Informointi henkilötietojen käsittelystä
1. Yleistä
Tutkittavien informoiminen henkilötietojen käsittelystä on keskeinen osa läpinäkyvyyden periaatetta. Informoinnin perusteella tutkittavien tulee ymmärtää, kuinka heitä koskevia henkilötietoja kerätään, käytetään, luovutetaan, säilytetään ja muulla tavoin käsitellään. Henkilötietojen käsittelyä koskevassa informoinnissa korostuu etukäteissuunnittelun merkitys. Suunnitelmallisuus on myös yksi keskeisiä henkilötietoja sisältävien tutkimusaineiston käsittelyä ohjaavia periaatteita Tutkimuseettisen neuvottelukunnan ohjeessa (Avautuu uuteen välilehteen) ihmiseen kohdistuvan tutkimuksen eettisistä periaatteista ja ihmistieteiden ennakkoarvioinnista. Jos tutkimuksen vaiheita ja sovellettavia säännöksiä ei ole kartoitettu riittävällä tarkkuudella, voi informointi olla haastavaa. Toisaalta, jos henkilötietojen käsittely tutkimuksessa on etukäteen suunniteltu huolellisesti ja systemaattisesti, on informoinnin toteuttaminen useissa tapauksissa suoraviivaista.
Henkilötietojen käsittelyä koskevan informoinnin sääntöihin vaikuttaa se, kerätäänkö henkilötietoja suoraan tutkittavalta vai muuten kuin suoraan tutkittavalta. Informointia suunniteltaessa on hyvä eritellä tutkimukseen liittyvät henkilötietovirrat näiden kahden kategorian mukaisesti. Tällä on vaikutusta informoinnin ajankohtaan ja osin sisältöön. Käytännön eroja kuvataan informoinnin ajankohtaa ja sisältöä koskevissa kappaleissa.
- Henkilötietoja katsotaan kerättävän suoraan tutkittavalta, kun tutkittava tietoisesti antaa omia henkilötietojaan tutkijoille. Tavallisia soveltamistilanteita ovat tutkittavan haastatteleminen ja lomakekysely. Lisäksi henkilötietoja katsotaan saatavan suoraan tutkittavalta, kun tietoja saadaan tutkittavaa havainnoimalla, esimerkiksi äänittämällä tai videoimalla tutkimustarkoituksiin jokin tutkittavan tekemä suoritus tai sosiaalisen vuorovaikutuksen tilanne.
- Muuten kuin suoraan henkilötietoja katsotaan saatavan, jos henkilötietoja ei kerätä rekisteröidyltä itseltään. Tiedon lähteenä on tällöin muu, kuin rekisteröity itse. Henkilötiedot saadaan esimerkiksi muilta rekisterinpitäjiltä, julkisesti saatavilla olevista lähteistä tai muilta rekisteröidyiltä. Tämän kohdan tyypillisiä soveltamistilanteita ovat rekisteriaineistojen yhdistäminen muuhun tutkimusaineistoon sekä tutkimusaineiston rikastaminen laajaan tutkimushankkeeseen kuuluvalta toiselta rekisterinpitäjältä saatavilla henkilötiedoilla. Sosiaalisesta mediasta ja muut verkosta kerätyt henkilötiedot kuuluvat usein myös tähän kategoriaan.
Joskus tutkimuksessa voivat tulla sovellettavaksi samanaikaisesti molemmat tilanteet. Esimerkki: tutkimuksen kohderyhmään kuuluvien yhteystietoja ei saada itse tutkittavilta, vaan ulkopuoliselta taholta (organisaatio, yritys, yhdistys, virasto tai muu vastaava). Myöhemmin itse aineisto (lomakekysely tai haastattelu) kerätään niiltä kohderyhmään kuuluvilta, jotka antavat osallistumissuostumuksen tutkimukseen. Tällaisessa tapauksessa tulevat sovellettavaksi molempia tilanteita koskevat säännöt ja ohjeet.
Jos tarkoituksena on siirtää rekisteritietoja toiselle rekisterinpitäjälle (esimerkiksi yhteistyökumppanille) tai henkilötietojen käsittelijälle (esimerkiksi aineiston keruun ja/tai rekisteritietojen yhdistelyn toteuttavalle taholle tai litterointipalveluja tarjoavalle yritykselle), lue erityisen huolella myöhemmin informoinnin sisällön yhteydessä kuvattu kohta henkilötietojen vastaanottajat ja vastaanottajaryhmät.
Tutkittavien informointiin liittyy toisinaan erityistilanteita, jotka edellyttävät tarkempaa tapauskohtaista harkintaa, ja joita näissä yleisissä ohjeissa ei ole voitu ottaa huomioon. Erityistilanteita voivat aiheuttaa esimerkiksi informoinnin muutos- ja täydennystarpeet. Näitä esiintyy esimerkiksi tilanteissa, joissa kesken tutkimuksen tapahtuu henkilötietojen käsittelyyn vaikuttavia muutoksia. Tältä osin on hyvä tutustua informoinnin sisältöä koskevaan osuuteen sekä informoinnista poikkeamista koskevaan osuuteen.
Muita erityistilanteita ovat tutkimukset, joissa tutkittavina ovat lapset tai muihin haavoittuviin ryhmiin kuuluvat henkilöt. Lisäksi joissain tilanteissa tutkittaville voi olla tarpeellista antaa lisätietoja läpinäkyvyyden periaatteen toteuttamiseksi, vaikka niiden antamista ei nimenomaisesti edellytetä informointia koskevissa säännöksissä. Nämä voivat koskea esimerkiksi henkilötietojen käsittelyyn liittyviä riskejä ja suojatoimia. Voit olla tarvittaessa yhteydessä organisaatiosi tietosuojavastaavaan yksityiskohtaisten neuvojen saamiseksi.
2. Informoinnin laatuvaatimukset ja muoto
Yleisenä edellytyksenä on, että henkilötietojen käsittelyä koskevat tiedot annetaan tutkittaville tiivisti esitetyssä, läpinäkyvässä, helposti ymmärrettävissä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Informaation ymmärrettävyyttä ja henkilötietojen käsittelyn läpinäkyvyyttä tarkastellaan nimenomaan tutkittavan näkökulmasta. Jos tutkija ei edes itse pysty ymmärtämään henkilötietojen käsittelystä kerrottua, todennäköisesti myöskään tutkittava ei annettua tietoa ymmärrä.
Tutkittavan informoinnissa tulee välttää turhan monimutkaisia termejä, tutkittavalle tuntematonta jargonia ja tulkinnanvaraisia muotoiluja. Tiedot on annettava lähtökohtaisesti kirjallisesti tai sähköisesti, ellei tutkittava pyydä tietoja saatavakseen suullisesti. Lapsille suunnatussa informoinnissa voi käyttää apuna myös esimerkiksi sarjakuvia ja animaatioita.
