Tutkimuksen käsittelyperuste tietosuoja-asetuksen mukaan: suostumus, yleisen edun mukainen tehtävä ja 89 artiklan suojatoimet

Käsittelyperusteen valinta on jokaisen tutkimushankkeen ensimmäinen tietosuojapäätös, ja juuri se sekoitetaan useimmin tutkimusetiikkaan. Tässä oppaassa selitetään, miten tietosuoja-asetuksen mukainen suostumus eroaa tutkimuseettisestä suostumuksesta, milloin korkeakoulut käyttävät yleisen edun mukaista tehtävää (6 artiklan 1 kohdan e alakohta), miten 9 artiklan 2 kohdan j alakohta ja 89 artikla toimivat erityisten henkilötietoryhmien kohdalla, miten kahdeksan Euroopan maan kansallinen lainsäädäntö täydentää asetusta ja mitä tämä tarkoittaa toisiokäytölle, sosiaalisen median aineistoille, tallenteille ja tekoälytyökaluille. Lopussa on päätöstaulukko ja tarkistuslista.

Julkaistu 9. lokakuuta 2026 · Lähteet tarkistettu 9. lokakuuta 2026

Saatavilla myös kielillä: English · Svenska · Nederlands · Norsk · Dansk · Français · Español · Português

1. Miksi käsittelyperusteella on tutkimuksessa niin suuri merkitys?

Käsittelyperuste ratkaisee, mitä oikeuksia tutkittavilla on, mitä tapahtuu, kun joku vetäytyy, voidaanko aineistoa käyttää myöhemmissä hankkeissa ja mitä tietosuojaselosteessa on kerrottava. Peruste on valittava ennen käsittelyn alkamista, eikä sitä voi myöhemmin noin vain vaihtaa. Tutkimuksessa valintaa mutkistavat eettiset säännöt, joissa sanaa ”suostumus” käytetään eri merkityksessä.

Tietosuoja-asetuksen 6 artiklan 1 kohdassa luetellaan kuusi käsittelyperustetta, joista neljä on tutkimuksen kannalta merkityksellisiä: suostumus (a alakohta), lakisääteinen velvoite (c), yleisen edun mukainen tehtävä (e) ja oikeutettu etu (f). Erityisiin henkilötietoryhmiin kuuluvat tiedot edellyttävät lisäksi 9 artiklan 2 kohdan mukaista edellytystä. Molemmat valinnat tehdään asetuksen tutkimusta koskevien sääntöjen puitteissa: 5 artiklan 1 kohdan b alakohta koskee myöhempää käsittelyä, 5 artiklan 1 kohdan e alakohta säilytystä ja 89 artikla suojatoimia ja poikkeuksia.

Johdanto-osan 159 kappaleen mukaan tieteellisen tutkimuksen käsitettä on tulkittava laajasti. Euroopan tietosuojaneuvosto on varovaisempi. Suostumusta koskevissa ohjeissaan se toteaa, että käsitettä ”may not be stretched beyond its common meaning” (ei voi venyttää tavanomaista merkitystään laajemmaksi), ja viittaa tutkimukseen, joka toteutetaan alan metodologisten ja eettisten standardien mukaisesti (ohjeet 05/2020, kohta 153). Vuoden 2026 tutkimusohjeiden luonnos lisää kuusi suuntaa antavaa tekijää, joista ensimmäiset ovat ”methodical and systematic approach” (menetelmällinen ja järjestelmällinen lähestymistapa) ja ”adherence to ethical standards” (eettisten standardien noudattaminen).

2. Mitä eroa on tietosuoja-asetuksen mukaisella suostumuksella ja tutkimuseettisellä suostumuksella?

Tutkimuseettinen suostumus suojaa ihmisen ihmisarvoa ja koskemattomuutta: ketään ei pidä ottaa mukaan tutkimukseen ilman, että hän tietää siitä ja hyväksyy sen. Tietosuoja-asetuksen mukainen suostumus on yksi kuudesta henkilötietojen käsittelyperusteesta, ja sillä on tiukat edellytykset: sen on oltava vapaaehtoinen, yksilöity, tietoinen, yksiselitteinen ja peruutettavissa. Tutkimus voi edellyttää ensimmäistä ilman, että jälkimmäinen on sen käsittelyperuste.

Eurooppalaiset toimielimet ovat olleet tästä johdonmukaisesti samaa mieltä:

