Hankkeelle voidaan viedä tiedostoja tai siirtää sieltä ulos tietyin periaattein. Tutustu huolellisesti seuraavaan ohjeeseen tulosten tarkastusmenettelystä ja tietosuojasta.
FIONAan on mahdollista viedä tutkijan omia tiedostoja. Aineistojen viennin tekee tutkijapalvelut. Tutkija itse ei pysty siirtämään FIONAan aineistoja.
Lähetä FIONAan vietävät tiedostot tukijapalveluihin osoitteeseen tutkijapalvelut@stat.fi. Jos tiedosto sisältää tutkimusaineistoa, ilmoita aineiston lähde yhteydenottoviestissä. Tiedostot tarkistetaan tutkijapalveluissa ennen FIONAan vientiä.
Aineistojen vieminen FIONAan voi vaatia käyttöluvan päivitystä.
Tutkimustuloksia tai muuta materiaalia saa siirtää järjestelmästä pois vain tarkistusmenettelyn kautta. Tarkistuksella varmistetaan, että julkaistavista tiedoista ei voida tunnistaa henkilöitä tai yrityksiä.
Tulostiedostojen määrä ja koko tulee pitää kohtuullisena. Kohtuullinen määrä tarkoittaa käytännössä vain muutamia yksittäisiä tiedostoja, jotka on tarkoitus julkaista, eikä esimerkiksi kirjoittajaryhmän vertailtavaksi tarkoitettuja kymmeniä eri versioita tai pitkiä lokitiedostoja.
Tarkasta tutkimustulokset FIONAssa tulostarkastustyökalun avulla. Hankkeen FIONA-työpöydältä löydät pikaohjeen tulostarkastustyökalun käyttöön.
Kun haluat siirtää tuloksia ulos etäkäytöstä, avaa FIONAn työpöydältä Tulostarkastus-pikakuvake. Täytä avautuva lomake, jossa kuvailet, mitä materiaalia olet aikeissa siirtää ulos etäkäyttöjärjestelmästä. Tulostarkastuslomakkeelle on hyvä kirjoittaa kaikki tulosten tarkistamiseen vaikuttavat lisätiedot turhien hylkäysten välttämiseksi.
Tämän jälkeen tulokset joko tarkastetaan etukäteen manuaalisesti tai, jos olet pistotarkastusten piirissä, voit saada tulokset sähköpostiisi välittömästi.
Uusien käyttäjien kaikki tulokset tarkastetaan etukäteen. Todennäköisyys pistotarkastusten piiriin pääsemisestä nousee, kun käyttäjälle kertyy hyväksyttyjä perättäisiä etukäteistarkastuksia. Rikkeet ja virheet nollaavat tilanteen ja etukäteistarkastukset alkavat alusta. Vakavista ja toistuvista rikkeistä on sanktiona poisto pistotarkastusmenettelyn piiristä sekä muut tietosuojaloukkauksista seuraavat toimenpiteet.
Jos olet epävarma tulosteen tietosuojasta, ole yhteydessä tutkijapalveluihin jo ennen kuin viet tulosteen ulos järjestelmästä. Yhteydenotto ja tulosteen tietosuojan selvitys etukäteen ei vaikuta siihen, miten nopeasti tutkija pääsee pistotarkastusten piiriin, mutta se voi vähentää epäselvien tilanteiden syntymistä.
Jos olet aikeissa pyytää FIONAsta ulos tuloksia, jotka pohjautuvat Findatan käyttöluvan mukaisiin aineistoihin, tulee tulostarkastuspyyntöön liittää Findatan lomake. Lomake löytyy FIONAsta sekä Findatan verkkosivuilta.
Täytä lomakkeelle
Tilastokeskus ja Findata tekevät yhteistyötä tulostarkastuspyyntöjen valvonnassa, joten FIONAsta ulos pyydettyjä tuloksia ei tarvitse toimittaa jälkikäteen Findatalle tarkastettavaksi, vaan lomakkeen asianmukainen täyttäminen riittää.
Tutkijalla on vastuu tutkimustulostensa tietosuojasta. Tutkijan on huolehdittava, etteivät etäkäyttöjärjestelmästä ulos siirrettävät tulosteet sisällä yksikkötason aineistoa tai mahdollisuutta yksittäistä havaintoa koskevien tietojen paljastumiseen.
Etäkäyttöjärjestelmästä tulee tulosteita ulos siirrettäessä noudattaa harkintaa. Järjestelmästä tulee siirtää ulos vain sellaisia tulosteita, jotka on tarkoitus julkaista. Taulukoiden ja kuvioiden tulisi olla sisällöltään siinä muodossa, missä ne on tarkoitus julkaista. Järjestelmästä ei voi ottaa ulos tulosteita, joita ei tietosuojan takia voitaisi julkaista.
