EU:n yleinen tietosuoja-asetus (GDPR) säätelee henkilötietojen käsittelyä myös opinnäytetöissä.
Itse tutkimusaineisto voi sisältää henkilötietoja, mutta henkilötietoja voi olla myös aineiston keruuseen tarvittavissa dokumenteissa, kuten tutkittavan suostumuslomakkeissa. Huomaa, että myös anonyymiksi tarkoitetusta kyselytutkimuksesta voi syntyä henkilötietoja, mikäli kysely toteutetaan verkkolomakkeella, joka tallentaa esimerkiksi vastaajan IP-osoitteen, tai jos kyselyssä on avovastausvaihtoehtoja.
Opiskelijalla on velvollisuus huolehtia tietosuojasta opinnäytetyötä tehdessään. Opinnäytetyön ohjaajan velvollisuutena on neuvoa opiskelijaa tietosuoja-asioissa.
Aineiston anonymisointi tarkoittaa sitä, että aineisto käsitellään niin, ettei se sisällä enää mitään tunnistetietoja. Tämä tarkoittaa siis henkilötietojen kohdalla sitä, että henkilöä ei voida aineistosta enää tunnistaa kohtuullisin keinoin. Myös organisaation tiedot tai muut luottamukselliset tiedot voidaan anonymisoida aineistosta.
Vaikka et keräisi tutkittavien henkilötietoja suoraan, heidät voi silti olla mahdollista tunnistaa aineistosta. Esimerkiksi anonyymi-kysely ei välttämättä olekaan anonyymi, jos tutkittavan on mahdollista paljastaa itsestään tietoja avovastauksissa tai jos kyselylomakkeesta tallentuu vastaajan IP-osoite (HUOM ei tallennu, jos käyttää Webropolia ohjeen mukaisesti). Tällainen aineisto ei ole anonyymia, vaan sitä koskevat tietosuojalait.
Tekniikoita anonymisointiin ovat esimerkiksi:
Henkilötietoa on kaikki sellainen tieto, jonka avulla henkilö voidaan tunnistaa joko suoraan tai epäsuorasti. Tutkimusaineisto voi sisältää tunnistetietoja myös tutkittavan lähipiiristä tai muista henkilöistä. Myös heitä tunnistettavasti käsittelevät tiedot ovat henkilötietoa.
Suoria henkilötietoja ovat esimerkiksi henkilön koko nimi, henkilötunnus ja erilaiset biometriset tunnisteet kuten sormenjälki, kasvokuva, ääni ja käsin tehty allekirjoitus.
Vahvoja epäsuoria tunnisteita ovat kaikki sellaiset yksittäiset tiedot, joiden avulla henkilö voidaan tunnistaa kohtuullisen helposti. Sellaisia ovat esimerkiksi osoite, puhelinnumero, harvinainen ammattinimike, hyvin harvinainen sairaus ja yksilöivät tunnisteet kuten tietokoneen IP-osoite, opiskelijatunnus tai tilinumero.
Epäsuoria tunnisteita ovat kaikki ne tiedot, joita yhdistelemällä henkilö voidaan tunnistaa. Tällaisia ovat esimerkiksi sukupuoli, ikä, asuinpaikka, ammattinimike, kotitalouden koostumus, tulot, siviilisääty, kieli, kansallisuus, etninen tausta, työpaikka tai koulu. Kun tutkimuksen kohderyhmä on jo valmiiksi rajattu ja kohtuullisen pieni, epäsuoria taustatietoja yhdistelemällä henkilö voi olla kohtuullisen helposti tunnistettavissa.
Lähde: Aineistonhallinnan käsikirja: Tunnisteellisuus ja anonymisointi (Tietoarkisto)
Arkaluontoisia henkilötietoja ovat tietosuoja-asetuksen määrittelemät erityiset henkilötietoryhmät eli tiedot joista ilmenee henkilön:
Arkaluontoisia tietoja on suojeltava erityisen tarkasti, koska niiden käsittely voi aiheuttaa riskejä henkilön perusoikeuksille. Tästä syystä niiden käsittely on lähtökohtaisesti kiellettyä. Kieltoon on kuitenkin poikkeuksia, joista yksi on henkilön nimenomainen suostumus kyseisten henkilötietojen käsittelyyn.
Eettinen hyväksyttävyys on aina arvioitava ennakkoon tutkimuksissa, joissa:
Henkilötietojen keruun miminoimmin periaate tarkoittaa sitä, että vältetään turhien henkilötietojen keräämistä. Tätä periaatetta kannattaa noudattaa jo opinnäytetyön tutkimuksen suunnittelussa.