• Euroopan tietosuojaneuvoston lausunto 3/2019 kliinisistä lääketutkimuksista: kliinisiä lääketutkimuksia koskevan asetuksen mukainen tietoon perustuva suostumus ”must not be confused with the notion of consent as a legal ground” (ei saa sekoittaa suostumukseen käsittelyperusteena) tietosuoja-asetuksessa (kohta 15). Selvä epätasapaino osapuolten välillä tarkoittaa, että suostumus ei ole vapaaehtoinen.
• Euroopan tietosuojaneuvoston suostumusta koskevat ohjeet 05/2020: henkilötietojen käyttöä koskeva suostumus ”should be distinguished from other consent requirements that serve as an ethical standard or procedural obligation” (olisi erotettava muista suostumusvaatimuksista, jotka ovat eettinen standardi tai menettelyvelvoite) (kohta 154). Eettistä suostumusta ”could be considered as an additional safeguard” (voidaan pitää lisäsuojatoimena).
• Euroopan tietosuojaneuvoston vastaus komissiolle terveystutkimuksesta (2.2.2021): tietoon perustuva suostumus osallistumiseen ”can and must be distinguished from explicit consent” (voidaan erottaa ja on erotettava nimenomaisesta suostumuksesta) käsittelyperusteena (kohta 5).
• Euroopan tietosuojavaltuutetun alustava lausunto tieteellisestä tutkimuksesta (2020): tietosuoja-asetuksen mukainen suostumus ”differs conceptually and operationally from 'informed consent' of human participants in research” (eroaa käsitteellisesti ja käytännössä tutkittavien tietoon perustuvasta suostumuksesta) (tiivistelmä).
• Euroopan tietosuojaneuvoston ohjeluonnos 1/2026: eettinen suostumus ”is not required by the GDPR, but may be considered as an additional safeguard according to Article 89 GDPR” (ei ole tietosuoja-asetuksen vaatimus, mutta sitä voidaan pitää 89 artiklan mukaisena lisäsuojatoimena) (kohta 53). Jos molemmat pyydetään samaan aikaan, tietosuoja-asetuksen mukainen pyyntö on erotettava selvästi (kohta 55).

Kansalliset viranomaiset sanovat saman. Ranskan CNIL neuvoo, että jos käsittelyperusteena käytetään tietosuoja-asetuksen mukaista suostumusta, lomakkeessa tulisi olla kaksi erillistä ruutua, ”l'une pour recueillir le consentement RGPD, l'autre pour participer à la recherche” (toinen tietosuoja-asetuksen mukaiselle suostumukselle, toinen tutkimukseen osallistumiselle), ja huomauttaa, että yleiseen etuun perustuva tutkimus voi silti edellyttää tutkittavien suostumusta osallistumiseen (CNIL). Yhdistyneen kuningaskunnan Health Research Authority tiivistää asian yhteen lauseeseen: ”Consent to participation in research is not the same as consent as the legal basis for processing under data protection legislation” (suostumus tutkimukseen osallistumiseen ei ole sama asia kuin suostumus tietosuojalainsäädännön mukaisena käsittelyperusteena) (HRA).

Yksi lähde kallistuu toiseen suuntaan. Komission Horizon Europe -ohjelmaa varten laatima ”Ethics and data protection” -muistio (5.7.2021) edellyttää suostumusmenettelyä, joka täyttää tietosuoja-asetuksen vaatimukset, kun tiedot kerätään suoraan tutkittavilta. Muistion on laatinut asiantuntijapaneeli, ja siinä todetaan, että se ”does not constitute official EU guidance” (ei ole EU:n virallinen ohje) (komissio).

Validemicin analyysi Eettiset toimikunnat ja tietosuojavastaavat puhuvat usein toistensa ohi, koska molemmat puhuvat ”suostumuksesta”. Yksinkertainen ratkaisu on käyttää lomakepohjissa eri sanoja: ”suostumus tutkimukseen osallistumiseen” eettisestä vaatimuksesta ja ”suostumus henkilötietojen käsittelyyn” vain silloin, kun käsittely todella perustuu 6 artiklan 1 kohdan a alakohtaan.

3. Mitä 6 artiklan käsittelyperusteita tutkimuksessa voi käyttää?

Tutkimus voi perustua suostumukseen, yleisen edun mukaiseen tehtävään, oikeutettuun etuun ja suppeilta osin lakisääteiseen velvoitteeseen. Valinta riippuu pääasiassa siitä, kuka on rekisterinpitäjä. Lukemiemme ohjeiden mukaan julkiset korkeakoulut käyttävät enimmäkseen yleisen edun mukaista tehtävää; yksityiset toimijat, joilla ei ole laissa säädettyä tutkimustehtävää, käyttävät oikeutettua etua tai suostumusta.

Ohjeluonnoksessa 1/2026 todetaan myös, että yleisen edun mukainen tehtävä ”is not limited to public entities” (ei rajoitu julkisyhteisöihin): yksityiset toimijat voivat käyttää sitä, ”if the legal act covers their activities” (jos säädös kattaa niiden toiminnan) (kohta 58). Se, onko korkeakoulu ”viranomainen”, riippuu myös kansallisesta laista, millä on merkitystä yksityisille korkeakouluille joissakin maissa.

4. Miten kansallinen laki tukee yleisen edun mukaista tutkimusta? Esimerkit kahdeksasta maasta

Asetuksen 6 artiklan 3 kohdan mukaan yleisen edun mukaisesta tehtävästä on säädettävä unionin oikeudessa tai jäsenvaltion lainsäädännössä. Lain ei tarvitse kuvata jokaista hanketta. Tietosuojaneuvoston luonnoksen mukaan laki voi valtuuttaa tutkimukseen ”without necessarily specifying how the research is to be undertaken” (ilman, että siinä välttämättä täsmennetään, miten tutkimus toteutetaan) (kohta 57). Käytännössä korkeakoulut viittaavat korkeakoululainsäädäntöönsä, ja useissa maissa tietosuoja-asetusta täydentävissä laeissa on tutkimusta koskevia säännöksiä. Taulukko tiivistää säännökset, jotka luimme 9.10.2026.

