​ [[ Content #4405: You do not have permission to view this Content ]] Skal du behandle opplysninger om personer i ditt forsknings- eller studentprosjekt?  Da trenger du dokumentasjon fra NSD ​Personvernombudet på at prosjektet ditt behandler personopplysninger på en lovlig måte.  

Meldeplikten gjelder uansett om det er forsker- , master-  eller bachelorprosjekter.

​ [[ Content #3520: You do not have permission to view this Content ]] Alle medisinske- og helsefaglige forskningsprosjekter må i tillegg få en etisk forhåndsgodkjenning av Regionale komiteer for medisinsk og helsefaglig forskningsetikk (REK).

Ytterligere dokumenterte tillatelser er nødvendig dersom du skal forske ved en institusjon som skole, fengsel, sykehus, arbeidsplass osv. og innhentes fra stedets institusjonsledelse for å kunne gjennomføre forskningen.

​Første vurdering er uansett om det faktisk er nødvendig å samle inn personopplysninger for å få gjennomført prosjektet. Sensitive personopplysninger kan som hovedregel ikke samles inn i bachelorprosjekter og bør unngås så langt råd i mastergradsprosjekter. 

Hva er alminnelige og sensitive personopplysninger?

En personopplysning er alt som kan spores tilbake til én person, enten direkte eller indirekte identifisere hvem som opplysningene stammer fra. Kombinasjoner av bakgrunnsopplysninger kan være personidentifiserende.  LES DATATILSYNETS TEKST 

NB! Selv om all rapportering /publisering fra prosjektet er anonymt, kan du allikevel ha behandlet meldepliktige personopplysninger. 

Tenk nøye over behovet for å samle inn personopplysninger til ditt prosjekt. Forsøk alltid å redusere personvernulempen og unngå sensitive personopplysninger.

Bachelorstudenter har ikke anledning til å samle inn sensitive personopplysninger (omtalt i GDPR som særskilte kategorier opplysninger). 

Meldeplikten for behandling av personopplysninger 

​Behandler du elektroniske personopplysninger skal du melde prosjektet til NSD Personvernombudet. Dette gjelder uansett innsamlingsmetode; lyd, bilde, film,  spørreskjema, registreringer/målinger o.a.  Det samme gjelder også hvis du skal behandle personopplysninger manuelt (på papir) og disse skal inngå i et personregister.

Prosjektet skal meldes til NSD selv om personopplysningene er erstattet med et nummer, en kode, fiktive navn eller lignende, som viser til en adskilt liste med personopplysningene.

Stemmen i seg selv er en personopplysning. Bruk av bilde- og lydopptak av personer medfører  behandling av personopplysninger hvis:  

Content #4388: You do not have permission to view this Content
  • opptaket behandles eller lagres med elektroniske hjelpemidler som inngår i datanettverk
  • transkripsjoner inneholder personopplysninger og behandles elektronisk 
  • transkripsjoner inneholder sensitive personopplysninger og systematiseres i et manuelt register

Prosjektleder eller veileder ved studentprosjekt er ansvarlig for at prosjektet blir meldt til NSD. Prosjektet skal meldes senest 30 dager før datainnsamlingen skal starte. Det er ikke lov å påbegynne prosjektet før du har mottatt godkjenning.

Slik melder du inn prosjektet

Risikovurdering og utvidet personvernkonsekvensvurdering (DPIA)

Før behandling av personopplysninger skal du foreta en risikovurdering, det vil si en vurdering av personvernkonsekvenser. Vurderingen skal bidra til å forebygge uønskede hendelser eller mangler ved behandlingen av personopplysningene. Det skal iverksettes tiltak for å beskytte behandlingen av forskningsdataene som står i forhold til faktisk risiko basert på risikovurderingen. Sentrale forhold i risikovurderingen er prosjektets omfang, opplysningenes følsomhet, prosjektets varighet og risiko forbundet med selve IT-datahåndteringen:

Ved utfylling av meldeskjemaet til NSD Personvernombudet, må du svare på og beskrive hva du anser som risikabelt ved din behandling av personopplysninger og hva du har tenkt å gjøre for å redusere risikoen.

En utvidet personvernkonsekvensvurdering vil være nødvendig i spesielt inngripende prosjekter. Disse vurderingene er mer omfattende enn vanlig, og må utarbeides i samarbeid med NSD Personvernombudet og personvernombudet lokalt på HINN.  Her er Datatilsynets liste over prosjekter som alltid vil kreve DPIA. Merk at HINN-prosjekter rettet mot barn kan utløse DPIA, se punktet "behandling av personopplysninger for å evaluere læring, mestring og trivsel i skoler eller barnehager."  