Tulosteissa on oltava näkyvissä taulukoiden, kuvien, tunnuslukujen jne. laskemisessa käytettyjen havaintojen lukumäärät.
Jos etäkäyttöjärjestelmästä halutaan ulos tietosuojaohjeista poikkeavia tietoja, joista ei kuitenkaan voi paljastua yksilöä koskevia tietoja, tulee asiasta olla yhteydessä tutkijapalveluihin ennen tulostepyynnön tekemistä.
MOOC-verkkokurssin avulla voi harjoitella tietosuojaosaamista. Kurssi on tarkoitettu erityisesti etäkäyttöjärjestelmän käyttäjille. Salasana on huonedata.
Tutkimusaineistot etäkäytössä -verkko-opas tarjoaa lisätietoja tutkimusaineistojen ja SISU-mikrosimulointimallin etäkäytöstä ja aineistojen tietosuojasta. Kurssi sisältää myös esimerkkejä taulukkoaineistojen suojauksesta.
Seuraavassa on esitetty ohjeita ja sääntöjä erilaisten tulostetyyppien tietosuojasta huolehtimiseen. Koska tutkimushankkeita ja erilaisia tulostetyyppejä on paljon erilaisia, ei jokaisen aineiston ja tulosteen tietosuojaa voida arvioida ja ohjeistaa erikseen. Tämän takia yleisten ns. nyrkkisääntöjen antaminen on välttämätöntä.
Joidenkin Tilastokeskuksen aineistojen ja muiden viranomaisten tutkimuskäyttöön luovuttamien aineistojen osalta tietosuojaohjeet saattavat poiketa alla esitetyistä säännöistä. Nämä poikkeavat säännöt löytyvät aineistokatalogissa olevista aineistokuvauksista, ja tarvittaessa ne kirjataan myös käyttölupapäätökseen.
Jos olet epävarma jonkin tulosteen tietosuojasta epävarma tai haluat tarkennusta annettuihin ohjeisiin, ota yhteyttä Tutkijapalveluihin (tutkijapalvelut@stat.fi).
Kaikille tulostetyypeille on yhteistä, että tulosten taustalla olevien havaintojen paljastumisriski on yleensä pienempi, jos käytetty aineisto on vain (satunnais-)otos kokonaisaineistosta. Otannasta mahdollisesti johtuva pienempi paljastumisriski ei kuitenkaan tarkoita, että otosaineistoista tuotettuja tulosteita varten voitaisiin automaattisesti lieventää tässä ohjeessa esitettyjä suojaussääntöjä. Jos havainnon paljastumisriskiä joudutaan kuitenkin arvioimaan jossain tulosteessa tapauskohtaisesti (esim. onko jakaumatunnusluku paljastava tai voiko kuvasta yksittäisen kuvapisteen taustalla olevaa havaintoa tunnistaa), niin tällöin otannan käyttö vaikuttaa arviointiin.
On huomioitava, että kokonaisaineisto ei aina tarkoita vain kaikkia Suomessa asuvia henkilöitä tai kaikkia Suomessa toimivia yrityksiä. Tietosuojan näkökulmasta ja havaintojen paljastumisriskiä arvioitaessa esimerkiksi tietyn toimialan kaikki yritykset muodostavat ennemminkin kokonaisaineston kuin otosaineiston, sillä yleensä on pääteltävissä, kuuluuko yksittäinen yritys ”otokseen”, joka on rajattu kattamaan tietyn toimialan kaikki yritykset.
Taulukkomuotoon aggregoidut tiedot voivat sisältää henkilötietoja, yritystietoja tai molempia. Esimerkiksi työntekijä-työnantaja-aineistoissa on suojattava sekä henkilö- että yritystaso. Myös ammattiryhmiä kuvaavat tiedot saattavat epäsuorasti sisältää yritystietoja, jos (lähes) kaikki tiettyyn ammattiryhmään kuuluvat henkilöt ovat vain yhden (monopoli)yrityksen palveluksessa, jolloin kyseisen yrityksen tietosuojasta on huolehdittava.
Solukohtaisten havaintojen lukumäärän tulee olla taulukoissa näkyvissä, samoin kuin myös estimaattien ja tunnuslukujen laskennassa käytettyjen havaintojen lukumäärät. Sekä yritys- että henkilötietoja sisältävien taulukoiden suojauksessa pääsääntönä on kynnysarvo 3. Toisin sanoen taulukon solun tai havaintoryhmän tiedot saa julkaista vain, jos tietojen taustalla on vähintään 3 (painottamatonta) havaintoa. Myöskään havaintojen lukumäärätietoa ei pienten solujen tai ryhmien osalta saa julkaista. Tarkempia ohjeita suojausmenetelmistä erillisessä kappaleessaan myöhemmin.
