NY: Studentarbeten

Tänk igenom och beskriv tydligt varför du samlar in personuppgifter, det är ändamålet med behandlingen av personuppgifter. Det är till hjälp för att förstå vilken information som är nödvändig för att nå det.

Oftast används:

• Samtycke: när deltagare själva lämnar uppgifter.
  • I normalfallet är den rättsliga grunden samtycke som personuppgiftsbehandlingen stödjer sig på.
• Allmänt intresse: när personuppgifterna inte samlas in från den registrerade direkt, till exempel vid internetstudier eller registerstudier.
  • Är det ofta inte möjligt att informera och samla in ett samtycke från varje enskild person.

Samla bara in personuppgifter som verkligen behövs.

Fråga dig:

• Kan jag göra studien utan personuppgifter?
• Kan jag använda färre personuppgifter?

Du får aldrig samla och behandla fler personuppgifter än vad som behövs för att uppnå ändamålet. Din handledare hjälper dig med att bedöma personuppgiftsbehandlingen i det tilltänkta arbetet.

I självständiga uppsatsarbeten på grundnivå är det inte tillåtet att:

• Behandla känsliga personuppgifter
• Behandla extra skyddsvärda personuppgifter

Examinator har rätt att besluta om undantag.

Om känsliga personuppgifter ska behandlas, se: Känsliga personuppgifter och forskningsprojekt

Personuppgifter ska skyddas från obehöriga och får inte spridas till fler personer än nödvändigt.

Tänk på att:

• Bara de som behöver ska ha tillgång
• Datorer ska vara lösenordsskyddade, ha antivirus och brandvägg
• Datorns operativsystem och programvara som används ska vara uppdaterade med nödvändiga säkerhetsuppdateringar
• Du ska använda högskolans centrala lagringssystem (H: eller hemmakatalog på din dator)
• Vid behandling av känsliga personuppgifter är det ett krav att använda H:/hemmakatalog
• Om du lagrar personuppgifter lokalt på din dator eller på mobila enheter (mobiltelefon eller USB) måste du själv säkerställa att uppgifterna skyddas och säkerhetskopieras
• Externa molntjänster inte får användas för behandling av personuppgifter
• Utskrifter ska förvaras säkert och förstöras på ett tryggt sätt

• Personuppgifter får inte sparas längre än nödvändigt
• I de flesta fall ska de raderas när uppsatsarbetet är avslutat och arbetet godkänt
• Om uppgifterna ska användas i fortsatta studier behöver de sparas, det behöver deltagarna i studien ha samtyckt till

Innan det praktiska arbetet startar är det viktigt att bestämma vad som ska hända med de insamlade personuppgifterna. Handlar det om att uppsatsen är en del av ett forskningsprojekt, se: Känsliga personuppgifter och forskningsprojekt

Personuppgifter får enligt GDPR bara behandlas om det finns en rättslig grund för behandlingen. Hur den rättsliga grunden bedöms kan du läsa om i steg 1 i guiden: "Steg 1: Bestäm syfte och rättslig grund".

Om personuppgifterna samlas in direkt från deltagarna i studien är den rättsliga grunden samtycke. Samtycke behövs från varje enskild person som deltar i studien.

Om du samlar in ett samtycke direkt från personer och du måste du skriftligen informera om:

• Syftet med studien
• Berätta vilka uppgifter du vill samla in
• Förklara hur personuppgifterna ska används och hur länge de sparas

Deltagaren ska godkänna detta innan du börjar.

Samtyckesmall och informationsbrev, studentarbeten (doc)

Om större avsteg från mallen behöver göras i ett specifikt fall rekommenderas att handledaren kontaktar högskolans dataskyddgrupp: dataskydd@du.se eller Forskningsetiska rådet (FER): fer@du.se

När din uppsats innehåller personuppgifter:

• Måste du anmäla uppsatsen till högskolans behandlingsregister
• Anmälan görs för att högskolan ska ha kontroll över pågående behandling av personuppgifter
• Din handledare ansvarar för att granska att upplägg och planering följer lagstiftning och interna regler. Detta inkluderar etiska överväganden.