Kaksi naapurimaata taulukon ulkopuolelta: Irlannissa Trinity College Dublin kertoo tutkijoille, että ”explicit consent is required for any health research in Ireland” (kaikki terveystutkimus Irlannissa edellyttää nimenomaista suostumusta), mikä heijastaa kansallisia terveystutkimussääntöjä. Yhdistyneessä kuningaskunnassa UK GDPR:n rakenne on sama, ja HRA:n mukaan tutkimusta tekevät viranomaiset ”will use 'task in the public interest' as their legal basis” (käyttävät käsittelyperusteena yleisen edun mukaista tehtävää).

Tiivistelmät ovat valikoivia. Kansallisissa laeissa on lisäedellytyksiä ja alakohtaisia sääntöjä (terveys, rekisterit, biopankit), ja jotkin muuttuvat usein: Suomen tietosuojalakia muutettiin toukokuussa 2026 (380/2026). Lukekaa koko säännös ja kysykää tietosuojavastaavalta ennen kuin nojaatte siihen.

5. Mitä käsittelyperustetta eurooppalaiset korkeakoulut käytännössä käyttävät?

Useimmissa lukemissamme korkeakoulujen ohjeissa yleisen edun mukainen tehtävä on tutkimuksen oletusperuste, ja suostumus säilyy eettisenä vaatimuksena. Yksityiskohdat vaihtelevat maittain, erityisesti erityisten henkilötietoryhmien osalta. Korkeakoulujen omin sanoin:

Edinburghin tutkittaville suunnattu tietosuojaseloste tekee jaon näkyväksi myös tutkittaville: suostumus henkilötietojen käyttöön ”(which we rarely request) is separate from your ethical consent to participate” (jota pyydämme harvoin, on eri asia kuin eettinen suostumuksenne osallistua) (Edinburgh).

Validemicin analyysi Linja on selvä Pohjoismaissa, Belgiassa, Irlannissa ja Yhdistyneessä kuningaskunnassa. Alankomaat on erityisten henkilötietoryhmien osalta tärkein poikkeus, koska UAVG:n 24 artikla tekee nimenomaisesta suostumuksesta lähtökohdan. Espanjalaiset ja tanskalaiset korkeakoulut mainitsevat usein molemmat perusteet ja antavat hankkeen ratkaista. Kaikille yhteistä on ohje päättää peruste hankekohtaisesti ja kertoa siitä tutkittaville.

Onko toimittaja-arviointi juuri nyt käynnissä? Validemic käy toimittajan asiakirjat läpi tietosuoja-asetuksen ja tekoälysäädöksen valossa ja näyttää jokaisen havainnon lähteen. Kokeile demoympäristöä

6. Mitä 9 artiklan edellytystä sovelletaan erityisiin henkilötietoryhmiin tutkimuksessa?

Erityisiin henkilötietoryhmiin kuuluvat tiedot edellyttävät 6 artiklan mukaisen perusteen lisäksi 9 artiklan 2 kohdan mukaista edellytystä. Tutkimuksessa realistiset vaihtoehdot ovat nimenomainen suostumus (9 artiklan 2 kohdan a alakohta), tutkimusta koskeva edellytys (j alakohta), henkilön itse ilmeisen julkisiksi saattamat tiedot (e alakohta) sekä tärkeää yleistä etua tai kansanterveyttä koskevat edellytykset (g ja i alakohta), jos kansallisessa tai unionin lainsäädännössä niistä säädetään.

Asetuksen 9 artiklan 2 kohdan j alakohta kattaa käsittelyn, joka on tarpeen yleistä etua koskevia arkistointitarkoituksia, tieteellisiä tai historiallisia tutkimustarkoituksia taikka tilastollisia tarkoituksia varten 89 artiklan 1 kohdan mukaisesti unionin oikeuden tai jäsenvaltion lainsäädännön perusteella. Tämän lainsäädännön on oltava oikeasuhteista, siinä on noudatettava keskeisiltä osin oikeutta henkilötietojen suojaan ja siinä on säädettävä asianmukaisista ja erityisistä toimenpiteistä. Tietosuojaneuvoston luonnoksen mukaan rekisterinpitäjän olisi pystyttävä osoittamaan, että laki soveltuu sen käsittelyyn ja että se täyttää lain edellytykset (kohta 74). Luonnos mainitsee esimerkkeinä muun muassa Tanskan 10 §:n, Suomen tietosuojalain 6 §:n 1 momentin 7 kohdan, Ranskan 44 artiklan 6 kohdan, Saksan BDSG:n 27 §:n 1 momentin ja Ruotsin eettistä ennakkoarviointia koskevan lain, mutta toteaa, että ”The EDPB has not reviewed nor analysed the laws referred to” (tietosuojaneuvosto ei ole tarkastellut eikä analysoinut mainittuja lakeja).