Kynnysarvosäännön käyttö pääsääntönä on helpoin tapa laskea julkaistaviin taulukoihin mahdollisesti kohdistuvaa yksittäisten havaintojen paljastumisriskiä. Havainnon tunnistaminen ryhmänsä ainoaksi tai harvinaiseksi tapaukseksi voi lisätä riskiä tunnistaa havainto ja/tai paljastaa lisää tietoja tästä havainnosta (esim. muiden samaa aineistoa tai aihetta käsittelevien taulukoiden ja tulosteiden avulla). Tämän takia kynnysarvoa tulee soveltaa, vaikka taulukossa julkaistaisiinkin pelkkiä lukumäärätietoja.
Edellä mainitun pääsäännön lisäksi on huomioitava seuraavat säännöt:
Koordinaatti- tai ruututietojen julkaisuun liittyy erityisehtoja: Kokonaista ruutuaineistoa ei saa julkaista. Ruutuihin perustuvia tietoja voidaan ottaa ulos etäkäyttöjärjestelmästä ja julkaista silloin, kun ruudussa on vähintään 10 havaintoyksikköä. Julkaistavien tietojen tulee olla aggregoituja suuremmalle aluetasolle, suhtautettuja tai muulla tavalla käsiteltyjä, jotta henkilöitä ja asuntokuntia ei voi tunnistaa.
Minimi ja maksimi liittyvät yleensä yhteen havaintoon, joten niitä ei useimmiten voi julkaista. Esimerkiksi toimialan suurin yritys on yleensä mahdollista tunnistaa, joten siihen liittyvää liikevaihtotiedon maksimia ei voi julkaista. Mikäli minimiä tai maksimia ei voida yhdistää yksittäiseen havaintoon ja kynnysarvo toteutuu, ne voidaan julkaista.
Jakaumapisteet (pl. minimi ja maksimi), kuten esimerkiksi desiilit, muodostavat erikoistapauksen taulukosta, jossa solufrekvenssejä vastaavat jakaumapisteiden väliin jäävien havaintojen lukumäärät. Mikäli nämä lukumäärät ylittävät taulukoissa sovellettavan kynnysarvon 3, voidaan jakaumapisteet julkaista.
Moodi voidaan julkaista, mikäli (lähes) kaikki havainnot eivät saa samaa arvoa.
Keskiarvo, muut suhdeluvut ja jakaumatunnuslukujen korkeammat momentit (esim. varianssi) voidaan julkaista, mikäli niiden laskennassa on käytetty vähintään kolmea havaintoa.
Osuuksia julkaistaessa on kynnysarvon 3 toteuduttava kaikkien osuuksia muodostavien ryhmien osalta. Toisin sanoen, jos halutaan julkaista esim. naisten osuuden olevan 58 % koko populaatiosta, niin tuon 58 %, samoin kuin miesten 42 %, on sisällettävä vähintään kolme henkilöä. Ei siis riitä, että naisia ja miehiä on yhteensä koko populaatiossa vähintään 3.
Indeksipisteluvut, korrelaatiokertoimet ja testisuureet (t, F, Χ², yms.) voidaan yleensä julkaista, mikäli niiden laskennassa on käytetty vähintään 10 havaintoa.
Regressiomallin voi kokonaisuudessaan julkaista, mikäli mallin taustalla on riittävästi havaintoja (vähintään 10) ja malli ei kuvaa aikasarjaa yhteen yritykseen tai henkilöön perustuvista havainnoista. Mallin yksittäisiä kertoimia voidaan yleensä aina julkaista.
Monimutkaisempien tilastollisten mallien numeeriset tulokset voidaan yleensä aina julkaista, mikäli mallin taustalla on riittävästi havaintoja ja malli ei kuvaa aikasarjaa yksittäiseen yritykseen tai henkilöön perustuvista havainnoista.
Numeeristen tulosteiden tapaan myöskään kuvat eivät saa paljastaa yksittäisen havainnon tietoja ja kuvien taustalla olevien havaintojen lukumäärät tulee ilmetä tulosteesta. Aineistoista piirretyt kuvat ovat sallittuja, jos yksittäinen kuvapiste tai kuvan osa ei voi paljastaa sen taustalla olevaa yksittäistä havaintoa.
Pylväsdiagrammit ja muut luokitellun aineiston esittämiseen käytetyt kuvat ovat tyypillisesti sallittuja julkaistaviksi, kunhan kussakin luokassa on riittävästi havaintoja. Tällaisen kuvan informaatio voidaan yleensä esittää myös taulukkomuodossa ja siihen voidaan soveltaa samoja tietosuojasääntöjä kuin muihinkin taulukkoaineistoihin (katso Frekvenssi- ja määrätaulukot).
