Brug af personoplysninger fra sociale medier til forskning indebærer, at der er tale om offentliggjort kommunikation, der direkte eller indirekte kan henføres til en fysisk person.
Du skal overholde reglerne i databeskyttelsesforordningen, hvis du i dit forskningsprojekt bruger kommunikation, der er offentliggjort på sociale medier, som indeholder personoplysninger. På grund af de sociale mediers karakter kan der være særlige regler i databeskyttelsesforordningen, som du skal tage hensyn til, f.eks. de regler, der vedrører indhentelse af samtykke og oplysningspligt. Desuden skal du overholde de forskellige sociale medier og platformes brugerbetingelser (Terms of Service / Terms of Use) for brug af data, i forbindelse med forskning. Inden du begynder at indsamle personoplysninger på en social medieplatform, skal du derfor sikre dig, at din indsamling og brug af personoplysninger er i overensstemmelse med platformens brugerbetingelser. Bemærk at mange af platformene eksplicit opstiller vilkår for brug af data i forskningsøjemed.
Databeskyttelsesforordningen definerer personoplysninger som ”enhver form for information om en identificeret eller identificerbar person. Ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en online-identifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, generiske, psykiske, økonomiske, kulturelle eller sociale identitet.”
Definitionen af personoplysninger omfatter oplysninger om:
Hvis en persons navn indgår i en profil på et socialt medie, eller hvis profilnavnet kan kobles til en identificeret eller identificerbar person, f.eks. ved hjælp af det foto, som personen anvender på sin profil, eventuelt kombineret med en søgning på fotoet på en søgemaskine, vil profilen skulle betragtes som personoplysninger.
En ytring er i udgangspunktet ikke en personoplysning, men der kan efter omstændighederne være tale om personoplysninger, hvis brugeren tweeter om f.eks. sine erfaringer med jobcenteret eller sit handicap, eller hvis du i din forskning foretager en sproganalyse eller en beskrivelse af en persons ytringer fra et social medie.
Hvis du bruger data, der indeholder personoplysninger, fra sociale medier, skal du overholde de generelle principper i databeskyttelsesforordningen. Det vil bl.a. sige, at:
Udover, at du skal overholde de databeskyttelsesretlige principper, skal du have et lovligt behandlingsgrundlag. Du kan gennemføre forskning med personoplysninger både med den registrerede persons databeskyttelsesretlige samtykke og uden forudgående databeskyttelsesretligt samtykke.
Hvem skal du have et databeskyttelsesretligt samtykke fra?
Hvis du vælger at indhente et databeskyttelsesretligt samtykke fra personer på sociale medier, skal du indhente samtykke fra alle de personer, hvis personoplysninger vil indgå i projektet. Samtykket skal opfylde de krav, der er til et gyldigt databeskyttelsesretligt samtykke.
Hvad gælder for databeskyttelsesretligt samtykke i lukkede grupper?
Det vil ikke være tilstrækkeligt kun at indhente et databeskyttelsesretligt samtykke fra administrator af f.eks. en lukket Facebook-gruppe, da databeskyttelsesforordningen ikke giver mulighed for at anvende stedfortrædende samtykke.
Der findes muligvis grupper, hvor medlemmerne har givet administrator fuldmagt til at disponere, herunder give samtykke, på deres vegne. Men sådanne fuldmagtskonstruktioner vil være sjældne. Du bør derfor altid bede administrator om dokumentation for, at vedkommende har fuldmagt til at give et databeskyttelsesretligt samtykke på vegne af medlemmerne af gruppen.
