1. Määrittele mitä henkilötietoja käsittelet osana opinnäytettä tai muuta opintosuoritusta, mikä on käsittelyn tarkoitus ja miten niitä käsittelet (esim. tutkimussuunnitelmassa).
- Muista minimointiperiaate (ylimääräisiä/tarpeettomia tietoja ei saa kerätä)
- Muista käyttötarkoitussidonnaisuus (tietoja voi käyttää vain kuvattuun tarkoitukseen)
2. Tunnista rekisterinpitäjä. Rekisterinpitäjä määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot. Yleensä yliopisto ei määrittele opiskelijan tekemän tutkimuksen tai opintosuorituksen tarkoitusta ja keinoja. Poikkeuksena tähän voi olla tilanne, jossa yliopisto edellyttää, että käsittelet henkilötietoja. Tällöin kyse on yhteisrekisterinpitäjyydestä yliopiston kanssa. Teet kuitenkin yleensä päätöksen henkilötietojen käsittelystä itse.
Peukalosääntö, jos tutkimusta ei tehdä työsuhteessa Jyväskylän yliopistoon tai osana yliopiston täydentävän rahoituksen hanketta toimit itse tutkimusrekisterin rekisterinpitäjänä. Tämä koskee myös itsenäisesti tehtäviä muita opintosuorituksia, joissa käsitellään henkilötietoja.
Jos teet opinnäytteen osana Jyväskylän yliopiston tutkimushanketta, sen aineistosta, rekisterinpitäjä on yleensä sama taho, joka muutoinkin vastaa tutkimusainestosta eli Jyväskylän yliopisto.
Jos teet opinnäytteetn yrityksen tai muun organisaation toimeksiannosta tilaaja voi olla rekisterinpitäjä (tai yhteisrekisterinpitäjä), jos se määrittelee käsittelyn tarkoituksen ja keinot. On tärkeää, että selvität asian etukäteen, jotta tiedät, minkä tahon ohjeita noudatat.
Rekisterinpitäjän määrittelyssä seuraavat kysymykset voivat auttaa:
- Kuka päättää miksi tietoja käsitellään (opinnäytetyön tai opintosuorituksen tavoite) ja mihin ennakoituun tulokseen pyritään?
- Kuka päättää ne keinot, joita käytetään eli miten henkilötietoja käsitellään?
- Millaisia toimintatapoja käytetään tuloksen saavuttamiseksi?
- Kuka päättää millä välineillä henkilötietoja käsitellään (esim. oma tietokone, koti, työpaikka) ja kuinka tiedot suojataan (tietoturva)?
- Kuka päättää mitä tietoja käsitellään ja kenellä on pääsy tietoihin?
- Kuka päättää kuinka kauan tietoja käsitellään?
- Miltä tilanne näyttää tutkittavan näkökulmasta (miten vastuut esitetään tutkittavalle)?
Kysymysluettelon lähde: Tietosuoja-asetus ja tieteellinen tutkimus – mikä muuttuu? Tietosuoja tutkijan arjessa seminaari 16.5.2018 (tietosuojavaltuutetun toimisto ylitarkastaja).
Yhteisrekisterinpitäjyys on mahdollinen, jos edellä kerrotut asiat määritellään yhdessä yliopiston (ohjaaja) kanssa.
3. Informoi henkilötietojen käsittelystä Tietosuojalainsäädännön edellyttämällä tavalla (tiedote, tietosuojailmoitus ja suostumus osallistua tai suostumus henkilötietojen käsittelyyn). Joskus voi olla tarpeen hakea organisaatiolta myös tutkimuslupaa, jos kyse on esim. Kelan rekisteritiedoista tai työntekijä käyttää työaikaa tutkimukseen osallistumiseen. Organisaatio määrittelee itse tutkimuslupakäytännöt ks. esim. Tutkimuslupa | Jyväskylän yliopisto
4. Varmista, ettei tietoja siirry EU/ETA-alueen ulkopuolelle. Tällaisia siirtoja on rajoitettu. Jos käytät esim. pilvitallennusta omalla koneellasi tiedot voivat siirtyä EU/ETA alueen ulkopuolelle ja tämä on kielletty ilman tietosuoja-asetuksen mukaisia suojatoimia.
5. Arvioi yhdessä ohjaajan kanssa eettisen ennakkoarvion tarve (opinnäytetyö) Miten ennakkoarviointi tehdään ja mitä lausunto tarkoittaa | Jyväskylän yliopisto.
6. Jos sinulla on kysyttävää henkilötietojen käsittelystä, voit olla yhteydessä tietosuoja@jyu.fi (ohjaaja vähintään cc:nä).