Samtykke  

Deltakelse i forskningsprosjekter hvor personopplysninger ikke behandles anonymt, skal som hovedregel være basert på et dokumentert samtykke fra deltakerne. 

Forskningsdeltakere kan ikke inkluderes i et forskningsprosjekt før samtykkeerklæring er signert. Samtykkeerklæring kan samles inn elektronisk. Informert samtykke er den kommunikasjon og de opplysninger som gjør at hver deltaker, uavhengig alder og mental kapasitet, kan ta en kvalifisert beslutning om å delta i et forskningsprosjekt eller ei. Et informert samtykke skal gi nødvendig informasjon om studien og skal tjene som en formell avtale for hver enkelt deltaker om å delta. Det er obligatorisk med en beskrivelse av hvordan deltakerens konfidensialitet vil bli beskyttet underveis i prosjektet og i resultatdelen.

Informert samtykke og konfidensialitet må vurderes så tidlig som mulig i prosjektplanleggingen. Beskyttelse av deltakernes privatliv er et kjernetema i ansvarlig forskningspraksis og må være grundig tenkt igjennom.

Videre skal informasjonsskrivet gi informasjon om at forskerne er underlagt taushetsplikt. Prosjektleder må vurdere om det i informasjonsskrivet bør opplyses om at taushetsplikten ikke er absolutt. Dette kan være aktuelt i prosjekter hvor forskningsdeltakerne kan tenkes å gi informasjon om at det kan bli begått en alvorlig straffbar handling. Prosjektleder vil da ha plikt etter straffelovens § 196 til å søke å avverge slik handling.

Opplysninger om de som ikke gir eller senere trekker samtykket, kan ikke benyttes i forskningen. 

Det informerte samtykket bør som hovedregel inneholde opplysninger om langtidslagring og deling av anonymisert data – som ett eksempel kan det stå at «dine svar fra spørreskjemaet vil i anonymisert form bli avlevert og langtidslagret i databasen til ..for eksempel.. Norsk senter for forskningsdata (NSD) og gjort tilgjengelig for gjenbruk til nye forskningsformål og/eller undervisning.

For at et samtykke skal være gyldig, må det være:

*frivillig                *spesifikt            *informert         *utvetydig         *gitt gjennom en aktiv handling      *dokumenterbart       *mulig å trekke tilbake like lett som det ble gitt
 

Gå videre i temaet ved å lese mer detaljert om samtykke her:  Datatilsynet , NSD og REK.

Samtykkekompetanse og samtykke fra barn 

Samtykkekompetanse hos myndige personer kan falle bort på grunn av fysiske eller psykiske forstyrrelser som åpenbart gjør at de ikke er i stand til å forstå hva samtykket omfatter. Umyndiggjorte skal i så stor utstrekning som mulig selv samtykke. Dersom dette ikke er mulig, skal vergen samtykke. Planlegger du et prosjekt der personer med redusert samtykkekompetanse skal inkluderes, må du lese dette først: "Pasienter, brukere og personer med redusert eller manglende samtykkekompetanse."

Helseforskning: Mindreårige mellom 16 og 18 år kan samtykke med mindre annet følger av særlige lovbestemmelser eller tiltakets art. Samtykke fra foreldre/foresatte kreves hvis forskningen innebærer legemsinngrep eller legemiddelutprøving. Helseforskningsloven § 17 har nærmere bestemmelser om samtykkekompetanse.

Annen forskning: Avhengig av prosjektets art og omfang, er vanlig praksis 15 års aldersgrense for når barn kan samtykke selv til deltakelse i forskning. Gjelder det sensitive personopplysninger er aldersgrensen 16 -18 år. Skal mindreårige (under 18 år) kunne gi et gyldig samtykke til behandling av personopplysninger forutsetter dette at de forstår konsekvensene. Muligheten til forståelse beror på faktorer som alder, art og omfang av personopplysninger, samt formålet med innhentingen. Det skal alltid informeres om hvilken aldersgrense som gjelder når man legger opp til at mindreårige skal oppgi personopplysninger.

Ved inklusjon av mindreårige, må det utarbeides alderstilpassede forespørsler som tar hensyn til modenhet og erfaringsbakgrunn.