Facebook har fastsat en række vilkår for medlemmerne af Facebook, som brugeren accepterer i forbindelse med oprettelse af en profil. Vilkårene indeholder Facebooks regler om privatlivsbeskyttelse, hvoraf det bl.a. fremgår, at Facebook anvender medlemmernes data til ”forskning og innovation til gavn for samfundet”. Selv om Facebook har fastsat sådanne vilkår, vil medlemmernes accept heraf ikke være tilstrækkeligt til at opfylde kravene til et samtykke til, at du kan anvende personoplysninger fra Facebook til konkrete projekter. Det skyldes især Datatilsynets betingelse om, at et samtykke til behandling af personoplysninger skal være specifikt, dvs. afgivet til et bestemt formål. Læs mere om databeskyttelsesretligt samtykke. Aarhus Universitet fortolker kravet om afgivelse af et specifikt samtykke således, at samtykket skal vedrøre behandlingen af personoplysninger i det konkrete forskningsprojekt, dvs. til det konkrete forskningsformål eller inden for et anerkendt videnskabeligt område. Efter omstændighederne kan der være øvrige behandlingsformål, som du som forsker ønsker at indhente samtykke til. F.eks. til undervisningsbrug.
Endvidere vil et medlems accept af Facebooks vilkår ikke give forskeren adgang til at behandle oplysninger om bipersoner, dvs. personer, som bliver omtalt i et medlems opslag, billeder eller video, hvor det er muligt at se andre personer end den person, som har lagt billedet op på Facebook. Endelig må det antages, at Facebooks vilkår om anvendelse af data til forskning og innovation alene omfatter forskningsaktiviteter, som Facebook iværksætter og finansierer.
Hvordan kan jeg indhente og behandle personoplysninger fra sociale medier uden databeskyttelsesretligt samtykke?
Det er muligt at indhente og behandle personoplysninger fra sociale medier uden de pågældende personers databeskyttelsesretlige samtykke. Der er forskellige regler i databeskyttelsesforordningen, som gør det muligt at behandle personoplysninger fra sociale medier i forskningen uden indhentelse af forudgående databeskyttelsesretligt samtykke:
Det er vigtigt at være opmærksom på, at de forskellige sociale medier kan have opstillet betingelser for brug af data. Det kan f.eks. være krav om forudgående orientering af medlemmerne af det sociale medie eller krav om indhentelse af forudgående samtykke, inden data indsamles. De opstillede betingelser for brug af data betyder, at det ikke vil være lovligt at indhente og behandle personoplysninger fra det pågældende sociale medie uden at overholde betingelserne.
Hvordan kan jeg forske i offentliggjorte oplysninger?
Det er muligt at indhente og behandle følsomme personoplysninger uden personens databeskyttelsesretligt samtykke, hvis ”behandlingen vedrører personoplysninger, som tydeligvis er offentliggjort af den registrerede” (databeskyttelsesforordningens artikel 9, stk. 2, litra e).
Vær opmærksom på, at reglen kun gælder, hvis personen selv har lagt oplysningerne ud på det sociale medie. Uanset, om personoplysninger er offentliggjort af den registrerede selv, skal forskningsprojektet være registreret på fortegnelsen, og behandlingsgrundlaget være fastsat til databeskyttelsesforordningens artikel 6, stk. 1, litra e (opgave i samfundets interesse) og databeskyttelsesforordningens artikel 9, stk. 2, litra e (personoplysninger, som tydeligvis er offentliggjort af den registrerede), og det skal være nødvendigt at behandle de indsamlede personoplysninger for at realisere forskningsprojektets formål.
”Offentliggjorte” personoplysninger betyder, at de pågældende data er offentligt tilgængelige eller findes i et lukket forum med en kreds af medlemmer/"venner", som ikke er reelle venner. Størrelsen af det lukkede forum kan også have betydning for, om oplysningen anses for offentliggjort. Der er ikke officielt taget stilling til, hvornår lukkede fora på sociale medier anses for at være reelt åbne. I mangel af en officiel stillingtagen, vil en ”tommelfingerregel” være, at lukkede fora med flere end 200 medlemmer reelt må anses for åbne. Det vil sige, at personoplysninger lagt ud af personen selv i et lukket forum med mere end 200 medlemmer som udgangspunkt kan anses for at være offentliggjort af personen selv.