Efter att du har gjort anmälan:

• Du får ett automatiskt svar när anmälan är registrerad
• Du får ingen ytterligare återkoppling på din anmälan

Om något ändras i ditt arbete

Du måste göra en ny anmälan om:

• Syftet med uppsatsen ändras
• Du börjar behandla andra kategorier av personuppgifter

Du behöver också lämna in en ändringsanmälan om:

• Du byter handledare

Följ det du har planerat och anmält. Du får bara använda personuppgifterna på det sätt du har informerat om.

När uppsatsen är klar, du har examinerats på momentet och ditt resultat har registrerats i Ladok ska du:

• Radera personuppgifterna (inklusive inhämtade samtycken)
• Eller arkivera personuppgifterna enligt vad du bestämde i steg 4: bestäm vad som ska raderas

Samma personuppgifter får användas till högst fem examinationstillfällen inom loppet av högst tre år räknat från att datainsamlingen påbörjats. Om inte fem tillfällen kunnat erbjudas inom tre år kan examinator besluta om begränsad tidsförlängning.

Du som student som ansvarar för att personuppgiftsmaterialet raderas när uppsatsarbetet är avslutat eller när tre år har passerat.

Om du skriver din uppsats inom ett forskningsprojekt där Högskolan Dalarna är huvudman gäller följande:

• Din behandling av personuppgifter sker inom ramen för forskningsprojektet
• Projektets huvudansvariga forskare ansvarar för hur personuppgifter och forskningsdata hanteras
• Du använder samma rättsliga grund som forskningsprojektet, oftast allmänt intresse

Ska du hantera personuppgifter och forskningsdata

• Du ska följa de regler som gäller för det aktuella forskningsprojektet
• Du ska använda projektets IT-lösning för all hantering av forskningsdata
• IT-lösningen ska uppfylla krav på säker hantering av uppgifter

För att få behandla känsliga personuppgifter eller uppgifter om lagöverträdelser i forskning krävs ett godkännande från Etikprövningsmyndigheten.

Självständiga uppsatsarbeten på grundnivå och avancerad nivå räknas inte som forskning. De kan därför inte få ett eget etikgodkännande.

När ditt arbete ingår i ett etikgodkänt forskningsprojekt

Ett studentarbete kan ingå i ett forskningsprojekt som leds av en ansvarig forskare och som redan har etikgodkännande. Då gäller följande:

• Du följer den forskningsplan och det etikgodkännande som finns för projektet
• Din behandling av personuppgifter sker på samma villkor som för övriga forskare i projektet
• All hantering av forskningsdata ska ske i projektets IT-lösning med säker hantering

Tänk på att:

• Om du samlar in uppgifter direkt från personer måste de ha fått information om hur uppgifterna används, även i ditt studentarbete
• Den behandling av personuppgifter som du gör inom projektet måste redan vara inkluderat i etikansökan

Hantering av insamlad data

• Forskningsdata som du samlar in inom projektet blir allmän handling
• Den räknas som primärmaterial i forskning
• Den ska arkiveras, inte raderas som i ett vanligt studentarbete

Rekommendationen är därför att du, om du som student, behöver behandla känsliga personuppgifter gör det inom ramen för ett etikgodkänt forskningsprojekt där Högskolan Dalarna är huvudman.

Det är mycket begränsat när du får behandla känsliga personuppgifter i ett självständigt uppsatsarbete som inte ingår i ett forskningsprojekt. Detta beror på att studentuppsatser som inte ingår i ett forskningsprojekt inte kan få etikgodkännande.

För att det ändå ska vara tillåtet att behandla känsliga personuppgifter i självständiga uppsatsarbeten krävs att:

• Det finns ett tydligt och dokumenterat behov
• Det finns rutiner som skyddar de registrerades integritet

Utifrån de framtagna rutinerna behöver en generell behovs- och riskanalys genomföras av institutionen som underlag till beslut om undantag.