Informoinnin tiiviyttä, selkeyttä ja sisällöltä edellytettävää laajuutta voidaan yhteensovittaa hyödyntämällä kerrostettua lähestymistapaa informointiin. Lähtökohtana on, että tutkittavalle annetaan kaikki tietosuoja-asetuksen edellyttämät tiedot henkilötietojen käsittelystä. Kerrostetulla lähestymistavalla tarkoitetaan informointia, jossa henkilötietojen käsittelyä koskevaa tietoa annetaan tutkittaville helpommin ymmärrettävänä kokonaisuutena pienemmissä osissa. Tämä lähestymistapa on monelle tuttu digitaalisesta ympäristöstä, jossa usein annetaan mahdollisuus linkkiä painamalla saada lisätietoa.
Kerrostettu informointi
Ensimmäinen kerros (esimerkiksi tutkimusesite tai kyselyn saate) sisältää tutkittavan kannalta tärkeimmät asiat:
- Rekisterinpitäjän identiteetti
- Käsittelyn tarkoitus (esimerkiksi yksilöity tutkimus)
- Tutkittavalle kuuluvat oikeudet
- Yllättävät näkökulmat ja vaikutukset
Myöhemmissä kerroksissa voidaan antaa yksityiskohtaiset tiedot henkilötietojen käsittelystä tutkimuksessa. Esimerkiksi yksityiskohtainen tietosuojailmoitus/tietosuojaseloste voidaan sisällyttää kyselyn saatteesta löytyvän linkin kautta tutkimuksen verkkosivulle. Laadullisessa tutkimuksessa yksityiskohtainen tietosuojailmoitus/tietosuojaseloste voidaan antaa erillisenä liitteenä tutkittaville tutkimusesitteen ja allekirjoitettavan osallistumissuostumuksen lisäksi. Tutkittavalle täytyy aina antaa todellinen mahdollisuus tutustua tarkempaa tietoa antaviin kerroksiin. Erityistä huomiota on kiinnitettävä siihen, että eri paikoissa annettu tieto on sisällöltään yhtenevää.
Rekisterinpitäjällä on osoitusvelvollisuus siitä, että informointi on suoritettu tietosuoja-asetuksen edellyttämässä laajuudessa. Pelkkä tietosuojailmoituksen antaminen ei välttämättä kuitenkaan merkitse sitä, että tutkittava on ymmärtänyt kaiken saamansa tiedon. Henkilötietojen käsittelyä koskevan informoinnin sisältö, informoinnin toteutustapa ja ajankohta pitää dokumentoida ja perustella rekisterinpitäjän osoitusvelvollisuuden toteuttamiseksi.
Tutkimuksesta informoitaessa voidaan käyttää apuna myös teknisiä ja audiovisuaalisia ratkaisuja. Täydentävää tietoa tutkimuksesta voidaan antaa tarjoamalla mahdollisuus tutustua tutkimusta esittelevään verkkosivustoon tai muuhun tutkimusta laajemmin esittelevään materiaaliin. Lisäksi esimerkiksi tutkimusta koskeva lyhyt videoesitys voi olla toimiva ratkaisu nuoriin kohdistuvan tutkimuksen yleisesittelynä.
3. Informoinnin ajankohta
Tutkittavan informoinnin ajankohtaan vaikuttaa se, kerätäänkö henkilötiedot suoraan tutkittavalta vai muulla tavalla. Suoraan tutkittavalta kerättävien tietojen osalta informoinnin ajankohtaa koskevat säännöt ovat suoraviivaisia. Muuten kuin suoraan tutkittavalta saatuja henkilötietoja koskevat yksityiskohtaisemmat säännöt. Muuten kuin suoraan tutkittavalta saatujen henkilötietojen osalta tutustu myös informoinnista poikkeamiseen.
- Kerätessä henkilötietoja suoraan tutkittavalta henkilötietojen käsittelystä informoidaan heti, kun henkilötietoja saadaan. Informaatio voidaan antaa esimerkiksi haastattelun tai lomakekyselyn alussa.
-
Muuten kuin rekisteröidyltä saatujen
tietojen osalta tutkittavia informoidaan henkilötietojen käsittelystä kohtuullisessa ajassa, mutta
kuitenkin viimeistään kuukauden kuluessa
siitä, kun henkilötiedot on saatu. Aikarajaa voivat lyhentää käsittelyyn liittyvät erityiset olosuhteet.
Kun tiedot on saatu muuten kuin rekisteröidyiltä, on tutkittavia informoitava henkilötietojen käsittelystä mainittua kuukauden aikarajaa aiemmin kahdessa tilanteessa: Ensinnäkin tiedot on toimitettava tutkittavalle heti, kun häneen ollaan ensimmäisen kerran yhteydessä. Vaikka tutkimusyhteydenotto esimerkiksi haastattelun sopimiseksi olisi suunniteltu myöhemmäksi, tulee tutkittavaa informoida henkilötietojen käsittelystä joka tapauksessa kuukauden aikarajan sisällä. Toisessa poikkeustilanteessa henkilötietojen käsittelystä tulee informoida ennen aikarajan kulumista umpeen, jos henkilötietoja on tarkoitus luovuttaa toiselle vastaanottajalle. Informointi suoritetaan viimeistään silloin, kun henkilötietoja luovutetaan ensimmäisen kerran.
Sääntöjen asianmukainen soveltaminen edellyttää aineistonkeruun aikataulujen suunnittelua huolella etukäteen. Jos mahdollisten tutkittavien yhteystiedot hankitaan ulkopuoliselta taholta, on hyvä suunnitella henkilötietojen (esimerkiksi yhteystietojen) hankkimisen ajankohta tutkimuksessa niin, että informointia koskevia aikarajoja pystytään noudattamaan. Yhden kuukauden aikarajasta huolimatta tulkintasuosituksena on pidetty sitä, että rekisterinpitäjä suorittaa informoinnin hyvissä ajoin ennen aikarajan umpeutumista kohtuullisuusperiaatteen mukaisesti.
4. Henkilötietojen käsittelyä koskevan informoinnin sisältö
Ohita taulu4.1 Rekisterinpitäjän identiteetti ja yhteystiedot
Tutkittavia tulee informoida rekisterinpitäjän identiteetistä ja yhteystiedoista. Siksi on selvitettävä hyvissä ajoin ennen tutkimuksen aloittamista tutkimusaineistoon liittyvät henkilötietojen käsittelyn roolit ja vastuut. Rekisterinpitäjän määrittäminen oikein ja rekisterinpitäjän ilmoittaminen tutkittavalle ovat vastuullisen ja läpinäkyvän henkilötietojen käsittelyn keskeisimpiä elementtejä.
Tämän informointivaatimuksen täyttämiseksi tulee kiinnittää huomiota kahteen asiaan. Ensinnäkin rekisterinpitäjä tulee olla yksiselitteisesti tutkittavan identifioitavissa. Ulkopuolisen henkilön on usein vaikeaa päätellä rekisterinpitäjää, jos informoinnissa on mainittu useita henkilöitä tai organisaatioita. Myös tutkimuksen toteuttaminen esimerkiksi yrityksen tai viraston tiloissa voi luoda tutkittavalle väärän käsityksen tutkimuksessa käsiteltävien henkilötietojen rekisterinpitäjästä.
