Studentarbeten med personuppgifter

Om du ska skriva ett studentarbete med personuppgifter, till exempel att du ska intervjua personer eller studera domar, finns saker du behöver tänka på. Universitetet är personuppgiftsansvarig för din behandling av personuppgifter. Därför måste du och din handledare uppfylla kraven enligt dataskyddsförordningen, GDPR, och du måste förhålla dig till forskningsetiska riktlinjer. Stäm alltid av med din handledare innan du påbörjar din insamling.

Personuppgift

Personuppgifter kan vara vitt skilda uppgifter som är hänförliga till en individ. Till exempel namn, identifikationsnummer, lokaliseringsuppgift och karaktärsdrag. Exempel på personuppgifter är adress, e-post, IP-adresser och registreringsnummer för bil. En inspelning eller en intervju med en identifierbar individ anses alltid innehålla personuppgifter. Begreppet personuppgift är mycket brett.

• Integritetsskyddsmyndigheten
  Mer om personuppgifter på Integritetsskyddsmyndighetens webbplats
  

Personuppgift och känslig personuppgift

Med känsliga personuppgifter menas personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Även personuppgifter som till exempel modersmål eller hemspråk kan vara känsliga personuppgifter då de i vissa fall indirekt kan härleda till etniskt ursprung.

• Integritetsskyddsmyndigheten
  Mer om känsliga personuppgifter på Integritetsskyddsmyndighetens webbplats

Behandling av känsliga personuppgifter

Utgångspunkten i dataskyddsförordningen är att det är förbjudet att behandla känsliga personuppgifter.

Ett undantag från förbudet mot att behandla känsliga personuppgifter i uppsatsarbeten är när studenten skriver sitt uppsatsarbete inom ramen för ett forskningsprojekt som har fått ett etikgodkännande från etikprövningsmyndigheten. Ett annat undantag är om deltagaren uttryckligen har lämnat sitt samtycke. För att ett samtycke ska vara giltigt måste det bland annat vara frivilligt, utan villkor, möjligt att återkalla och det får inte vara ett ojämlikt maktförhållande i relation till den som ber om samtycket.

• Mall för samtycke
  

Huvudregeln är att studenter inte ska behandla känsliga personuppgifter i sina studentarbeten. En behandling av det slaget får därför aldrig påbörjas innan du har fått godkänt från din handledare eller institution.

Behandling av känsliga personuppgifter måste alltid ske restriktivt och med höga krav på organisatoriska och tekniska säkerhetsåtgärder. Bland annat får den här typen av uppgifter inte mejlas och de får endast lagras i studentanvändarens H:. Prata med din institution för att få råd och stöd.

Integritetskänsliga behandlingar

Förutom behandling av känsliga personuppgifter finns det andra typer av behandlingar som också anses medföra ökad risk för den personliga integriteten. Exempel på det är:

• Behandling av en större mängd personuppgifter.
• Sammanställningar och sammankopplingar av olika uppsättningar data för att skapa ny information.
• Överföring av personuppgifter till ett land utanför EU.
• Behandling av en stor mängd personuppgifter om enstaka eller en grupp individer.
• Inspelningar av individer, värderande uppgifter, fullständiga personnummer och sociala förhållanden.

Om ditt studentarbete medför någon av de uppräknade typerna av integritetskänsliga behandlingar ska handledaren uppmärksammas om det särskilt.

Lagringsytor och programvaror

När du behandlar personuppgifter i ditt studentarbete är det viktigt att säkerheten för uppgifterna garanteras. För att en tjänst ska vara säker att använda krävs det att du gjort nödvändiga riskanalyser och att det finns avtal med tjänsten.

Universitetet rekommenderar att information som tas in lagras på din användare i H: eller OneDrive för att säkerställa skydd och backup. Känsliga personuppgifter får bara lagras på H:.

När det gäller insamling av uppgifter i formulär föreslås att Microsoft Forms eller LTU Survey används, eftersom universitetet har avtal med dem. Även insamling via pappersformulär är ett alternativ. Prata med din handledare om vad som är lämpligt i ditt fall.

Användning av andra lagringsytor, programvaror eller appar än de rekommenderade ska meddelas till handledaren.

Digitala intervjuer

När det gäller inspelning och eventuell transkribering föreslås att Zoom används. Be deltagaren att stänga av kameran om videofunktionen måste användas. Fråga din handledare om hjälp och råd.

Innan du börjar

När du har bestämt dig för att du vill göra ett studentarbete där du hanterar personuppgifter behöver du besvara följande frågor. Skriv ner svaren och spara dem tillsammans med övrigt material tillhörande arbetet. Din handledare kommer att behöva ta del av dina svar för att kunna stötta dig i hanteringen. Informationen behövs också för att fylla i ett register över universitetets behandlingar av personuppgifter. Dokumentationen är även viktig om det kommer följdfrågor från deltagare.

