Deling af personoplysninger

Viderebehandling, også kaldet ’genbrug eller videreanvendelse af personoplysninger’, finder ofte sted. For at der er tale om viderebehandling af personoplysninger, kræver det at:

1. Der er tale om personoplysninger, som AU allerede  har indsamlet
2. Personoplysningerne alene bliver viderebehandlet internt på AU. Hvis du skal dele med eksterne aktører, som ikke er AU-ansatte, udgør det en anden form for deling, som du kan læse mere om i de øvrige afsnit.
3. Der er tale om anvendelse til et andet formål end det oprindelige, og at formålet er foreneligt med det oprindelige (hvilket som udgangspunkt er opfyldt ved forskning)
4. Der ikke er vilkår knyttet til personoplysningerne, som begrænser viderebehandlingen 

Du må altså som udgangspunkt gerne viderebehandle allerede indsamlede personoplysninger til øvrige forskningsformål, så længe det sker internt på AU. Du skal være opmærksom på, om der er særlige vilkår eller betingelser for brugen af netop de personoplysninger, som du ønsker at anvende, der kan begrænse den videre behandling. Det kan f.eks. være, at der kun foreligger en etisk godkendelse (fra en etisk komité) til det tidligere formål, eller det kan være, at personoplysningerne er indsamlet på baggrund af et samtykke, hvor de registrerede (forskningsdeltagerne) udelukkende har givet samtykke til det tidligere projekt, som oplysningerne blev indsamlet til, osv.

Overladelse af personoplysninger sker, når du deler personoplysninger med en databehandler, altså en ekstern part, der udfører behandlingen af personoplysninger efter din instruktion og til dit formål.

Inden du overlader personoplysninger til en databehandler, skal du som minimum sikre dig:

1. at du har foretaget en risikovurdering af databehandleren og den påtænkte behandling, som databehandleren skal udføre.
   Du kan finde en skabelon til risikovurdering her, som du kan bruge, når du skal risikovurdere din databehandler og den påtænkte behandling.
    
2. at du har indgået en databehandleraftale som i overensstemmelse med databeskyttelsesforordningens artikel 28, stk. 3. Technology Transfer Office (TTO) kan hjælpe dig med at udarbejde en databehandleraftale med databehandleren. Som udgangspunkt skal der udarbejdes databehandleraftaler med hver enkelt databehandler. AU har imidlertid forhandlet aftaler på plads med en række leverandører, der leverer ydelser på tværs af AU. Såfremt du anvender en af sådanne ydelser inden for AU’s aftaler med leverandøren, er der allerede en databehandleraftale, der dækker ydelsen. Du kan kontakte systemejeren, hvis du har spørgsmål til databehandleraftalen.
    
3. at du løbende fører kontrol (tilsyn) med databehandleren i overensstemmelse med databehandleraftalen og din risikovurdering. Hvordan og hvor ofte, du skal føre tilsyn, afhænger af din risikovurdering og det tilsynsniveau, der er fastlagt i databehandleraftalen. Datatilsynet har i 2021 udgivet en vejledning om tilsyn med databehandlere, som er et nyttigt værktøj til fastlæggelsen af tilsynsform og –måde. 
    
4. at du ved, om databehandleren skal behandle personoplysninger inden for eller uden for EU/EØS.
    
5. at databehandleren fremgår af fortegnelsen. Du kan registrere databehandleren ved at bruge denne formular. Husk at indsende en kopi af databehandleraftalen eller aftalenummeret.