Toiseksi edellytetään sitä, että rekisterinpitäjän yhteystiedot ovat riittäviä. Mahdollisuuksien mukaan tutkittavalle tulisi tarjota useita yhteydenottotapoja rekisterinpitäjään, esimerkiksi puhelinnumero, sähköpostiosoite ja postiosoite. Annettavia yhteystietoja valittaessa on hyvä kiinnittää huomiota niiden pysyvyyteen ja rekisterinpitäjän saavutettavuuteen niiden kautta. Tutkittavalla tulisi olla rekisteröitynä oikeus käyttää hänelle kuuluvia oikeuksia tehokkaasti ilman puutteellisten yhteystietojen aiheuttamaa viivästymistä.
Selkeä perusratkaisu edellä mainittuihin vaatimuksiin on sisällyttää esimerkiksi informointilomakkeeseen seuraavanlainen kohta:
Rekisterinpitäjä: Organisaatio, postiosoite
Yhteystiedot: [puhelinnumero], [sähköposti]
Jos tutkimuksella on yhteisrekisterinpitäjiä, on rekisterinpitäjien välistä järjestelyä koskevien keskeisten tietojen oltava tutkittavien saatavilla. Tutkijoiden on hyvä varautua vastaamaan tutkittavan kysymyksiin siitä, mitä rekisterinpitäjällä tarkoitetaan. Lyhyenä yleiskielisenä vastauksena voidaan pitää esimerkiksi sitä, että rekisterinpitäjä on taho, joka on vastuussa tutkittavien henkilötietojen asiallisesta ja lainmukaisesta käsittelystä. Tämän voi halutessaan sisällyttää suoraan osaksi informointia, jos se katsotaan tarpeelliseksi.
4.2. Tietosuojavastaavan yhteystiedot
Jos rekisterinpitäjälle on nimetty tietosuojavastaava, on tutkittaville ilmoitettava tietosuojavastaavan yhteystiedot. Tietosuojavastaavan yhteystiedot tulee ilmoittaa tavalla, joiden avulla tutkittavan on helppo ottaa häneen yhteyttä. Hyväksyttävinä on pidetty esimerkiksi postiosoitetta, tietosuojavastaavan toimelle nimenomaisesti osoitettua puhelinnumeroa ja/tai sähköpostiosoitetta. Jos tietosuojavastaavaan saa yhteyden myös esimerkiksi yhteydenottolomakkeen avulla, voi tästä mainita. Selvitä, onko organisaatiossasi tietosuojavastaava. Sen lisäksi selvitä, mikä on suositelluin tapa ilmoittaa tietosuojavastaavan yhteystiedot.
Keskeinen kriteeri yhteystietojen riittävyyden arvioinnissa on se, että yhteystietojen avulla saa yhteyden suoraan tietosuojavastaavaan ilman tarvetta ottaa yhteyttä muuten rekisterinpitäjään. Tietosuojavastaavan henkilön nimen ilmoittamista ei ole pidetty välttämättömänä, mutta joissain tapauksissa se voi olla hyvä käytäntö. Tietosuojavastaavan henkilön nimen ilmoittamisessa kannattaa ottaa huomioon myös henkilöstön vaihtuvuus. Olennaista on kuitenkin se, että tutkittavalla on halutessaan suora yhteys tietosuojavastaavaan hänelle annettujen tietojen perusteella.
4.3. Henkilötietojen käsittelyperuste
Henkilötietojen käsittelylle tutkimuksessa tulee olla aina laillinen käsittelyperuste, ja se tulee ilmoittaa tutkittavalle. Tutkimukselle valittu käsittelyperuste vaikuttaa myös muun informoinnin sisältöön. Käsittelyperuste esimerkiksi määrittelee sen, mitä oikeuksia tutkittavalla on käytettävissään.
Informointia suunniteltaessa ja toteutettaessa on erotettava toisistaan kaksi eri käsittelyperustetta.
- Yleinen käsittelyperuste tarkoittaa tietosuoja-asetuksen 6 artiklan 1 kohdan mukaista perustetta, joka vaaditaan aina henkilötietoja käsiteltäessä.
- Poikkeusperuste erityisten henkilötietoryhmien käsittelyyn tarkoittaa tietosuoja-asetuksen 9 artiklan 2 kohdan poikkeusperustetta, jonka perusteella erityisiä henkilötietoryhmiä (aiemmin "arkaluonteiset tiedot") käsitellään. Tämä tarvitaan yleisen käsittelyperusteen lisäksi , kun käsitellään erityisiä henkilötietoryhmiä.
Henkilötietojen käsittelyperusteita on määritelty sekä tietosuoja-asetuksessa että sitä kansallisesti täydentävässä tietosuojalaissa.
Rekisterinpitäjän on valittava tutkimukseen sopivin käsittelyperuste. Arvioi huolella, mikä käsittelyperuste tutkimukseesi soveltuu ja noudata valitun käsittelyperusteen käytön kriteereitä. Käsittelyperusteen valitsemiseksi voit olla yhteydessä esimerkiksi oman organisaation tietosuojavastaavaan.
-
Tutkittavan suostumus.
Suostumuksen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen tahdonilmaisu, jolla tutkittava lausumalla tai selkeästi suostumusta ilmaisemalla toimella hyväksyy henkilötietojensa käsittelyn. Suostumukseen käyttämiseen liittyy lisäksi eräitä lisäedellytyksiä, ja sen – kuten muidenkin käsittelyperusteiden – käyttämisen tulisi perustua asianmukaiseen harkintaan. Yleistä tietoa
suostumuksen edellytyksistä
(Avautuu uuteen välilehteen)
voi lukea Tietosuojavaltuutetun sivuilta.
Tieteellisen tutkimuksen yhteydessä on keskeistä huomata, että suostumus osallistua tutkimukseen ei ole suostumus henkilötietojen käsittelyyn . - Rekisterinpitäjän lakisääteisen velvoitteen noudattaminen. Joissain tilanteissa tutkimuksen suorittaminen on osa rekisterinpitäjän lakisääteisten velvoitteiden noudattamista. Käsittelyperusteen soveltaminen edellyttää sitä, että käsittelyn perustasta on määritelty kansallisessa lainsäädännössä.
- Käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi. Kansallinen tietosuojalaki mahdollistaa henkilötietojen käsittelyn silloin, kun se on tarpeen tieteellistä tai historiallista tutkimusta taikka tilastointia varten ja se on oikeasuhtaista sillä tavoiteltuun yleisen edun mukaiseen tavoitteeseen nähden (tietosuojalaki 4 §:n 3-kohta).
- Rekisterinpitäjän oikeutettu etu. Henkilötietojen käsittely tieteellistä tutkimusta varten voi olla mahdollista rekisteripitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi. Tämä käsittelyperuste ei ole käytettävissä viranomaisten tehtävien yhteydessä tapahtuvassa henkilötietojen käsittelyssä. Käsittelyperusteen käyttäminen ei saa syrjäyttää tutkittavien suojaa edellyttäviä etuja tai perusoikeuksia ja -vapauksia. Rekisterinpitäjän edun oikeutuksen arviointiin voi käyttää ns. tasapainotestiä. Käsittelyperusteen käyttämisen arviointiin on kiinnitettävä erityistä huomioita silloin, kun rekisteröity on lapsi. Yleistä tietoa rekisterinpitäjän oikeutetusta edusta (Avautuu uuteen välilehteen) voi lukea Tietosuojavaltuutetun sivuilta
Erityisillä henkilötietoryhmillä (aiemmin "arkaluonteiset tiedot") tarkoitetaan henkilötietoja, joista ilmene rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus, ammattiliiton jäsenyys, terveyttä koskevia tietoja, seksuaalista käyttäytymistä ja suuntautumista koskevia tietoja. Erityisiin henkilötietoryhmiin kuuluu myös geneettisten ja biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten.