Särskilt för utbildningsnivå:

• På grundnivå krävs att behandlingen är nödvändig för att du ska kunna nå lärandemålen
• Bedömningen ska dokumenteras och diarieföras
• Samma princip bör användas även på avancerad nivå

Dessutom måste det vara säkerställt att:

• Arbetet genomförs på ett etiskt godtagbart sätt
• Personuppgifterna hanteras och skyddas på ett säkert sätt

Det kan också vara aktuellt att göra en anmälan till forskningsetiska rådet (FER).

Behovs- och riskanalys

Innan du får behandla känsliga personuppgifter inom ramen för självständiga uppsatsarbeten (oavsett nivå) ska en behovs- och riskanalys göras. Den ska innehålla:

Behov

• Varför behöver du behandla känsliga personuppgifter?
• Är det nödvändigt för att nå lärandemålen?
• Finns det andra alternativ som du kan använda i stället?

Utbildning

• Ta del av fördjupad information om personuppgiftsbehandling: Personuppgiftsbehandling i självständiga studentarbeten - en handledning (pdf)
• Utbildning om GDPR, till exempel via studentwebben

IT-säkerhet

• Du får bara använda IT-lösningar som högskolan har godkänt
• Känsliga personuppgifter ska lagras i din dators hemmakatalog (H:)

Rutiner för lämplighetsbedömning

• Överväg om uppsatsen ska skickas till FER och med dokumentation kunna visa att uppsatsarbetet uppfyller god sed och är etiskt försvarbart.
• Personuppgifter i uppsatsarbete – guide i åtta steg ska följas
•  Lämplighetsbedömningen ska göras för varje uppsatsarbete genom FER:s frågeställningar: Forskningsetiska rådet (FER) - Högskolan Dalarna

Dokumentation

• Bedömningen ska dokumenteras och diarieföras

Högskolan avråder dig som student att delta i forskningsprojekt där Högskolan Dalarna inte är huvudman.

Det beror på att:

• Högskolan då saknar kontroll över hur projektet genomförs
• Det inte går att säkerställa att arbetet sker på ett rättssäkert sätt
• Det är oklart vilket ansvar högskolan kan ta för din medverkan i projektet

Om externa aktörer hanterar personuppgifter

Det är ovanligt i studentarbeten, men kan förekomma. Om en extern aktör (till exempel en leverantör av en IT-tjänst) behandlar personuppgifter för högskolans räkning gäller följande:

• Ett personuppgiftsbiträdesavtal måste upprättas.

Det här gäller för dig som student

• Använd i första hand de IT-tjänster som högskolan tillhandahåller
• Om du vill använda andra tjänster kan det krävas ett avtal
• Kontakta dataskyddsstödet om det kan bli aktuellt: dataskydd@du.se

Du är student på ett lärarprogram och för ditt examensarbete planerar du att intervjua elever på en skola om deras upplevelse av sitt betyg i ämnet svenska. Under en av intervjuerna blir en elev ledsen och börjar gråta när frågan om betyget i svenska kommer upp.

Frågor att reflektera kring: Vilka åtgärder bör du ta innan du börjar din datainsamling för att skydda en deltagare (eleven) från skada i en händelse som ovan? Varför bör du göra detta?

Du är student på ett program inom omvårdnad/hälso- och sjukvård. Du planerar att göra intervjuer med personal på en avdelning om arbetsmiljö, stress och utbrändhet. Inga känsliga personuppgifter planeras att samlas in.

Frågor att reflektera kring: Även om du inte samlar känsliga personuppgifter, vilka risker för forskningspersonerna överväger du? Vad kan inträffa vid intervjuerna? Vilka åtgärder vidtar du FÖRE datainsamlingen för att minska eller undvika skada för forskningspersonerna? Varför bör du göra detta?

* Tänk på att utlåtandet vanligtvis innehåller mer specifika synpunkter och instruktioner.

Forskningsetiska rådet sammanträder vanligtvis 4 gånger per termin. Ansökningar ska vara rådet tillhanda senast 8 dagar innan kl 12.00. 

2026