1. Personuppgiftsansvarige: Handledaren hjälper en kandidat-, magister- eller EMBA-studerande att fastställa personuppgiftsansvar för behandling av personuppgifter för studentens studier eller avhandling. Eftersom avhandlingen utförs under handledningen är det handledarens uppgift att göra studenten medveten om de skyldigheter som är förknippade med rollen som den personuppgiftsansvarige.
- När en kandidat-, magister- eller EMBA-studerande samlar in och behandlar personuppgifter självständigt för sin avhandling, betraktas hon eller han som den personuppgiftsansvarige och är primärt ansvarig för efterlevnaden av dataskyddslagar under hela datalivscykeln.
- Om en studerandes studie genomförs enligt ett anställningsavtal med Hanken eller som en del av ett Hankens forskningsprojekt är Hanken den personuppgiftsansvarige.
- Om studien beställs av ett företag eller en organisation är företaget eller organisationen i allmänhet den personuppgiftsansvarige.
- Det finns också fall där två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen av personuppgifter för en studerandes studier eller avhandling.
2. Rättsliga grunder för behandlingen av personuppgifter: Handledaren hjälper en kandidat-, magister- eller EMBA-studerande att välja den rättsliga grunden för behandling av personuppgifter för studentens studier eller avhandling och instruerar honom/henne att använda olika mallar.
- Den rättslig grunden för behandling av personuppgifter för avhandling av en kandidat-, magister- eller EMBA-studerande är vanligtvis samtycke. När samtycke används som den rättsliga grunden behöver studenten få respondenternas samtycke till behandlingen av deras personuppgifter. Handledaren instruerar studerande att använda Hankens mall för Samtycke till behandlingen av personuppgifter i studien (på engelska, på finska eller på svenska) för att få samtycke.
- Om studenten är medlem i ett forskningsprojekt där det finns en eller flera forskare (på doktorsnivå och däröver), används vetenskaplig forskning som en uppgift av allmänt intresse som den rättsliga grunden. Studenten behöver be om informerat samtycke från forskningsdeltagarna, vilket krävs av forskningsetik, t.ex. TENK:s anvisningar. Handledaren instruerar studenten att använda Hankens mall för informerat samtycke (på engelska, på finska eller på svenska) för att få informerat samtycke. Detta samtycke (till att delta i forskningen, som krävs av etiska standarder) skiljer sig från samtycke (till behandlingen av personuppgifter, som en rättslig grund enligt GDPR).
3. E-blanketten dataskyddsmeddelande: Alla Hanken-studerande ska fylla i e-blanketten Studiens dataskyddsmeddelande (på engelska, på finska eller på svenska). Efter att studenten skickat in e-blanketten får både studenten och handledaren en sammanfattande e-post. Den sammanfattande e-posten ska användas som ett bevis på dataskyddsåtgärder som AoL-bedömningen av avhandlingen bygger på. När studerande fyller i blanketten får han/hon instruktioner om:
- Hur han/hon redigerar den nedladdade filen så att den kan passa hans/hennes respondenter.
- Att ge dataskyddsmeddelandet till respondenterna för att fullgöra skyldigheten att tillhandahålla nödvändig information.
- På vilket sätt studerande lagrar data på ett säkert sätt. IT-system som tillhandahålls av Hanken (t.ex. OneDrive for Business, Office 365, Webropol, SPSS) användas. Om en student planerar att lagra data någon annanstans, ombeds han/hon att lämna in databehandlingsavtalet med tjänsteleverantören efter att saken har diskuterats med handledaren eller med Hankens dataskyddsombud (dpo@hanken.fi).
- Att radera alla personuppgifter efter att avhandling har godkänts. Data i Webropol raderas av Datacentralen då studentens användar-id inaktiverats efter utexaminering.
4. Etikprövning: Om en studerandes studie är en av de sex typer som beskrivs i Etikprövning ska hen begära ett etikprövningsutlåtande av Hankens forskningsetiska kommitté. Handledaren och studerande ska fylla i blanketten tillsammans och vara medvetna om att behandlingen av ärendet kan ta minst två till tre veckor.
5. Konsekvensbedömning avseende dataskydd (DPIA): Om studenten har valt uppgifter som erhållits i förtroende, särskilda kategorier av personuppgifter eller stora mängder data (t.ex. fler än 500 respondenter), eller har barn eller andra utsatta registrerade, behöver handledaren diskutera med studenten.
6. För kursuppgifter: Läraren eller examinatorn fyller i och skickar in en e-blankett som omfattar alla studerandes eller studentgruppers kursuppgifter.
- Examinatorn ska informera studerande om e-blanketten, instruera dem att tillhandahålla dataskyddsmeddelandet till de respondenterna och vägleda dem att radera personuppgifterna inom 6 eller 12 månader efter kursen.
- Om studenterna samlar in särskilda kategorier av personuppgifter eller stora mängder data (t.ex. fler än 500 respondenter), eller har barn eller andra utsatta registrerade, ska varje studerande/studentgrupp fylla i en egen e-blankett.