Edellä mainittujen erityisten henkilöryhmien käsittely on lähtökohtaisesti kiellettyä. Tämä ei kuitenkaan tarkoita sitä, että tietoja ei saa lainkaan käsitellä, vaan käsittelyn oikeuttamiseksi tarvitaan soveltuva poikkeusperuste. Seuraavassa on listattu yleisiä poikkeusperusteita tieteellisessä tutkimuksessa.
- Tutkittavan nimenomainen suostumus. Erona yleisenä käsittelyperusteena olevaan suostumukseen on se, että suostumus on henkilötietojen käsittelylle annettujen yleisten edellytysten lisäksi nimenomainen.
- Käsittely on tarpeen yleisen edun mukaisia tieteellisiä tutkimustarkoituksia varten. Tietosuojalain 6.1 §:n 7-kohdan mukaan kieltoa käsitellä erityisiä henkilötietoryhmiä ei sovelleta tieteellistä tai historiallista tutkimusta taikka tilastointia varten tehtävään tietojen käsittelyyn.
Osana tutkittavan informointia tulee kertoa, mihin henkilötietojen käsittely perustuu. Informointiin lisätään yleinen käsittelyperuste sekä, jos tutkimuksessa käsitellään erityisiä henkilötietoryhmiä, poikkeusperuste erityisten henkilötietoryhmien käsittelyyn. Tämän voi ratkaista lisäämällä osaksi informointia esimerkiksi seuraavanlaisen lauseen:
Henkilötietojesi käsittely on tarpeen yleisen edun mukaisen tieteellisen tutkimuksen toteuttamiseksi tietosuojalain 4 § 3-kohdan perusteella. Erityisiä henkilötietoryhmiä käsitellään tieteellistä tutkimusta varten tietosuojalain 6 §:n 7-kohdan mukaisesti.
Eräisiin käsittelyperusteisiin liittyy informoinnin osalta lisäsääntöjä. Ensimmäinen liittyy rekisterinpitäjän oikeutettuun etuun.
- Käytettäessä rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua yleisenä käsittelyperusteena on tutkittaville kerrottava kyseessä oleva oikeutettu etu.
- Tämän lisäksi on hyvä käytäntö antaa tietoa rekisteröidyn oikeutettuun etuun liittyvästä tasapainotestistä. Tasapainotestistä tiedon antamisessa voidaan hyödyntää kerrostettua informointia. Jos tietoa ei anneta suoraan, voidaan tutkittaville myös kertoa, että heillä on mahdollisuus saada tietoa testistä.
Toinen informoinnin sisältöön liittyvä erityissääntö liittyy suostumukseen.
- Jos henkilötietojen yleinen käsittelyperuste on suostumus, tai jos erityisiä henkilötietoryhmiä koskeva käsittely perustuu nimenomaiseen suostumukseen, on tutkittavaa informoitava oikeudesta perua suostumus henkilötietojen käsittelyyn milloin vain. Lisäksi tutkittavalle on kerrottava, että suostumuksen peruminen ei vaikuta ennen peruuttamista suoritetun käsittelyn lainmukaisuuteen.
- Ajallisesti tieto mahdollisuudesta peruuttaa suostumus on annettava ennen kuin tutkittava antaa suostumuksensa henkilötietojen käsittelyyn.
4.4. Henkilötietojen käsittelytarkoitus
Henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten. Henkilötietojen käsittelylle määritelty käyttötarkoitus on sisällytettävä tutkittavalle annettavaan informaatioon. Useissa tapauksissa tutkittavan informoiminen siitä, että henkilötietoja käsitellään tiettyä, nimettyä tutkimusta varten, on riittävää.
Olennaista on huolehtia siitä, että ilmoitettu käyttötarkoitus kattaa riittävästi henkilötietojen käsittelyn. Tutkimukseen tavoitteeseen ja aiheeseen liittyvää yleistä lisätietoa voi antaa muun informaation yhteydessä.
4.5. Henkilötietojen vastaanottajat tai vastaanottajaryhmät
Tutkittavaa on informoitava henkilötietojen luovuttamisesta ja siirtämisestä. Vastaanottajina pidetään ensinnäkin kolmansia osapuolia. Näitä ovat esimerkiksi kaikki ulkopuoliset luonnolliset henkilöt, oikeushenkilöt, viranomaiset, virastot ja muut elimet. Näiden lisäksi vastaanottajina pidetään toisia rekisterinpitäjiä, yhteisrekisterinpitäjiä ja henkilötietojen käsittelijöitä. Esimerkiksi tutkimuskumppanit, joille aineistoa luovutetaan, ilmoitetaan vastaanottajiksi.
Henkilötietojen käsittelijän käsitteen osalta on hyvä huomata, että käsittelijä on tietosuojalainsäädännön mukainen erityinen rooli. Esimerkiksi jos litteroinnin suorittaa rekisteripitäjään työsuhteessa oleva henkilö, ei kyseessä ole henkilötietojen käsittelijä. Jos litteroinnin suorittaa sen sijaan ulkopuolinen yritys, on kyseessä henkilötietojen käsittelijä, josta tutkittavaa on informoitava.
Käytännössä tutkimusta suunniteltaessa on oleellista kartoittaa mahdollisen aikaisessa vaiheessa tarkasti henkilötietoihin liittyvät tietovirrat.
Lähtökohtana on, että rekisteröidylle ilmoitetaan vastaanottaja nimettynä. Siinä tapauksessa, että vastaanottajaa ei voida nimetä, on mahdollista ilmoittaa vastaanottajaryhmät. Rekisterinpitäjän on osoitusvelvollisuuden täyttämiseksi perusteltava tehty valinta.
Jos rekisterinpitäjä antaa tutkittaville tietoa ainoastaan vastaanottajaryhmistä, on vastaanottajien ryhmiä mahdollista rajata seuraavilla kriteereillä:
- vastaanottajan tyyppi (esim. viittaus vastaanottajan harjoittamaan toimintaan)
- toimiala
- sektori / alasektori
- sijainti
Kun aineisto halutaan siirtää Tietoarkistoon, toimii Tietoarkisto henkilötietojen käsittelijänä. Tietoarkisto on tässä tilanteessa vastaanottaja ja tutkittavia informoidaan asiasta. Katso tarkemmat ohjeet luvusta Arkistoinnista informoiminen.
4.6. Henkilötietojen säilyttämisaika
Tutkittavalle ilmoitetaan henkilötietojen säilytysaika ensisijaisesti nimenomaisena aikamääreenä. Jos tämä ei ole mahdollista, voidaan tutkittavalle ilmoittaa kriteerit, joiden perusteella säilytysaika määritetään. Tietojen säilytysaika voi liittyä tapauskohtaisesti rekisterinpitäjään soveltuvaan lainsäädäntöön tai esimerkiksi käytännesääntöihin.
