4.2. Tietosuojavastaavan yhteystiedot

Jos rekisterinpitäjälle on nimetty tietosuojavastaava, on tutkittaville ilmoitettava tietosuojavastaavan yhteystiedot. Tietosuojavastaavan nimittäminen on voinut perustua tietosuoja-asetukseen, muuhun säädökseen tai organisaation vapaaehtoisuuteen. Jos tutkija on itse rekisterinpitäjä, hänen ei tarvitse nimittää erikseen tutkimukseen tietosuojavastaavaa.

Tietosuojavastaavan yhteystiedot tulee ilmoittaa tavalla, joiden avulla tutkittavan on helppo ottaa häneen yhteyttä. Hyväksyttävinä on pidetty esimerkiksi postiosoitetta, tietosuojavastaavan toimelle nimenomaisesti osoitettua puhelinnumeroa ja/tai sähköpostiosoitetta. Jos tietosuojavastaavaan saa yhteyden myös esimerkiksi yhteydenottolomakkeen avulla, voi tästä mainita. Selvitä organisaatiostasi, mikä on suositelluin tapa ilmoittaa tietosuojavastaavan yhteystiedot.

Keskeinen kriteeri yhteystietojen riittävyyden arvioinnissa on se, että yhteystietojen avulla saa yhteyden suoraan tietosuojavastaavaan ilman tarvetta ottaa yhteyttä muuten rekisterinpitäjään. Tietosuojavastaavan henkilön nimen ilmoittamista ei ole pidetty välttämättömänä, mutta joissain tapauksissa se voi olla hyvä käytäntö. Tietosuojavastaavan henkilön nimen ilmoittamisessa kannattaa ottaa huomioon myös henkilöstön vaihtuvuus. Olennaista on kuitenkin se, että tutkittavalla on halutessaan suora yhteys tietosuojavastaavaan hänelle annettujen tietojen perusteella.

4.3. Henkilötietojen käsittelyperuste

Henkilötietojen käsittelylle tutkimuksessa tulee olla aina laillinen käsittelyperuste, ja se tulee ilmoittaa tutkittavalle. Tutkimukselle valittu käsittelyperuste vaikuttaa myös muun informoinnin sisältöön. Käsittelyperuste määrittelee sen, mitä oikeuksia tutkittavalla on käytettävissään.

Informointia suunniteltaessa ja toteutettaessa on erotettava toisistaan kaksi eri käsittelyperustetta.

  1. Yleinen käsittelyperuste tarkoittaa yhtä tietosuoja-asetuksen 6 artiklan 1 kohdan mukaista perustetta, joka vaaditaan aina henkilötietoja käsiteltäessä.
  2. Poikkeusperuste erityisten henkilötietoryhmien käsittelyyn tarkoittaa tietosuoja-asetuksen 9 artiklan 2 kohdan poikkeusperustetta, jonka perusteella erityisiä henkilötietoryhmiä (aiemmin "arkaluonteiset tiedot") käsitellään. Tämä tarvitaan yleisen käsittelyperusteen lisäksi, kun käsitellään erityisiä henkilötietoryhmiä.

Rekisterinpitäjän on valittava tutkimukseen sopivin käsittelyperuste. Yhtä käsittelytarkoitusta varten tulisi valita vain yksi käsittelyperuste. Arvioi huolella, mikä käsittelyperuste tutkimukseesi soveltuu ja noudata valitun käsittelyperusteen käytön kriteereitä. Oikean käsittelyperusteen valitsemiseksi voit olla yhteydessä esimerkiksi oman organisaation tietosuojavastaavaan.

