Miten GDPR vaikuttaa tutkijan työhön?

Helsingin yliopistolla järjestettiin koulutus tutkijoille EU:n uudesta tietosuoja-asetuksesta GDPR:sta (General Data Protection Regulation). GDPR koskee henkilötietorekisterien keräämistä ja käsittelyä ja sen tarkoituksena on harmonisoida EU-maiden tietosuojalainsäädäntöä. Täysmittaisesti GDPR:n soveltaminen alkaa 25.5.2018. Tarkan kuvauksen GDPR:sta voi lukea esimerkiksi täältä tai täältä. Helsingin yliopiston työntekijöille koulutusmateriaali löytyy täältä.

Tutkimuksen etiikan periaatteet auttavat tutkijaa pitkälle myös uuden lain puitteissa (kts. esim. Sallan postaus verkkotutkimuksen etiikasta), mutta joitakin muutoksia nykykäytäntöihin tulee. Tässä havaintoja, jotka mielestäni vaikuttavat eniten tutkijan työhön varsinkin yhteiskuntatieteissä.

GDPR koskee henkilötietoja koskevia rekistereitä tai aineistoja, ja usein esimerkiksi kysely- tai haastatteluaineistot sisältävät henkilötietoja. Henkilötietona voidaan pitää mitä vaan tietoa, joka voidaan yhdistää johonkin luonnolliseen henkilöön. Itsestään selviä ovat nimet, sosiaaliturvatunnukset, osoitteet ja muut vastaavat tiedot, mutta myös esimerkiksi IP-osoitteet katsotaan henkilötiedoksi. Pseudonymisointi (salanimien tai numerotunnisteiden käyttö) on yleinen tapa ohittaa henkilötietojen käsittelyyn liittyviä haasteita, mutta laissa pseudonymisoitu tieto nähdään lähtökohtaisesti samoin kuin henkilötiedot paljastava, ei-pseudonymisoitu tieto. Tiedon anonymisointi onkin suositeltavaa aina kun mahdollista (henkilötiedot tai pseudonyymien lisätiedot/koodiavaimet pysyvästi poistettu).

Oma lukunsa ovat arkaluonteiset tiedot, joita ovat ainakin:

  • Rotu, etninen alkuperä
  • Poliittiset mielipiteet, äänestyskäyttäytyminen
  • Uskonnolliset tai filosofiset vakaumukset
  • Ammattiyhdistysliikkeen jäsenyys
  • Terveystiedot
  • Seksuaalinen suuntautuminen
  • Rikosrekisteri

Arkaluonteisen henkilötiedon tapauksessa tutkijan tulee laatia tietosuojaa koskeva vaikutustenarviointi (Data Processing Impact Assessment, PDIA). Lisätietoja löytyy täältä, ja varmasti kaikkien yliopistojen omilta lakimiehiltä tai tietosuojavastaavilta.

Henkilötietojen keräämisen yhteydessä pitää huomioida minimisaation periaate – kerää ainoastaan ne henkilötiedot, jotka ovat tutkimuksen kannalta välttämättömiä, ja jätä muut keräämättä. Tietoja saa käyttää ainoastaan siinä tarkoituksessa, johon lupa on annettu. Lupaa pyydettäessä tutkijan kannattaa ottaa huomioon aineistojen mahdollisen jatkokäyttö, ja pyytää myös siihen suostumus. Tieteellisen tutkimuksen tapauksessa myös laissa säädetyn tehtävän suorittaminen tai yleinen etu voivat toimia laillisina henkilötietojen keräämisen ja käsittelyn perusteina.