Er vurdering av samtykkekompetanse et vanskelig tema i ditt prosjekt? Les mer, for eksempel på hjemmesiden til De nasjonale forskningsetiske komiteene . Rådfør deg med kolleger eller personvernombud.

Er vurdering av samtykkekompetanse et vanskelig tema i ditt prosjekt? Les mer, for eksempel på hjemmesiden til De nasjonale forskningsetiske komiteene .Ta kontakt med NSD Personvernombudet, REK eller HINNs personvernombud.

Forskningsdeltakernes rettigheter 

Så lenge en person kan identifiseres i datamaterialet, har vedkommende rett til: 

  • innsyn i hvilke personopplysninger som er registrert om seg,
  • å få rettet personopplysninger om seg,
  • få slettet personopplysninger om seg,
  • få utlevert en kopi av sine personopplysninger (dataportabilitet), og
  • å sende klage til personvernombudet eller Datatilsynet om behandlingen av sine personopplysninger

Dette skal du opplyse om i informasjon- og samtykkeskrivet. Dette følger av personvernprinsippene i GDPR.

Anonymt, avidentifisert og anonymisert

Data kan samles inn helt anonymt, da behandles ikke personopplysninger. Videre kan data samles inn med medfølgende personopplysninger som skilles ut mens prosjektet pågår, da skjer en avidentifisering av datamaterialet. Når prosjektet avsluttes, slettes koblingsnøkkelen og andre indirekte personopplysninger vaskes ut. Da foretas en anonymisering av datamaterialet som deretter kan presenteres for omverdenen. 

Anonym datainnsamling
Anonym datainnsamling er mulig dersom prosjektet er kartlegging med engangs utspørring. Dette i motsetning til gjentagende utspørring (tidsserie) som krever en koblingsnøkkel. Er anonym datainnsamling mulig, er det alltid å foretrekke.

Ved intervju og observasjon må data registreres kun i form av notater for hånd. Det kan ikke gjøres opptak av samtaler eller filming av personer.

Nettbaserte skjema kan være fullstendig anonyme, dvs. slik at respondentens e-post- og IP-adresse ikke på noe tidspunkt kan knyttes til spørreskjemaet. Dersom et nettbasert spørreskjemaverktøy har en innstillingsfunksjon der IP-adressen til respondenten ikke registreres, vil det være tilstrekkelig anonymisert og meldeplikten frafalles dersom alle andre betingelser er ivaretatt - se meldeplikttesten.

Slik unngår du meldeplikten for anonyme spørreundersøkelse

Vær oppmerksom på at forskningsdeltakernes rettigheter selvsagt ikke kan trer i kraft ved anonyme undersøkelser: Uten personidentifiserende opplysninger er utspørringen anonym og da er det ikke mulig å trekke samtykket. Dette kan du informere om for eksempel på følgende måte: «Deltakelse i undersøkelsen er frivillig og anonym. Dersom du svarer, har du gitt samtykke til å delta. Dersom du ikke vil delta, er det bare å la være å svare. Dersom du ombestemmer deg underveis i utspørringen, lar du være å levere inn skjemaet og kansellere det du har skrevet. Etter at skjemaet er levert, kan svarene ikke trekkes tilbake fordi de er levert anonymt og ikke kan spores tilbake til deg.»

​ [[ Content #4387: You do not have permission to view this Content ]]  

Avidentifiserte opplysninger behandles på samme måte som personidentifiserbare opplysninger. Det er en vanlig misforståelse at man tror man behandler anonyme data når forskeren/studenten har tilgang til opplysninger, men ikke tilgang til kodelisten. Slike opplysninger er og blir avidentifiserte, ikke anonyme, og opplysningene må behandles i henhold til reglene for personopplysninger. Det avgjørende er at det eksisterer en kodeliste, ikke om forskeren har tilgang til den.

I personvernforordningen er pseudonymiserte og avidentifiserte personopplysninger overlappende begreper .

Anonymisering
Anonymisering er å gjøre personopplysninger anonyme, det vil si at ingen enkeltpersoner kan gjenkjennes i datamaterialet du sitter igjen med. Du må vurdere datamaterialet ditt og ta stilling til hvilke opplysninger du må fjerne eller skrive om.

