Kirjaudu lomaketyökaluun

Kirjaudu Oamkin tunnuksellasi (ks. Oamkin työntekijän käyttäjätunnus / opiskelijan käyttäjätunnus) kyselyiden tietosuojainfo -työkaluun. (Huom. Osoite toimii vain Oamkin verkossa tai VPN-yhteydessä, ks. henkilöstön VPN-ohje tai opiskelijan VPN-ohje)

Avaa kyselyiden tietosuojainfo -työkalu

Näet etusivulla luettelon kaikista niistä tietosuojainfoista, jotka olet tehnyt. Jos et näe yhtään tietosuojainfoa, se tarkoittaa ettet ole vielä luonut yhdellekään kyselyllesi tietosuojainfoa.

Luo kyselyllesi tietosuojainfo

Sivun alareunassa on Luo uusi -nappi. Klikkaa sitä ja saat eteesi uuden tietosuojainfolomakkeen täytettäväksesi.

Huomaa, että pääset samassa näkymässä tekemään tietosuojainfon paitsi suomeksi, myös englanniksi: Jos täytät tiedot myös englanniksi, saat aikaan myös erillisen englanninkielisen selosteen (GDPR Privacy Notice). Huom! Et näe tietosuojainfoa täyttäessäsi englanninkielisiä otsikoita, mutta ne näkyvät käyttäjille englanninkielisessä tietosuojainfossa ihan oikein, jos julkaiset englanninkielisen tietosuojainfon.

Katso halutessasi esimerkki: Erään ilmoittautumislomakkeen tietosuojatiedot suomeksi ja sama englanniksi, eli A registration form’s GDPR Privacy Notice in English.

Lomakkeen täyttöohje

1. Kyselyn nimi
2. Kyselyn voimassaoloaika
3. Rekisterinpitäjä (vastuuorganisaatio)
4. Kyselyn vastuuhenkilöiden yhteystiedot
5. Oamkin tietosuojavastaava
6. Henkilötietojen käsittelyn tarkoitus
7. Automaattinen päätöksenteko tai profilointi käyttäjän tietojen perusteella
8. Kyselyssä kerättävät henkilötiedot
9. Tietolähteet
10. Henkilötietojen käsittelijät ja tarkastelijat (roolit, joilla on pääsy tietoihin)
11. Henkilötietojen siirrot muihin palveluihin
12. Tietojen säilytysaika
13. Tietojen siirto EU:n tai ETA:n ulkopuolelle
14. Rekisteröidyn oikeudet
15. Tietojen käsittelyperuste

1. Kyselyn nimi – Name of the survey

Kyselyn nimen tulisi yksinäänkin kuvata, mistä on kysymys.
Huom. Ethän käytä erikoismerkkejä kuten ajatusviivaa yms. palvelun nimessä.

2.  Kyselyn voimassaoloaika – Survey dates

Laita tähän se aika, jolloin kyselyyn voi vastata.

3. Rekisterinpitäjä (vastuuorganisaatio) – Data controller (liable organisation)

Tässä on esitäytettynä aina Oamk.

4. Kyselyn vastuuhenkilöiden yhteystiedot – Contact information of the survey owners

Laita tähän omat yhteystietosi ja mahdollisten muiden yhteyshenkilöiden yhteystiedot. Nimi ja sähköpostiosoite on usein riittävä tieto.

5. Oamkin tietosuojavastaava – Data Protection Officer (DPO)

Tässä on valmiina linkki Oamkin tietosuojavastaavan yhteystietoihin.

6. Henkilötietojen käsittelyn tarkoitus – The purposes of processing the personal data

Valitse vaihtoehdoksi Muu / Other. (Kaksi muuta vaihtoehtoa kannattaa ennemmin kirjoittaa suoraan tekstikenttään, jossa voit avata tarkoitusta enemmän; jos valitset niistä jomman kumman, tekstikenttään kirjoittamasi tiedot eivät tallennu! Lomaketta korjataan toukokuussa 2020, mutta sitä ennen toimintaohje on tämä.)

Tarkenna henkilötietojen käsittelytarve sen kuvaukseen varatussa kentässä: Kerro siinä tarkemmin henkilötietojen käsittelyn tarkoituksesta tutkimuksessa/selvityksessä (Research or inquiry), ilmoittautumisessa (Registration) tai muussa tarkoituksessa. Esimerkiksi jos kyselylle on lakiperuste, säädösperuste on mainittava, mutta lain nimi riittää. (Ks. erityisesti ammattikorkeakouluja koskevat säädökset; esim. ammattikorkeakoululaissa määritellään ammattikorkeakoulujen yhdeksi tehtäväksi työelämän vaatimuksiin vastaavan korkeakouluopetuksen järjestäminen.)

