3 Tutkimusaineistojen tilastollinen tietosuoja

Tilastoinnin kohteiden ts. tilastoaineistoissa esiintyvien havaintojen kannalta tietosuojasta huolehtiminen on tärkeää. Yksittäistä henkilöä, kotitaloutta, yritystä tai muuta tilastoyksikköä koskevien tietojen paljastuminen ulkopuolisille on estettävä.

Tietosuoja kattaa muun muassa:

• tietojen suojaamiseen tähtäävän lainsäädännön ja ohjeistukset
• tietojen suunnitelmallisen ja huolellisen käsittelyn tutkimuksen eri vaiheissa
• suojaamisen toteuttavat menetelmät, ts. tilastolliset tietosuojamenetelmät.

Tutkijan on huolehdittava tietosuojasta

Tutkijana sinun on osaltasi huolehdittava käytössäsi olevan aineiston tietosuojasta siten, etteivät aineisto tai sen sisältämät yksikkökohtaiset tiedot paljastu ulkopuolisille aineiston käsittelyvaiheessa tai tutkimustuloksia julkaistaessa. Tietosuojasäännökset, kuten EU:n yleinen tietosuoja-asetus ja tietosuojalaki (2018/1050), suojaavat tutkimuksen kohteina olevia henkilöitä. Lisätietoa tietosuojasta tieteellisessä tutkimuksessa löydät Tietosuojavaltuutetun toimiston tieteellistä tutkimusta koskevilta sivuilta.

Tilastolaki velvoittaa Tilastokeskusta

Tilastokeskuksen oikeus kerätä rekisteri- ja kyselytietoja on taattu lainsäädännöllä. Kerätyt aineistot ovat laajasti yhteiskuntaa kuvaavia ja sisältävät hyvin arkaluontoisiakin tietoja.

Tilastokeskus voi tilastolain (280/2004) nojalla antaa käyttöoikeuden hallussaan oleviin, tilastointia varten kerättyihin salassa pidettäviin tietoihin tieteellistä tutkimusta ja yhteiskuntaoloja koskevaa tilastollista selvitystä varten.

Tilastolaissa Tilastokeskuksen tilastotarkoituksiin keräämien tietojen luovutuksesta tutkimuskäyttöön säädetään pykälässä 13. Kyseisen pykälän perusteluissa todetaan seuraavaa[1]:

"Tietoja luovutettaessa olisi henkilötietojen sekä liike- ja ammattisalaisuutta koskevien tietojen suoja varmistettava tapauskohtaisesti käytännön toimenpiteillä kuten esimerkiksi edellyttämällä riittäviä tietoturvamenettelyjä sekä huolehtimalla tarvittavan tietojen käyttöä koskevan valvonnan ja seurannan järjestämisestä. – – Koska tieteellisen tutkimuksen lopputulokset ovat yleensä julkisia, tulisi niiden julkaisemisen yhteydessä lisäksi aina erikseen varmistaa, ettei tutkimuksen perustana olleita yksittäisiä tilastoyksiköitä olisi mahdollista tunnistaa tutkimuksen julkisista lopputuloksista.”

[1] Hallituksen esitys eduskunnalle laeiksi tilastolain sekä maaseutuelinkeinotilastoista annetun lain 2 ja 3 §:n muuttamisesta (HE 154/2012).

Tilastokeskuksen yksikkötason aineistojen käyttö edellyttää käyttölupaa. Tietoja saa käyttää ainoastaan käyttöluvan saanut henkilö ja vain käyttölupapäätöksessä hyväksyttyyn tarkoitukseen. Tietojen kohteita ei saa yrittää tunnistaa aineistosta.

Allekirjoittamalla tutkimushanketta tai SISU-mikrosimulointimallin käyttöä koskevan sopimuksen sekä salassapitositoumuksen sitoudut siihen, ettet ilmaise etkä käytä omaksi hyödyksesi tutkimuksen yhteydessä tietoosi saamia, salassapidettäviksi säädettyjä tietoja (eli tutkimusaineistoon sisältyviä yksikkötason henkilö- ja yritystietoja).

