1. Vad är en personuppgift enl. GDPR?
2. Planera
3. Informera
4. Skydda
5. Publicera, ta bort och lagra

Som personuppgifter räknas enligt GDPR all slags information som direkt eller indirekt kan knytas till en (fysisk) person som är i livet.

Direkt identifiering – t.ex. namn, adress och övriga kontaktuppgifter, bild, röstinspelning.
Personnummer är en ”extra skyddsvärd uppgift” och de ska endast behandlas i sin helhet om du kan motivera goda skäl för detta. Om möjligt så se om du inte kan genomföra din forskning med endast användandet av delar av personnumret, t.ex. födelseår eller födelsedatum.
Indirekt identifiering - t.ex. användar-ID, olika metadata och bakvägsidentifiering.
Kodade uppgifter är personuppgifter så länge kodnyckel finns kvar, även om du inte själv har tillgång till kodnyckeln.
Känsliga personuppgifter (särskilda kategorier av personuppgifter) är uppgifter om hälsa samt biometriska uppgifter som används för att entydigt identifiera en person, etniskt ursprung, politisk åsikt, medlemskap i fackförening eller sexuell läggning.

Några termer att känna till

Med registrerad avses en person vars uppgifter behandlas. Forskningspersonerna, d.v.s. personerna i din studie är vad som benämns som registrerade.
Med personuppgiftsansvarig avses den som bestämmer mål och medel för behandlingen av personuppgifter och som därför har ett ansvarar för dem och för att regelverket följs. Som huvudregel är det GIH som organisation som är personuppgiftsansvarig. Men det kan också vara ett gemensamt personuppgiftsansvar med andra organisationer/personer inom ett forskningsprojekt, eller så kan GIH vara personuppgiftsbiträde åt någon annan som är ansvarig för behandlingen. Detta kan behöva regleras via personuppgiftsbiträdesavtal

Du som skriver uppsats hittar mer handfasta råd på bibliotekets webbplats om personuppgiftsbehandling vid uppsatser.

För en god hantering av personuppgifter genom hela din forskningsprocess krävs en bra planering. Så innan du börjar samla in och hantera personuppgifter måste du planera och hitta svar på följande frågor:

Vad är ditt syfte? Vad behöver du personuppgifter till (vad är ditt forskningsämne och varför behöver du personuppgifter för din studie)
Vilka personuppgifter behöver du för din forskning?
Hur undviker du potentiella risker och har ett bra dataskydd?
Hur tar du hänsyn till forskningspersonernas rättigheter?

För all behandling av personuppgifter krävs att det finns en rättslig grund enligt GDPR för detta. Den rättsliga grunden för mastersuppsatser, och för övriga uppsatser, är som regel att du inhämtar samtycken. Men om du utför din forskning och skriver din mastersuppsats inom ramen för ett pågående forskningsprojekt, kan det vara så att samma rättsliga grund kan åberopas som för projektet i sin helhet och du behöver då inte inhämta samtycken. Den lagliga grund kan då vara att utföra en uppgift av allmänt intresse.
Du måste också kunna visa att du följer regelverket om personuppgifter. Och det görs genom att du följer GIH:s anvisningar i åtta steg för personuppgiftshantering vid uppsatsskrivande.

Forskningspersonerna ska alltid informeras om behandlingen av deras personuppgifter innan du börjar samla in dem. Om du skriver din mastersuppsats inom ramen för ett forskningsprojekt kan detta redan vara hanterat av projektet. Annars så behöver du göra detta då du inhämtar samtycken.
Om den data som används är annan än information som samlats in direkt från personer, kan du i vissa fall avstå från att informera - om det orsakar orimliga olägenheter (t.ex. om det inte finns några kontaktuppgifter till forskningspersonerna).

Använd endast de lagringsplatser som du vet är säkra och se till att ditt sätt att arbeta inte försvagar skyddet av informationen när du behandlar personuppgifter. Använd i första hand de system och tjänster som tillhandahålls av GIH när du hanterar data. Se också till att personuppgifter endast kan nås av de personer som har rätt att se dem. Undvik att överföra personuppgifter till s.k. tredje land (länder utanför EU). Men om det undantagsvis finns en avsikt för tredjelandsöverföring så vänligen diskutera detta med din handledare. Observera att personuppgifter kan överföras om du använder en tjänst vars tjänsteleverantör är belägen utanför EU (t.ex. kommersiella molntjänster) eller om du ger fjärråtkomst till information till en enhet utanför EU.

Innan du publicerar din mastersuppsats i DIVA så kontrollera vilka personuppgifter som finns med. Du kommer också att uppmärksammas på detta via kontrollfråga i DIVA.
Efter att behandlingen är avslutad, uppsatsen är registrerad i DIVA och du har fått ditt betyg registrerat ska du radera personuppgiftsmaterialet inklusive samtyckesblanketterna. Endast undantagsvis ska materialet arkiveras vid GIH.
Radering eller eventuell arkiveringen ska ske senast en vecka efter att betyget är inregistrerat i LADOK.