Yleisiä käsittelyperusteita tieteellisessä tutkimuksessa

  • Tutkittavan suostumus. Suostumuksen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla tutkittava lausumalla tai selkeästi suostumusta ilmaisemalla toimella hyväksyy henkilötietojensa käsittelyn. Suostumukseen käyttämiseen liittyy lisäksi eräitä lisäedellytyksiä, ja sen – kuten muidenkin käsittelyperusteiden – käyttämisen tulisi perustua asianmukaiseen harkintaan. Yleistä tietoa suostumuksen edellytyksistä voi lukea Tietosuojavaltuutetun sivuilta.
    Tieteellisen tutkimuksen yhteydessä on keskeistä huomata, että suostumus osallistua tutkimukseen ei ole suostumus henkilötietojen käsittelyyn.
  • Rekisterinpitäjän lakisääteisen velvoitteen noudattaminen. Joissain tilanteissa tutkimuksen suorittaminen on osa rekisterinpitäjän lakisääteisten velvoitteiden noudattamista. Käsittelyperusteen soveltaminen edellyttää sitä, että käsittelyn perustasta on määritelty kansallisessa lainsäädännössä.
  • Käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi. Käsittelyperuste edellyttää kansallista lainsäädäntöä. Kansallinen tietosuojalaki mahdollistaa henkilötietojen käsittelyn silloin, kun se on tarpeen tieteellistä tai historiallista tutkimusta taikka tilastointia varten ja se on oikeasuhtaista sillä tavoiteltuun yleisen edun mukaiseen tavoitteeseen nähden (tietosuojalaki 4 §:n 3-kohta).
  • Rekisterinpitäjän oikeutettu etu. Henkilötietojen käsittely tieteellistä tutkimusta varten voi olla mahdollista rekisteripitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi. Tämä käsittelyperuste ei ole käytettävissä viranomaisten tehtävien yhteydessä tapahtuvassa henkilötietojen käsittelyssä. Käsittelyperusteen käyttäminen ei saa syrjäyttää tutkittavien suojaa edellyttäviä etuja tai perusoikeuksia ja -vapauksia. Rekisterinpitäjän edun oikeutuksen arviointiin voi käyttää ns. tasapainotestiä. Käsittelyperusteen käyttämisen arviointiin on kiinnitettävä erityistä huomioita silloin, kun rekisteröity on lapsi. Yleistä tietoa rekisterinpitäjän oikeutetusta edusta voi lukea Tietosuojavaltuutetun sivuilta

Erityisillä henkilötietoryhmillä (aiemmin "arkaluonteiset tiedot") tarkoitetaan henkilötietoja, joista ilmene rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus, ammattiliiton jäsenyys, terveyttä koskevia tietoja, seksuaalista käyttäytymistä ja suuntautumista koskevia tietoja. Erityisiin henkilötietoryhmiin kuuluu myös geneettisten ja biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten.

Edellä mainittujen erityisten henkilöryhmien käsittely on lähtökohtaisesti kiellettyä. Tämä ei kuitenkaan tarkoita sitä, että tietoja ei saa lainkaan käsitellä, vaan käsittelyn oikeuttamiseksi tarvitaan soveltuva poikkeusperuste. Seuraavassa on listattu yleisiä poikkeusperusteita tieteellisessä tutkimuksessa.

Poikkeusperuste erityisten henkilötietoryhmien käsittelyyn

  • Tutkittavan nimenomainen suostumus. Erona yleisenä käsittelyperusteena olevaan suostumukseen on se, että suostumus on henkilötietojen käsittelylle annettujen yleisten edellytysten lisäksi nimenomainen.
  • Käsittely on tarpeen yleisen edun mukaisia tieteellisiä tutkimustarkoituksia varten.. Tämä edellyttää perustaa joko unionin oikeudessa tai jäsenvaltion lainsäädännössä. Tietosuojalain 6.1 §:n 7-kohdan mukaan erityisiä henkilötietoryhmiä voi käsitellä tieteellistä tai historiallista tutkimusta taikka tilastointia varten tehtävään tietojen käsittelyyn.

Osana tutkittavan informointia tulee kertoa, mihin henkilötietojen käsittely perustuu. Informointiin lisätään yleinen käsittelyperuste sekä, jos tutkimuksessa käsitellään erityisiä henkilötietoryhmiä, poikkeusperuste erityisten henkilötietoryhmien käsittelyyn. Tämän voi ratkaista lisäämällä osaksi informointia esimerkiksi seuraavanlaisen lauseen.

Henkilötietojesi käsittely on tarpeen yleisen edun mukaisen tieteellisen tutkimuksen toteuttamiseksi tietosuojalain 4 § 3-kohdan perusteella. Erityisiä henkilötietoryhmiä käsitellään tieteellistä tutkimusta varten tietosuojalain 6 §:n 7-kohdan mukaisesti.

Eräisiin käsittelyperusteisiin liittyy informoinnin osalta lisäsääntöjä. Ensimmäinen liittyy rekisterinpitäjän oikeutettuun etuun.

  • Käytettäessä rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua yleisenä käsittelyperusteena on tutkittaville kerrottava kyseessä oleva oikeutettu etu.
  • Tämän lisäksi on hyvä käytäntö antaa tietoa rekisteröidyn oikeutettuun etuun liittyvästä tasapainotestistä. Tasapainotestistä tiedon antamisessa voidaan hyödyntää kerrostettua informointia. Jos tietoa ei anneta suoraan, voidaan tutkittaville myös kertoa, että heillä on mahdollisuus saada tietoa testistä.