Tilastolliset tietosuojamenetelmät ovat menetelmiä, joiden avulla julkaistava (aggregoitu) aineisto muokataan muotoon, josta yksittäisen tiedonantajan tai tilastoyksikön (henkilö, kotitalous, yritys, toimipaikka yms.) tietoja ei paljastu. Koska taulukkoaineisto on yleinen tutkimustulosten esittämistapa, saat tästä osiosta tietoa taulukkoaineistojen tilastolliseen tietosuojaan liittyvästä käsitteistöstä, paljastumisriskistä ja suojausmenetelmistä.

Tutkimustulos voi olla muukin aggregoitu aineisto kuin taulukkoaineisto, kuten esimerkiksi graafi tai yksittäinen jakaumatunnusluku. Näihin sovellettavista tietosuojasäännöistä löydät lisää tietoa Tutkijapalveluiden säännöistä ja ohjeista sekä osiosta 3.4 Tutkimustulosten tietosuojavaatimukset. Huomaathan, että tietosuojaa on noudatettava kaikissa julkaistavissa tiedoissa.

Taulukkoaineistojen (lyh. taulukko) suojaukseen on vaikea antaa tarkkoja, kaikkiin taulukoihin soveltuvia ohjeita, sillä taulukkoaineistoja on hyvin monenlaisia. Taulukot voivat poiketa toisistaan niin sisällön, rakenteen, julkaisukonseptin kuin käyttötarkoituksenkin perusteella, joten pahimmillaan jokainen taulukko muodostaa suojauksen kannalta oman erikoistapauksensa. Mitä paremmin olet ottanut huomioon kunkin taulukon erityispiirteet, sitä paremmin voit suojata taulukon säilyttäen samalla sen suunnitellun käyttötarkoituksen kannalta tärkeät ominaisuudet.

Taulukkoaineistolla tarkoitetaan taulukkomuotoon järjestettyä aggregoitua aineistoa. Taulukot voidaan jakaa frekvenssitaulukoihin ja määrätaulukoihin.

• Frekvenssitaulukossa kunkin solun arvo on ko. soluun kuuluvien tilastoyksiköiden lukumäärä.
• Määrätaulukossa tilastoyksiköiden arvot ovat taulukoitavan muuttujan arvoja ja siten soluarvot ovat soluun kuuluvien tilastoyksiköiden arvojen aggregaatteja, yleisimmin summia tai keskiarvoja. Määrätaulukon yhteydessä voidaan julkaista myös solufrekvenssit.

Myös esimerkiksi jakaumatunnuslukuja voidaan esittää koottuna yhteen taulukkoon, mutta tällaisen tunnuslukutaulukon suojaamiseen sovelletaan siinä esiintyvien jakaumatunnuslukujen tietosuojasääntöjä. Lisätietoja Tutkijapalveluiden säännöistä ja ohjeista.

Paljastuminen taulukkoaineistosta

Taulukkoaineistosta paljastuminen tarkoittaa mahdollisuutta määritellä yksikön identiteetti tai jokin ominaisuus tarkemmin kuin ilman taulukon julkaisemista. Paljastuminen voi olla joko tarkkaa tai likimääräistä.

Määrätaulukoissa paljastuminen tarkoittaa yleisimmin sitä, että tietyn tilastoyksikön taulukoitavan muuttujan arvo pystytään estimoimaan liian tarkasti taulukon lukujen ja rakenteen avulla. Varsinkin yritysaineistojen kohdalla likimääräinen paljastuminen voi olla aivan yhtä haitallista kuin tarkka paljastuminen.

Taulukon suojausprosessi on kaksivaiheinen

Ensimmäisessä vaiheessa arvioidaan taulukon suojaustarve, eli tunnistetaan paljastumisriskissä olevat, eli ns. herkät solut, valitun herkkyyssäännön avulla. Toinen vaihe esitellään kohdassa Taulukkoaineistojen suojausmenetelmät.

Yleisimmät herkkyyssäännöt ovat seuraavat:

• Kynnysarvosääntö, jonka mukaan solu on herkkä, mikäli siihen kuuluu vähemmän kuin ennalta määrätyn kynnysarvon verran tilastoyksiköitä.
• Dominanssisääntö eli (n,k)-sääntö, jonka mukaan solu on herkkä, mikäli sen n suurinta tilastoyksikköä muodostavat vähintään k prosenttia solun kokonaisarvosta.