Asetuksen 9 artiklan 4 kohta sallii jäsenvaltioiden säätää lisäedellytyksiä geneettisille ja biometrisille tiedoille sekä terveystiedoille, joten monikansallinen tutkimus voi edellyttää nimenomaista suostumusta yhdessä maassa eikä lainkaan toisessa. Kliinisten lääketutkimusten osalta tietosuojaneuvoston lausunto 3/2019 mainitsee suostumuksen vaihtoehtoina yleisen edun mukaisen tehtävän yhdessä 9 artiklan 2 kohdan i tai j alakohdan kanssa tai oikeutetun edun yhdessä 9 artiklan 2 kohdan j alakohdan kanssa.

7. Mitä suojatoimia 89 artiklan 1 kohta edellyttää?

Asetuksen 89 artiklan 1 kohta edellyttää tutkimukseen asianmukaisia suojatoimia, joihin kuuluu teknisiä ja organisatorisia toimenpiteitä erityisesti tietojen minimoinnin periaatteen noudattamisen varmistamiseksi. Pseudonymisointi mainitaan yhtenä mahdollisena toimenpiteenä. Jos tutkimus voidaan tehdä tiedoilla, joista henkilöitä ei enää voi tunnistaa, tarkoitukset on toteutettava sillä tavoin.

Tietosuojaneuvoston suostumusohjeiden mukaan ”Anonymisation is the preferred solution as soon as the purpose of the research can be achieved without the processing of personal data” (anonymisointi on ensisijainen ratkaisu heti, kun tutkimuksen tarkoitus voidaan saavuttaa käsittelemättä henkilötietoja) (kohta 160). Vuoden 2026 luonnos lisää luettelon muista suojatoimista: riippumaton tai eettinen valvonta, turvalliset käsittely-ympäristöt, yksityisyyttä parantavat teknologiat, julkaisemista koskevat suojatoimet ja jatkokäytön ehdot. Tietosuojaneuvoston vuoden 2021 vastaus kytkee myös nämä yhteen: myöhempää tutkimusta koskevaa yhteensopivuusolettamaa ”can only be used” (voidaan käyttää vain), jos 89 artiklan 1 kohdan suojatoimia noudatetaan (kohta 20).

Käytännössä tietosuojavastaavat ja eettiset toimikunnat odottavat seuraavia suojatoimia:

1. Aineistonhallintasuunnitelma, jossa jokaisen tietoerän tarpeellisuus perustellaan.
2. Pseudonymisointi mahdollisimman varhaisessa vaiheessa, avain säilytettynä erillään ja pääsy rajattuna.
3. Anonymisointi jakamista ja julkaisemista varten aina kun mahdollista.
4. Turvallinen tallennus korkeakoulun hyväksymissä palveluissa; katso opas tutkimusaineistoista pilvitallennuksessa.
5. 28 artiklan mukainen sopimus jokaisen toimittajan kanssa ja ETA-alueen ulkopuolelle siirrettäessä siirtoperuste. Kumppanit kattavat oppaamme tiedonjakosopimuksesta ja yhteisrekisterinpitäjäsopimuksesta.
6. Vaikutustenarviointi, kun riski on korkea (Bergenin yliopiston mukaan Norjan tietosuojaviranomainen edellyttää sitä erityisiä henkilötietoryhmiä koskevassa tutkimuksessa, joka ei perustu suostumukseen). Apuna ovat vaikutustenarvioinnin esiarviointityökalu ja vaikutustenarvioinnin malli.
7. Säilytyssäännöt, joissa kerrotaan, kuinka kauan tunnisteellisia tietoja säilytetään; katso säilytysaikataulun opas.

8. Mitä rekisteröidyn oikeuksia tutkimuksessa voidaan rajoittaa?

Tietosuoja-asetus itse rajoittaa joitakin oikeuksia tutkimuksessa, ja 89 artiklan 2 kohta sallii unionin tai kansallisen lainsäädännön säätää poikkeuksia oikeudesta saada pääsy tietoihin, oikaista niitä, rajoittaa käsittelyä ja vastustaa käsittelyä (15, 16, 18 ja 21 artikla), mutta vain jos oikeudet todennäköisesti estäisivät tutkimuksen tai haittaisivat sitä vakavasti ja poikkeus on tarpeen.