Säilytysaikaa määritettäessä on kiinnitettävä huomiota siihen, että tutkittava pystyy annettujen tietojen perusteella arvioimaan henkilötietojen säilytysajan. Säilytysajan määritteleminen vain yleisesti tavalla, jossa todetaan henkilötietoja säilytettävän käyttötarkoituksen toteuttamisen ajan ei välttämättä ole riittävää. Näin ollen olisi vältettävä mahdollisuuksien mukaan säilytysajan sitomista yleisesti tutkimushankkeen kestoon ilman säilytysajan kriteerien tarkempaa määrittämistä. Tutkimuksen yksityiskohdista riippuen voi olla tarpeellista ilmoittaa eri henkilötietoryhmille omat säilytysajat. Lisäksi jos henkilötietojen käsittelyyn liittyy useita käsittelytarkoituksia, on näille asianmukaista ilmoittaa omat säilytysajat.
4.7. Henkilötietojen ryhmät ja tiedot henkilötietojen lähteestä
Tilanteisiin, joissa henkilötiedot on saatu muuten kuin suoraan rekisteröidyltä, sisältyy kaksi informointia koskevaa lisävaatimusta. Molemmat tilanteet liittyvät siihen, että toisin kuin kerättäessä henkilötietoja suoraan tutkittavalta, ei tutkittava ole välttämättä tietoinen kerättyjen tietojen sisällöstä ja lähteestä.
Ensimmäinen informointia koskeva lisäedellytys koskee kerättyjen henkilötietojen ryhmiä. Annettavien tietojen tarkkuutta ei ole nimenomaisesti määritelty. Tarkkuutta harkittaessa on hyvä muistaa, että henkilötietojen käsittelyn tulee olla läpinäkyvää rekisteröidyn kannalta. Henkilötietojen ryhmiä voivat tapauksesta riippuen olla esimerkiksi tulot, osoitetiedot, työllisyyshistoria ja koulutustiedot.
Toinen lisäedellytys koskee henkilötietojen lähdettä. Jos henkilötietojen lähde on mahdollista antaa nimettynä, on tämä asianmukaista kertoa. Muussa tapauksessa annetaan tieto lähteen luonteesta. Tähän sisältyy tapauskohtaisesti informaatio siitä, onko tiedot saatu yleisesti saatavilla olevasta lähteestä.
Nimettyä lähdettä korvaavaa lisäinformaatiota ovat esimerkiksi seuraavat tiedot:
- onko kyseessä julkinen vai muu lähde
- organisaation tyyppi
- toimiala
- sektori
Jos rekisteröidylle ei ole mahdollista ilmoittaa nimenomaista lähdettä siitä syystä, että henkilötietoja on kerätty useista lähteistä, on annettava lähteitä koskevat yleiset tiedot. Tilannetta, jossa nimenomaista lähdettä ei ole mahdollista ilmoittaa, tulisi välttää.
4.8. Tieto oikeudesta tehdä valitus valvontaviranomaiselle
Tutkittavalla on oikeus tehdä valitus valvontaviranomaiselle. Tieto oikeudesta on annettava osana informointia. Tutkittavalle olisi annettava vähintään seuraavat tiedot:
Sinulla on oikeus tehdä valitus henkilötietojen käsittelyä valvovalle viranomaiselle, jos epäilet henkilötietojasi käsiteltävän vastoin tietosuojalainsäädäntöä.
Tutkittavaa voidaan informoida tarkemmin oikeuden käyttämisestä antamalla esimerkiksi linkki valvontaviranomaisen verkkosivuille (tietosuoja.fi). Lähtökohtaisesti valitus tehdään sen EU:n jäsenvaltion viranomaiselle, jossa tutkittavan asuinpaikka tai työpaikka on, tai jossa väitetty henkilötietojen käsittelyä koskevien sääntöjen rikkominen on tapahtunut.
4.9. Rekisteröidyn oikeudet
Rekisteröidyillä on henkilötietojen käsittelyssä eräitä oikeuksia. Käytettävissä olevat oikeudet määräytyvät sen mukaan, mikä käsittelyperuste henkilötietojen käsittelylle on valittu. Tämä tarkoittaa ensinnäkin sitä, että käsittelyperusteeseen liittyvät rekisteröidyille kuuluvat oikeudet on kartoitettava. Toiseksi tieteellisessä tutkimuksessa on eräissä tapauksissa mahdollista poiketa tutkittavan oikeuksista. Informointi tutkittavien oikeuksista on vastattava tapauskohtaisesti suunniteltavaa henkilötietojen käsittelyä.
Seuraavassa on eräisiin tieteelliselle tutkimukselle tyypillisiin käsittelyperusteisiin liittyviä oikeuksia.
-
Tutkittavan suostumus
- Oikeus saada pääsy tietoihin
- Oikeus oikaista tietoja
- Oikeus tietojen poistamiseen (tietosuoja-asetus sisältää tutkimustarkoitukseen liittyvän erityisen poikkeuksen tähän liittyen)
- Oikeus rajoittaa tietojen käsittelyä
- Oikeus siirtää tiedot järjestelmästä toiseen (ei koske täysin manuaalista henkilötietojen käsittelyä)
-
Käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi (tieteellinen tutkimus, tietosuojalaki 4 §:n 3-kohta)
- Oikeus saada pääsy tietoihin
- Oikeus oikaista tietoja
- Oikeus rajoittaa tietojen käsittelyä
- Oikeus vastustaa henkilötietojen käsittelyä
-
Rekisterinpitäjän oikeutettu etu
- Oikeus saada pääsy tietoihin
- Oikeus oikaista tietoja
- Oikeus tietojen poistamiseen
- Oikeus rajoittaa tietojen käsittelyä
- Oikeus vastustaa henkilötietojen käsittelyä
Tieteellisen tutkimuksen erityispiirteinä on, että siinä voidaan poiketa eräitä osin rekisteröidyn oikeuksista, jos poikkeukselle asetetut edellytykset täyttyvät. Informoinnin kannalta on huomattava, että oikeuksista poikkeaminen ei ole automaattista, vaan edellyttää harkintaa. Henkilötietojen käsittelyn läpinäkyvyyden periaatteen toteuttamiseksi tutkittavia on hyvä informoida tästä. Jos henkilötietoja käsiteltäisiin esimerkiksi yleistä etua koskevan tehtävän suorittamiseksi tietosuojalain 4 §:n 3-kohdan mukaan, oikeuksista ja niiden mahdollisesta rajoittamisesta kansallisen lainsäädännön perusteella voitaisiin kertoa yleisellä tasolla seuraavalla tavalla:
Sinulle kuuluu oikeus saada pääsy tietoihin, oikaista tietoja, rajoittaa tietojen käsittelyä ja vastustaa henkilötietojen käsittelyä. Tieteellisen tutkimuksen yhteydessä edellä mainituista oikeuksista voidaan poiketa kansallisen lainsäädännön mukaisesti.
Jos oikeuksien käyttämiselle on organisaatiossa suunniteltu ennalta tietty yhteyshenkilö tai toimintatapa, voi tästä kertomista harkita. Joissain tilanteissa rekisteröity voi kysyä, mitä eri oikeudet sisältävät. Oikeuksien sisältö ja käyttäminen sisältää useita yksityiskohtia. Rekisteröidyn oikeuksiin liittyvää yleistä tietoa (Avautuu uuteen välilehteen) voi halutessaan lukea Tietosuojavaltuutetun toimiston sivulta.