Jakaumakuvista tasoitetut tai riittävän karkealla asteikolla esitetyt jakaumat, histogrammit ja kertymäfunktiot ovat sallittuja. Osa jakaumakuvista voi sisältää tietoja poikkeavista havainnoista tai ääriarvoista, jotka tapauskohtaisesti voivat paljastaa yksittäisen havainnon tietoja. Ohjelmien piirtofunktiot merkitsevät usein automaattisesti mm. laatikkokuvaajiin (box plot) poikkeavat havainnot. Poikkeavat havainnot yksilöivät kuvat eivät sovi julkaistaviksi, ellei tutkija pysty hyvin perustelemaan, etteivät kuvaan merkityt poikkeavat havainnot ole tunnistettavissa.
Hajontakuvia käytetään tyypillisesti kahden jatkuvan muuttujan arvojen esittämiseen. Hajontakuvien pisteet kuvaavat lähtökohtaisesti kukin yksittäisen havainnon tietoja, minkä vuoksi se on tietosuojan kannalta edellisiä kuvatyyppejä hankalampi tapaus. Hajontakuvien tietosuojan arvioinnissa tutkijan tulee kiinnittää erityistä huomiota aineiston luonteeseen mm. otoksen koon, tiedon arkaluonteisuuden ja poikkeavien havaintojen esiintymisen kannalta. Hajontakuva ei täytä tietosuojavaatimuksia, jos siitä on suoraan nähtävissä tai helposti pääteltävissä esim. yksittäisen toimialan suurimman yrityksen tietoja. Hajontakuvan tietosuojaa voi parantaa luokittelemalla taustalla olevaa aineistoa siten, että hajontakuviossa yhden pisteen taustalla on useampia havaintoja. Vaihtoehtoinen tapa, jolla yksiköiden paljastumisriskiä voidaan joissain tapauksissa pienentää, on satunnaisen kohinan lisääminen ("jittering") hajontakuvion pisteisiin.
Tulosteiden, erityisesti kuvien tiedostomuodon on oltava sellainen, ettei se aiheuta riskiä yksikkötason tietojen paljastumiseen. Tiedosto tulee olla avattavissa tarkasteltavaksi FIONAsta löytyvillä työkaluilla. Tarkastettavaksi soveltuvia kuvaformaatteja ovat esimerkiksi:
Stata-ohjelmassa yllä mainittuja kuvaformaatteja pystyy luomaan graph export -komennolla. SPSS-ohjelmassa kuvaformaatin saa valita Export output -toiminnossa. R-ohjelmassa tietoa piirtofunktioista saa komennolla help(grDevices). Tietyt kuvatyypit, kuten Statan gph-tiedostot, tallentavat lähtökohtaisesti kuvan piirtämiseen käytetyn aineiston, minkä vuoksi ne eivät välttämättä sovellu tarkastukseen ja ulos siirrettäviksi.
Tiedostoista tai taulukoista ei saa olla mahdollista tunnistaa yksittäistä henkilöä tai yritystä koskevia tietoja. Paljastumisriskin sisältävät tiedot on suojattava suunnittelemalla tulosteiden sisältö tietosuojan kannalta hyväksyttäväksi esimerkiksi tarpeeksi karkeita luokituksia käyttämällä.
Taulukossa paljastumisriskin sisältävät solut voidaan suojata
Taulukon suojausmenetelmän valinnassa on syytä pyrkiä löytämään menetelmä, joka suojaa taulukkoa riittävästi, mutta säilyttää sen käyttötarkoituksen kannalta tärkeät ominaisuudet mahdollisimman hyvin.
Taulukon rakenteen muuttaminen tarkoittaa muuttujien määrän kontrollointia tai luokituksen muuttamista. Luokitusta muuttamalla taulukosta pyritään hävittämään paljastumisriskissä olevat solut yhdistämällä niitä sisältävät luokat muihin taulukon luokkiin. Luokituksen muuttaminen tarkoittaa usein käytännössä koko luokituksen karkeistamista.
Peittämiseen kuuluu ensisijainen, paljastumisriskissä olevien solujen peittäminen ja toissijainen peittäminen. Toissijaisella peittämisellä varmistetaan, ettei taulukon rivi- tai saraketotaalien avulla pystytä paljastamaan ensisijaisesti peitettyjen solujen arvoja. Peittäminen voidaan tehdä myös rivikohtaisesti. Jos taulukon johonkin rivitotaaliin kuuluu vain pieni määrä tilastoyksiköitä (vähemmän kuin käytetty kynnysarvo), peitetään kyseinen rivi kokonaisuudessaan huomioimatta sen eri soluissa olevien tilastoyksiköiden lukumäärää.
Lisätietoja tietosuojamenetelmistä löytyy Tutkimusaineistot etäkäytössä -verkkokurssin materiaaleista.
Tämä sisältö ei näy, jos olet estänyt evästeiden käytön. Jos haluat nähdä sisällön, tarkista evästeasetuksesi.