Toinen informoinnin sisältöön liittyvä erityissääntö liittyy suostumukseen.

  • Jos henkilötietojen yleinen käsittelyperuste on suostumus, tai jos erityisiä henkilötietoryhmiä koskeva käsittely perustuu nimenomaiseen suostumukseen, on tutkittavaa informoitava oikeudesta perua suostumus henkilötietojen käsittelyyn milloin vain. Lisäksi tutkittavalle on kerrottava, että suostumuksen peruminen ei vaikuta ennen peruuttamista suoritetun käsittelyn lainmukaisuuteen.
  • Ajallisesti tieto mahdollisuudesta peruuttaa suostumus on annettava ennen kuin tutkittava antaa suostumuksensa henkilötietojen käsittelyyn.

4.4. Henkilötietojen käsittelytarkoitus

Henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten. Henkilötietojen käsittelylle määritelty käyttötarkoitus on sisällytettävä tutkittavalle annettavaan informaatioon. Useissa tapauksissa tutkittavan informoiminen siitä, että henkilötietoja käsitellään tiettyä, nimettyä tutkimusta varten, on riittävää.

Olennaista on huolehtia siitä, että ilmoitettu käyttötarkoitus kattaa riittävästi henkilötietojen käsittelyn. Tutkimukseen tavoitteeseen ja aiheeseen liittyvää yleistä lisätietoa voi antaa muun informaation yhteydessä.

4.5. Henkilötietojen vastaanottajat tai vastaanottajaryhmät

Tutkittavaa on informoitava henkilötietojen luovuttamisesta ja siirtämisestä. Vastaanottajina pidetään ensinnäkin kolmansia osapuolia. Näitä ovat esimerkiksi kaikki ulkopuoliset luonnolliset henkilöt, oikeushenkilöt, viranomaiset, virastot ja muut elimet. Näiden lisäksi vastaanottajina pidetään rekisterinpitäjiä, yhteisrekisterinpitäjiä ja henkilötietojen käsittelijöitä. Esimerkiksi tutkimuskumppanit, joille aineistoa luovutetaan, ilmoitetaan vastaanottajiksi.

Henkilötietojen käsittelijän käsitteen osalta on hyvä huomata, että käsittelijä on tietosuojalainsäädännön mukainen erityinen rooli. Esimerkiksi jos litteroinnin suorittaa rekisteripitäjään työsuhteessa oleva henkilö, ei kyseessä ole henkilötietojen käsittelijä. Jos litteroinnin suorittaa sen sijaan ulkopuolinen yritys, on kyseessä henkilötietojen käsittelijä, josta tutkittavaa on informoitava.

Käytännössä tutkimusta suunniteltaessa on oleellista kartoittaa mahdollisen aikaisessa vaiheessa tarkasti henkilötietoihin liittyvät tietovirrat.

Lähtökohtana on, että rekisteröidylle ilmoitetaan vastaanottaja nimettynä. Siinä tapauksessa, että vastaanottajaa ei voida nimetä, on mahdollista ilmoittaa vastaanottajaryhmät. Rekisterinpitäjän on osoitusvelvollisuuden täyttämiseksi perusteltava tehty valinta.

Jos rekisterinpitäjä antaa tutkittaville tietoa ainoastaan vastaanottajaryhmistä, on vastaanottajien ryhmiä mahdollista rajata seuraavilla kriteereillä:
  • vastaanottajan tyyppi (esim. viittaus vastaanottajan harjoittamaan toimintaan)
  • toimiala
  • sektori / alasektori
  • sijainti

Kun aineisto halutaan siirtää Tietoarkistoon, toimii Tietoarkisto henkilötietojen käsittelijänä. Tietoarkisto on tässä tilanteessa vastaanottaja ja tutkittavia informoidaan asiasta. Katso tarkemmat ohjeet luvusta Arkistoinnista informoiminen.

4.6. Henkilötietojen säilyttämisaika

Tutkittavalle ilmoitetaan henkilötietojen säilytysaika ensisijaisesti nimenomaisena aikamääreenä. Jos tämä ei ole mahdollista, voidaan tutkittavalle ilmoittaa kriteerit, joiden perusteella säilytysaika määritetään. Tietojen säilytysaika voi liittyä tapauskohtaisesti rekisterinpitäjään soveltuvaan lainsäädäntöön tai esimerkiksi käytännesääntöihin.