4.10 Tiedot koskien henkilötietojen siirtoa kolmansiin maihin
Tutkittavalle on annettava osana informointia eräitä lisätietoja, jos henkilötietoja siirretään EU:n/ETA:n ulkopuolelle kolmansiin maihin tai kansainvälisille järjestöille. Henkilötietojen siirtäminen edellä mainituissa tapauksissa edellyttää muiden käsittelyn laillisuutta koskevien vaatimusten täyttymisen lisäksi, että siirrolle on tietosuoja-asetuksen V luvun mukainen peruste.
Siirto voi perustua tieteellisessä tutkimuksessa esimerkiksi Euroopan komission päätökseen tietosuojan riittävästä tasosta (45 artikla). EU:n komission sivuilta löytyvät päätökset tietosuojan riittävästä tasosta (Avautuu uuteen välilehteen) . Eri käännösversiot EU:n virallisilla kielillä löytyvät seuraamalla yllä olevaa linkkiä EUR-Lex -tietokantaan. Muita perusteita siirroille ovat siirto asianmukaisia suojatoimia soveltaen (46 artikla), yritystä koskevat sitovat säännöt (47 artikla) ja erityistilanteita koskevat poikkeukset (49 artikla). Jos tutkimus sisältää henkilötietojen siirtoja kolmansiin maihin tai kansainvälisille järjestöille, on suositeltavaa olla yhteydessä oman organisaation tietosuojavastaavaan tai lakimieheen siirtoa koskevien sääntöjen oikean soveltamisen varmistamiseksi. Lisätietoja eri menettelyistä löytyy Tietosuojavaltuutetun sivuilta (Avautuu uuteen välilehteen) .
Informointiin sisällytettävät tiedot
Informoinnin sisältöön vaikuttaa siirrossa käytetty mekanismi. Jos henkilötietoja siirretään edellä mainitulla tavalla, osaksi informointia on sisällytettävä
- tieto siitä, että henkilötietoja on tarkoitus siirtää kolmanteen maahan tai kansainväliselle järjestölle
- tieto tietosuojan riittävyyttä koskevan päätöksen olemassaolosta tai puuttumisesta
- siirrossa käytettävä tietosuoja-asetuksen mukainen mekanismi (ja siihen liittyvä artikla)
- tieto käytetyn mekanismin sisällöstä tai siitä, mistä tieto on saatavilla
Tiedot on annettava tavalla, joka on tutkittavalle mahdollisimman merkityksellinen. Siirron kohteena olevat kolmannet maat on hyvä nimetä. Tapauksen mukaan informoinnin käytännön toteuttamisessa voi käyttää kerrostettua informointia.
Esimerkki siirrosta kolmansiin maihin informoinnista
Suomalainen rekisterinpitäjä on osallinen monikansallisessa tutkimushankkeessa, jossa henkilötietoja siirretään Ruotsiin, Saksaan ja Israeliin. Henkilötietojen vastaanottajien ja vastaanottajaryhmien osalta sovelletaan aiemmin selostettuja sääntöjä. Tämän lisäksi tilanteeseen soveltuvat kolmansiin maihin siirtoa koskevat säännöt. Koska Ruotsi ja Saksa ovat osa EU:ta, ei siirrosta tarvitse näiden maiden osalta antaa lisäinformaatiota. Israel ei ole EU:n jäsenvaltio, mutta Euroopan komissio on antanut sitä koskevan päätöksen tietosuojan riittävästä tasosta. Tässä tilanteessa tutkittaville voi kertoa siirrosta kolmansiin maihin esimerkiksi seuraavalla tavalla:
Henkilötietojasi siirretään Israeliin, joka sijaitsee Euroopan Unionin ulkopuolella. Siirto tapahtuu Euroopan komission antaman tietosuojan tason riittävyyttä koskevan päätöksen perusteella (tietosuoja-asetuksen 45 artikla). Voit halutessasi tutustua tarkemmin komission päätökseen (Avautuu uuteen välilehteen) .
Jos henkilötietojen siirtäminen kolmanteen maahan tai kansainväliselle järjestölle perustuu tietosuoja-asetuksen 49 artiklan mukaiseen nimenomaiseen suostumukseen, on huolehdittava siitä, että ennen suostumuksen antamista tutkittavalle kerrotaan, että siirrot voivat aiheuttaa tutkittavalle riskejä tietosuojan tason riittävyyttä koskevan päätöksen ja asianmukaisten suojatoimien puuttumisen vuoksi.
4.11. Tiedot henkilötietojen antamisen liittymisestä sopimusperusteiseen tai lakisääteiseen velvollisuuteen
Tilanteissa, joissa henkilötietoja kerätään suoraan rekisteröidyltä, on tutkittavalle ilmoitettava, jos tietojen antaminen on lakisääteinen tai sopimukseen perustuva tai sopimuksen tekemisen edellyttämä vaatimus. Samoin on ilmoitettava se, onko tietojen antaminen pakollista, ja tietojen antamatta jättämisen mahdolliset seuraamukset.
Tällä on läheinen liityntä tutkimuksen vapaaehtoisuuteen. Asiasta informointi selkeyttää tilannetta esimerkiksi työpaikalla, virastoissa ja laitoksissa suoritettavissa tutkimuksissa. Jos henkilötietojen antaminen ei sisälly edellä kuvattua liityntää sopimusperusteiseen tai lakisääteiseen velvoitteeseen, eikä tietojen antamatta jättämisestä ole tutkittavalle seuraamuksia, voi asiasta kertoa yksinkertaisesti esimerkiksi seuraavalla tavalla:
Henkilötietojen antamiselle ei ole lakiin tai sopimukseen perustuvaa velvoitetta. Tietojen antamatta jättämisestä ei ole sinulle seuraamuksia.
Jos tietojen antamiselle on puolestaan lakiin tai sopimukseen perustuva vaatimus, kuvataan informoinnissa tapauskohtaisesti se, mihin vaatimus perustuu, sekä siihen liittyvät mahdolliset seuraamukset.
4.12. Automaattinen päätöksenteko ja profilointi
Automaattista päätöksentekoa ja profilointia koskee erillinen informointivelvoite. Määritelmiin liittyvää lisätietoa voi lukea tarvittaessa Tietosuojavaltuutetun sivuilta (Avautuu uuteen välilehteen) . Yksityiskohtaisia ohjeita löytyy dokumentista Suuntaviivat automatisoiduista yksittäispäätöksistä ja profiloinnista asetuksen (EU) 2016/679 täytäntöön panemiseksi (Avautuu uuteen välilehteen) PDF
Jos tutkimukseen ei liity automaattista päätöksentekoa tai profilointia, voi tutkittavia informoida asiasta esimerkiksi seuraavalla tavalla:
Henkilötietojasi ei käytetä automaattiseen päätöksentekoon tai profilointiin.
