Dataskyddshandbok för dig som handleder studentarbeten

Som handledare för ett studentarbete är du länken mellan SLU och studenten. I det uppdraget ingår att ge studenter korrekt information om de dataskyddsregler som gäller.

När du som är student ska samla in uppgifter om individer för ditt studentarbete så behandlar du personuppgifter. Det innebär att reglerna i dataskyddsförordningen (DSF) måste följas. Eftersom att det är SLU som ansvarar för behandlingen måste du följa instruktionerna nedan.

1.  Definiera syftet med behandling samt vilka personuppgifter som ska samlas in.

Innan du påbörjar ditt arbete behöver du definiera syftet med arbetet samt vilka personuppgifter du kommer att samla in.

Syftet med att behandla uppgifterna är att du ska kunna utföra den undersökning eller studie som är nödvändig för att underbygga ditt examinerande moment eller examensarbete.

2.  Samla in så lite uppgifter som möjligt för att besvara dina frågeställningar.

En av principerna i DSF innebär att vi ska ha så lite information som möjligt om de individer vars information vi samlar in. Fundera därför ordentligt på vilken information du behöver för att besvara dina frågeställningar. Reflektera över metoden och diskutera med din handledare.

Det finns ingen gräns för hur mycket personuppgifter du får samla in, så länge du verkligen behöver all information du samlar in.

3.  Du får inte samla in känsliga personuppgifter.

I DSF definieras något som kallas känsliga som är extra skyddsvärda. Sådana uppgifter får du som huvudregel inte samla in i ditt studentarbete.

Känsliga personuppgifter enligt DSF är:

1. Etniskt ursprung
2. Politiska åsikter
3. Religiös eller filosofisk övertygelse
4. Medlemskap i fackförening
5. Hälsoinformation
6. Sexualliv
7. Sexualitet
8. Genetiska uppgifter om människor
9. Biometriska uppgifter för att identifiera en människa

Du får inte heller samla in uppgifter om brottsmisstankar eller liknande uppgifter.

I undantagsfall om det till exempel är strikt nödvändigt eller om informationen vid ett senare tillfälle ska användas i forskning kan det vara möjligt att behandla känsliga personuppgifter. Observera även att känsliga personuppgifter ställer extra stora krav på säkerhet i hanteringen. Rådgör med din handledare vid osäkerhet.

4.  Se till att du har inhämtat deltagarnas samtycke samt informerat om vad du kommer att göra med personuppgifterna innan du börjar samla in dem.

Personuppgifter får endast behandlas om det finns laglig grund för behandlingen. DSF anger ett antal grunder som betraktas som tillåtna men för ett studentarbete är det i praktiken endast samtycke som kan komma ifråga.

Att inhämta ett samtycke innebär i praktiken att du på ett tydligt och klart sätt talar om vilka uppgifter du vill samla in, vad de ska användas till och av vem/vilka samt hur länge uppgifterna ska användas. Om du redan nu avser att använda det insamlade materialet även i framtida studier utöver det nu aktuella måste detta informeras om vid inhämtandet av samtycke från deltagarna.

Om det inte är möjligt att använda samtycke bör du ta upp detta med din handledare och dataskyddsombudet för att se om det går att finna en annan lösning.

Använd blankettbilagan för att inhämta samtycke från deltagarna i din studie. Kom ihåg att deltagarna ska få en egen kopia av samtyckesblanketten, förutom vid digitala samtycken i enkäter.

5.  Säkerställ ett tillräckligt skydd för hanteringen.

Du får inte lagra information om individer i gratistjänster på internet. Lagra informationen på din dator eller av SLU anvisade lagringsytor alternativt på annan yta som du och din handledare kommit överens om. Externa molntjänster bör inte användas för behandling av personuppgifter. Detta gäller exempelvis lagringstjänster som Dropbox, Google docs, iCloud m.m.

Ytterligare säkerhetsåtgärder för behandling kan vara kryptering och/eller lösen vid mejlkorrespondens, säkra lagringsytor, extra lösenordsskydd för mappar och filer etc. Det är även olämpligt att lagra personuppgifter på okrypterade USB-minnen, samt smarta telefoner eller surfplattor (eftersom dessa kan ha bristande säkerhet och ofta är synkade mot molntjänster).

6.  Registrera arbetet i registret över personuppgiftsbehandlingar.

SLU behöver hålla ett register över de personuppgiftsbehandlingar som sker vid universitet. Med anledning av det behöver du registrera ditt studentarbete i SLU:s register om det innehåller personuppgifter. Mer information om registreringen och länk till formuläret kan du hitta här Registrera behandling av personuppgifter | Medarbetarwebben (slu.se).

7.  Se till att du raderar informationen när du har fått ditt slutgiltiga betyg.

Det är inte tillåtet att behålla personuppgifter längre än nödvändigt. När du har fått ditt slutgiltiga betyg ska du därför radera informationen. Om ditt arbete och din data ska användas inom vidare forskningsprojekt ska du i stället föra över informationen till den lagringsyta som projektet använder.