Säilytysaikaa määritettäessä on kiinnitettävä huomiota siihen, että tutkittava pystyy annettujen tietojen perusteella arvioimaan henkilötietojen säilytysajan. Säilytysajan määritteleminen vain yleisesti tavalla, jossa todetaan henkilötietoja säilytettävän käyttötarkoituksen toteuttamisen ajan ei välttämättä ole riittävää. Näin ollen olisi vältettävä mahdollisuuksien mukaan säilytysajan sitomista yleisesti tutkimushankkeen kestoon ilman säilytysajan kriteerien tarkempaa määrittämistä. Tutkimuksen yksityiskohdista riippuen voi olla tarpeellista ilmoittaa eri henkilötietoryhmille omat säilytysajat. Lisäksi jos henkilötietojen käsittelyyn liittyy useita käsittelytarkoituksia, on näille asianmukaista ilmoittaa omat säilytysajat.

Yllä kuvattu säilytysajan ilmoittaminen liittyy tietosuoja-asetuksen tietojen minimointia ja säilytysten rajoittamista koskeviin periaatteisiin. Rekisterinpitäjä on myös velvoitettu toteuttamaan sisäänrakennetun ja oletusarvoisen tietosuojan periaatteita, joilla on läheinen yhteys tietojen minimointiin ja säilytyksen rajoittamiseen.

4.7. Henkilötietojen ryhmät ja tiedot henkilötietojen lähteestä

Tilanteisiin, joissa henkilötiedot on saatu muuten kuin suoraan rekisteröidyltä, sisältyy kaksi informointia koskevaa lisävaatimusta. Molemmat tilanteet liittyvät siihen, että toisin kuin kerättäessä henkilötietoja suoraan tutkittavalta, ei tutkittava ole välttämättä tietoinen kerättyjen tietojen sisällöstä ja lähteestä.

Ensimmäinen informointia koskeva lisäedellytys koskee kerättyjen henkilötietojen ryhmiä. Annettavien tietojen tarkkuutta ei ole nimenomaisesti määritelty. Tarkkuutta harkittaessa on hyvä muistaa, että henkilötietojen käsittelyn tulee olla läpinäkyvää rekisteröidyn kannalta. Henkilötietojen ryhmiä voivat tapauksesta riippuen olla esimerkiksi tulot, osoitetiedot, työllisyyshistoria,ja koulutustiedot.

Toinen lisäedellytys koskee henkilötietojen lähdettä. Jos henkilötietojen lähde on mahdollista antaa nimettynä, on tämä asianmukaista kertoa. Muussa tapauksessa annetaan tieto lähteen luonteesta. Tähän sisältyy tapauskohtaisesti informaatio siitä, onko tiedot saatu yleisesti saatavilla olevasta lähteestä.

Nimettyä lähdettä korvaavaa lisäinformaatiota ovat esimerkiksi seuraavat tiedot:
  • onko kyseessä yksityinen vai julkinen lähde
  • organisaation tyyppi
  • toimiala
  • sektori

Jos rekisteröidylle ei ole mahdollista ilmoittaa nimenomaista lähdettä siitä syystä, että henkilötietoja on kerätty useista lähteistä, on annettava lähdettä koskevat yleiset tiedot. Tilannetta, jossa nimenomaista lähdettä ei ole mahdollista ilmoittaa, tulisi välttää. Sisäänrakennetun ja oletusarvoisen tietosuojan vaatimukset edellyttävät henkilötietojen lähteen asianmukaista määrittämistä.

4.8. Tieto oikeudesta tehdä valitus valvontaviranomaiselle

Tutkittavalla on oikeus tehdä valitus valvontaviranomaiselle. Tieto oikeudesta on annettava osana informointia. Tutkittavalle olisi annettava vähintään seuraavat tiedot:

Sinulla on oikeus tehdä valitus henkilötietojen käsittelyä valvovalle viranomaiselle, jos epäilet henkilötietojasi käsiteltävän vastoin tietosuojalainsäädäntöä.

Tutkittavaa voidaan haluttaessa informoida tarkemmin oikeuden käyttämisestä antamalla esimerkiksi linkki valvontaviranomaisen verkkosivuille (tietosuoja.fi). Lähtökohtaisesti valitus tehdään sen EU:n jäsenvaltion viranomaiselle, jossa tutkittavan asuinpaikka tai työpaikka on, tai jossa väitetty henkilötietojen käsittelyä koskevien sääntöjen rikkominen on tapahtunut.

