Jos opinnäytetyössä käsitellään henkilötietoja https://tietosuoja.fi/mika-on-henkilotieto, on sen suhteen noudatettava annettua lakia ja ohjeita. Esimerkiksi EU:n yleinen tietosuoja-asetus (GDPR) (https://www.privacy-regulation.eu/fi/index.htm) ja Tietosuojalaki 1050/2018 (https://www.finlex.fi/fi/laki/alkup/2018/20181050) säätelevät henkilötietojen käsittelyä myös opinnäytetöissä. Muista, että henkilötietoja käsitellessä opinnäytetyöntekijä katsotaan rekisterinpitäjäksi ja on siksi myös vastuussa toimistaan.
Henkilötietoja voi syntyä opinnäytetyön eri vaiheissa, kuten suostumuslomakkeissa tai itse tutkimusaineistoissa. Vaikka kysely olisi anonyymi, voi yksilöiviä henkilötietoja syntyä vastaajan tietokoneen IP-osoitteesta tai vastaaja voi syöttää henkilötietoja avoimiin vastauksiin.
Opiskelijalla onkin velvollisuus huolehtia tietosuojasta opinnäytetyötä tehdessään. Opinnäytetyön ohjaajan velvollisuus taas on neuvoa tietosuojaan liittyvissä asioissa. Opinnäytetyön ohjaaja valvoo, että asianmukaisia rekisterikäsittelytoimia noudatetaan (varsinkin, että työn loputtua tiedot poistetaan asianmukaisesti). Mikäli tarvitaan tarkempaa ohjeistusta, ole yhdessä opinnäytetyönohjaajan kanssa, yhteydessä Centrian tietosuojavastaavaan tietosuojavastaava@centria.fi niin saat lisäohjeita.
Henkilötietoja ovat kaikki tiedot, jotka liittyvät tunnistettuun tai tunnistettavissa olevaan henkilöön.
Henkilötiedoksi katsotaan sellaiset tiedot, jotka mahdollistavat henkilön tunnistamisen joko suoraan tai välillisesti. Välillinen tunnistaminen tarkoittaa tietoja yhdistelemällä aikaansaatua tietoa, esimerkiksi jos organisaatio on pieni tai henkilön rooli organisaatiossa tarkka (esim. toimitusjohtaja) pelkkä tieto roolista yksilöi henkilön. Myös tietokoneen IP-osoitteen, jota saatetaan kerätä lomakkeen kautta, voi mahdollistaa yksilöinnin. Suoraan henkilöön liitettäviä tietoja ovat nimi, henkilötunnus tai joku henkilölle tunnusomainen tekijä, sekä muut vastaavat tiedot. Ks. lisätietoja: https://tietosuoja.fi/mika-on-henkilotieto.
Opinnäytetyössä henkilötietoja voidaan käsitellä vain, kun se työn toteuttamisen kannalta on välttämätöntä ja henkilötietojen käsittelylle on olemassa käsittelyperuste. Kun henkilötietoja kerätään muista kunnioittaa tietojen minimointi periaatteita (https://tietosuoja.fi/tietojen-minimointi)
Henkilörekisteri muodostuu aina, kun käytät kyselylomakkeita tai teet haastattelua. Henkilörekisteri voi muodostua, jos keräät tietoja eri lähteistä, kuten sosiaalisesta mediasta, tai yritysten verkkopalveluista. Myös nimetön kysely voi paljastaa henkilön, jos henkilö syöttää lomakkeelle tunnistuksen mahdollistavia tietoja.
Tietosuojalainsäädäntö edellyttää henkilötietojen käsittelyn osalta käsittelyperustetta. Opinnäytetyössä tämä tarkoittaa kyselyyn / haastatteluun / jne.. osallistuvan suostumusta. Suostumus tulee voida todentaa, minkä vuoksi osallistujilta on kerättävä suostumukset kirjallisesti tai sähköisesti. Suostumus ei voi olla automaattinen, eli suostumuksen antajan tulee omalla aktiivisella toiminnalla antaa suostumuksensa, tämä tarkoittaa esimerkiksi lomakkeen täyttämistä. Lomakkeelle on hyvä sijoittaa valintakohta jossa suostumus annetaan.