• Poistaminen: 17 artiklan 3 kohdan d alakohta sulkee pois oikeuden tietojen poistamiseen, jos se estäisi tutkimuksen tai haittaisi sitä vakavasti, kun 89 artiklan 1 kohdan suojatoimet ovat käytössä.
• Vastustaminen: 21 artiklan 6 kohta antaa oikeuden vastustaa tutkimuksen käsittelyä, paitsi jos käsittely on tarpeen yleisen edun vuoksi suoritettavan tehtävän suorittamiseksi.
• Informointi: kun tietoja ei kerätä henkilöltä itseltään, 14 artiklan 5 kohdan b alakohta sallii poikkeuksen, jos informointi on mahdotonta tai vaatisi kohtuutonta vaivaa, mutta rekisterinpitäjän on suojattava henkilöiden etuja, myös asettamalla tiedot julkisesti saataville. Esimerkiksi Aarhusin yliopisto julkaisee luettelon tutkimushankkeista, jotka käyttävät tätä poikkeusta. Suoraan henkilöltä kerättyjen tietojen osalta 13 artiklassa ei ole vastaavaa poikkeusta.
• Kansalliset poikkeukset: katso maakohtainen taulukko osiossa 4.
• Suostumuksen peruuttaminen: mikään näistä poikkeuksista ei sovellu. Jos suostumus peruutetaan, tietosuojaneuvoston mukaan rekisterinpitäjän ”must in principle delete the personal data straight away” (on periaatteessa poistettava henkilötiedot välittömästi), jos se haluaa jatkaa tutkimusta (05/2020, kohta 163).

Oppaamme tarkastuspyynnöistä korkeakouluissa kertoo, miten pyyntöjä käsitellään käytännössä.

9. Voiko tutkimusaineistoa käyttää uudelleen? Myöhempi käsittely ja toisiokäyttö

Kyllä, usein. Asetuksen 5 artiklan 1 kohdan b alakohdan mukaan myöhempää käsittelyä tieteellistä tutkimusta varten ei 89 artiklan 1 kohdan mukaisesti pidetä yhteensopimattomana alkuperäisten tarkoitusten kanssa. Johdanto-osan 50 kappaleen mukaan tällaista käsittelyä olisi pidettävä yhteensopivana ja lainmukaisena. Yhteensopivuus ei kuitenkaan ole koko vastaus: rekisterinpitäjä tarvitsee silti käsittelyperusteen ja erityisten henkilötietoryhmien osalta 9 artiklan mukaisen edellytyksen.

Tietosuojaneuvoston luonnoksen 1/2026 mukaan 6 artiklan 4 kohdan yhteensopivuustestiä ei tarvita myöhemmässä tutkimuksessa (kohta 19), mutta lainmukaisuuden tarkistus säilyy, eikä alkuperäiseen perusteeseen voi aina nojata, etenkään jos se oli suostumus (kohdat 21 ja 22). Tietosuojaneuvoston vuoden 2021 vastauksessa lisätään, että sairaala, joka nojaa hoidossa 9 artiklan 2 kohdan h alakohtaan, voi tarvita eri 9 artiklan edellytyksen käyttääkseen potilastietoja tutkimukseen.

Tavallisia toisiokäytön tilanteita korkeakouluissa:

• Oman aiemman hankkeen aineiston uudelleenkäyttö. Tarkistakaa, mitä tutkittaville kerrottiin ja kattaako alkuperäinen peruste, erityisesti suostumus, uuden käytön. Trinity College Dublin kertoo tutkijoille, että toisiokäyttöä pidetään yhteensopivana, ”if the research is in the public interest” (jos tutkimus on yleisen edun mukaista), kun 89 artiklan 1 kohdan suojatoimet ovat käytössä.
• Toisen tutkijan tai arkiston aineiston käyttö. Teistä tulee uusi rekisterinpitäjä tai yhteisrekisterinpitäjä. Tarvitsette oman käsittelyperusteen, tiedonjakosopimuksen ja yleensä 14 artiklan mukaiset tiedot.
• Rekisteri- ja hallinnolliset tiedot. Kansalliset rekisterilait ja lupaviranomaiset asettavat usein ehdot. Tanska edellyttää Datatilsynetin lupaa joihinkin luovutuksiin (10 §:n 3 momentti).
• Opiskelijoiden ja henkilöstön tiedot korkeakoulun järjestelmistä. Korkeakoulun omiin opiskelijoihin kohdistuva tutkimus vaatii huolellisuutta epätasaisen valta-asetelman vuoksi; katso oppimisanalytiikan opas.

Vuodesta 2029 alkaen eurooppalaisesta terveysdata-avaruudesta annettu asetus (EU) 2025/327 tuo erillisen reitin sähköisten terveystietojen toissijaiseen käyttöön terveysdatan saatavuudesta vastaavien elinten kautta. Sen toissijaista käyttöä koskevaa IV lukua sovelletaan 26.3.2029 alkaen (EHDS-asetus).

10. Onko laaja suostumus sallittu tietosuoja-asetuksen mukaan?

Kyllä, tietyin rajoin. Johdanto-osan 33 kappaleen mukaan rekisteröidyillä olisi oltava mahdollisuus antaa suostumuksensa tietyille tieteellisen tutkimuksen alueille, kun se on tunnustettujen eettisten standardien mukaista. Tietosuojaneuvosto tulkitsee tätä suppeasti: se ”does not disapply the obligations with regard to the requirement of specific consent” (ei poista yksilöityä suostumusta koskevia velvoitteita), ja tietosuoja-asetus ”cannot be interpreted to allow for a controller to navigate around the key principle of specifying purposes” (ei salli tulkintaa, jolla rekisterinpitäjä kiertäisi tarkoitusten määrittelyn keskeisen periaatteen) (05/2020, kohdat 156 ja 158). Erityisten henkilötietoryhmien osalta joustavuuteen kohdistuu ”a high degree of scrutiny” (erityisen tarkka arviointi) (kohta 157).