Husk dog at overveje, om det er i strid med princippet om beskyttelse af privatlivet i Den Europæiske Menneskerettighedskonvention. Privatliv skal forstås som fysisk og psykisk integritet, personens hjem, familie og relationer samt korrespondance. Oplysninger om personen og vedkommendes forhold er også omfattet af beskyttelsen. Hvis behandlingen af personoplysninger giver unødig stor indsigt i privatlivet hos medlemmerne i åbne fora, vil behandlingen af data kunne udgøre et indgreb i beskyttelsen af privatlivets fred. En sådan anvendelse af personoplysninger kan være i strid med Den Europæiske Menneskerettighedskonventions artikel 8, hvis den afdækker forhold af privat eller fortrolig karakter, f.eks. lokation, bevægemønstre, interaktion med andre personer, tilknytning til grupper eller miljøer, vaner og præferencer, sundhed og livsstil, som ikke kan anses at stå i et rimeligt forhold til forskningsformålet (proportionalitetsprincippet).
Om et forum på et socialt medie er lukket eller åbent må i sidste ende vurderes konkret fra sag til sag. Umiddelbart må fora, der kræver optagelse eller godkendelse af deltagere, anses som lukkede. Men det vil f.eks. afhænge af formålet med forummet, de personer, der deltager, hvilke oplysninger, holdninger mv., der bliver delt, og om deltagerne har en rimelig forventning om fortrolighed i forummet.
Administrationen af et forum kan også spille ind:
Et forum for personer med en bestemt diagnose eller særlig interesse kan måske have en forventning om et fortroligt rum, selvom der er 200 eller flere deltagere.
Platformens Terms of Use kan også have en betydning:
Det vil ikke være muligt at behandle oplysninger om og billeder og video af såkaldte ”bipersoner” efter reglen om personoplysninger offentliggjort af personen selv. ”Bipersoner” omfatter personer, som nævnes på sociale medier uden at de selv har lagt oplysningerne ud på det sociale medie.
Som det fremgår kan anvendelsen af behandlingsgrundlaget om personoplysninger, som tydeligvis er offentliggjort af den registrerede, give anledning til både tvivl og usikkerhed. Derfor vil det som altovervejende hovedregel altid være mere formålstjenligt at anvende forskningshjemlen som behandlingshjemmel, når du indsamler oplysninger på sociale medier.
Hvad gælder for lukkede grupper på Facebook, når jeg ikke har indhentet et databeskyttelsesretligt samtykke?
Hvis der er tale om lukkede grupper f.eks. på Facebook, vil din adgang til personoplysninger forudsætte, at du får adgang til de oplysninger, som findes i den lukkede gruppe.
Det vil være i strid med principperne for god databehandlingsskik og særligt kravet om behandling af personoplysninger på en gennemsigtig måde, hvis du ansøger om medlemskab af gruppen uden klart at tilkendegive dine hensigter (”på skrømt”) og anvender medlemskabet til at indsamle personoplysninger i den lukkede gruppe.
Det er desuden i strid med princippet i Den Europæiske Menneskerettighedskonvention om beskyttelse af privatlivets fred at skaffe sig adgang til data i lukkede grupper uden samtykke fra medlemmerne, og det kan muligvis være strafbart efter straffelovens regler om beskyttelse af privatlivets fred.
I visse lukkede grupper vil der være vedtægter eller lignende regler, som regulerer, hvem der kan blive medlem af gruppen og hvilke beføjelser, som administratoren har. Hvis administrator kan give dig adgang til data, vil dette bero på regler i gruppens vedtægter eller regler.
Det er et væsentligt princip, at behandlingen af personoplysninger skal være ”gennemsigtig”. De registrerede skal, som overordnet princip, kunne forudse og vide, hvad deres personoplysninger bliver brugt til.
I praksis betyder princippet, at den dataansvarlige har oplysningspligt over for de registrerede. Find mere information om oplysningspligt.
Der gælder forskellige regler afhængigt af, om du indhenter data direkte fra personen selv, eller om du indhenter data om personen fra andre end personen selv. Når du indhenter data via et socialt medie, antages det, at du indhenter data fra andre end personen selv, dvs. en indirekte indsamling.