Frekvenssitaulukossa solu on herkkä, jos siihen kuuluu vain vähän tilastoyksiköitä, eli toisin sanoen soluun liittyvä luokittelevien muuttujien arvokombinaatio on harvinainen. Tällaiset pienen solufrekvenssin takia herkäksi määriteltävät solut löydät kynnysarvosäännön avulla. (katso Esimerkki 1).

Kynnysarvon käyttö on suositeltavaa, kun ainoastaan tarkalta paljastumiselta (esim. henkilö voidaan tarkasti identifioida) suojaaminen katsotaan riittäväksi.

Määrätaulukossa solun voi määritellä herkäksi myös, jos yksi tai muutama yksikkö dominoi solun arvoa, eli on arvoltaan selvästi suurempi muihin yksiköihin verrattuna. Tällöin voi olla mahdollista estimoida dominoivien yksiköiden arvot liian tarkasti (vaikkei välttämättä aivan tarkasti). Liian tarkalta estimoinnilta suojaaminen tarkoittaa likimääräiseltä paljastumiselta suojaamista, ja sen voit toteuttaa käyttämällä dominanssisääntöä suojattavien solujen määrittelyyn (katso Esimerkki 2 ja Esimerkki 3).

Voit käyttää rinnakkain useampaa herkkyyssääntöä. Tällöin solu on herkkä, jos se yhdenkin käytetyn herkkyyssäännön mukaan on herkkä.

Taulukkoaineistojen suojausmenetelmät

Taulukon suojausprosessin toisessa vaiheessa herkkien solujen tiedot suojataan valitulla suojausmenetelmällä. Ensimmäinen vaihe eli suojaustarpeen arviointi esiteltiin kohdassa Paljastuminen taulukkoaineistosta. Suojausmenetelmän valinnassa tärkeimmät kriteerit ovat vaaditun suojaustason saavuttaminen ja taulukon tärkeiden ominaisuuksien säilyttäminen. Näin taulukko on riittävästi suojattu, mutta se on hyödyllinen suojauksen jälkeenkin.

Usein menetelmän valintaan vaikuttaa paljon käytettävissä olevat resurssit, kuten aika ja saatavilla oleva ohjelmisto, jolla suojaus toteutetaan. Suojausmenetelmän tulisi olla lisäksi läpinäkyvä siten, että suojatun taulukon käyttäjä ymmärtää käytetyn suojausmenetelmän pääpiirteet ja näin osaa ottaa huomioon suojauksen mahdollisesti aiheuttamat muutokset taulukossa.

Taulukoiden suojausmenetelmänä käytetään yleensä peittämistä tai luokituksen muuttamista

Peittämiseen kuuluu ensisijainen, paljastumisriskissä olevien solujen peittäminen ja toissijainen peittäminen. Toissijaisella peittämisellä varmistat, ettei taulukon rivi- tai saraketotaalien avulla pystytä paljastamaan ensisijaisesti peitettyjen solujen arvoja. Peittämisen voit tehdä myös rivikohtaisesti. Jos taulukon johonkin rivitotaaliin kuuluu vain pieni määrä tilastoyksiköitä (vähemmän kuin käytetty kynnysarvo), peität kyseisen rivin kokonaisuudessaan huomioimatta sen eri soluissa olevien tilastoyksiköiden lukumäärää.

Luokitusta muuttamalla taulukosta pyritään hävittämään paljastumisriskissä olevat solut yhdistämällä niitä sisältävät luokat muihin taulukon luokkiin. Luokituksen muuttaminen tarkoittaa usein käytännössä koko luokituksen karkeistamista.
Taulukoiden suojausmenetelmänä voit käyttää myös paljastumisriskissä olevien solujen arvojen muuttamista. Tällaisia menetelmiä ovat esimerkiksi pyöristäminen ja alkuperäisen soluarvon korvaaminen likimääräisellä satunnaisluvulla.

Taulukoiden ja muun tyyppisten tulosteiden suojaus etäkäyttöjärjestelmässä tarkoittaa käytännössä sitä, että tutkija huolehtii tulosteiden tarvittavasta suojauksesta ennen niiden tarkastukseen lähettämistä. Suojaus on toteutettava käyttämällä tarpeeksi karkeita luokituksia tai muuten suunnittelemalla tulosteiden sisältö tietosuojan kannalta hyväksyttäväksi. Tarkastukseen lähetettäviin tulosteisiin ja taulukoihin ei saa enää kohdistua paljastumisriskiä, eikä tarkastaja siis enää tee lisäsuojauksia tulosteisiin. Tarkemmin tutkimustulosten suojaamisesta ja tarkastusmenettelystä kerrotaan osiossa 3.4 Tutkimustulosten tietosuojavaatimukset.