7. Automaattinen päätöksenteko tai profilointi käyttäjän tietojen perusteella – Automated decision-making or profiling based on personal data

Oamkissa ei pääsääntöisesti vielä ole käytössä henkilötietoja käyttävää automaattisen päätöksenteon työkaluja tai profilointia. Jos kyselyn data kuitenkin siirretään johonkin työkaluun, jolla profilointia tehdään, se on mainittava tässä.

8. Kyselyssä kerättävät henkilötiedot – Personal data collected in the survey

Nämä tiedot voi esittää ihan kyselykenttien niminäkin, mutta ne voi myös esittää tietoryhminä.
Esimerkkejä:

• Yhteystiedot
• Opintosuoritukset
• Opintojaksoilmoittautumiset
• Palkkaustiedot
• Maksutiedot
• Matkan tiedot
• Tiedot työkokemuksesta

9. Tietolähteet – Data sources

Kaikki tietolähteet on merkittävä: kyselyissä tietolähde on tyypillisesti vastaaja itse, mutta yhteystiedot on voitu siirtää Webropoliin suoraan esim. opiskelijatietojärjestelmästä. Jos käytät kyselyssäsi henkilökohtaisia kyselylinkkejä, olet jo siirtänyt vähintään sähköpostiosoitteet Webropoliin: siinä tapauksessa, kerro mistä sait sähköpostit (esim. opiskelijatietojärjestelmä, CRM tai jokin muu kysely, jossa vastaajat ovat luvanneet käyttää osoitetta siihen tarkoitukseen, jossa aiot niitä käyttää.)

10. Henkilötietojen käsittelijät ja tarkastelijat (roolit, joilla on pääsy tietoihin) – Data processors (roles that can access the data)

Luettele ne henkilöryhmät tai roolit, jotka tietoja käsittelevät tai tarkastelevat.
Esimerkkejä:

• Kyselyn laatija käsittelee kyselyssä keräämiään tietoja tutkimusaineistona. (Huom. Lue Tietosuojavaltuutetun sivuilta tietosuojasta tutkimuksessa)
• Ohjaava opettaja voi tarkastella tietoja yhdessä kyselyn laatineen opiskelijan kanssa. Tietojen käsittelijät käyttävät tietoja omilla henkilökohtaisilla tunnuksillaan ja vain kyselyn tarkoitukseen liittyen.
• Jos kysely on osa opinnäytetyötä ja sillä on toimeksiantaja, on syytä mainita millä tasolla toimeksiantaja näkee tulokset. Toimeksiantaja ei välttämättä edes näe mitään henkilötietoja, mutta jos näkee, niin se on pitänyt määritellä jo yhteistyösopimuksessa ja tutkimussuunnitelmassa, joista tiedot voi poimia tähän kohtaan.

11. Henkilötietojen siirrot muihin palveluihin – Transfers of personal data to other services (both inside OUAS and to other services inside the EU)

Mainittava, minne tietoja luovutetaan automaattisesti, ja minne muilla keinoin (esim. pyydettäessä)
Esimerkkejä:

• Tapahtumailmoittautumisten yhteydessä kerättävät erikoisruokavaliot, jos ne välitetään siten, että henkilöt ovat tunnistettavissa
• Kyselyn tulokset siirretään Excelin kautta MySQL-tietokantaan.
  • huomaa, että turvatoimenpiteenä voisit pseudonymisoida tiedot Excelissä, jolloin tiedot olisivat yhdistettävissä henkilöihin vain yhteisen nimittäjän kautta. Tutkimuksessa tietoja suojataan usein pseudonymisoimalla ja minimoimalla käsiteltävät tiedot. Tiedoksi, että myös pseudonymisoidut tiedot ovat niin pitkään henkilötietoja, kun ne ovat yhdistettävissä tiettyä henkilöä koskevaksi jonkin lisätiedon avulla!

12. Tietojen säilytysaika – Data retention period (how long the data will be kept)

Jos poiston päivämäärää ei ole antaa, kuvataan millä kriteereillä tiedot poistetaan. Tämä tieto pitäisi löytyä esim. tutkimus- tai arkistointisuunnitelmasta.

Esimerkkejä:

• Tiedot säilytetään pysyvästi.
• Tiedot säilytetään toistaiseksi.
• Tiedot poistetaan 7 vrk palkinnon arvonnan jälkeen. Arvonta järjestetään toukokuussa 2020.

