GDPR: Tjek på dine tilladelser fra Datatilsynet om forskningsdata?
I nogle tilfælde skal du have særskilt tilladelse fra Datatilsynet til at videregive følsomme personoplysninger eller oplysninger om strafbare forhold i forbindelse med din forskning. Se her, hvornår du skal hente tilladelse.
Samarbejder du med andre om dine forskningsdata, er der grund til at være ekstra opmærksom, hvis du skal videregive følsomme personoplysninger eller oplysninger om strafbare forhold.
I nogle tilfælde skal du nemlig indhente særskilt tilladelse fra Datatilsynet, inden du videregiver oplysningerne.
Datatilsynet skal give tilladelse i tre konkrete tilfælde:
- Hvis du videregiver oplysningerne til en selvstændig dataansvarlig uden for EU/EØS
- Hvis du publicerer oplysningerne i et anerkendt videnskabeligt tidsskrift
- Hvis der er tale om biologisk materiale (fx væv og blod).
Download tjeklisten fra Databeskyttelsesenheden
DPO Søren Broberg Nielsen fra AU’s databeskyttelsesenhed opfordrer forskere til at være ekstra opmærksom på, om Datatilsynets tilladelse er nødvendig.
”Vi oplever, at mange bliver overrasket over, at de eksempelvis skal søge om tilladelse hos Datatilsynet, inden de publicerer en artikel i et videnskabeligt tidsskrift, selvom de har pseudonymiseret følsomme personoplysninger. Men faktisk er det Datatilsynet, der skal afgøre, om den registrerede er tilstrækkelig beskyttet, inden personoplysningerne publiceres”, siger Søren Broberg Nielsen.
Han understreger samtidig, at Datatilsynets godkendelse kun skal indhentes i de tilfælde, hvor forskere behandler de følsomme personoplysninger og/eller oplysninger om strafbare forhold på forskningshjemlen – det vil sige der, hvor forskerne ikke har skullet spørge om lov først til at benytte data.
Databeskyttelsesenheden hjælper med at søge
På AU er det universitetets databeskyttelsesenhed, der hjælper forskerne med at søge om tilladelse hos Datatilsynet. En af dem, der har fået hjælp, er Cecilia Ramlau-Hansen. Hun er professor ved Institut for Folkesundhed og forsker bl.a. i hormonforstyrrende stoffers påvirkning af fostre. I forbindelse med et forskningsprojekt skulle hun have godkendelse fra Datatilsynet, da hun samarbejdede med en forskerkollega uden for EU/EØS på Yale University.
”Som forsker kan det godt være lidt svært at holde styr på alle regler om, hvornår man skal indhente forskellige tilladelser. Så mit råd er, at man hurtigst muligt kontakter AU’s Technology Transfer Office og Databeskyttelsesenheden, hvis man har et forskningsprojektsprojekt, hvor der indgår personoplysning. Jeg oplever god rådgivning, og de tager sig af de nødvendige juridiske dokumenter, når en samarbejdsaftale skal på plads,” siger Cecilia Ramlau-Hansen.
Sådan søger du om tilladelse
Du udfylder en blanket med de informationer, som Datatilsynet skal bruge for at behandle din anmodning. Blanketten skal sendes til Databeskyttelsesenheden på fortegnelse@au.dk, der hjælper dig med sikre, at alle oplysninger er med.
Læs mere om deling af personoplysninger på AU’s GDPR-side
Når Datatilsynet har givet sin tilladelse, sørger Databeskyttelsesenheden for, at det bliver registeret på AU’s fortegnelse over behandling af personoplysninger i forskning. Det er dog værd at være opmærksom på, hvad der præcis står i tilladelsen.
”Med tilladelsen stiller Datatilsynet samtidig nogle betingelser for videregivelsen, og betingelserne kan variere alt efter det konkrete projekt. Det er desuden den enkelte forskers ansvar at overholde betingelserne,” siger Søren Broberg Nielsen.
Fakta: Taler du GDPR'sk?
- Personoplysninger: Enhver information, der kan henføres til en fysisk person.
- Databeskyttelsesenheden: Databeskyttelsesrådgiverens enhed på AU.
- Dataansvarlig: Den, der bestemmer hvorfor og hvordan, personoplysninger skal behandles. I forskning vil AU som oftest være dataansvarlig.
- Videregivelse: Når personoplysninger afgives fra en dataansvarlig til en anden dataansvarlig til dennes formål.
- Forskningshjemmel: Lovhjemmel til at behandle personoplysninger til forskningsformål – dvs. uden behov for særskilt samtykke.
- Datatilsynet: Den myndighed i Danmark, der fører tilsyn med overholdelsen af databeskyttelsesreglerne
- Følsomme personoplysninger: Oplysninger om race, etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt genetiske eller biometriske data, hvis de behandles for at identificere en fysisk person, helbreds-oplysninger eller oplysninger seksuelle forhold eller seksuelle orientering.