Julkaistu    |  Päivitetty 
Petra Mustonen

GDPR vaikuttaa tieteeseen

Juuri gradunsa viimeistellyt Reetta Haverinen yllättyi kuullessaan, että hänen julkisista blogiteksteistä koostuva aineistonsa sisälsi henkilötietoja, mikä teki hänestä GDPR:n mukaan rekisterinpitäjän. – Minun piti kirjata, että hävitän keräämäni henkilötiedot tietyn ajan kuluttua. Se tuntuu vähän hassulta, kun se sama aineisto kumminkin on ikuisesti netissä kaikkien saatavilla. Juuri gradunsa viimeistellyt Reetta Haverinen yllättyi kuullessaan, että hänen julkisista blogiteksteistä koostuva aineistonsa sisälsi henkilötietoja, mikä teki hänestä GDPR:n mukaan rekisterinpitäjän. – Minun piti kirjata, että hävitän keräämäni henkilötiedot tietyn ajan kuluttua. Se tuntuu vähän hassulta, kun se sama aineisto kumminkin on ikuisesti netissä kaikkien saatavilla.
Toukokuussa voimaan tullut EU:n tietosuoja-asetus GDPR on tullut vastaan jokaiselle tavalla tai toisella. Pyynnöt hyväksyä erinäisten palvelujen käyttöehtoja eivät varmaankaan tule enää kenellekään yllätyksenä.

Sen sijaan esimerkiksi opinnäytteen parissa työskentelevälle korkeakouluopiskelijalle GDPR:n mukanaan tuomat uudet velvollisuudet saattavat yhä aiheuttaa päänvaivaa.

–  Eihän minulle ollut tullut pieneen mieleenikään, että GDPR koskettaisi minua. Graduohjaajani sitten kertoi, että aineistona käyttämäni julkiset blogitekstit sisältävät henkilötietoja, kulttuurintutkimusta Itä-Suomen yliopistossa opiskeleva Reetta Haverinen kertoo.

EU:n tietosuoja-asetuksessa tieteellinen tutkimus on erityisasemassa, ja tieteen nimissä sallitaankin joitakin poikkeuksia henkilötietojen käsittelyssä.

Lisäksi Suomessa tieteen vapaus on kirjattu perustuslakiin. Tästä huolimatta GDPR:n vaikutukset tutkimukselle ovat herättäneet huolta varsinkin siksi, että kansallinen lainsäädäntö siihen liittyen on vasta eduskuntakäsittelyssä.

–  Se tietosuojalaki tarvittaisiin pikaisesti, sillä sen puuttuminen hankaloittaa tällä hetkellä tietosuoja-asetuksen soveltamista, Itä-Suomen yliopiston tietosuojavastaava Helena Eronen sanoo.

Helena Erosen mukaan GDPR vaikuttaa Itä-Suomen yliopistossa kaikilla tieteenaloilla ja sen joutuvat huomioimaan kaikki henkilötietoja käsittelevät, niin tutkijat kuin opiskelijatkin.

Erityispedagogiikan tutkijatohtori Erkko Sointukin on vastikään törmännyt asetuksen mukanaan tuomiin uudistuksiin.

–  Kyllähän GDPR silloin keväällä oli iso ja hämmentävä uutinen ja herätti tutkijoiden keskuudessa jopa vähän pelonsekaista tunnelmaa. Puhuttiin siihen liittyvistä korvausvastuista ja jopa siitä, rajoittaako uudistus kuitenkin tieteen tekemistä, Sointu kertoo.

Hämmennystä ovat kokeneet myös opiskelijat.

–  Tuli siinä ensin kavereille kirottua, että miksi tällainen uudistus on pitänyt tulla ja miksi se koskee myös minua.

–  En oikein hahmottanut edes, mitä henkilötietojen käsittely omalla kohdallani tarkoitti, Reetta Haverinen kertoo.

Erosen mukaan tieteen tekeminen sinällään ei uudistuksen myötä kuitenkaan muutu, sillä samat asiat on pitänyt huomioida myös aiemmin. Lain myötä tutkijalta vaaditaan vain entistä tarkempaa henkilötietojen käsittelyn suunnittelua ja dokumentointia.

–  Ennen riitti, että noudatti tietosuojalainsäädäntöä, nyt se pitää pystyä erilaisin dokumentein ja toimintamallein osoittamaan. Lisäksi niille, joiden henkilötietoja on kerätty, on kerrottava asiasta entistä läpinäkyvämmin.

Yksi iso kysymys on se, kuka tai mikä taho missäkin tutkimuksessa katsotaan kerättävistä henkilötiedoista vastaavaksi rekisterinpitäjäksi.

