Tutkimustehtävän ja henkilötietojen käyttötarkoituksen määrittely

Kun henkilötietoja käsitellään tieteellisen tutkimuksen tarkoituksia varten, käsittelyn on täytettävä käyttötarkoitussidonnaisuuden vaatimus. Henkilötietojen käsittelyn tarkoitus on suunniteltava ja määritettävä täsmällisesti, jotta käsittely olisi lainmukaista.

Käyttötarkoitussidonnaisuuden vaatimus edellyttää, että henkilötiedot kerätään tiettyä, nimenomaista ja laillista tarkoitusta varten. Tietoja ei saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Esimerkiksi ilmaisut ”tuleva tieteellinen tutkimus” (future research) tai ”henkilötietoja voidaan käyttää tutkimustarkoituksiin” eivät kerro henkilötietojen käsittelyn tarkoituksesta riittävän selvästi.

Tieteellisen tutkimuksen osalta täsmällisempi käyttötarkoituksen määrittely tehdään usein tutkimussuunnitelmassa, jossa yksilöidään muun muassa tutkimustehtävä, aineisto ja menetelmät. Tutkimussuunnitelmasta käy ilmi myös se, mitä tietoja tutkimuksen suorittamiseen tarvitaan ja miten nämä tiedot ovat tarpeellisia tutkimuskysymykseen vastaamisen kannalta. Tutkimussuunnitelmassa on hyvä määrittää myös se, onko kysymyksessä kertatutkimus vai seurantatutkimus, jossa henkilötietoja voi olla tarvetta käsitellä pidempään. Tutkimussuunnitelma voi toimia myös osana osoitusvelvollisuuden toteuttamista.

Suostumuksen joustavuus tieteellisessä tutkimuksessa

Tieteellisessä tutkimuksessa voi tulla eteen tilanteita, joissa käsittelyn tarkoitusta ei ole täysin mahdollista määrittää vielä tietojen keruuvaiheessa. Jos käsittelyperusteeksi valitaan suostumus, ja tieteellisessä tutkimuksessa noudatetaan tunnustettuja eettisiä standardeja, rekisteröity voi antaa suostumuksensa tietyille tutkimusaloille tai tutkimushankkeen osille siinä määrin kuin suunniteltu tarkoitus sen mahdollistaa. Eettisten standardien todentaminen tapahtuu usein eettisten toimikuntien lausuntojen kautta.

Jos tutkimuksessa käsitellään erityisiä henkilötietoja, suostumuksen on oltava muiden suostumusta koskevien vaatimusten (tietosuoja-asetuksen 4 artiklan kohta 11, 6 artiklan kohta 1 a ja 7 artikla) lisäksi nimenomainen (tietosuoja-asetuksen 9 artiklan kohta 2 a).  Kyseinen vaatimus kaventaa joustavuuden käyttömahdollisuuksia.

On tärkeää myös havaita, että suostumuksen joustavuus tieteellisessä tutkimuksessa ei luo poikkeusta siihen, että vain yksilöity suostumus voi toimia lainmukaisena käsittelyperusteena. Siksi joustavuuden hyödyntäminen edellyttää, että rekisterinpitäjällä on muita keinoja, joilla suostumuksen yksilöinti toteutetaan.

Keinoja suostumuksen yksilöimiseksi tieteellisessä tutkimuksessa

• Jos tutkimuksen tarkoitusta ei voida yksilöidä alkuvaiheessa täysin, tutkimuksen alkuvaiheessa voidaan pyytää yleisempi suostumus tutkimustarkoitukseen ja sellaisiin vaiheisiin, jotka varmuudella tiedetään tutkimuksen alkaessa. Suostumus hankkeen myöhempiin vaiheisiin voidaan hankkia ennen niiden alkamista tutkimuksen edetessä.
• Tarkoituksen yksilöinti voidaan toteuttaa läpinäkyvän viestinnän avulla. Rekisterinpitäjä toimittaa tutkimushankkeen edetessä säännöllisesti tietoa tarkoituksen kehittymisestä, jotta suostumuksesta tulee ajan kuluessa mahdollisimman yksilöity. Viestintä auttaa rekisteröityä pysymään ajan tasalla tarkoituksen täsmentymisestä. Rekisteröidylle on kerrottava mahdollisuudesta peruuttaa suostumus henkilötietojen käsittelyn tarkoituksen täsmentyessä.
• Kattavan tutkimussuunnitelman tai muun tutkimusta selkeästi ja yksityiskohtaisesti kuvaavan selvityksen asettaminen rekisteröityjen saataville auttaa kompensoimaan tutkimuksen tarkoituksen täsmällisyyden puutetta.  Tutkimussuunnitelman on oltava saatavilla ennen suostumuksen antamista. Tutkimussuunnitelmassa on määritettävä suunnitellut tutkimuskysymykset ja työskentelymenetelmät mahdollisimman selkeästi.