4.9. Rekisteröidyn oikeudet

Rekisteröidyillä on henkilötietojen käsittelyssä eräitä oikeuksia. Käytettävissä olevat oikeudet määräytyvät sen mukaan, mikä käsittelyperuste henkilötietojen käsittelylle on valittu. Tämä tarkoittaa ensinnäkin sitä, että käsittelyperusteeseen liittyvät rekisteröidyille kuuluvat oikeudet on kartoitettava. Toiseksi tieteellisessä tutkimuksessa on eräissä tapauksissa mahdollista poiketa tutkittavan oikeuksista. Informointi tutkittavien oikeuksista on vastattava tapauskohtaisesti suunniteltavaa henkilötietojen käsittelyä.

Seuraavassa on eräisiin tieteelliselle tutkimukselle tyypillisiin käsittelyperusteisiin liittyviä oikeuksia.

  • Tutkittavan suostumus
    • Oikeus saada pääsy tietoihin
    • Oikeus oikaista tietoja
    • Oikeus tietojen poistamiseen (tietosuoja-asetus sisältää tutkimustarkoitukseen liittyvän erityisen poikkeuksen tähän liittyen)
    • Oikeus rajoittaa tietojen käsittelyä
    • Oikeus siirtää tiedot järjestelmästä toiseen (ei koske täysin manuaalista henkilötietojen käsittelyä)
  • Käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi (tieteellinen tutkimus, tietosuojalaki 4 §:n 3-kohta)
    • Oikeus saada pääsy tietoihin
    • Oikeus oikaista tietoja
    • Oikeus rajoittaa tietojen käsittelyä
    • Oikeus vastustaa henkilötietojen käsittelyä
  • Rekisterinpitäjän oikeutettu etu
    • Oikeus saada pääsy tietoihin
    • Oikeus oikaista tietoja
    • Oikeus tietojen poistamiseen
    • Oikeus rajoittaa tietojen käsittelyä
    • Oikeus vastustaa henkilötietojen käsittelyä
Suostumukseen ja rekisterinpitäjän oikeutettuun etuun liittyen lue kohdassa käsittelyperuste olevat informointia koskevat lisätiedot.

Tieteellisen tutkimuksen erityispiirteinä on, että siinä voidaan poiketa eräitä osin rekisteröidyn oikeuksista, jos poikkeukselle asetetut edellytykset täyttyvät. Informoinnin kannalta on huomattava, että oikeuksista poikkeaminen ei ole automaattista, vaan edellyttää harkintaa. Henkilötietojen käsittelyn läpinäkyvyyden periaatteen toteuttamiseksi tutkittavia on hyvä informoida tästä. Jos henkilötietoja käsiteltäisiin esimerkiksi yleistä etua koskevan tehtävän suorittamiseksi tietosuojalain 4 §:n 3-kohdan mukaan, oikeuksista ja niiden mahdollisesta rajoittamisesta kansallisen lainsäädännön perusteella voitaisiin kertoa seuraavalla tavalla:

Sinulle kuuluu oikeus saada pääsy tietoihin, oikaista tietoja, rajoittaa tietojen käsittelyä ja vastustaa henkilötietojen käsittelyä. Tieteellisen tutkimuksen yhteydessä edellä mainituista oikeuksista voidaan poiketa kansallisen lainsäädännön mukaisesti.

Jos oikeuksien käyttämiselle on organisaatiossa suunniteltu ennalta tietty yhteyshenkilö tai toimintatapa, voi tästä kertomista harkita. Joissain tilanteissa rekisteröity voi kysyä, mitä eri oikeudet sisältävät. Oikeuksien sisältö ja käyttäminen sisältää useita yksityiskohtia. Rekisteröidyn oikeuksiin liittyvää yleistä tietoa voi halutessaan lukea Tietosuojavaltuutetun toimiston sivulta.

4.10 Tiedot koskien henkilötietojen siirtoa kolmansiin maihin

Tutkittavalle on annettava osana informointia eräitä lisätietoja, jos henkilötietoja siirretään EU:n/ETA:n ulkopuolelle kolmansiin maihin tai kansainvälisille järjestöille. Henkilötietojen siirtäminen edellä mainituissa tapauksissa edellyttää muiden käsittelyn laillisuutta koskevien vaatimusten täyttymisen lisäksi, että siirrolle on tietosuoja-asetuksen V luvun mukainen peruste. Säännöt koskevat myös tilannetta, jossa henkilötietoja siirretään vastaanottomaasta tai järjestöstä edelleen toiseen kolmanteen maahan tai toiselle kansainväliselle järjestölle.

