Stipendiater - personvern i forskningsprosjekt
Stipendiater har per definisjon ikke forskerkompetanse. Veileder har dermed det formelle ansvaret for stipendiatens forskningsprosjekt.
Stipendiat har et eget ansvar for å sette seg inn i og følge regler og rutiner for personvern og informasjonssikkerhet i sitt forskningsprosjekt.
Stipendiat kan selv melde inn sitt prosjekt til Sikt (tidligere NSD) for vurdering av personvern og informasjonssikkerhet i prosjektet. Melding til Sikt og eventuelle vedlegg, inklusiv eventuelle søknader til REK og NIHs Etiske komité skal kvalitetssjekkes av veileder.
Veileder og stipendiat må sammen avklare hvem som sørger for arkivering av avtaler og andre arkivverdige prosjektdokument.
Ansvaret som veileder
Ansvaret/oppgavene spesifisert her er begrenset til området personvern og informasjonssikkerhet og omfatter ikke alle oppgaver en veileder har overfor stipendiat eller masterstudent.
Ansvar veileder for masterstudent
Veileders ansvar:
Veileder skal påse at masterstudenten har tilstrekkelig kunnskap om rutiner og regler. Veileder har ansvar for at vilkår for godkjenninger følges og skal påse at data samles inn og lagres i henhold til regelverk.
Spesifisering oppgaver - veileder skal:
- Kvalitetssjekke meldinger/søknader til Sikt, REK og Etisk komité før de sendes inn
- Sjekke om masteroppgave må klausuleres for kortere eller lengre periode
- Oppbevare koblingsnøkkel og slette denne i henhold til vilkår fra Sikt. Som hovedregel kan ikke koblingsnøkkel slettes før sensur foreligger
- Sende sluttmelding til Sikt når koblingsnøkkel er slettet
Veilder skal også påse at prosjektet registreres i Prosjektweb dersom prosjektet omfatter personopplysninger eller arkivhensyn tilsier det. Masterstudenten kan eventuelt legges til som prosjektmedlem i Prosjektweb (må bruke studentens @student.nih.no-epost).
Ansvar veileder for stipendiat
Veileders ansvar:
Veileder skal påse at stipendiaten har tilstrekkelig kunnskap om rutiner og regler. Veileder har ansvar for at vilkår for godkjenninger følges og skal påse at data samles inn og lagres i henhold til regelverk.
Spesifisering oppgaver - veileder skal:
- Kvalitetssjekke meldinger/søknader til Sikt, REK og Etisk komité før de sendes inn.
- Ha kontakt med personvernombud dersom dette er relevant - eksempelvis ved behov for å utarbeide en Data Processing Impact Assessment (DPIA).
Veileder må avklare med stipendiat hvem som står for arkivering av prosjektdokumenter.
Godkjenninger og vurderinger før oppstart
NIH forventer at forskere avklarer med instituttleder før arbeidet starter og før det søkes andre godkjenninger. For stipendiat- og masterprosjekt skal veileder sørge for slik avklaring.
Hva slags informasjon som planlegges innhentet har også betydning for hvilke godkjenninger som må hentes inn før prosjektstart. Alle prosjekter med personopplysninger skal meldes Sikt. For prosjekter som faller innenfor helseforskningsloven/skal søke REK om godkjenning eller som trenger forhåndsgodkjenning fra NIHs etiske komite, se lenker nedenfor.
Melding til Sikt
Sikt - personverntjenester gir sin vurdering av hvorvidt personvernet er ivaretatt i prosjektet. Ansvaret ligger fortsatt hos forsker/NIH. Meldeskjema ligger på Sikt.no/personverntjenester for forskning.
Se utfyllende informasjon fra Sikt om meldeskjema.
Viktige dokument som må legges ved for vurdering:
- Spørreskjema
- Intervjuguide
- Samtykkeerklæring
- Prosjektbeskrivelse
Dersom meldeskjema sendes inn før andre vedtak foreligger (eksempelvis godkjenning fra REK eller fra etisk komité), skal kopi av disse vedtakene ettersendes.
I informasjonsskriv skal personvernombud ved NIH oppgis: NIH benytter SIKT som eksternt personvernombud. Kontaktadresse er personvernombud@nih.no. Ikke legg inn navnet på personvernombudet, da kontaktperson kan bli endret.
