Oplysningspligt

Du skal altid opfylde oplysningspligten, når du indsamler personoplysninger direkte hos de registrerede (fx gennem spørgeskemaer, personlige interviews, osv.).

Når du indsamler personoplysninger indirekte, fx i registerforskning eller fra sociale medier, kan du i nogle tilfælde undlade at opfylde oplysningspligten. Det kan du gøre, hvis det er umuligt at opfylde oplysningspligten, eller hvis du vurderer, at det vil kræve en uforholdsmæssig stor indsats. 

Når du skal vurdere, om det vil kræve en uforholdsmæssig stor indsats at informere de registrerede, skal du foretage en afvejning af: 

• den registreredes interesse i at blive gjort bekendt med oplysninger om behandlingen, og  
• vanskelighederne ved at opfylde oplysningspligten. 

Du kan i din skriftlige vurdering bl.a. lægge vægt på: 

• antallet af personer. 
• personoplysningernes alder. 
• de kompensatoriske foranstaltninger, fx at du på forskningsprojektets hjemmeside vil offentliggøre, hvordan du vil behandle personoplysningerne, og 
• hvor betydelige de forskellige interesser (den registreredes interesse hhv. forskning som en væsentlig samfundsinteresse) er, af hensyn til hvilke oplysninger, som behandles. 
• hvor indgribende det er for den enkelte, at du behandler vedkommendes personoplysninger. 

Hvis du når frem til, at det vil kræve en uforholdsmæssig stor indsats at opfylde oplysningspligten, skal du i stedet varetage de registreredes rettigheder på en anden måde. Det kan du gøre ved at offentliggøre oplysninger om, hvordan du vil behandle personoplysningerne, fx på forskningsprojektets hjemmeside eller en profil på sociale medier.  

Når du skal varetage din oplysningspligt, skal du være opmærksom på, at der er specifikke krav til hvilke oplysninger, du skal give den registrerede. Brug evt. AU’s skabeloner, som du finder ovenfor, til at tjekke, hvilke oplysninger du skal huske, eller læs med nedenfor:

1) Hvem er det, der behandler personoplysninger, og hvordan kommer man i kontakt med AU/dig

Du skal oplyse den registrerede, at det er AU (og evt. flere), der er ansvarlig for og behandler personoplysninger. Desuden bør du oplyse, hvem den ansvarlige forsker er, og hvordan man kommer i kontakt med AU, dig og databeskyttelsesrådgiveren.

2) Hvorfor behandler du personoplysningerne og det lovlige grundlag for din behandling

Du skal du tydeligt angive dit eller dine formål (hvorfor) med behandlingen af personoplysninger. Du skal derfor overveje, om du har behov for at behandle personoplysningerne til ét eller til flere formål, som fx kunne være:

• forskning
• undervisning
• formidling
• database til fremtidig forskning

Du kan have flere behandlingsgrundlag (lovhjemler), hvis du behandler personoplysningerne til flere formål. Fra eksemplet ovenfor kunne det fx være, at du behandler personoplysningerne til forskningsformålet baseret på forskningshjemlen, mens behandlingen af personoplysningerne til undervisningsformålet er baseret på de registreredes databeskyttelsesretlige samtykke, osv. Du skal oplyse den registrerede om behandlingsgrundlagene. Hvis du baserer en behandling på et databeskyttelsesretligt samtykke, skal du huske at oplyse, at samtykket kan tilbagekaldes (se evt. AU’s skabelon til samtykkeerklæring).

3) Hvilke personoplysninger du behandler

Du skal oplyse, hvilke typer af personoplysninger du behandler. Du skal også oplyse, hvor du har personoplysningerne fra, hvis du har indsamlet dem fra andre end den registrerede (se indirekte indsamling).

4) Vil du dele personoplysningerne med andre?