Vuoden 2026 luonnoksessa kuvataan kaksi mallia. Laaja suostumus kattaa tulevat hankkeet rajatulla tutkimusalueella: ”it is not sufficient to only state that personal data will be used for scientific research purposes” (ei riitä, että todetaan pelkästään henkilötietojen käytöstä tieteellisiin tutkimustarkoituksiin) (kohta 44). Dynaamisessa suostumuksessa henkilöiltä kysytään uudelleen sitä mukaa kuin hankkeet tarkentuvat, ja tietosuojaneuvosto kutsuu sitä pitkäkestoisissa, säännöllistä yhteydenpitoa sisältävissä tutkimuksissa ilmaisulla ”often the appropriate way” (usein asianmukainen tapa) (kohta 52). Laajan suostumuksen suojatoimiksi se ehdottaa muun muassa riippumatonta tietojen luottamushenkilöä (data trustee), määräaikaista suostumusta ja riippumatonta valvontaa (kohdat 48 ja 49).

Espanja (terveystutkimuksessa) ja Portugali ovat kirjanneet laajan suostumuksen kansalliseen lakiin. Validemicin analyysi Jos kansallinen laki sen sallii, suostumus tutkimukseen osallistumiseen yhdistettynä yleisen edun mukaiseen tehtävään tietosuoja-asetuksen mukaisena perusteena välttää laajan suostumuksen peruuttamiseen ja yksilöintiin liittyvät ongelmat.

11. Sosiaalisen median aineistot, tallenteet, litteraatit ja tekoälytyökalut

Sosiaalisen median aineistot

Julkiset julkaisut ovat edelleen henkilötietoja. Korkeakoulu tarvitsee käsittelyperusteen (julkisella korkeakoululla yleensä yleisen edun mukainen tehtävä), ja julkaisujen erityisiin henkilötietoryhmiin kuuluva sisältö kuuluu 9 artiklan 2 kohdan e alakohdan piiriin vain, jos henkilö on itse ilmeisesti saattanut tiedot julkisiksi. Tietosuojaneuvoston luonnoksen mukaan rekisterinpitäjän olisi tarkistettava, että sisältö on julkaistu ”following an active choice by the data subject” (rekisteröidyn aktiivisen valinnan perusteella), ja katsottava alustan asetukset (kohta 70). Ystävän julkaisema valokuva ei täytä edellytystä (kohta 71). Luonnoksen esimerkkitapauksessa kerätyt julkaisut pseudonymisoidaan ja käyttäjiä informoidaan 14 artiklan mukaisesti.

Komission etiikkamuistion mukaan ”It is not enough that the data be accessible” (ei riitä, että tiedot ovat saatavilla), ja se kehottaa tutkijoita tarkistamaan alustan käyttöehdot. Sikt mainitsee internettutkimukset tyypillisenä esimerkkinä yleisen edun käytöstä.

Haastattelutallenteet ja litteraatit

Ääni- tai videotallenne tunnistaa puhujan, ja haastattelujen sisältö sisältää usein erityisiin henkilötietoryhmiin kuuluvia tietoja (terveys, uskonto, poliittiset näkemykset) tutkittavasta tai kolmansista osapuolista. Käsittelyperuste on sama kuin tutkimuksessa muutenkin, mutta komission etiikkamuistio edellyttää erillistä suostumusmenettelyä ”intrusive methods such as behavioural profiling, audio/video recording or geo-location tracking” (yksityisyyteen tunkeutuvissa menetelmissä, kuten käyttäytymisen profiloinnissa, ääni- ja videotallennuksessa tai sijainnin seurannassa). Siktin mukaan suostumus voidaan dokumentoida ”on a sound recording” (äänitallenteelle).

Validemicin analyysi Käytännön huomioita:

• Poistakaa tai pseudonymisoikaa tallenteet, kun litteraatti on tarkistettu, ellei säilyttämiselle ole dokumentoitua syytä.
• Poistakaa litteraateista kolmansien osapuolten nimet ja tunnistettavat tiedot.
• Käsitelkää jokaista litterointipalvelua käsittelijänä, joka edellyttää käsittelysopimusta ja siirtojen arviointia. Vertailkaa Otter.ai, Amberscript, Trint ja mahdollisuus paikalliseen litterointiin Whisperillä.
• Käyttäkää laadulliseen analyysiin hyväksyttyjä työkaluja; katso tietosuojakatsauksemme NVivosta ja ATLAS.ti:stä.

Tekoälytyökalut tutkimuksessa

Haastatteluaineiston lataaminen generatiiviseen tekoälytyökaluun on käsittelyä. Se tarvitsee tutkimuksen käsittelyperusteen, sen on vastattava sitä, mitä tutkittaville kerrottiin, ja palveluntarjoajasta tulee käsittelijä (tai rekisterinpitäjä, jos se käyttää tietoja omiin tarkoituksiinsa). Tarkistakaa, käytetäänkö tietoja mallien koulutukseen, missä käsittely tapahtuu ja onko organisaation sopimukseen liitetty käsittelysopimus. Oppaamme tietosuoja-asetuksesta ja tekoälytyökaluista tutkimuksessa käsittelee aihetta yksityiskohtaisesti, ja eurooppalaisten yliopistojen hyväksymät tekoälytyökalut näyttää, mitä muut korkeakoulut sallivat.

