Tunnisteellisen aineiston eli henkilötietoja sisältävän aineiston käsittely vaatii erityistä huolellisuutta. Tieto on tunnisteellista, jos sen perusteella on mahdollista tunnistaa yksittäinen henkilö tai havaintorypäs kuten perhe.
Tunnisteellisia aineistoja voi käyttää TKI-toiminnassa silloin, kun se on tarkoituksenmukaista, suunniteltua, asiallisesti perusteltua ja tietojen käsittelyyn on laillinen käsittelyperuste, esimerkiksi tutkittavan suostumus tai yleisen edun mukainen tutkimus.
Henkilötiedot tulee anonymisoida aineistosta heti kun niitä ei enää tarvita.
Sivun lähteenä on hyödynnetty Tietoarkiston Aineistonhallinnan käsikirjaa. Metropolian tietosuojaohjeet ja mallipohjat löydät Oma-intrasta.
Henkilötietoa on kaikki sellainen tieto, jonka avulla henkilö voidaan tunnistaa joko suoraan tai epäsuorasti. Tutkimus- tai kehittämisaineisto voi sisältää tunnistetietoja myös tutkittavan lähipiiristä tai muista henkilöistä. Myös heitä tunnistettavasti käsittelevät tiedot ovat henkilötietoa.
Suoria tunnisteita ovat esimerkiksi henkilön koko nimi, henkilötunnus ja erilaiset biometriset tunnisteet kuten sormenjälki, kasvokuva, ääni ja käsin tehty allekirjoitus.
Vahvoja epäsuoria tunnisteita ovat kaikki sellaiset yksittäiset tiedot, joiden avulla henkilö voidaan tunnistaa kohtuullisen helposti. Sellaisia ovat esimerkiksi osoite, puhelinnumero, harvinainen ammattinimike, hyvin harvinainen sairaus ja yksilöivät tunnisteet kuten tietokoneen IP-osoite, opiskelijatunnus tai tilinumero.
Epäsuoria tunnisteita ovat kaikki ne tiedot, joita yhdistelemällä henkilö voidaan tunnistaa. Tällaisia ovat esimerkiksi sukupuoli, ikä, asuinpaikka, ammattinimike, kotitalouden koostumus, tulot, siviilisääty, kieli, kansallisuus, etninen tausta, työpaikka tai koulu. Kun tutkimuksen kohderyhmä on jo valmiiksi rajattu ja suhteellisen pieni, epäsuoria taustatietoja yhdistelemällä henkilö voi olla kohtuullisen helposti tunnistettavissa.
Arkaluontoisia henkilötietoja ovat tietosuoja-asetuksen määrittelemät erityiset henkilötietoryhmät eli tiedot joista ilmenee henkilön:
Arkaluontoisia tietoja on suojeltava erityisen tarkasti, koska niiden käsittely voi aiheuttaa riskejä henkilön perusoikeuksille. Tästä syystä niiden käsittely on lähtökohtaisesti kiellettyä. Kieltoon on kuitenkin poikkeuksia, joista yksi on henkilön nimenomainen suostumus kyseisten henkilötietojen käsittelyyn.
Huomaa, että arkaluontoisia henkilötietoja sisältävien aineistojen tallentaminen pilvipalveluihin on Metropoliassa kielletty.
Minimoinnin periaate henkilötietojen keruussa tarkoittaa sitä, että vältetään turhien henkilötietojen keräämistä. Tätä periaatetta kannattaa noudattaa jo tutkimusta suunniteltaessa.
Tunnisteellisten tutkimus- ja kehittämisaineistojen käsittelyn tulee olla suunnitelmallista ja huolellista. Tutkittavien yksityisyyden suojaa ei saa vaarantaa esimerkiksi aineiston huolimattomalla säilyttämisellä tai suojaamattomilla sähköisillä siirroilla.
Henkilötietojen käsittelyn yleisiä suojatoimia ovat pseudonymisointi, anonymisointi ja säilytyksen rajoittaminen.
Pseudonymisointi on aineiston tunnisteellisten tietojen poistamista tai korvaamista peitetiedolla tai koodeilla, jotka prosessin jälkeen säilytetään erillään aineistosta organisatorisesti ja teknisesti. Organisatorisilla toimenpiteillä tarkoitetaan tietojen suojattua fyysistä käyttöympäristöä ja hallinnollisesti rajattua ja valvottua käyttöoikeutta. Teknisillä toimenpiteillä viitataan tietoturvallisiin tallennusratkaisuihin. Pseudonyymistä aineistosta tulee anonyymi, kun erillään säilytettävät tunnistetiedot (koodiavain, henkilötiedot ja tiedot muutettujen arvojen muodostamistavoista) hävitetään. Pseudonymisoitu aineisto on edelleen henkilötietoa, jollaisena sitä tulee myös käsitellä.
Aineiston anonymisointi tarkoittaa sitä, että aineisto käsitellään niin, ettei se sisällä enää mitään tunnistetietoja. Tämä tarkoittaa siis henkilötietojen kohdalla sitä, että henkilöä ei voida aineistosta enää tunnistaa kohtuullisin keinoin. Myös organisaation tiedot tai muut luottamukselliset tiedot voidaan anonymisoida aineistosta.
Vaikka et keräisi tutkittavien henkilötietoja suoraan, heidät voi silti olla mahdollista tunnistaa aineistosta. Esimerkiksi anonyymi-kysely ei välttämättä olekaan anonyymi, jos tutkittavan on mahdollista paljastaa itsestään tietoja avovastauksissa tai jos kyselylomakkeesta tallentuu vastaajan IP-osoite. Tällainen aineisto ei ole anonyymia, vaan sitä koskevat tietosuojalait.
Tutkimus- tai kehittämisaineiston anonymisointiin ei ole olemassa valmista kaikkiin aineistoihin soveltuvaa menettelytapaa. Anonymisointi tulee suunnitella aina aineistokohtaisesti.
Anonymisointiprosessin hahmottamiseksi niin kvantitatiivisissa kuin kvalitatiivisissa aineistoissa voi käyttää apuna seuraavia kysymyksiä:
Tekniikoita anonymisointiin ovat esimerkiksi
> Katso Tietoarkiston ohjevideo kvalitatiivisten aineistojen anonymisointiin (Youtube)
> Katso Tietoarkiston ohjevideo kvantitatiivisten aineistojen anonymisointiin (Youtube)
Tutkimuksen toteuttamiselle tarpeettomat henkilötiedot poistetaan heti, kun se on mahdollista. Esimerkiksi aineiston keruuvaiheessa tarvitut nimitiedot, osoitteet ja vastaavat tunnisteet hävitetään heti, kun ne eivät ole enää välttämättömiä tutkimuksessa. Samoin tietojen yhdistämiseen tarvittu henkilötunnus tulee hävittää, kun sitä ei enää tarvita.
Metropolian kirjasto- ja tietopalvelut | Saavutettavuusseloste