Jos asiakirjat pitää hävittää, ne hävitetään heti säilytysajan päätyttyä siten, ettei tietosuoja vaarannu. Esim. tiedot tietokannoista ja tiedostoista on poistettava tai anonymisoitava, ja mahdolliset henkilötietoja sisältävät paperit on laitettava tietosuojaroskiin. Eli jos olet siirtänyt henkilötietoja Webropolin ulkopuolelle, esim. Excel-tiedostoon, poista myös nuo Excel-tiedostot lupaamassasi ajassa. (Katso erillinen ohje siitä, miten poistat/nollaat/anonymisoit Webropol-kyselyn). Asiasta on huolehdittava varmuuskopioidenkin osalta, jos varmuuskopio palautetaan ja siinä on tallessa tietoja, jotka on sittemmin poistettu. (Varmuuskopiosta tiedot poistetaan vain silloin, jos niiden tiedot palautetaan palveluun).

13. Tietojen siirto EU:n tai ETA:n ulkopuolelle – International data transfers outside the EU or the EEA

Tietoja ei tulisi siirtää EU:n tai ETA:n ulkopuolelle. Jos sille kuitenkin on tarvetta, vastaajan täytyy tietää asiasta ennen kyselyyn vastaamista ja häneltä on pyydettävä asiaan erikseen suostumus.

14. Rekisteröidyn oikeudet – Individual rights

Tässä on valmis teksti, joka on kaikille sama.

15. Tietojen käsittelyperuste – Basis for processing personal data

Tietosuoja-asetus sallii henkilötietojen käsittelyn ilman henkilön lupaa silloin kun laki sitä edellyttää tai henkilön tietoja tarvitaan, jotta hänelle voidaan tarjota rekisterinpitäjän perustehtävää (Oamkilla koulutuksen tarjoaminen sekä rooli työnantajana) tukeva palvelu. Ainoastaan jos tiedonkeruuta ei voida perustella lain ja perustehtävän kautta, siihen on pyydettävä lupa. Käsittelyperuste on aina määriteltävä.

• Rekisterinpitäjän lakisääteiset velvoitteet – tämä kohta valitaan, mm. silloin, kun täytetään AMK:n perustehtävää joka perustuu ammattikorkeakoululakiin. Samoin kirjanpitolaki, arkistolaki ja julkisuuslaki ovat keskeisiä ammattikorkeakoulun toimintaa ohjaavia lakeja
• Yleinen etu / julkisen vallan käyttö – tämä vaihtoehto valitaan, jos tietoja käytetään esimerkiksi tieteellisessä tutkimuksessa tai kyse on julkaisurekisteristä.
• Sopimus – tämä kohta rinnastuu oikeutettuun etuun ja tarkoittaa sitä, että palvelun käyttäjän kanssa on tehty sopimus, jossa käyttäjä sitoutuu noudattamaan käyttöehtoja saadakseen palvelun käyttöönsä. Käytä tätä esimerkiksi tapahtumailmoittautumisissa.
• Suostumus – tätä vaihtoehtoa pyritään välttämään, sillä suostumus on uusittava puolen vuoden välein, tämä tarkoittaa sitä, että rekisteröityyn on otettava erikseen yhteyttä suostumuksen uusimiseksi. Esimerkiksi markkinointitarkoitukseen kerätyt yhteystiedot edellyttävät suostumusta.

Tietosuojainfon asettaminen saataville

Kun tallennat tietosuojainfon, löydät seuraavassa näkymässä lomakkeen yläreunasta suoran linkin tietosuojainfoon, joka on julkinen webbisivu ja linkitettävissä esim. kyselykutsuun ja itse kyselyynkin. Jos olet kirjoittanut tekstin myös englanniksi, sivun yläreunassa on kaksi linkkiä, molempiin kieliversioihin omansa.

Sisällön tarkistaminen

Jos olet henkilökuntaa, ole tarvittaessa yhteydessä Oamkin tietosuojavastaavaan, jos haluat että hän tarkistaa tekstin.

Jos olet opiskelija, tarkistuta tietosuojainfon teksti ensin opettajallasi, ennen kuin linkität sen kyselyysi.

Käyttötarkoituksen muutos

Huomaa, että jos käyttötarkoitus muuttuu, se on kirjattava tietosuojainfoon ja rekisteröityjä on tiedotettava asiasta tai (asiasta riippuen) heiltä voi olla tarpeen kysyä tähän lupa, jos uusi käyttötarkoitus sitä edellyttää. Esimerkiksi, jos haluat käyttää kyselyn tuloksia jossakin muussa tutkimuksessa, sinun pitäisi kysyä siihen lupa.