Siirto voi perustua tieteellisessä tutkimuksessa esimerkiksi Euroopan komission päätökseen tietosuojan riittävästä tasosta (45 artikla). Näihin maihin/alueisiin sisältyvät tällä hetkellä Andorra, Argentiina, Kanada (rajoitetusti), Färsaaret, Guernsey, Israel, Mansaari, Jersey, Uusi-Seelanti, Sveitsi ja Uruguay. Yhdysvaltoja koskee EU:n ja Yhdysvaltojen välinen Privacy Shield -viitekehys, joka edellyttää vastaanottajan sertifiointia osaksi järjestelyä. Muita perusteita siirroille ovat siirto asianmukaisia suojatoimia soveltaen (46 artikla), yritystä koskevat sitovat säännöt (47 artikla) ja erityistilanteita koskevat poikkeukset (49 artikla). Jos tutkimus sisältää henkilötietojen siirtoja kolmansiin maihin tai kansainvälisille järjestöille, on suositeltavaa olla yhteydessä oman organisaation tietosuojavastaavaan tai lakimieheen siirtoa koskevien sääntöjen oikean soveltamisen varmistamiseksi.

Informointiin sisällytettävät tiedot

Informoinnin sisältöön vaikuttaa siirrossa käytetty mekanismi. Jos henkilötietoja siirretään edellä mainitulla tavalla, osaksi informointia on sisällytettävä

  • tieto siitä, että henkilötietoja on tarkoitus siirtää kolmanteen maahan tai kansainväliselle järjestölle
  • tieto tietosuojan riittävyyttä koskevan päätöksen olemassaolosta tai puuttumisesta
  • siirrossa käytettävä tietosuoja-asetuksen mukainen mekanismi (ja siihen liittyvä artikla)
  • tieto käytetyn mekanismin sisällöstä tai siitä, mistä tieto on saatavilla

Tiedot on annettava tavalla, joka on tutkittavalle mahdollisimman merkityksellinen. Siirron kohteena olevat kolmannet maat on hyvä nimetä. Tapauksen mukaan informoinnin käytännön toteuttamisessa voi käyttää kerrostettua informointia.

EU:n komission sivuilta löytyvät päätökset tietosuojan riittävästä tasosta. Eri käännösversiot EU:n virallisilla kielillä löytyvät seuraamalla yllä olevaa linkkiä EUR-Lex -tietokantaan.

Esimerkki siirrosta kolmansiin maihin informoinnista

Suomalainen rekisterinpitäjä on osallinen monikansallisessa tutkimushankkeessa, jossa henkilötietoja siirretään Ruotsiin, Saksaan ja Israeliin. Henkilötietojen vastaanottajien ja vastaanottajaryhmien osalta sovelletaan aiemmin selostettuja sääntöjä. Tämän lisäksi tilanteeseen soveltuvat kolmansiin maihin siirtoa koskevat säännöt. Koska Ruotsi ja Saksa ovat osa EU:ta, ei siirrosta tarvitse näiden maiden osalta antaa lisäinformaatiota. Israel ei ole EU:n jäsenvaltio, mutta Euroopan komissio on antanut sitä koskevan päätöksen tietosuojan riittävästä tasosta. Tässä tilanteessa tutkittaville voi kertoa siirrosta kolmansiin maihin esimerkiksi seuraavalla tavalla:

Henkilötietojasi siirretään Israeliin, joka sijaitsee Euroopan Unionin ulkopuolella. Siirto tapahtuu Euroopan komission antaman tietosuojan tason riittävyyttä koskevan päätöksen perusteella (tietosuoja-asetuksen 45 artikla). Voit halutessasi tutustua tarkemmin komission päätökseen.

Jos henkilötietojen siirtäminen kolmanteen maahan tai kansainväliselle järjestölle perustuu tietosuoja-asetuksen 49 artiklan mukaiseen nimenomaiseen suostumukseen, on huolehdittava siitä, että ennen suostumuksen antamista tutkittavalle kerrotaan, että siirrot voivat aiheuttaa tutkittavalle riskejä tietosuojan tason riittävyyttä koskevan päätöksen ja asianmukaisten suojatoimien puuttumisen vuoksi.