Nickname

Suurin muutos aiempaan henkilötietolakiin on rekisterinpitäjän osoitusvelvollisuus, eli velvollisuus kirjallisesti osoittaa GDPR:n mukaisen toiminnan ja rekisteröityjen oikeuksien täyttämisen. Riittävät toimenpiteet määritellään riskianalyysin mukaan, eikä laki suoraan määrittele, mitä nämä toimenpiteet ovat. Rekisteröityjen oikeudet ovat:

  • Saada läpinäkyvää tietoa rekisteristä
  • Päästä omiin tietoihin
  • Oikaista tietoja
  • Tulla unohdetuksi
  • Rajoittaa käsittelyä
  • Siirto-oikeus
  • Vastustamisoikeus

Tieteellinen tutkimus voi useimmissa tapauksia toimia poikkeuksena, jos tutkimuksesta on laadittu tutkimussuunnitelma, hankkeella on vastuullinen tutkija tai tutkimusryhmä ja henkilötietoja käytetään ainoastaan tutkimustarkoituksiin.

GDPR:ssä erotetaan rekisterinpitäjä ja henkilötietojen käsittelijä, joka toimii rekisterinpitäjän ohjeiden mukaisesti. Tieteellisen tutkimuksen tapauksessa rekisterinpitäjänä pidetään lähtökohtaisesti yliopistoa ja tutkijaa käsittelijänä. Tutkijoiden tulee siis noudattaa yliopiston tietosuoja- ja tietoturvasääntöjä, jotka kannattaa käydä läpi olemassa olevien henkilötietoja sisältävien aineistojen ja uusien aineistojen keräyksen osalta. Poikkeuksena on tutkimus, joka toteutetaan omalla ajalla ja rahalla, tai jos tutkija esimerkiksi omistaa aineiston itse. Tällöin väärinkäytöksistä seuraavat sanktiot voivat langeta rekisterinpitäjälle, eli yksittäiselle tutkijalle.

Viimeisenä huomiona nostan sopimuksen henkilötietojen käsittelystä (Data Processing Agreement, DPA), joka vaaditaan, kun tietojen käsittely ulkoistetaan. Koska esimerkiksi tietojen säilytys luetaan tietojen käsittelyksi, tutkijan tulee mm. ottaa huomioon, mitä pilvipalveluja työssään käyttää. Henkilötietoja sisältävät aineistot kannattaa siis aina säilyttää ensisijaisesti yliopiston palvelimella tai muuten yliopiston sisällä, eikä esimerkiksi Google Drivellä tai Dropboxissa.

Tässä siis huomioita, joita itse koulutuksesta tein. Kommentoi jos huomaat puuttuvia keskeisiä pointteja GDPR:stä tutkijan työn näkökulmasta!

Taitavasti eettistä verkkotutkimusta

https://www.flickr.com/photos/janetmck/15422638442/
(cc) Janet McKnight, Flickr

Vaatii taitoa ja rohkeutta rakentaa sosiaalista mediaa hyödyntävät tutkimusasetelmat niin, että eettisen tutkimuksen ehdot täyttyvät. // Teksti on rinnakkaisjulkaisu TENK:n Vastuullinen tiede -sivustolta (CC BY 4.0).

Sosiaalinen media valtavine viestimäärineen näyttäytyy monelle tutkijalle houkuttelevana aineistopankkina, halusipa sitten tutkia ihmisten asenteita ja käyttäytymistä tai yhteiskunnallisia muutoksia. Aineistojen vapaa saatavuus ei kuitenkaan poista eettisen pohdinnan tärkeyttä.

Verkkosisältöjen tutkimuskäyttöä koskevat eettiset käytännöt ja ohjeistukset ovat kirjavia Suomessa ja kansainvälisesti. Suomessa ihmistieteiden eettisen ennakkoarvioinnin ohjeistus ei ota erikseen kantaa verkkotutkimukseen. Tutkimukseen vaikuttavat lait puolestaan ovat auttamattomasti digitaalista aikaa jäljessä. Käytännössä tutkija joutuu verkkoaineistojen kanssa toimimaan hiukan harmaalla alueella ja luottamaan omaan harkintaansa ratkaisuja tehdessään.

Tutkimuskohteena ihminen vai data?