Esimerkki 4:n avulla voit pohtia lisää taulukkoaineiston suojaukseen liittyviä käytännön haasteita.

Salassapitovelvoitteen mukaan sinun on pidettävä huolta siitä, että tutkimustuloksissasi ei ole yksikkötason tietoja tai mahdollisuutta niiden paljastumiseen. Julkaisemiesi tulosteiden tulee noudattaa tietosuojan osalta Tilastokeskuksen linjauksia taulukkomuotoisten tietojen suojaamisesta. Lisätietoja linjauksista löydät ohjeesta Tietosuoja ja tulosten tarkastusmenettely (pdf). Alla on esitetty keskeisimmät ohjeet tulosteiden tietosuojavaatimuksista.

Frekvenssi- ja määrätaulukot

Pääsääntönä yritystietojen suojaamisessa on, että kussakin solussa tai ryhmässä on oltava aina vähintään 3 (painottamatonta) havaintoa. Kynnysarvosäännön rinnalla tulee soveltaa dominanssisääntöä (1,75) tuoreissa yritystiedoissa (alle 15 kk viiteajankohdasta). Toimipaikkatason tietoja suojatessa on varmistettava myös yritystason suojaus, eli kussakin solussa on oltava toimipaikkoja vähintään kolmesta eri yrityksestä. Samoin konsernitason suojaus on otettava huomioon sellaisissa yritysaineistoissa, joissa on tietoja konsernisuhteista.

Henkilötietojen suojaamisessa on noudatettava solukohtaista kynnysarvoa 3 ja kiinnitettävä erityistä huomiota taulukoitavien muuttujien arkaluonteisuuteen. Yhdistetyissä työntekijä–työnantaja-aineistoissa on suojattava sekä henkilö- että yritystaso, eli kussakin taulukon solussa on oltava työntekijöitä vähintään kolmesta eri yrityksestä. Taulukkomuotoisissa yritystilastoissa esiintyviin ammatinharjoittajatietoihin sovelletaan samoja suojauskäytäntöjä kuin muihinkin yritystietoihin.

Erilaiset jakaumatunnusluvut

Maksimi ja minimi liittyvät yleensä yhteen havaintoon. Jos tämä havainto on mahdollista tunnistaa, et voi julkaista maksimia tai minimiä.

Jakaumapisteet (pl. minimi ja maksimi) muodostavat erikoistapauksen taulukosta, jossa solufrekvenssejä vastaavat jakaumapisteiden väliin jäävien havaintojen lukumäärät. Mikäli nämä lukumäärät ylittävät kynnysarvon 3, voit julkaista jakaumapisteet.

Moodin voit julkaista, mikäli (lähes) kaikki havainnot eivät saa samaa arvoa.

Keskiarvon, muut suhdeluvut ja jakaumatunnuslukujen korkeammat momentit (esim. varianssi) voit julkaista, mikäli niiden laskennassa on käytetty vähintään kolmea havaintoa.

Osuuksia julkaistaessa on kynnysarvon 3 toteuduttava kaikkien osuuksia muodostavien ryhmien osalta. Toisin sanoen, jos halutaan julkaista esim. naisten osuuden olevan 58 prosenttia koko populaatiosta, niin tuon 58 %:n, samoin kuin miesten 42 %:n, on sisällettävä vähintään kolme henkilöä. Ei siis riitä, että naisia ja miehiä on yhteensä koko populaatiossa vähintään 3.

Muut numeeriset tulostetyypit

Indeksipisteluvut, korrelaatiokertoimet ja testisuureet (t, F, khiin neliö, yms.) voit yleensä julkaista, mikäli laskennassa on käytetty tarpeeksi (vähintään 10) havaintoja.

Regressiomallin kokonaisuudessaan voit julkaista, mikäli mallin taustalla on riittävästi havaintoja ja malli ei kuvaa aikasarjaa yhteen yritykseen/henkilöön perustuvista havainnoista. Mallin yksittäisiä kertoimia voit yleensä aina julkaista.