4.11. Tiedot henkilötietojen antamisen liittymisestä sopimusperusteiseen tai lakisääteiseen velvollisuuteen

Tilanteissa, joissa henkilötietoja kerätään suoraan rekisteröidyltä, on tutkittavalle ilmoitettava, jos tietojen antaminen on lakisääteinen tai sopimukseen perustuva tai sopimuksen tekemisen edellyttämä vaatimus. Samoin on ilmoitettava se, onko tietojen antaminen pakollista, ja tietojen antamatta jättämisen mahdolliset seuraamukset.

Tällä on läheinen liityntä tutkimuksen vapaaehtoisuuteen. Asiasta informointi selkeyttää tilannetta esimerkiksi työpaikalla, virastoissa ja laitoksissa suoritettavissa tutkimuksissa. Jos henkilötietojen antaminen ei sisälly edellä kuvattua liityntää sopimusperusteiseen tai lakisääteiseen velvoitteeseen, eikä tietojen antamatta jättämisestä ole tutkittavalle seuraamuksia, voi asiasta kertoa yksinkertaisesti esimerkiksi seuraavalla tavalla:

Henkilötietojen antamiselle ei ole lakiin tai sopimukseen perustuvaa velvoitetta. Tietojen antamatta jättämisestä ei ole sinulle seuraamuksia.

Jos tietojen antamiselle on puolestaan lakiin tai sopimukseen perustuva vaatimus, kuvataan informoinnissa tapauskohtaisesti se, mihin vaatimus perustuu, sekä siihen liittyvät mahdolliset seuraamukset.

4.12. Automaattinen päätöksenteko ja profilointi

Automaattista päätöksentekoa ja profilointia koskee erillinen informointivelvoite. Määritelmiin liittyvää lisätietoa voi lukea tarvittaessa Tietosuojavaltuutetun sivuilta. Yksityiskohtaisia ohjeita löytyy dokumentista Suuntaviivat automatisoiduista yksittäispäätöksistä ja profiloinnista asetuksen (EU) 2016/679 täytäntöön panemiseksi (pdf).

Jos tutkimukseen ei liity automaattista päätöksentekoa tai profilointia, voi tutkittavia informoida asiasta esimerkiksi seuraavalla tavalla:

Henkilötietojasi ei käytetä automaattiseen päätöksentekoon tai profilointiin.

5. Informoinnista poikkeaminen

Tutkittavien informoinnista liittyen henkilötietojen käsittelyyn voidaan poiketa eräissä tilanteissa. Lähtökohtaisesti poikkeuksen käyttämiseen tulisi suhtautua pidättyväisesti, ellei niiden käyttäminen ole välttämätöntä. Jos poikkeuksia sovelletaan, on tärkeää huolehtia tehtyjen päätösten dokumentoinnista ja perustelemisesta rekisterinpitäjän osoitusvelvollisuuden toteuttamiseksi. Epäselvissä tilanteissa on hyvä olla yhteydessä oman organisaation tietosuojavastaavaan.

Kerättäessä henkilötietoja suoraan tutkittavalta voidaan informoinnista poiketa siltä osin, kuin tutkittava on jo saanut tiedot. Kyseessä voi olla esimerkiksi tilanne, jossa tutkittava on ollut jo aiemmin yhteydessä rekisterinpitäjään. Rekisterinpitäjän on kuitenkin pystyttävä osoittamaan se, miten ja milloin tutkittava on saanut tiedot. Lisäksi on pystyttävä osoittamaan, että aiemmin annetut tiedot eivät ole muuttuneet tai muuten vanhentuneet. Jos kyseessä on tilanne, jossa osa henkilötietojen käsittelyä koskevista yksityiskohdista ovat muuttuneet, voi tapauskohtaisesti olla asianmukaista antaa muuttuneiden tietojen lisäksi myös kaikki muu informaatio uudestaan. Tällöin tutkittavalle on hyvä korostaa, mitkä asiat ovat muuttuneet.

Tilanteisiin, joissa henkilötietoja saadaan muuten kuin suoraan tutkittavalta, sisältyy useampi poikkeustilanne. Edellä mainittu tilanne, jossa tutkittava on jo saanut tiedot, soveltuu myös muuten kuin suoraan tutkittavalta saatuihin tietoihin. Toisena poikkeuksena voidaan mainita lyhyesti tilanne, jossa tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa, kun noudatetaan tietosuoja-asetuksen 89 artiklan edellytyksiä ja suojatoimia, tai kun informointivelvollisuus todennäköisesti estää tieteellisten tarkoitusten saavuttamisen tai vaikeuttaa sitä suuresti. Poikkeuksen soveltamiseen liittyvän harkinnan, dokumentoinnin ja suojatoimien takia on suositeltavaa olla yhteydessä oman organisaation tietosuojavastaavaan.