12. Mitä tietosuojaselosteessa pitää kertoa käsittelyperusteesta?

Asetuksen 13 artiklan 1 kohdan c alakohta ja 14 artiklan 1 kohdan c alakohta edellyttävät, että selosteessa kerrotaan käsittelyn tarkoitukset ja oikeusperuste. Tutkimuksessa tämä tarkoittaa 6 artiklan mukaisen perusteen, erityisten henkilötietoryhmien osalta 9 artiklan mukaisen edellytyksen sekä niiden taustalla olevan kansallisen lain nimeämistä. Trinity College Dublinin ohje on lyhyt: kertokaa tutkittaville käsittelyperuste ”In advance of any data collection” (ennen tiedonkeruuta).

• Kertokaa peruste selkeästi, esimerkiksi: ”Käsittelemme tietojanne, koska tutkimus on yleisen edun mukainen tehtävä (tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohta, joka perustuu [kansallinen korkeakoululaki]). Suostumuksenne tutkimukseen osallistumiseen on eettinen vaatimus eikä käsittelyperuste.”
• Jos peruste on suostumus, kertokaa, miten sen voi peruuttaa ja mitä jo kerätyille tiedoille tapahtuu.
• Jos peruste on yleisen edun mukainen tehtävä, kertokaa vastustamisoikeudesta ja sen rajoituksista tutkimuksessa.
• Mainitkaa kansalliset poikkeukset oikeuksista, joihin nojaatte.
• Jos tietoja voidaan käyttää myöhemmässä tutkimuksessa, kertokaa siitä ja kuvatkaa suojatoimet.

Oppaassamme tutkittavan tietosuojaselosteesta on ilmainen Word-pohja tällä sanamuodolla, ja suomenkielinen versio on saatavilla sivulla tietosuojaseloste-malli.

13. Päätöstaulukko: mikä käsittelyperuste missäkin tilanteessa?

Validemicin analyysi Taulukossa ovat tyypilliset valinnat julkisessa korkeakoulussa EU- ja ETA-alueella. Se on lähtökohta keskustelulle tietosuojavastaavan kanssa, ei sääntö. Kansallinen laki ja yksittäinen hanke voivat muuttaa vastausta.

14. Mikä on muuttumassa? Vireillä olevat EU-tason ja kansalliset muutokset

• Euroopan tietosuojaneuvoston tieteellistä tutkimusta koskevat ohjeet 1/2026. Hyväksytty 15.4.2026 julkista kuulemista varten, kuuleminen kesti 25.6.2026 asti (kuulemissivu, tiedote). Emme löytäneet 9.10.2026 tietosuojaneuvoston verkkosivuilta lopullista versiota, eikä 17.9.2026 täysistunnon esityslistalla ollut ohjeita. Luonnos voi muuttua.
• Digitaalinen omnibus-ehdotus (Digital Omnibus). Komission 19.11.2025 antama ehdotus lisäisi tietosuoja-asetukseen tieteellisen tutkimuksen määritelmän ja muotoilisi uudelleen 5 artiklan 1 kohdan b alakohdan. Euroopan parlamentin asiakirjan mukaan ehdotus odottaa valiokunnan päätöstä (menettely 2025/0360(COD)). Se ei ole voimassa olevaa lainsäädäntöä.
• Eurooppalainen terveysdata-avaruus. Asetusta (EU) 2025/327 sovelletaan 26.3.2027 alkaen ja toissijaista käyttöä koskevaa lukua 26.3.2029 alkaen.
• Ruotsi. Eettistä ennakkoarviointia koskevan lain muutos (SFS 2026:1229), joka riksdagen.se-sivuston mukaan tulee voimaan 1.7.2027, lisää lakiin 6 a §:n, joka sallii osan arkaluonteisia tietoja koskevasta tutkimuksesta ilman eettistä ennakkoarviointia, esimerkiksi täysi-ikäisen tutkittavan suostumuksella.

15. Tarkistuslista: käsittelyperusteen valinta ja dokumentointi

Laajemman kuvan tietosuoja-asetuksesta opetuksessa, tutkimuksessa ja hallinnossa antavat oppaamme tietosuoja-asetus korkeakouluissa ja sivu tietosuoja-asetus selitettynä.

Lähteet

Kaikki lähteet haettu 9.10.2026.