Suostumuksen antamisen yhteydessä osallistujille on kerrottava, kuinka tietoja käsitellään, mihin niitä käytetään ja miten tiedot säilytetään ja tuhotaan. Jos aineistoa on tarkoitus säilyttää tai jatkokäyttää, muista että siihen on pyydettävä lupa tutkittavilta jo aineiston keruuvaiheessa. Käyttötarkoitussidonnaisuuden vaatimus edellyttää, että henkilötiedot kerätään tiettyä, nimenomaista ja laillista tarkoitusta varten. Tietoja ei saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla.
Tietojen käytön kuvaus voidaan tehdä suostumuslomakkeella, joka sisältää tietosuojaselosteen, tai erillisellä liitteellä. Tietosuoja-asetus edellyttää, että suostumuksen peruuttaminen on rekisteröidylle yhtä helppoa, kun sen antaminen. Suostumuksen peruuttaminen ei vaikuta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen.
Jos toteutat opinnäytetyön yksin, parityönä tai ryhmänä, ilman organisaatiota tai tutkimusryhmää, toimit rekisterinpitäjänä itse. Tämä edellyttää sinulta rekisterinpitämiseen liittyviä toimia, kuten henkilötietojen keräämisen suunnittelu, turvallinen säilyttäminen, käsittely, mahdollinen luovuttamien, poistaminen sekä tuhoaminen. Edellä mainitut asiat tulee kuvata tietosuojaselosteeseen. Tietosuojaseloste on hyvä laatia, vaikka et keräisi suoria henkilötunnisteita ja riski henkilön tunnistamiseen epäsuorilla tunnisteilla olisi hyvin pieni.
Tietosuojaselosteen mallipohjan löydät sekä luvun 1 lomakkeiden joukosta että tämän sivun alalaidasta.
Henkilötietojen käsittelyssä ja säilyttämisessä on noudatettava aina tietosuojalainsäädännön mukaisia tietosuojaperiaatteita (https://tietosuoja.fi/henkilotietojen-kasittely)
Tietosuojaperiaatteiden mukaan henkilötietoja on
- käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi
- käsiteltävä luottamuksellisesti ja turvallisesti
- kerättävä ja käsiteltävä tiettyä, nimenomaista ja laillista tarkoitusta varten
- kerättävä vain tarpeellinen määrä henkilötietojen käsittelyn tarkoitukseen nähden
- päivitettävä aina tarvittaessa ‒ epätarkat ja virheelliset henkilötiedot on poistettava tai oikaistava viipymättä
- säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen
- tietojenkäsittelyn tarkoitusten toteuttamista varten.
Henkilötietoja säilytetään vain niin kauan kuin niitä on tarve käsitellä. Kun henkilötietoja ei enää tarvita, ne tulee anonymisoida tai poistaa (https://tietosuoja.fi/sailytyksen-rajoittaminen). Tutkimukseen osallistuvalle on hyvä kertoa takaraja, milloin henkilötiedot viimeistään poistetaan.
Rekisterinpitäjänä sinun tulee varmistua siitä, että tiedot on tallennettu turvallisesti ja että ulkopuoliset eivät pääse aineistoon käsiksi. Tämä koskee niin käsiteltäviä tietoja kuin varmuuskopioita. Henkilötietoja sisältävät tiedot on parasta tallentaa suojatulle verkkolevylle. Ulkoisen kovalevyn tai USB-tikun käyttö ei ole suositeltavaa. Myöskään organisaation ulkoisten pilvipalveluiden käyttö ei ole sallittua, koska et voi olla varma mihin tieto tallentuu tai miten sitä käytetään.
Aineistoon sisältyvät kaikki henkilötiedot ja suostumuslomakkeet on hävitettävä tietoturvallisesti, kun opinnäytetyö on arvioitu.