Vanligvis innebærer anonymisering å:

slette direkte identifiserende opplysninger, inkludert koblingsnøkkel/navneliste.
slette eller omarbeide indirekte identifiserende opplysninger (for eksempel ved å grovkategorisere variabler som alder, bosted, skole e.l.)
slette eller redigere/sladde lydopptak, bilder og videoopptak

Du har som regel lov til å oppbevare et anonymt datamateriale etter prosjektslutt, men du må forsikre deg om at du har omarbeidet datamaterialet tilstrekkelig til at ingen enkeltpersoner kan gjenkjennes. Datamaterialet må vurderes å presenteres i vide kategorier for å sikre anonymiseringen. Med vide kategorier menes for eksempel landsdel i stedet for spesifiserte kommuner eller byer, aldersintervaller (10-19 år, 20-29 år osv.) heller enn presis alder og lignende. 

Det finnes tilfeller der du likevel skal slette hele datamaterialet. Dette gjelder for eksempel dersom du selv har lovet utvalget å slette datamaterialet, eller når dataeiere, som for eksempel SSB, pålegger deg å slette hele datamaterialet ved prosjektslutt.

Tenk nøye etter når du skriver om anonymisering i samtykkeerklæringen som informantene dine skal signere. Du må forvisse deg om at informantene forstår at personopplysninger vil bli behandlet av få utvalgte forskere mens prosjektet pågår. Anonymisering vil skje ved prosjektslutt og som muliggjør publiseringer og langtidslagring av data. Her er det eksempler på hva informantene kan sjekke ut (vedlegg). 

Merk at det ikke kreves at du skal slette personopplysninger i publikasjonen/oppgaven. Dersom du har en vitenskapelig begrunnelse for det, og du har innhentet samtykke til det fra deltakerne, kan personopplysninger som regel publiseres.

Behov for mer informasjon? Les  Datatilsynets veileder (2015) Anonymisering av personopplysninger

Endring av pågående prosjekt

Hvis det skal gjøres vesentlige endringer i prosjektet, skal det sendes søknad til REK / melding til NSD. Endringene kan ikke settes i verk før REK/NSD har gitt tilbakemelding. 

Eksempler på endringer som skal meldes til NSD er:

  • endring av dato for prosjektslutt/anonymisering
  • endring av utvalg som har innvirkning på kriterier for samtykke
  • endring av typer data
  • tilføying av metoder
  • endring av daglig ansvarlig
  • endring av behandlingsansvarlig institusjon

Eksempler på endringer som det ikke er nødvendig å melde kan være:

  • endring av tittel
  • mindre endringer av antall informanter
  • ubetydelig endringer av utvalget eller utforming av spørsmål

Skjema for endringsmelding (NSD)

Roller og oppgaver 

Hvis du er prosjektleder for forskningsprosjekt 
  • Prosjektleder skal sende melding til Norsk senter for forskningsdata (NSD) og eventuelt i tillegg til Regional komite for medisinsk og helsefaglig forskningsetikk (REK). I tillegg  sørge for der det er relevant, at avtaler som er påkrevet for ivaretakelse av informasjonssikkerhet og personvern, blir inngått av den som har myndighet til å inngå slike avtaler.
  • Prosjektleder utarbeider informasjonsskriv og samtykkeskjema. 
  • Prosjektleder skal informere forskningsansvarlig på tilhørende fakultet (prodekan forskning) i forkant av melding til NSD/REK og framlegge meldingen(e) dersom forskningsansvarlig ber om det. 
  • Prosjektleder skal foreta en risikovurdering og rådføre seg med HINNs personvernombud; NSD Personvernombudet for forskning og/eller REK hvis det skal foretas en vurdering av personvernkonsekvenser etter personvernforordning artikkel 35 (DPIA) 
  • Prosjektleder skal utarbeide en datahåndteringsplan
  • Prosjektleder skal sørge for tilgangsstyring av aktive forskningsdata dersom det er behov for konfidensialitet ved behandling av personopplysninger i prosjektet.
Hvis du er student eller veileder for student i studentprosjekt 
  • Veileder fungerer som prosjektleder i studentprosjekter. Doktorgradstudier (ph.d.) defineres som ordinære forskningsprosjekt. 
  • Veileder skal vurdere om studentprosjektet behandler personopplysninger, hvorvidt de er sensitive og hvorvidt det faller inn i kategorien medisinsk og helsefaglig forskning.
  • Veileder skal vurdere om den planlagte behandlingen vil være i samsvar med de grunnleggende personvernprinsippene etter EUs personvernforordning, herunder at det foreligger rettslig grunnlag (lovbestemmelse) for behandlingen eller skal innhentes samtykke fra deltakerne i prosjektet.
  • Sensitive personopplysninger kan som hovedregel ikke samles inn i bachelorprosjekter, kun etter tillatelse fra prodekan forskning på aktuelle fakultet.  Det samme bør unngås så langt råd i mastergradsprosjekter og må være gjenstand for diskusjon mellom student og veileder.
  • Veileder skal vurdere om studentprosjektet kan gjennomføres uten at det må meldes, dvs. at det ikke behandles personopplysninger elektronisk i studentprosjektet - se mer informasjon i neste avsnitt.
  • Studenten skal i samråd med veileder utarbeide en datahåndteringsplan.
  • Veileder, eller student dersom veileder har godkjent dette, skal sende melding til Norsk senter for forskningsdata (NSD) senest 30 dager før behandlingen skal starte. Student i nært samråd med veileder fyller ut meldeskjema til NSD, samt utarbeider tilhørende vedlegg. Hvis prosjektet er helseforskning, skal prosjektleder sende søknad om forhåndsgodkjenning til Regional komite for medisinsk og helsefaglig forskningsetikk (REK). 
  • Studenten skal signere taushetserklæring.  Finnes det pr i dag?
  • Studenten skal ha gjennomført nødvendig opplæring i informasjonssikkerhet og personvern før behandling av personopplysninger i studentprosjekt.
  • slette direkte identifiserende opplysninger, inkludert koblingsnøkkel/navneliste.
  • slette eller omarbeide indirekte identifiserende opplysninger (for eksempel ved å grovkategorisere variabler som alder, bosted, skole e.l.)
  • slette eller redigere/sladde lydopptak, bilder og videoopptak