1. Asetus (EU) 2016/679 (yleinen tietosuoja-asetus), virallisen lehden teksti, 5, 6, 9, 13, 14, 17, 21 ja 89 artikla sekä johdanto-osan 33, 50, 156, 157 ja 159 kappale (luettu EU:n julkaisutoimiston kautta).
2. Euroopan tietosuojaneuvosto, Guidelines 05/2020 on consent under Regulation 2016/679, versio 1.1, jakso 7.2, kohdat 153–165.
3. Euroopan tietosuojaneuvosto, Guidelines 1/2026 on processing of personal data for scientific research purposes, hyväksytty 15.4.2026, julkista kuulemista varten laadittu versio, sekä kuulemissivu.
4. Euroopan tietosuojaneuvosto, Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research, 2.2.2021.
5. Euroopan tietosuojaneuvosto, Opinion 3/2019 on the interplay between the Clinical Trials Regulation and the GDPR, 23.1.2019.
6. Euroopan tietosuojaneuvosto, uutislista (tarkistettu ohjeiden 1/2026 lopullisen hyväksymisen osalta) ja 17.9.2026 täysistunnon esityslista.
7. Euroopan tietosuojavaltuutettu, A Preliminary Opinion on data protection and scientific research, 6.1.2020.
8. Euroopan komissio (asiantuntijapaneeli), Ethics and data protection, 5.7.2021.
9. Euroopan parlamentin lainsäädäntöseuranta (Legislative Observatory), menettely 2025/0360(COD), Digital Omnibus.
10. Asetus (EU) 2025/327 eurooppalaisesta terveysdata-avaruudesta, soveltamispäiviä koskevat loppusäännökset.
11. Ruotsi: Högskolelag (1992:1434), Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning ja Lag (2003:460) om etikprövning av forskning som avser människor, riksdagen.se.
12. Norja: Personopplysningsloven (LOV-2018-06-15-38), 8–10 §, lovdata.no.
13. Suomi: Tietosuojalaki (1050/2018), ajantasainen versio muutos 380/2026 mukaan lukien, finlex.fi.
14. Tanska: Databeskyttelsesloven, LBK nr. 289 af 08/03/2024, retsinformation.dk.
15. Alankomaat: Uitvoeringswet Algemene verordening gegevensbescherming, 24 ja 44 artikla, wetten.overheid.nl.
16. Ranska: CNIL, Recherche scientifique (hors santé) : quelle base légale pour un traitement de recherche ? (6.1.2022) ja Traitements de données à des fins de recherche scientifique (hors santé) : quand saisir la CNIL ? (4.2.2026).
17. Espanja: Ley Orgánica 3/2018 (LOPDGDD), disposición adicional decimoséptima, boe.es.
18. Portugali: Lei n.º 58/2019, de 8 de agosto, 31 artikla, ajantasainen teksti pgdlisboa.pt-sivustolla.
19. UK Health Research Authority, Legal basis for processing data.
20. Sikt, Legal bases for personal data processing in research.
21. Bergenin yliopisto, General principles for processing personal data in research.
22. Tukholman yliopisto, Personuppgiftsbehandling vid Stockholms universitet.
23. Lundin yliopisto, Template B: information on processing of personal data in research (Word, huhtikuu 2026).
24. Helsingin yliopisto, RDM Advanced webinar series FAQ ja Emplacing Heritage -hankkeen tietosuojailmoitus.
25. Aarhusin yliopisto, Personal data in research at Aarhus University when we are the data controller ja informointivelvollisuudesta vapautetut tutkimushankkeet.
26. Utrechtin yliopisto, yhteiskunta- ja käyttäytymistieteiden tiedekunta, Dealing with Consent in Scientific Research, 3.2.2025.
27. KU Leuven / UZ Leuven, Onderzoek met minderjarigen: enkele cases.
28. Trinity College Dublin, Legal Basis for Research.
29. Edinburghin yliopisto, Research and Data Protection Legislation (ohje tutkijoille) ja tutkittavien tietosuojaseloste.
30. Essexin yliopisto, Data Protection and research activity.
31. Granadan yliopisto, Secretaría General, Producción investigadora (seloste käsittelytoimista).

Tietoa tästä sivusta

Lähteet tarkistettu 9.10.2026. Luimme tietosuoja-asetuksen Euroopan unionin virallisessa lehdessä julkaistun version, edellä luetellut Euroopan tietosuojaneuvoston, Euroopan tietosuojavaltuutetun ja komission asiakirjat, kansalliset lait niiden virallisilta tai ajantasaisen lainsäädännön julkaisusivustoilta sekä jokaisen korkeakoulun sivun, jota lainaamme. Lainaukset ovat lyhyitä ja kopioitu sivuilta sellaisina kuin ne oli julkaistu tarkistuspäivänä; suluissa olevat suomennokset ovat omiamme. Oma tulkintamme on merkitty Validemicin analyysiksi. Tietosuojaneuvoston tutkimusohjeet ovat kuulemisluonnos ja Digital Omnibus on ehdotus; päivitämme sivua, kun jompikumpi muuttuu. Tämä sivu on yleistä tietoa eikä oikeudellista neuvontaa. Kansallinen laki, alakohtaiset säännöt ja korkeakoulunne omat linjaukset voivat asettaa lisävaatimuksia, joten varmistakaa kunkin hankkeen käsittelyperuste tietosuojavastaavaltanne. Jos huomaatte virheen tai vanhentuneen kohdan, ottakaa yhteyttä, niin korjaamme sen.