Læs mere om oplysningspligten.
Som udgangspunkt skal man forholde sig til princippet i databeskyttelsesforordningen art. 5, stk. 1, litra d, som siger, at de indsamlede personoplysninger skal være korrekte og om nødvendigt ajourførte; Der skal tages ethvert rimeligt skridt for at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, straks slettes eller berigtiges (»rigtighed«). Det vil ofte falde sammen med forskningsprojektets interesse i at have korrekte data. Dog har de registrerede ikke krav på at få berigtiget forkerte oplysninger, når dit behandlingsgrundlag er forskningshjelmen. Det følger af § 22, stk. 5, i den danske databeskyttelseslov.
Det er forskningsinstitutionen (AU), som er dataansvarlig efter databeskyttelsesforordningen. I praksis er det forskningsprojektets leder, som er ansvarlig for, at behandlingen af personoplysninger i projektet lever op databeskyttelsesreglerne.
Det er forskningsinstitutionen (AU). Forskningsprojektets leder er ansvarlig for, at institutionen lever op til kravene i ToS/ToU.
Ja, det må du gerne, men du skal sørge for, at:
Se også spørgsmål 32 og 33.
Se også spørgsmål 32 og 33.
Umiddelbart må fora, der kræver optagelse eller godkendelse af deltagere, anses som lukkede. Men det må bero på en konkret vurdering, hvor man kan tage hensyn til:
Administrationen af forummet kan også inddrages i den konkrete vurdering:
Platformens Terms of Use kan også have en betydning:
Se svaret til spørgsmål 6.
Ja, medmindre ToS for det pågældende sociale medie forbyder det.
Uddybning af spørgsmålet:
Jeg vil følge offentlige personer på sociale medier og bruge deres opslag i min forskning. Gælder der samme regler, om man anvender citater (ikke anonymiseret) fra sociale medier fra offentlige personer (f.eks. Donald Trump eller en der skriver som en del af sit embede – f.eks. Rektor, der skriver om universitetsudvikling) og private personer (f.eks. studerende, der udtaler sig om private holdninger til f.eks. universitetspolitik/aktivisme)?
Svar:
Offentlige personers ytringer skal behandles som alle andre personoplysninger på sociale medier.
Nej, sociale mediers betingelser fratager ikke for, at du selv er ansvarlig efter databeskyttelsesreglerne og øvrige forpligtelser og regler.
Ja, der er ingen formkrav til samtykket, men der er en række betingelser, der skal være opfyldt, for at et samtykke er gyldigt.
Uddybning af spørgsmålet:
Vil det være i strid med databeskyttelsesreglerne og anden lovgivning, hvis jeg handler i strid med et socialt medies Terms of Service (TOS), hvis disse f.eks. har mere strikse restriktioner for samtykke end databeskyttelsesreglerne? Udover at platformen kan påføre sanktioner (f.eks. udelukkelse fra platformen), er det noget databeskyttelsesreglerne forholder sig til?
Svar:
Det forholder databeskyttelsesreglerne eller anden lovgivning sig ikke til. Hvis ToS er mere beskyttelsespræceptivt (til gavn for brugeren) end databeskyttelsesreglerne og anden lovgivning, reguleres forholdet mellem brugere og det sociale medie alene af ToS.
Som bruger af sociale medier er man forpligtet til at følge deres ToS. Som ansvarlig for et forskningsprojekt er det derfor dit ansvar kontinuerligt at følge op på eventuelle ændringer i ToS.
Hvis reglerne er modstridende, må du afstå fra at bruge det pågældende sociale medie.
Det har inden betydning, da det sociale medie er kilden, som du indhenter oplysningerne fra. Derfor skal du opfylde alle krav efter databeskyttelsesreglerne. Databeskyttelsesreglerne gælder, når personoplysninger behandles i Danmark eller et andet land inden for EU/EØS, uanset om de berørte personer bor eller opholder sig uden for EU/EØS.