Internettforskning 

Skal du forske på informasjon som er gjort tilgjengelig på internett, skal prosjektet meldes dersom du skal behandle personidentifiserende opplysninger. Eksempler på slik behandling av personidentifiserende opplysninger kan være lagring av dokumenter fra åpne eller lukkede diskusjonsforum og “nicknames” på diskusjonsdeltakerne. Videre kan direkte sitater være søkbare, og slik vise tilbake til enkeltpersoner.

Som hovedregel skal man gi informasjon til deltakerne og innhente samtykke til behandling av personopplysninger i forbindelse med internettbaserte forskningsprosjekter, men det kan i visse tilfeller unntas fra informasjonsplikten. Mer om internettforskning på NSD sine nettsider og les Veileder for internettforskning fra Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora (NESH), utgitt i september 2018.

Innsamling av data i utlandet 

Dersom du er student/forsker ved en institusjon i Norge og skal samle inn personopplysninger i utlandet, skal søknad meldes til NSD/REK på lik linje som ved datainnsamling i Norge. 

Avslutning av forskningsprosjekt 

  • Prosjektleder skal ved prosjektslutt sørge for at personopplysningene anonymiseres eller slettes hvis det ikke er krav om oppbevaring utover prosjektperioden, f.eks. ved forhåndsgodkjenning fra REK, etter lov eller fra eksterne som har finansiert forskningen.
  • Krav om sletting/anonymisering gjelder all informasjon der forskningsdeltakerens identitet direkte eller indirekte framkommer.
  • Prosjektleder skal sørge for at kopier av ¬dataene blir håndtert på samme måte.
  • Prosjektleder skal sende sluttmelding til NSD/REK når prosjektet er avsluttet og eventuelt bekrefte at personopplysningene er anonymisert eller slettet.
  • En kopi av fullstendig anonymiserte data kan beholdes. Hvis dataene er avidentifisert, foregår anonymisering vanligvis ved å slette koblingsnøkkelen.
  • Når studenter eller prosjektmedarbeidere slutter, skal prosjektleder forsikre seg om at forskningsmaterialet som disse har innhentet eller har hatt tilgang til, er sikkert lagret eller slettet dersom det ikke len.ger er behov for oppbevaring.
  • Som hovedregel gjelder at forskningsdata som er produsert ved HINN,  skal langtidslagres i åpne arkiver etter prinsipper for Open Access/Open Data. Anonymiserte data kan gjenbrukes til undervisning og nye forskningsformål.  Norsk Senter for forskningsdata (NSD) er førstevalget for overlevering av data men fagspesifikke arkiver er også tillatt (re3data). Ta kontakt med biblioteket for bistand.
  • Forskningsdata og dokumenter skal ikke slettes dersom tilsynsmyndighetene har åpne saker tilknyttet forskningsprosjektet, eller dersom prosjektleder eller medarbeidere er under gransking i Redelighetsutvalget for mistanke om vitenskapelig uredelighet
Sist endret: .