Tutkimuseettisen neuvottelukunnan laatima ohjeistus ihmistieteiden eettisestä ennakkoarvioinnista lähtee siitä, että ihmistieteellistä tutkimusta ohjaa kolme eettistä periaatetta: tutkittavan itsemääräämisoikeuden kunnioittaminen, vahingoittamisen välttäminen sekä yksityisyyden ja tietosuojan säilyttäminen. Periaatteet viittaavat siis erityisesti tutkimuksiin, jossa tutkimuksen kohteena on ihmistoimija. Verkkoaineistojen kohdalla tyypillistä on kuitenkin ihmisen, datan ja tekstin rajan hämärtyminen.

Jos tutkimuksen fokus on sisällöissä, voidaan sosiaalisen median aineistot rinnastaa julkistetuiksi tiedoiksi tai rekisteriaineistoiksi, jolloin tutkittavien erillistä suostumusta ei vaadita. Sosiaalisen median aineistoissa tekstit kuitenkin tyypillisesti ovat yksityishenkilöiden tuottamia ja käyttäjän nimi usein näkyvillä.

Usein verkossa tutkimusta tehdään kontekstissa, jossa suostumuksen kerääminen kaikilta tutkittavilta on vaikeaa ja käytännössä jopa mahdotonta. Monilla verkkoalustoilla keskustelua käydään anonyymisti eikä esimerkiksi vanhasta aineistosta ole useinkaan mahdollista etsiä nimetynkään tekijän yhteystietoja.

Verkkotutkimuksessa tutkimuskohde on siis väistämättä häilyväinen, eikä ihmisyys olekaan kovin järkevä tapa tarkastella verkkotutkimusta. Keskeisempää on pohtia laajemmin tutkimuksen mahdollisesti aiheuttamaa haittaa, tutkittavien haavoittuvutta ja yksityisyyttä.

Kimurantti julkisuus ja yksityisyys

Verkossa julkisen ja yksityisen ero hämärtyy helposti. Sosiaalisen median kontekstissa teknisesti julkisella aineistolla tarkoitetaan kaikkien saataville julkaistuja päivityksiä esimerkiksi avoimilla keskustelualustoilla tai ryhmissä. Selkeästi yksityistä aineistoa ovat esimerkiksi tutkijalle luottamuksellisesti lähetetyt viestit sosiaalisen median kanavissa tai viestit suljetuista ryhmistä, joihin tutkijalla on pääsy.

Silti teknisesti julkistenkin viestien kohdalla on vaikea arvioida kirjoittajien käsitystä aineiston julkisuudesta. Yksityisyyden ja julkisuuden käsitteet ovat vahvasti kulttuurisidonnaisia. Lisäksi palveluiden yksityisyysasetukset muuttuvat niin usein, että tavalliselle käyttäjälle ei välttämättä ole aina selvää, mitkä viesteistä ovat julkisia ja mitkä eivät. Näin ollen tiedon julkinen saatavuus ei yksinään riitä eettiseksi periaatteeksi, vaan tutkijan on pohdittava myös tiedon tuotannon kontekstia sekä tiedon arkaluontoisuutta.

Teknisestä ja lainopillisesta näkökulmasta neuvottelukumppanina verkkoaineistojen tutkimuksessa on myös verkkoalusta, jossa sisällöt on julkaistu. Tutkijan onkin syytä tutustua verkkopalveluiden käyttöehtoihin. Ne asettavat usein reunaehtoja materiaalin tutkimuskäytölle sekä rajoittavat koneellisesti ladattavan aineiston saatavuutta joko suojellakseen käyttäjien yksityisyyttä tai omaa liiketoimintaansa. Esimerkiksi Facebookista pystyy koneellisesti lataamaan ainoastaan julkisten ryhmien ja sivujen sisältöjä, mutta yksityishenkilöiden profiileista julkisetkaan päivitykset eivät ole saatavilla. Selaimen kautta ne ovat kuitenkin nähtävissä ja helposti osa esimerkiksi verkkoetnografin aineistoa.