Ja, da du som forsker i Danmark er omfattet af databeskyttelsesreglerne, uanset hvor forskningssubjekterne (de registrerede) befinder sig.
Som forsker i Danmark skal du efterleve databeskyttelsesreglerne og øvrige nationale regler.
Der findes ingen standard for, hvornår oplysninger i et online opslag ikke længere er personhenførbart. Du skal derfor selv sikre, at der foretages en anonymisering.
Hvis du baserer din behandling på forskningshjemlen, kan du søge om Datatilsynets tilladelse til publicering af pseudonymiserede personoplysninger.
Små videofilm kan meget vanskeligt anonymiseres. Du kan her publicere ved at indhente et databeskyttelsesretligt samtykke til publiceringen. Vær opmærksom på, at det vil kræve, at hele din behandling af personoplysninger baseres på samtykke.
Du skal følge de samme regler som for behandling af andet data. Find information om opbevaring og klassifikation af data.
Du skal følge de samme regler som for behandling af andet data. Find information om opbevaring og klassifikation af data.
Du skal følge de samme regler som for behandling af andet data. Find information om deling af personoplysninger.
Inden for nogle bestemte rammer må du gerne dele personoplysninger med en studerende til brug i en opgave/et speciale.
Du må kun dele personoplysninger fra et forskningsprojekt med studerende i 3 situationer:
Social medie-platformen er en kilde til data og ikke en databehandler. Det er derfor ikke nødvendigt med en databehandleraftale.
Hvis den sociale medie-platform ikke skal bruges som kilde men derimod som værktøj, så behandler platformen personoplysningerne for at opfylde dit formål med de hjælpemidler, som du har bestemt og efter din instruks. Du er derfor forpligtet til at indgå en databehandleraftale, der dækker den anvendelse.
Hvis social medie-platforme ikke skal bruges som kilde men derimod som værktøj, så behandler platformen personoplysningerne for at opfylde dit formål med de hjælpemidler, som du har bestemt og efter din instruks. Du er derfor forpligtet til at indgå en databehandleraftale, der dækker den anvendelse.
Se svar på spørgsmål 6.
Du skal opbevare og behandle data fra sociale medier, som alle andre data med personoplysninger. Find information om opbevaring af personoplysninger.
Hvis data indsamlet fra sociale medier bliver behandlet på baggrund af et samtykke, der dækker undervisningsformål, så kan du dele data med de studerende. Kravet om samtykke gælder alle personoplysninger.
De studerende skal ikke indgå en databehandleraftale med universitetet. Universitetet skal alene stille et sikkert miljø til rådighed. Kravene til behandling af personoplysninger, der et indsamlet af en studerende på sociale medier, er de samme som for andre personoplysninger.
Som udgangspunkt skal du oplyse alle forskningssubjekter (registrerede), herunder også bipersoner, om, at du indsamler personoplysninger om dem. Når du indsamler personoplysninger indirekte, f.eks. fra sociale medier, kan du i nogle tilfælde undlade at opfylde din oplysningspligt.
Som udgangspunkt skal du oplyse alle forskningssubjekter (registrerede), herunder også bipersoner, om, at du indsamler personoplysninger om dem. Når du indsamler personoplysninger indirekte, f.eks. fra sociale medier, kan du i nogle tilfælde undlade at iagttage din oplysningspligt.
Det vil oftest ikke være nødvendigt at varetage oplysningspligten direkte over for bipersoner. Hvis du ikke varetager oplysningspligten direkte skal du i stedet gøre oplysningerne offentligt tilgængelige, f.eks. ved at offentliggøre oplysningerne på projektets hjemmeside.
Eksempel: I et opslag på en Facebook-gruppe for ejere af gravhunde nævner et medlem af gruppen, at hendes onkel Hans havde en ruhåret gravhund. Her er det ikke nødvendigt at søge efter onklen for at sende oplysninger om behandling af personoplysninger i dit forskningsprojekt, men du skal gøre oplysningerne offentligt tilgængelige, f.eks. på projektets hjemmeside.