Rekisterinpitäjän on pystyttävä osoittamaan, mihin henkilötietojen käsittelyyn rekisteröity on antanut suostumuksensa. Lisäksi rekisterinpitäjän on voitava todentaa ne lisätoimenpiteet, joilla on varmistettu käyttötarkoitussidonnaisuuden ja suostumuksen kriteerien toteutuminen. On tärkeää muistaa, että suostumukseen sisältyy aina myös mahdollisuus peruuttaa suostumus, jos rekisteröity ei enää halua, että hänen henkilötietojaan käsitellään tieteellisen tutkimuksen tarkoituksia varten.

Lue lisää osoitusvelvollisuudesta

Tieteellisen ja historiallisen tutkimuksen yhteensopivuus alkuperäisen tarkoituksen kanssa

Tietosuoja-asetuksessa on pyritty helpottamaan myös sitä, että tieteelliseen ja historialliseen tutkimukseen saataisiin tietoja monipuolisesti. Henkilötietojen käsittely tieteellisen ja historiallisen tutkimuksen tarkoitusta varten voidaan määrätyissä tilanteissa katsoa yhteensopivaksi alkuperäisen käyttötarkoituksen kanssa, jos käsittelyssä noudatetaan asianmukaisia teknisiä ja organisatorisia suojatoimia.

Jatkokäsittely tieteellisessä tutkimuksessa edellyttää tapauskohtaista harkintaa, jossa jatkokäsittelyn mahdollisuutta analysoidaan myös muita tietosuojaperiaatteita ja -säännöksiä vasten. Yhteensopivan käyttötarkoituksen johdosta rekisterinpitäjän henkilötietojen käsittely tutkimustarkoituksia varten voi perustua samaan käsittelyperusteeseen kuin alkuperäinen käsittely, eikä uutta käsittelyperustetta tarvita. Käsittelyn on kuitenkin oltava lainmukaista myös muiden tietosuojasäännösten näkökulmasta; yhteensopiva käyttötarkoitus ei oikeuta rekisterinpitäjää poikkeamaan muista tietosuojasäännöksistä.

Kun rekisterinpitäjä aikoo käsitellä henkilötietoja muuhun kuin alkuperäiseen tarkoitukseen, asiasta on ilmoitettava rekisteröidylle ennen käsittelyn aloittamista. Tämä vaatimus koskee myös niitä tilanteita, joissa käsittely on yhteensopivaa alkuperäisen käyttötarkoituksen kanssa. Rekisterinpitäjän on kerrottava uudesta käyttötarkoituksesta, rekisteröidyn oikeuksista ja kaikista muista asiaankuuluvista tiedoista, jollei sillä ole laissa säädettyä perustetta informointivelvoitteesta poikkeamiseen.

Lue lisää rekisteröidyn informoinnista

Jos henkilötiedot on kerätty suostumuksella, tarvitaan usein uusi suostumus myös yhteensopivien käyttötarkoitusten osalta, jotta henkilötietojen käsittelyn lainmukaisuus ja asianmukaisuus voidaan varmistaa. Myös henkilötietojen käsittelyä koskeva informointi on päivitettävä, jotta henkilötietojen käsittelyn läpinäkyvyys toteutuu.

Henkilötietojen käsittely uuteen, alkuperäisestä käyttötarkoituksesta poikkeavaan käyttötarkoitukseen on mahdollista silloin, kun suunniteltu käyttötarkoitus noudattaa tietosuojasäännöksiä ja

• uuteen käyttötarkoitukseen saadaan rekisteröidyn suostumus ennen käsittelyn aloittamista tai
• käsittelylle on selkeä laissa oleva käsittelyperuste.