Om søknad til REK eventuelt Etisk komite
Regional komite for medisinsk og helsefaglig forskningsetikk - se REK-portalen
Godkjenning Etisk komite - Se side om Etisk komite
Behandlingsgrunnlag
Prosjektleder har ansvar for at det foreligger et lovlig grunnlag for behandling av personopplysninger. I forskningsprosjekt kan både samtykke og allmennhetens interesse være aktuelle grunnlag og for mange prosjekt er allmennhetens interesse mer egnet. Uansett har deltakerne rett på informasjon.
Les mer om behandlingsgrunnlag på side om rutiner.
Innsamling av data
Først når alle godkjenninger foreligger - inklusiv bekreftelser fra deltakerne - kan selve innsamlingen starte. Prosjektleder har ansvar for data som samles inn og behandles. Personopplysninger skal ikke lagres lenger enn det som er nødvendig for formålet de ble innhentet for.
Les mer om innsamling på side om rutiner.
Lagring - klassifisering av data
Prosjektleder har ansvar for at datamateriale er forsvarlig sikret underveis og må vurdere hvordan de lagres. Sikringsnivået vil avhenge av hva slags persondata som behandles - med strengest krav for data i kategori sort og rød.
Informasjon om hvordan data skal lagres må være omtalt i meldeskjema til Sikt og eventuelt i søknad til REK.
Les om klassifisering av data på egen side.
Sett deg inn i NIHs lagringsguide på egen side.
Tilgang, overføring eller deling
Prosjektleder må også vurdere hvem som skal ha tilgang til aktive forskningsdata.
Virksomheten/forskerne/studentene eller medarbeiderne som skal ha tilgang til persondata må være omtalt i meldeskjema til Sikt og eventuelt i søknad til REK. Forskningsdeltakerne må også være informert om og ha samtykket til slik deling av personinformasjon.
Vår 2026 er en veileder for deling av forskningsdata med personopplysninger ferdigstilt Her får forskere og forskningsstøtte en praktisk, nasjonal rettesnor for hvordan forskningsdata – særlig data som inneholder personopplysninger eller andre sensitive opplysninger – kan deles på en lovlig, etisk og hensiktsmessig måte. Veilederen forklarer hvorfor tidlig planlegging er avgjørende, og hvordan bruk av datahåndteringsplaner og Normens forskningsveileder kan bidra til at datadeling skjer i tråd med regelverk, avtaler og forskningsetiske prinsipper.
Les mer om NIHs rutiner for deling av forskningsdata
Oppfølging deltakeres personvern
Enhver som har samtykket til deltakelse i et forskningsprosjekt kan som hovedregel kreve innsyn, retting av uriktig registrerte opplysninger, trekke seg fra videre deltakelse uten begrunnelse/tilbakekalle avgitt samtykke. Krav om innsyn skal besvares innen 30 dager.
Eksempler oppfølging
- Besvare henvendelser fra forskningsdeltakere
- Sørge for forsvarlig sletting eller anonymisering av forskningsdata dersom informanter trekker sitt samtykke
- Be respondenter om nytt samtykke dersom innsamlede opplysninger skal behandles til andre formål eller på andre måter, for eksempel lagres lengre enn hva de opprinnelig har samtykket til.
- Kontrollere at personopplysninger som behandles i prosjektet ikke anvendes til andre formål enn det deltakerne har samtykket til.
- Kontrollere at avtaler med samarbeidspartnere overholdes
Endringsmeldinger
Ved vesentlige endringer i prosjektet må forsker/prosjektleder sende endringsmelding til de samme institusjonene som opprinnelig har gitt godkjenning. Det kan også være nødvendig å innhente nytt samtykke fra deltakerne.
Eksempler på prosjektendring
- Endring i design og analyse
- Ny kunnskap om risiko, ulempe eller nytte for forskningsdeltakerne
- Endring av prosjektleder, forskningsansvarlig, forskningsbiobank eller prosjektmedarbeider.
- Utsettelse eller forlengelse av prosjektperiode
- Økning i antall forskningsdeltakere
- Endring i rekrutteringsprosedyre
- Endring i inklusjons og eksklusjonskriterier
- Innholdsmessig endring av informasjonsskriv og forespørsel om deltakelse
- Endring i gitte vilkår for dispensasjon fra taushetsplikt
- Endring i hvem som har tilgang til personsensitive opplysninger
- Endring av oppbevaring og behandling av helseopplysninger eller biologisk materiale.
Prosjektleder fyller ut skjema for endring av forskningsprosjekt - se på nettsidene til NSD/REK/Etisk komte. Ta kontakt med den/de aktuelle institusjonene dersom det er tvil om endringene i prosjektet krever søknad.