Kuviot

Aineistoista piirretyt kuviot ja kuvat ovat sallittuja, jos yksittäinen kuvapiste ei voi paljastaa sen taustalla olevaa yksittäistä havaintoa. Vie kuviot tarkastettavaksi taulukoiden tapaan selkeästi ja täsmällisesti dokumentoituna. Tarkastettavaksi soveltuvia kuvaformaatteja ovat esimerkiksi PNG, BMP, JPEG, TIFF, EPS, PS, PDF, SVG ja WMF/EMF.

Pylväsdiagrammit ja muut luokitellun aineiston esittämiseen käytetyt kuviot ovat tyypillisesti sallittuja julkaistaviksi, kunhan kussakin luokassa on riittävästi havaintoja.

Tällaisen kuvion informaatio voidaan yleensä esittää myös taulukkomuodossa ja siihen voidaan soveltaa samoja tietosuojasääntöjä kuin muihinkin taulukkoaineistoihin (ks. yllä kohta Frekvenssi- ja määrätaulukot).

Jakaumakuvat sisältävät toisinaan poikkeavia havaintoja tai ääriarvoja, jotka voivat paljastaa havaintoyksikön tietoja. Tasoitetut tai riittävän karkealla asteikolla esitetyt jakaumat, histogrammit ja kertymäfunktiot ovat sallittuja.

Hajontakuvia käytetään tyypillisesti kahden jatkuvan muuttujan arvojen esittämiseen, jonka vuoksi ne ovat tietosuojan kannalta edellisiä kuvaajia hankalampia. Hajontakuvien kohdalla tulee kiinnittää erityistä huomiota aineiston luonteeseen mm. otoksen koon, tiedon arkaluonteisuuden ja poikkeavien havaintojen esiintymisen kannalta.

Seuraavat gallerioissa selattavat harjoitukset antavat sinulle käytännön vinkkejä siitä, miten parannat tulosteiden tietosuojaa ja kuinka lopuksi arvioit tulosten tietosuojaa.

Tilastokeskuksen tutkijapalveluilla on käytössään tutkimustulosten manuaalinen tarkastusmenettely ja pistotarkastusmenettely, joilla varmistetaan tietosuojan toteutuminen.

• Sinun tulee huolehtia, että tarkastukseen lähetettävät tulosteet täyttävät vaaditut tietosuojavaatimukset.
• Tulosteiden tulee olla selkeästi tulkittavia.
• Tulosteiden keskeinen sisältö ja käytetyt muuttujat tulee olla tarkastajan ymmärrettävissä.
• Taulukoissa solukohtaisten havaintojen lukumäärän tulee olla näkyvissä, kuten myös estimaattien ja tunnuslukujen laskennassa käytettyjen havaintojen lukumäärät.

Tarkastuksessa ei hyväksytä tulostetta, jonka sisältö on liian epäselvä tai laaja tietosuojan toteutumisen arvioimiseksi. Tarkempaa tietoa tulosteiden tietosuojavaatimuksista ja tarkastusmenettelystä löydät tutkijapalveluiden säännöistä ja ohjeista. Säännöt ja ohjeet ovat sitovia kaikille tutkimushankekohtaisen tai SISU-mikrosimulointimallin käyttöä koskevan sopimuksen allekirjoittaneille tutkijoille. Huomaa, että tarkastusmenettelystä huolimatta sinä tutkijana olet viimekädessä vastuussa tietosuojan toteutumisesta julkaisemissasi tutkimustuloksissa

Tutkijapalveluiden etäkäytössä ja mikrosimulointimallin etäkäytössä noudatetaan toisistaan poikkeavia tarkastusmenettelyjä. Manuaalisen tarkastuksen piirissä olevissa tutkimushankkeissa etäkäytössä tuotetut tulosteet tarkastetaan tietosuojan osalta ennen tietojen luovuttamista tutkijalle. Etäympäristöstä ei voi siirtää tiedostoja omalle työasemalle itse, vaan tiedonsiirto tapahtuu erillisellä pyynnöllä sähköpostin kautta. SISU-mikrosimuloinnissa ja pistotarkastuksen piirissä olevissa tutkimushankkeissa puolestaan käyttäjä siirtää tutkimustuloksia sisältäviä tiedostoja suoraan omalle työasemalle ilman etukäteen tehtävää tarkastusta.