Teksti ja konteksti

Tutkijat ovat käsitelleet luottamuksellisia aineistoja ennen digiaikaakin, eivätkä yksityisyyden suojaamisen ongelmat ole verkkoaineistoissa perustavalla tavalla erilaisia esimerkiksi haastatteluaineistoihin verrattuna. Myös sosiaalisen median aineistoja on analyysivaiheessa mahdollista käsitellä niin, että yksityishenkilöiden anonymiteetti ja tietosuoja säilyvät. Esimerkiksi poliittisen viestinnän tutkimusprojekteissamme anonymisoimme aineistosta tavalliset käyttäjät, mutta jätimme poliitikkojen nimet näkyville.

Anonymisointi kuitenkin ratkaisee vain analysointivaiheen haasteita. Sosiaalisen median aineistojen erityispiirre on se, että vaikka tutkimuksen kohteena olisikin pelkkä teksti, on se helppo yhdistää takaisin alkuperäiseen kirjoittajaan. Yksittäisen twiitin lähettäjä löytyy helposti syöttämällä teksti hakukoneeseen. Lisäksi erilaisia aineistoja yhdistämällä anonymisoitujenkin henkilöiden tunnistaminen voi olla mahdollista.

Siksi eettiset periaatteet on pidettävä mielessä myös silloin, kun tutkimusjulkaisuun valitaan lainauksia aineistosta tai jos aineistoa halutaan avata tutkimuskäyttöön. Arkaluontoisten teemojen kohdalla tutkija joutuu punnitsemaan, näyttääkö hän lukijalle aineistonäytteitä parantaakseen argumentaatiotaan vai pyrkiikö hän turvaamaan tutkittavien anonymiteetin.

Tietoa, taitoa ja rohkeutta

Lakitekstiviidakossa ja eettisiä ohjeita tiukasti lukien on helppo tulkita, että sosiaalisen median aineistojen käyttäminen ei ole laillista tai eettisesti suotavaa. Varsinkin yhteiskuntatieteellisen tutkimuksen näkökulmasta tutkijoilta kaivataan kuitenkin paitsi ammattitaitoa, myös rohkeutta ja taitoa rakentaa sosiaalista mediaa hyödyntävät tutkimusasetelmat siten, että eettisen tutkimuksen ehdot täyttyvät. Sosiaalinen media heijastelee lukuisia yhteiskunnallisesti merkittäviä teemoja. On sääli, jos esimerkiksi yhteiskunnallista vallankäyttöä koskevista tutkimuksista pitäisi ohjeiden puuttuessa jättää digitaalinen osuus tekemättä.

Kuten kaikessa tutkimuksessa, verkkotutkimuksessa on asetelmia, jotka eettisistä syistä tulisi jättää toteuttamatta. Tutkimuksen tutkittaville aiheuttamat haitat ja seuraukset ovat kuitenkin kontekstin määrittämiä tekijöitä, minkä vuoksi yleispätevien ohjeiden antaminen on mahdotonta. Eettisen pohdinnan avuksi löytyy kuitenkin erilaisia apuvälineitä esimerkiksi tämän kirjoituksen viitteistä – erityisesti verkkotutkimuksen kansainvälisen yhdistyksen Association of Internet Researchers AoIR:n julkaisema eettinen ohjeistus on erinomainen apu tutkijalle.

Salla-Maaria Laaksonen on tutkija Helsingin yliopistossa.

Lisätietoja:

  • AoIR (2012). Ethical decision-making and Internet research: Version 2.0. Recommendations from the AoIR Ethics Working Committee. Final Draft; Association of Internet Researchers. (pdf)
  • Östman, S., & Turtiainen, R. (2016). From research ethics to researching ethics in an online specific context. Media and Communication, 4(4), 66–74.
  • Tikka, Minttu (2014) Tutkija nuorten mediamaailmassa: tutkimuseettisiä kysymyksiä. Nuorisotutkimus vol. 32(3).
  • Turtiainen R, Östman S. (2013). Verkkotutkimuksen eettiset haasteet: Armi ja anoreksia. Kirjassa: Laaksonen S-M, Matikainen J, Tikka M. (toim.) Otteita verkosta. Verkon ja sosiaalisen median tutkimusmenetelmät. Tampere: Vastapaino, s. 49–67.