Hvis du vil dele personoplysningerne med andre, skal du som minimum kunne oplyse, kategorien af modtager (f.eks. andre forskningsinstitutioner). Hvis du allerede ved, hvem du kommer til at dele med, skal du oplyse det. Hvis du oplyser, at du ikke vil dele personoplysninger med andre, kan du ikke gøre dette på et senere tidspunkt. 

Skal du dele personoplysninger med en modtager uden for EU/EØS eller en international organisation, er der særlige forpligtelser, som du skal være opmærksom på. Her kan det være en god idé at se på AU’s skabelon til oplysningspligt og kontakte Technology Transfer Office i god tid.

5) Hvor længe det er nødvendigt for dig at behandle personoplysninger

Du skal oplyse, hvor længe du behandler personoplysningerne, det gælder også opbevaring, men du behøves ikke at kunne sige en præcis dato. Her kan det være en god idé at se på AU’s skabelon til oplysningspligt.

6) Hvilke rettigheder har den registrerede, og hvordan vedkommende kan klage

Når du behandler personoplysninger, har den registrerede nogle rettigheder. Det er vigtigt, at den registrerede kender til sine rettigheder, da vedkommende ellers ikke kan udøve dem. Derfor skal du oplyse om, hvilke rettigheder den registrerede har i forskning.

Desuden skal du oplyse, hvordan den registrerede kan klage, hvis vedkommende er utilfreds med den måde, som du/AU behandler oplysningerne på. I Danmark kan den registrerede klage til Datatilsynet.

Der kan være andre ting end kravene i databeskyttelsesreglerne, der er relevante at oplyse den registrerede om. Snart kan du f.eks. læse mere om, hvordan du forener forskningsetikkens krav og oplysningspligten.

Der er også krav til den måde, du giver oplysningerne på. Når du varetager din oplysningspligt, skal du gøre det:

• i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form
• i et klart og enkelt sprog (se teksteksempel nedenfor)
• navnlig når oplysninger specifikt er rettet mod et barn.

Du skal give oplysningerne skriftligt eller, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat, at den registreredes identitet kan godtgøres på anden vis (fx ved fremvisning af ID-kort).

Som forsker kommer du i kontakt med eller får informationer om de registrerede (forskningsdeltagere, informanter, subjekter osv.) på mange forskellige måder. Nogle eksempler kunne være: 

• Rekruttering via internettet 
• Rekruttering via en folder/brochure 
• Møde med de registrerede, dér hvor de er (f.eks. en skole, hjemmet, en virksomhed, i behandlingssammenhænge osv.) 
• Sociale medier 
• Udtræk fra registre 

Måden, du som forsker ønsker at kommunikere med de registrerede – og dermed også varetager din oplysningspligt på – kan være meget forskellig alt efter, om du får oplysningerne fra vedkommende selv eller fra andre, hvilken kontaktform du anvender, din forskningsmetode og –tradition osv. 

Her kan du se eksempler på, hvordan du kan varetage og integrere oplysningspligten i dit øvrige informationsmateriale. Du skal naturligvis vælge den måde, der giver bedst mening og er mest gennemsigtig for de registrerede i det konkrete tilfælde:

• Som et klikbart direkte link i forbindelse med et spørgeskema, hvor deltageren først kan påbegynde besvarelsen, når vedkommende har læst og klikket tjekboksen af.
• Som et bilag til din projektinformation til deltagerne
• Som en QR-kode, der linker direkte til en AU-hjemmeside, som du har oprettet med oplysningerne 
• Som en del af teksten i dit informationsmateriale.

Vær dog opmærksom på, at teksten skal være gennemsigtig og i en lettilgængelig form. Det betyder, at du ikke må ’pakke oplysningerne ind’, så den registrerede ikke kan gennemskue, at det drejer sig om information om din behandling af personoplysninger. Du må heller ikke gøre det svært for den registrerede at finde oplysninger, f.eks. ved at sende den registererede rundt på forskellige hjemmesider.