Tietosuojavaltuutetun toimisto on katsonut, että informoinnista poikkeamisen yhteydessä on eräissä tilanteissa tehtävä tietosuojaa koskeva vaikutustenarviointi. Tietosuojaa koskeva vaikutustenarviointi on tehtävä ainakin, jos tutkimuksessa käsitellään henkilötietoja laajamittaisesti, henkilötietoja sovitetaan yhteen tai yhdistetään muihin tietokokonaisuuksiin, tutkimuksessa käsitellään heikossa asemassa olevien rekisteröityjen henkilötietoja, tai jos tutkimukseen liittyy uusien teknisten tai organisatoristen ratkaisujen innovatiivista käyttöä tai soveltamista. Voit lukea lisää vaikutuksenarviointia vaativista käsittelytoimista Tietosuojavaltuutetun toimiston sivuilta.

6. Arkistoinnista informoiminen

Kun aineisto halutaan siirtää Tietoarkistoon, toimii Tietoarkisto henkilötietojen käsittelijänä. Tietoarkisto on tässä tilanteessa vastaanottaja ja tutkittavia informoidaan asiasta. Tutkija laatii siirtoa varten Tietoarkiston kanssa tietosuoja-asetuksen mukaisen käsittelysopimuksen, vaikka hän arvioisi jo poistaneensa henkilötiedot aineistosta. Sopimus tehdään aina siltä varalta, että aineistoon olisi jäänyt esimerkiksi tunnistamisen mahdollistavia epäsuoria tunnisteita.

Arkistointi kirjataan tutkimuksen liitteeksi tehtävään tietosuojailmoitukseen seuraavalla tavalla:

Tutkimuksen päätyttyä tutkimusaineisto siirretään Yhteiskuntatieteelliseen tietoarkistoon, joka toimii henkilötietojen käsittelijänä. Tietoarkisto arvioi tutkijan tekemän anonymisoinnin, tekee tarvittaessa lisää poistoja ja muokkaa aineiston pitkäaikaissäilytykseen ja jatkokäyttöön soveltuvaksi.

Maininta lisätään tietosuojailmoituksen kohtaan, jossa kerrotaan tietojen vastaanottajat. Tutkimusorganisaatioiden tietosuojailmoituksia varten laadituissa mallipohjissa kohta on voitu otsikoida eri tavoin (esimerkiksi Tietojen siirto tai luovuttaminen tutkimusryhmän ulkopuolelle / Säännönmukaiset siirrot ja luovutukset / Henkilötietojen vastaanottajat tai vastaanottajaryhmät / Henkilötietojen luovuttaminen / Tietojen luovuttaminen tutkimusrekisteristä).

Kun tutkimukseen kerätään laadullisia aineistoja, kerrotaan tutkittaville tarkoitetussa tutkimusesitteessä/informoinnissa henkilötietojen poistamisesta ja pyydetään tutkittavilta erikseen lupa arkistointiin esimerkiksi osallistumissuostumuksen yhteydessä seuraavalla tavalla:

Lupa haastattelun/kirjoituksen arkistointiin Tietoarkistoon

▢ Haastatteluni/kirjoitukseni saa arkistoida Tietoarkistoon luovutettavaksi tutkimukseen, opiskeluun ja opetukseen (tai luovutettavaksi tutkimukseen ja ylempiin opinnäytteisiin pro gradusta alkaen).

▢ Haastatteluani/kirjoitustani ei saa arkistoida Tietoarkistoon.

Kiinnitämme Tietoarkistossa erityistä huomiota siihen, että aineistojen avaaminen ei vaaranna tutkittavien tietosuojaa. Aineistopalvelumme tarkistaa aina, että arkistoitavat aineistot ovat anonyymeja. Perehdy Tietoarkiston ohjeisiin aineiston arkistoijalle.

Mikäli suunnittelet kerääväsi aineiston, jota todennäköisesti ei pysty anonymisoimaan ja haluaisit arkistoida sen Tietoarkistoon, ota yhteyttä Tietoarkiston asiakaspalveluun ennen tutkimuksen aloittamista (sähköposti: asiakaspalvelu.fsd at tuni.fi, puhelin: +358 40 190 1442).

Aiheesta lisää:

Tulosta
viimeksi päivitetty 2019-03-07