5. Informoinnista poikkeaminen
Tutkittavien informoinnista liittyen henkilötietojen käsittelyyn voidaan poiketa eräissä tilanteissa. Lähtökohtaisesti poikkeuksen käyttämiseen tulisi suhtautua pidättyväisesti, ellei niiden käyttäminen ole välttämätöntä. Jos poikkeuksia sovelletaan, on tärkeää huolehtia tehtyjen päätösten dokumentoinnista ja perustelemisesta rekisterinpitäjän osoitusvelvollisuuden toteuttamiseksi. Epäselvissä tilanteissa on hyvä olla yhteydessä oman organisaation tietosuojavastaavaan.
Kerättäessä henkilötietoja suoraan tutkittavalta voidaan informoinnista poiketa siltä osin, kuin tutkittava on jo saanut tiedot. Kyseessä voi olla esimerkiksi tilanne, jossa tutkittava on ollut jo aiemmin yhteydessä rekisterinpitäjään. Rekisterinpitäjän on kuitenkin pystyttävä osoittamaan se, miten ja milloin tutkittava on saanut tiedot. Lisäksi on pystyttävä osoittamaan, että aiemmin annetut tiedot eivät ole muuttuneet tai muuten vanhentuneet. Jos kyseessä on tilanne, jossa osa henkilötietojen käsittelyä koskevista yksityiskohdista ovat muuttuneet, voi tapauskohtaisesti olla asianmukaista antaa muuttuneiden tietojen lisäksi myös kaikki muu informaatio uudestaan. Tällöin tutkittavalle on hyvä korostaa, mitkä asiat ovat muuttuneet.
Tilanteisiin, joissa henkilötietoja saadaan muuten kuin suoraan tutkittavalta, sisältyy useampi poikkeustilanne. Edellä mainittu tilanne, jossa tutkittava on jo saanut tiedot, soveltuu myös muuten kuin suoraan tutkittavalta saatuihin tietoihin. Toisena poikkeuksena voidaan mainita lyhyesti tilanne, jossa tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa, kun noudatetaan tietosuoja-asetuksen 89 artiklan edellytyksiä ja suojatoimia, tai kun informointivelvollisuus todennäköisesti estää tieteellisten tarkoitusten saavuttamisen tai vaikeuttaa sitä suuresti. Poikkeuksen soveltamiseen liittyvän harkinnan, dokumentoinnin ja suojatoimien takia on suositeltavaa olla yhteydessä oman organisaation tietosuojavastaavaan.
Tietosuojavaltuutetun toimisto on katsonut, että informoinnista poikkeamisen yhteydessä on eräissä tilanteissa tehtävä tietosuojaa koskeva vaikutustenarviointi (Avautuu uuteen välilehteen) . Tietosuojaa koskeva vaikutustenarviointi on tehtävä ainakin, jos tutkimuksessa käsitellään henkilötietoja laajamittaisesti, henkilötietoja sovitetaan yhteen tai yhdistetään muihin tietokokonaisuuksiin, tutkimuksessa käsitellään heikossa asemassa olevien rekisteröityjen henkilötietoja, tai jos tutkimukseen liittyy uusien teknisten tai organisatoristen ratkaisujen innovatiivista käyttöä tai soveltamista. Voit lukea lisää vaikutuksenarviointia vaativista käsittelytoimista (Avautuu uuteen välilehteen) Tietosuojavaltuutetun toimiston sivuilta.
6. Arkistoinnista ja jatkokäytöstä informoiminen
Tutkimusaineiston arkistoinnista ja jatkokäytöstä kerrotaan aina tutkittavalle. Tietoa voidaan sisällyttää yhteen tai useampaan dokumenttiin. Näitä voivat olla esimerkiksi tutkimusesite, kyselyn saate, suostumuslomake, tietosuojailmoitus tai tietosuojaseloste. Keskeistä on, että tutkittavalla on riittävät, ymmärrettävät ja oikeat tiedot tutkimusaineiston jatkokäytöstä. Tutkittavien oikeuksien ja jatkokäytön turvaamiseksi ristiriitaisia tietoja eri dokumenttien välillä on vältettävä.
Arkistoinnista ja jatkokäytöstä informoimisessa merkityksellisiä tietoja tutkittavalle on ainakin kolme. Nämä tiivistyvät seuraaviin kysymyksiin:
- Mihin tutkimusaineisto luovutetaan arkistoitavaksi? (esim. Tietoarkisto)
- Kenelle tutkimusaineistoa luovutetaan jatkokäyttöä varten? (esim. Tietoarkiston rekisteröityneet asiakkaat)
- Mihin tarkoitukseen tutkimusaineistoa luovutetaan myöhemmin? (esim. tutkimukseen, opetukseen ja opiskeluun)
Näiden tietojen perusteella tutkittava saa tietoa siitä, kuka huolehtii tutkimusaineiston arkistoinnista tutkimuksen jälkeen. Samoin tutkittava saa tietoa siitä, kenelle ja mihin tarkoitukseen tutkimusaineistoa voidaan luovuttaa. Riippumatta siitä, sisältääkö tutkimusaineisto arkistoitavaksi luovutettaessa henkilötietoja, tietojen antaminen toteuttaa tutkittavan oikeutta saada informaatiota laajemmin tutkimusaineiston elinkaaresta. Siihen velvoittaa myös tutkimuseettiset periaatteet (Avautuu uuteen välilehteen) .
Tutkimusorganisaatioilla on erilaisia malleja ja ohjeita tutkimusten tietosuojailmoitusten laatimiseen. Tarkista organisaatiosi ohjeista tai tietosuojavastaavalta, miten ja mihin kohtaan tietosuojailmoitusta aineiston arkistointi Tietoarkistoon jatkokäyttöä varten kirjataan.
Tietoarkistoon arkistoiduilla aineistoilla on erilaisia käyttöoikeusluokkia, jotka määrittävät aineistojen jatkokäyttöä (ks. arkistointisopimuksen kohta II Jatkokäyttöön toimittamista koskevat ehdot). Tutkija määrittelee, mihin tarkoitukseen aineistoa voi jatkokäyttää. Tutkittaville tarkoitetuissa dokumenteissa voi käyttää apuna seuraavia vaihtoehtoisia esimerkkejä, kun tutkittaville kerrotaan aineiston arkistoinnista jatkokäyttöä varten. Valitse alla olevista yksi, jota käytät johdonmukaisesti kaikissa dokumenteissa.
VAIHTOEHTO 1:
Tutkimusaineisto tarjotaan arkistoitavaksi ilman henkilötietoja pysyvästi Tietoarkistoon. Tietoarkisto luovuttaa aineistoa rekisteröityneille asiakkailleen tutkimukseen, opetukseen ja opiskeluun.
VAIHTOEHTO 2:
Tutkimusaineisto tarjotaan arkistoitavaksi ilman henkilötietoja pysyvästi Tietoarkistoon. Tietoarkisto luovuttaa aineistoa kaikkien käytettäväksi.
VAIHTOEHTO 3:
Tutkimusaineisto tarjotaan arkistoitavaksi ilman henkilötietoja pysyvästi Tietoarkistoon. Tietoarkisto luovuttaa aineistoa rekisteröityneille asiakkailleen tutkimukseen ja ylempiin opinnäytteisiin.