Manuaalinen tarkastusmenettely

Etä- ja tutkimuslaboratoriokäytössä tuotetut tutkimustulokset tarkastetaan tietosuojan varmistamiseksi. Tarkastuspyynnöt lähetetään sähköpostitse tutkijapalveluihin. Etäkäytön sääntöjen mukaisesti kaikki järjestelmästä pyydettävät tulostiedostot tarkastetaan. Huomioithan siis tutkijapalveluiden resurssit palvelupyyntöä lähettäessäsi. Kiinnittämällä huomiota tulostiedostojen laatuun ja noudattamalla kohtuutta tarkastuspyyntöjen määrässä voit sujuvoittaa ja nopeuttaa tarkastusmenettelyä merkittävästi. Etäkäyttöjärjestelmän ylläpitoon ja siihen liittyviin tehtäviin irrotetaan työresursseja päivittäisen tarpeen mukaan tutkijapalveluiden henkilöstön muusta työajasta.

• Pidä tulostiedostojen määrä ja koko kohtuullisena.
• Rajaa tarkastukseen pyydettävät tiedostot vain niihin, joita tarvitset julkaisuun tai työskentelyyn etäkäyttöjärjestelmän ulkopuolella.
• Rajaa tulostiedostojen sisältö vain niihin tauluihin ja tietoihin, joita tarvitset. Tiedostot tarkastetaan kokonaisuudessaan, joten esimerkiksi laajat log-tiedostot pidentävät ja vaikeuttavat tarkastusta välittömästi.
• Varmista, että tulostiedostojen sisältö on kokonaisuudessaan tietosuojavaatimusten mukainen. Poista tai muokkaa oma-aloitteisesti tietosuojaongelmia aiheuttavat tiedot.
• Varmista, että tulostiedostojen muoto (erityisesti kuvatiedostot) on sääntöjen ja ohjeiden mukainen. Mikäli tarvitset tulostiedoston ehdottomasti järjestelmästä muussa kuin säännöissä mainitussa muodossa, liitä tarkastuspyyntöön perustelu sekä ohjeet tiedostomuodon avaamiseen.
• Liitä tarkastuspyyntöön kuvaus tarkastettavista tiedoista sekä maininta, mistä aineistosta tulokset on laskettu. Kuvauksen voit jättää pois tarkastuspyynnöstä ainoastaan, jos tietosisältö on ilmeinen.
• Kopioi tiedostot oman projektisi hakemistoissa olevaan tarkastuskansioon (...\out). 
• Lähetä tiedostojen/kuvien tarkastuspyyntö sähköpostiosoitteeseen tutkijapalvelut@stat.fi hankekoodin ja sijaintitiedon kera.
• Tietosuojatarkastuksen jälkeen saat tulokset ilmoittamaasi sähköpostiosoitteeseen.
• Varaa tarkastamiseen 2 työpäivää.
• Tiedostojen tulee olla selkeästi tulkittavissa, lisätietojen kysyminen viivästyttää tarkastusta seuraavaan arkipäivään.

Pyri ennakoimaan tietotarpeesi ja lähetä tarkastuspyyntö hyvissä ajoin. Tarkastuspyynnöt ja tiedostojen siirtäminen käsitellään aina seuraavana arkipäivänä. Vastaukset korjaus- tai selvityspyyntöihin tiedostojen sisällöstä käsitellään seuraavana arkipäivänä. 

Tarkastusmenettely mikrosimuloinnissa

Mikrosimuloinnin etäympäristöstä voit siirtää tutkimustuloksia sisältäviä tiedostoja etäympäristöstä omalle työasemallesi. Jokaisella käyttäjällä on etäkäyttöympäristössä oma henkilökohtainen Mail-sähköpostikansio, jonka kautta tiedostoja voit siirtää omalle työasemallesi.

• Kopioi halutut tiedostot (User-, Forum- tai Admin-kansioista) henkilökohtaiseen Mail-kansioosi.
• Noin kahden minuutin kuluttua kopioinnista tiedosto siirtyy automaattisesti sekä henkilökohtaiseesi että Tilastokeskuksen mikrosimuloinnin (mikrosimulointi@tilastokeskus.fi) sähköpostiin.
• Jokaisesta Mail-kansioon kopioidusta tiedostosta tulee erillinen sähköpostiviesti, jonka liitteenä on kansioon kopioitu tiedosto. Lähetettävän tiedoston koko voi olla korkeintaan 1 megatavu (Mt).