Frågor

• För vilket ändamål samlas uppgifterna in? Det måste vara specifika, särskilt angivna och berättigade ändamål.
• Vilka personuppgifter måste behandlas för att uppnå ändamålet? Hur känsliga är uppgifterna? Det är inte tillåtet att behandla fler personuppgifter än vad som behövs för ändamålet och ju känsligare uppgifter desto högre krav på säkerhetsåtgärder.
• Hur länge ska du spara uppgifterna? Uppgifterna ska raderas när de inte längre behövs.
• Vilka programvaror avser du att använda? Specificera särskilt om det är något som avviker från lämnade rekommendationer och förklara varför just de programvarorna behövs.
• Hur ska du skydda personuppgifterna, till exempel så att inte obehöriga får tillgång till dem eller att de inte förloras eller förstörs? Till exempel använda rekommenderade programvaror och använda H: eller OneDrive för lagring med inkluderad backup.

Information till deltagare

Alla som deltar i studien har rätt att få information för att förstå vad uppgifterna ska användas till, hur länge de ska sparas och hur de skyddas. Ett deltagande är alltid frivilligt och om någon i efterhand hör av sig och meddelar att de inte vill delta, tar vi bort uppgifterna om det är möjligt.

• Mall för information till deltagare

Lämna information

Om du hämtar uppgifter direkt från en deltagare ska informationen, den ifyllda informationsmallen, lämnas innan uppgifterna hämtas. Det för att den som deltar ska veta vad vi ska göra med uppgifterna och varför.

Om du hämtar uppgifterna från någon annan, till exempel en myndighet, ska information lämnas inom en rimlig period efter det att du har fått personuppgifterna, dock senast inom en månad. Samma informationsmall används, med tillägget om varifrån uppgifterna har hämtats.

Om det är omöjligt att ge den registrerade information eller om det skulle medföra en oproportionell ansträngning, till exempel vid användning av personuppgifter hämtade ur statistikdatabaser, behöver information inte lämnas.

Information om en studie, och svaret om att någon vill delta, kan oftast tas in digitalt. Om känsliga personuppgifter avslöjas genom deltagandet, till exempel om intervjuer bara sker med personer som lider av viss sjukdom, ska hantering inte ske via mejl. I sådana fall kan telefon eller brev användas.

Känslig information

Innan arbetet börjar behöver du alltid tänka igenom vilka frågor du vill få besvarade och vilka risker den informationen medför. För att undvika att du får in känsligare information än du avsett är det viktigt att fundera över hur du ska ställa frågorna och om du behöver upplysa intervjupersonerna om att de ska tänka på att inte beröra vissa områden. Om det ändå sker behöver du upplysa intervjupersonen om att ni behöver hålla er till ämnet. Informationen som har samlats in måste hanteras på ett tillräckligt säkert sätt. Ta hjälp av din handledare för att reda ut känsligheten av uppgifterna. Om du inte ska använda informationen i ditt arbete, ta bort den direkt.

Att skriva arbetet

Om du genomför ett studentarbete där du samlar in personuppgifter är det viktigt att du hanterar uppgifterna varsamt i den text du skapar. Rekommendationen är att inte skriva ut namn eller andra identifierande uppgifter i själva rapporten. Om det skulle vara absolut nödvändigt måste du först säkerställa med intervjupersonen att det är okej. Om direkt referens eller citering görs till namngiven person ska också intervjupersonen få möjlighet att godkänna texten innan publicering. Om du gör anteckningar eller transkriberingar av intervjuer, är rekommendationen att intervjupersonen ges möjlighet att ta del av dessa och verifiera innehållet.

Den registrerades rättigheter

Den person vars uppgifter samlas in har vissa rättigheter gentemot universitetet som personuppgiftsansvarig, till exempel möjligheten att utan kostnad få ta del av de uppgifter som hanteras i studien och vid behov att få fel rättade. Deltagare kan också begära att få uppgifter raderade och att behandlingen av personuppgifter begränsas.

Om den registrerade vänder sig till dig som student, med en begäran om att använda någon av sina rättigheter, kontakta din handledare.

• Behandling av personuppgifter och GDPR

Radering av personuppgifter

Personuppgifter får bara sparas så länge som de behövs för att uppfylla syftet med insamlingen. Personuppgifter som du har samlat in enbart för användning i ditt studentarbete ska raderas när kursen är slut och du har fått betyg. Notera att det inte gäller om dina uppgifter ska användas i till exempel ett kommande forskningsprojekt. Stäm av med din handledare vad som gäller för aktuella uppgifter.