Kun tutkimukseen kerätään laadullisia aineistoja, tutkittavilta voi pyytää erikseen luvan aineiston arkistointiin. Se ei ole tietosuojalainsäädännön edellytys anonyymin aineiston arkistoinnille, mutta se on hyvä eettinen käytäntö. Lupa aineiston arkistointiin voidaan kysyä esimerkiksi seuraavalla tavalla:
Lupa haastattelun/kirjoituksen arkistointiin Tietoarkistoon
▢ Haastatteluni tekstitiedoston/kirjoitukseni saa arkistoida Tietoarkistoon luovutettavaksi tutkimukseen, opiskeluun ja opetukseen.
▢ Haastatteluani/kirjoitustani ei saa arkistoida Tietoarkistoon.
Jos arkistoitavan aineiston jatkokäyttö halutaan rajata vain tutkimukseen, tulee yllä kuvatun lupapyynnön ensimmäinen kohta kirjoittaa muotoon "Haastatteluni tekstitiedoston/kirjoitukseni saa arkistoida Tietoarkistoon luovutettavaksi tutkimukseen ja ylempiin opinnäytteisiin."
6.1. Pseudonyymit aineistot
Pitkittäistutkimuksissa eri keruuaaltojen aineistoja voi arkistoida jo ennen kuin tutkimus loppuu ja tutkimusryhmä hävittää lopullisesti kaikki henkilötiedot. Myös silloin, kun tutkimusryhmä säilyttää muista syistä määräajan arkistoitavan aineiston henkilötietoja, aineistot voidaan arkistoida jatkokäyttöä varten. Molemmissa tapauksissa on kyse pseudonyymeistä aineistoista.
Pseudonyymin aineiston arkistoinnista ja jatkokäytöstä tulee informoida tutkittavia niin, että he ymmärtävät mitkä tahot aineistoja käsittelevät ja mihin tarkoituksiin. Aineiston rekisterinpitäjä vastaa aineistosta ja Tietoarkisto toimii käsittelijän roolissa. Tietosuojailmoituksissa ja tutkimusten saatteissa tai muissa tutkittaville tarkoitetuissa dokumenteissa tulee kertoa selvästi ja ymmärrettävästi aineiston siirrosta Tietoarkistoon jatkokäyttöä varten. Tätä varten voi käyttää apuna seuraavia kysymyksiä:
- 1. Ketkä kaikki aineistoa käsittelevät? Arkistoitavaa aineistoa käsittelevät tutkimusryhmän lisäksi ainakin Tietoarkisto ja aineistolle käyttöluvan saaneet Tietoarkiston rekisteröityneet asiakkaat. Tutkimuksissa on usein myös muita käsittelijöitä.
- 2. Mihin tarkoituksiin aineistoa käsitellään? Alkuperäiseen tutkimukseen, Tietoarkistossa arkistoversion tuottamiseen, jatkokäyttäjät tutkimukseen ja ylempiin opinnäytteisiin (jatkokäyttö voi olla rajatumpi ja täsmällisemmin eritelty).
- 3. Millä edellytyksillä aineistoa voi saada? Kerrotaan aineiston käyttölupaprosessista ja siitä, voiko aineistoa luovuttaa jatkokäyttöön EU/ETA alueen ulkopuolelle. Jos siirtoja suunnitellaan, tutkittaville kuvataan sovellettavat tietosuoja-asetuksen mukaiset siirtomekanismit ja edellytykset.
- 4. Kun tutkimus päättyy ja henkilötiedot hävitetään, mihin tarkoituksiin Tietoarkisto voi anonyymiä aineistoa luovuttaa?
Yksinkertaistettu malli pitkittäistutkimuksen tutkimussaatteeseen:
Tutkimusaineistot tarjotaan arkistoitavaksi ilman henkilötietoja Tietoarkistoon.
Tutkimuksen aikana vuoden 20NN päättymiseen saakka käyttölupia myönnetään vain Tietoarkiston rekisteröityneille asiakkaille Euroopan talousalueelle yksinomaan tutkimustarkoituksiin.
Tutkimusryhmä käsittelee jokaisen käyttölupapyynnön erikseen ja ilmoittaa luvan myönnöstä tai epäämisestä Tietoarkistoon. Tietoarkisto välittää aineistot jatkokäyttöön tutkimusryhmän päätösten mukaisesti.
Kun tutkimus on päättynyt, Tietoarkisto voi vuoden 20NN alusta alkaen luovuttaa aineistoa suoraan rekisteröityneille asiakkailleen opetukseen, opiskeluun ja tutkimukseen asiakkaan kohdemaasta riippumatta.
Tietosuojailmoituksessa vastaavat asiat tulee kertoa eritellymmin. Edellä olevassa yksinkertaistetussa mallissa oletuksena on, että käyttöluvista päättää rekisterinpitäjän edustajana kukin tutkimusryhmä, vaikka rekisterinpitäjä olisi organisaatio. Järjestely pitää joka tapauksessa kuvata juuri siten kuin se on suunniteltu tehtäväksi noudattaen oman organisaation tietosuojaohjeita.
6.2. Henkilötietoja sisältävien aineistojen arkistointi
Joskus harvoin voi olla perusteltua sisällyttää arkistoitavaan aineistoon henkilötietoja. Tietoarkisto arvioi tutkijan kanssa etukäteen, onko olemassa perusteet aineiston arkistoimiselle ja jatkokäytölle henkilötietoineen. Arvioinnissa pohditaan tutkijan kanssa esimerkiksi seuraavia kysymyksiä:
- Ovatko tutkittavat saaneet osaltaan myötävaikuttaa tai päättää henkilötietojensa arkistoinnista jatkokäyttöä varten?
- Ovatko tutkittavat kohderyhmässään julkisesti tunnettuja ja tiedettyjä?
- Millainen on aineiston sisältö luonteeltaan? Käsitteleekö arkaluonteisia tietoja tai esimerkiksi tietoja, jotka ovat osin teossuojaa saavia?
- Onko olemassa yleisiä ja yhteiskunnallisesti tärkeitä perusteluja sille, että aineistoon sisältyy henkilötietoja?
- Pystyykö tutkija arvioimaan, ettei tutkittaville tule kielteisiä seurauksia aineiston sisältämien tietojen julkaisemisesta tutkimuksissa?
Henkilötietoja sisältävät aineistot tulee aina minimoida. Aineistoista poistetaan kaikki aineiston sisällön ymmärtämiselle tarpeettomat henkilötiedot ja yksityisiä kolmansia henkilöitä käsittelevät henkilötiedot. Tietosuojan ja informoinnin osalta noudatetaan samoja periaatteita kuin pseudonyymien aineistojen kohdalla (pois lukien kohta 4 edellä). Tietoarkisto pyytää rekisterinpitäjältä perusteet henkilötietoja sisältävän aineiston säilyttämistarpeen jatkamiselle 10 vuoden välein.
Mikäli suunnittelet kerääväsi henkilötietoja sisältävän aineiston, jota ei ole tarkoitus anonymisoida ja haluaisit arkistoida sen Tietoarkistoon, ota yhteyttä Tietoarkiston asiakaspalveluun ennen tutkimuksen aloittamista (sähköposti: asiakaspalvelu.fsd@tuni.fi, puhelin: +358 29 452 0411).