Tilastokeskus tarkastaa siirretyt tiedostot mikrosimuloinnin sähköpostista jälkikäteen. Olet velvollinen noudattamaan siirrettäviin tietoihin liittyen tutkijapalveluiden etäympäristöä koskevia ohjeita ja pelisääntöjä: 

• siirrettävien tutkimustulosten suojaaminen
• tiedostojen koko- ym. rajoitukset
• tietojen tulkittavuus
• tulosten julkaiseminen.

Kiinnitä erityistä huomiota siihen, ettei mikrosimulointiympäristöstä siirrettävissä tiedoissa ole vahingossakaan yksilötason tietoja tai mahdollisuutta niiden paljastamiseen.

Pistotarkastusmenettely

Kun haluat siirtää tuloksia ulos etäkäytöstä, täytä FIONAn työpöydältä löytyvä lomake ulos siirrettävistä tuloksista. Tämän jälkeen tulokset joko tarkastetaan etukäteen manuaalisesti, tai olet pistotarkastusten piirissä, voit saada tulokset sähköpostiisi välittömästi. Uusien käyttäjien kaikki tulokset tarkastetaan etukäteen. Todennäköisyys pistotarkastusten piiriin pääsemisestä nousee, kun käyttäjälle kertyy hyväksyttyjä perättäisiä etukäteistarkastuksia.

Rikkeet ja virheet nollaavat tilanteen ja etukäteistarkastukset alkavat alusta. Vakavista ja toistuvista rikkeistä on sanktiona poisto pistotarkastusmenettelyn piiristä, sekä muut tietosuojaloukkauksista seuraavat toimenpiteet. Jos olet epävarma tulosteen tietosuojasta, kannattaa olla yhteydessä tutkijapalveluihin jo ennen tulosteen järjestelmästä ulos vientiä.

Ethän lähetä seuraavia tulosteita tarkastukseen: 

• Kaikkien tarkastukseen vietävien tiedostojen tulee täyttää samat kriteerit kuin julkaistaviksi tarkoitettujen taulukoiden ja kuvioiden, joten esimerkiksi log-tiedostoista tulisi pyytää tarkastettavaksi vain välttämättömät tai julkaistaviksi tarkoitetut osiot.
• Yksikkötason tietoja tai aineistoa sisältävät tulosteet eivät pääse läpi tarkastuksesta. Järjestelmästä voit saada ulos vain aggregoitua tietoa.
• Mikäli tuloste on liian huonosti dokumentoitu tietosuojan arvioimisen kannalta, ei tarkastaja voi päästää sitä läpi tarkastuksesta.
• Selkeästi kiellettyjä kuvatyyppejä ovat muun muassa poikkeavien havaintoyksiköiden arvoja esittävät kuvat tai hajontakuvat, joista pystyy päättelemään esimerkiksi alansa suurimman yrityksen tietoja. Ohjelmien piirtofunktiot merkitsevät usein automaattisesti hajontakuviin poikkeavat havainnot, jotka pitää jättää pois julkaistavista kuvista.
• Tietyt kuvatyypit, kuten Statan gph -tiedostot, tallentavat lähtökohtaisesti kuvan piirtämiseen käytetyn aineiston, jonka vuoksi ne eivät välttämättä sovellu ulos siirrettäviksi.

• Dominanssisääntö tarkoittaa, että solu on herkkä, mikäli sen n suurinta tilastoyksikköä muodostavat vähintään k prosenttia solun kokonaisarvosta.
• Frekvenssitaulukko on taulukko, jossa kunkin solun arvo on ko. soluun kuuluvien tilastoyksiköiden lukumäärä.
• Kynnysarvosääntö tarkoittaa, että solu on herkkä, mikäli siihen kuuluu vähemmän kuin ennalta määrätyn kynnysarvon verran tilastoyksiköitä.
• Määrätaulukko on taulukko, jossa tilastoyksiköiden arvot ovat taulukoitavan muuttujan arvoja ja siten soluarvot ovat soluun kuuluvien tilastoyksiköiden arvojen aggregaatteja, yleisimmin summia tai keskiarvoja.