Tällä hetkellä asia on tulkittu lähtökohtaisesti niin, että koska tutkijat ovat työsuhteessa yliopistojen kanssa, voi rekisterinpitäjä olla yliopisto. Sen sijaan opiskelija toimii itsenäisesti ja on siis itse rekisterinpitäjä.

–  Tämän hetkisen tiedon mukaan opinnäytettä tekevää opiskelijaa koskevat siis kaikki asetuksessa luetellut lukuisat rekisterinpitäjän velvoitteet, mikäli hän käsittelee henkilötietoja. Toisaalta kyllähän opiskelija oli rekisterinpitäjä lain puitteissa jo ennen uudistusta, Helena Eronen huomauttaa.

Opiskelija voi olla rekisterinpitäjä, vaikka itse tutkimuksessa ei käytettäisikään henkilötietoja.

–  Esimerkiksi sähköpostiosoitteiden kerääminen kyselytutkimukseen osallistumispyynnön lähettämistä varten on henkilötietojen käsittelyä, Eronen selventää.

GDPR on siis velvoittanut sekä tutkijat että opinnäytteentekijät ensinnäkin konkreettisesti osoittamaan, että henkilötietoja käsitellään asetuksen mukaisesti, ja toiseksi kertomaan tutkimukseen osallistuville entistä tarkemmin siitä, miten heidän henkilötietojaan käsitellään.

–  Tämä tapahtuu käytännössä yleensä niin, että tutkimuksen tekijä laatii tietosuojaselosteen. Sille on meillä olemassa valmis pohja, Helena Eronen kertoo.

Reetta Haverinen on täyttänyt tuon lomakkeen pro gradunsa yhteydessä. Hän kertoo, ettei siitä ensin meinannut tulla mitään.

–  Se teksti oli todella byrokraattista ja vaikeasti ymmärrettävää. Tuskailin sen kanssa pitkään, ja lopulta pyysin apua graduohjaajaltani. Yhdessä täytimme sen vartissa, Haverinen kertoo.

Eronen kehottaa olemaan tarkkana, kun lomakkeeseen kirjaa tutkimuksen keston.

–  Jos kirjoittaa henkilörekisterin pitämisen kestävän kaksi vuotta, niin sen kahden vuoden jälkeen niiden tietojen käsittelyoikeus päättyy, oli opinnäyte valmis tai ei.

Tutkijatohtori Erkko Sointu taas ei pitänyt lomakkeen täyttöä kovin vaikeana, kun siihen oli saatavilla tukea ja taustalla oli kokemusta vastaavista prosesseista.

Aikaa se kuitenkin vei, sillä vaikka henkilötietojen käsittely sinänsä oli tuttua, piti uutta terminologiaa ja käytäntöjä oppia ymmärtämään.

–  Nyt kun sen prosessin on käynyt läpi alun paniikista täytettyyn lomakkeeseen, niin on se selkeyttänyt asioita. Loppujen lopuksi GDPR tuo tutkimuksen tekemiseen sellaista ennakoivaa näkökulmaa, vaikka samat asiat tutkimuksessa otetaan huomioon kuin aiemminkin.

Erkko Sointu suhtautuu GDPR:ssä kuitenkin varauksella siihen, että tutkittavien informoinnista on tehty niin laajaa.

Hän pelkää sen ehkä nostavan osallistumiskynnystä.

–  Informointiteksteihin tutustuminen vie osallistujilta enemmän aikaa. Laadin juuri kyselylomakkeen, jonka ensimmäinen sivu oli kokonaan tätä informointia, ja se sisälsi vielä kolme linkkiä erillisiin selosteisiin.

Lisäksi Sointu on huolissaan siitä, miten GDPR ja siihen liittyvä kansallinen lainsäädäntö viimekädessä vaikuttavat tieteen vapauteen.

–  Päätöksenteossa pitäisikin ottaa huomioon tutkijoiden näkökulma pelkän lakimiesnäkökulman ohella, jotta tieteen vapaus toteutuu myös käytännössä.

Reetta Haverinen taas toivoo, että kynnys osallistua tutkimuksiin laskisi sen seurauksena, että osallistujat näkevät konkreettisesti, että heidän henkilötietojaan käsitellään eettisesti. Opiskelijan näkökulmasta hän pitää silti tietosuojaselosteen täyttämistä turhauttavana eikä näe siitä olevan konkreettista hyötyä.

–  Toivottavasti tämä ei ainakaan tule olemaan yhdellekään opiskelijalle kynnyskysymys.

–  Että kukaan ei jättäisi kiinnostavaa aihetta väliin vain siksi, ettei jaksa käydä näitä byrokraattisia asioita läpi.

Kommentoi

Hae Heilistä

Hae Heilistä