Tietojen siirto muihin maihin
Tutkimustoiminta on usein kansainvälistä, ja hankkeen aikana voi syntyä tarve siirtää henkilötietoja Suomen ulkopuolelle. Lainsäädännöllä pyritään turvaamaan, ettei henkilötietojen tietosuojan taso laske, vaikka tutkimushankkeessa olisi siirrettävä henkilötietoja kolmansiin maihin. Siirron edellytyksiä on noudatettava myös silloin, kun tutkimuksessa käytettävät tiedot on pseudonymisoitu.
Tietosuojasääntely pyrkii edistämään henkilötietojen liikkuvuutta Euroopan unionissa ja Euroopan talousalueella. Henkilötietoja saa siirtää Euroopan talousalueeseen kuuluvaan maahan samoilla perusteilla kuin Suomen sisällä. Tietosuoja-asetuksen kansallisesta liikkumavarasta johtuen on kuitenkin huomioitava, että henkilötietojen käsittelylle, suojatoimille ja rajoituksille tutkimustoiminnassa on voitu säätää erilaisia edellytyksiä eri EU- ja ETA-maissa.
Jos henkilötietoja halutaan siirtää Euroopan talousalueen ulkopuolelle, käsittelyn on oltava lainmukaista Suomessa, ja siirrossa on noudatettava tietosuoja-asetuksessa määriteltyjä tiedonsiirron periaatteita. Rekisterinpitäjän on varmistettava siirtoperuste, jos tutkimushankkeessa siirretään tietoja Euroopan talousalueen ulkopuolelle.
Tutkimushankkeessa voi syntyä tarve siirtää henkilötietoja myös Suomen rajojen ulkopuolelle EU- tai ETA-maihin tai EU:n ja ETA:n ulkopuolelle kolmansiin maihin. Tarve siirtoon voi johtua esimerkiksi siitä, että tutkimushankkeessa tehdään yhteistyötä eri maissa olevien toimijoiden kanssa, tutkimusaineistolle on saatavilla tarvittava analyysi vain toisessa maassa tai tutkimusaineistoa halutaan käsitellä sellaisella teknisellä alustalla, joka sijaitsee toisessa maassa.
Henkilötietojen siirto kolmanteen maahan voidaan toteuttaa, jos komissio on tehnyt päätöksen, jonka mukaan kyseinen kolmas maa varmistaa riittävän tietosuojan tason. Erillistä lupaa siirtoa varten ei tällöin tarvita.
Henkilötietoja voidaan siirtää kolmanteen maahan myös silloin, kun rekisterinpitäjä toteuttaa asianmukaisia suojatoimia. Tällaisia suojatoimia voivat olla esimerkiksi tietosuojaa koskevat vakiolausekkeet.
Henkilötietojen siirto kolmansiin maihin on mahdollista myös erityisperusteilla. Erityisperusteita henkilötietojen siirrolle voi käyttää vain rajoitetuissa poikkeustapauksissa, kun muita siirtoperusteita ei ole käytössä.