Varsle om avvik for personvern og datasikkerhet
Send varsling til sikkerhetsavvik@nih.no. Beskriv hendelsen og hva som har skjedd. Informer også din direkte leder - dersom dette er mulig.
Eksempler på brudd kan være at personopplysninger er formidlet til noen som ikke trengte dem (kanskje som et vedlegg i en e-post eller "lenger nede" i e-posten), passord er kommet på avveie som følge av "phishing", informasjon som skulle vært lagret med tilgangsstyring er feilklassifisert og ligger åpent på nettet.
NIH - på institusjonsnivå - skal rapportere brudd på personopplysningssikkerheten til Datatilsynet innen 72 timer.
Avslutning, sluttmeldinger og arkivering
I avslutningsfasen skal innsamlede personopplysninger slettes, anonymiseres eller lagres for videre oppbevaring. NIH har bestemt at data fra forskningsprosjekt skal lagres i 5 år for mulig ettersyn og kontroll. Data for masterprosjekt skal av samme grunn lagres til eksamen er godkjent.
Avslutning - personopplysninger
Forsker skal
- sørge for at alle personopplysninger om respondenter eller informanter som ikke skal oppbevares etter prosjektslutt blir forsvarlig slettet.
- sørge for at personopplysninger som skal oppbevares etter prosjektslutt blir anonymisert, for eksempel ved at koblingsnøkkel for avidentifiserte opplysninger destrueres.
Sluttmeldinger
Forsker skal
- sende sluttmelding til NSD og eventuelt til REK.
Arkivering forskningsdata
Arkivering av forskningsdata er langtidsbevaring av data etter at forskningsprosjektet er avsluttet, eller ved publisering av vitenskapelig arbeid. Forskningsdata skal arkiveres i samsvar med gjeldende lover, etiske retningslinjer for forskning og retningslinjer for forskningsdatahåndtering. Se Bibliotekets forskerstøtte sider om Forskningsdata og Arkivering av forskningsdata
Generelle råd om personvern
Beskytt andres privatliv
- Pass på at du ikke lar utskrifter bli liggende igjen i printeren (bruk sikker-print) eller på skrivebordet når du ikke er tilstede. Utskrifter skal oppbevares i låsbare skap og skal ikke tas med utenfor kontoret/arbeidsstedet.
- Ikke send personsensitiv informasjon slik som bankkontonummer, personnummer osv. på mail, bruk heller tilgangsregulerte områder.
- Bruk ansattnummer fremfor personnummer der det er mulig.
- Husk at opplysninger fra lønns- og personalsystemet og økonomisystemene kun skal benyttes internt ved NIH. Eksterne personer som ønsker tilgang til data fra våre systemer må ta kontakt med systemeier.
- Ikke lagre rapporter på personlige hjemmeområder eller ukrypterte minnepinner. Dersom du skal lagre en rapport bør dette gjøres på et fellesområde der færrest mulig andre har tilgang.
- Din brukerkonto i systemene er personlig og skal aldri deles med andre eller på andre måter misbrukes. Det er viktig at du beskytter dine passord slik at disse ikke kommer på avveie.
- Husk alltid å låse (Windows-tast + L) eller logge av PC når du går fra plassen din, selv om det kun er for et minutt eller to.
- Vær bevisst på at du har tilgang til informasjon som kan skade dine medarbeideres/kollegers privatliv dersom det kommer på avveie. Vern derfor godt om disse opplysningene!
Vurder behovet for å lagre eller skrive ut rapporter
Du bør gjøre en grundig vurdering før du eventuelt lagrer eller skriver ut resultatet av en rapport. Har du egentlig behov for disse opplysningene senere? Eller holder det kanskje å se resultatet på skjermen der og da? Prøv å la være å lagre eller skrive ut resultatet av en rapport med mindre det virkelig er nødvendig.
Rydd opp etter deg
Dersom du har valgt å lagre eller skrive ut en rapport fra systemene, er det viktig at du sletter/makulerer denne så snart formålet er oppfylt. Sørg for å innarbeide en god rutine for jevnlig rydding og sletting av dokumenter.
Vær ditt ansvar bevisst
Gå foran som et godt eksempel og hjelp dine medarbeidere og kolleger til å adoptere dine gode vaner og holdninger til bruk av personopplysninger. Når vi sammen har et bevisst forhold til dette, kan vi være trygge på at våre personlige opplysninger er i gode hender!.