Rutiner personvern i forskning NIH

Ansvar personvern i forskning

Ansvar instituttnivå

Instituttleder er delegert ansvar fra administrerende direktør for oppfølging av prosjekter. Instituttledere har ansvar for at medarbeidere, samt eksterne forskere som arbeider på instituttet, er gjort kjent med dette dokument.

Instituttledere har også ansvar å følge opp og kontrollere at medarbeidere, eksterne forskere og studenter lever opp til NIHs retningslinjer for datasikkerhet og personvern. 

Ved permisjon/avslutning av arbeidsforhold skal instituttleder påse at alle forskningsdata er lagret i henhold til retningslinjene og at alle nødvendige endringsmeldinger er sendt til eksterne partnere. 

Ansvar forskningsprosjektnivå

Prosjektleder har ansvar for at forskningsetiske normer og personvernregler følges i prosjektet. Veileder har prosjektlederansvar for prosjekt gjennomført av stipendiat eller masterstudent.

Veiledere har ansvar for at har phd-, master- og bachelorstudenter er gjort kjent med dette dokumentet.

Ved permisjon/avslutning av studie-/arbeidsforhold skal veileder påse at alle forskningsdata er lagret i henhold til retningslinjer og at alle nødvendige endringsmeldinger er sendt eksterne partnere. 

Hver enkelt forskningsmedarbeider og student har et selvstendig ansvar for å sette seg inn i og følge rutinene som beskrives i dette dokumentet.

Hva er personopplysninger

Personopplysninger er informasjon som gjør det mulig å identifisere en fysisk person. Identifiseringen kan gjøres direkte eller indirekte. Opplysningene eies av den enkelte. Vurderinger eller opplysninger regnes som personopplysninger uavhengig av om de foreligger som tekst, bilder, lyd- eller videoopptak.

Se utfyllende informasjon om personopplysninger hos Sikt - også om særlige kategorier (sensitive opplysninger), inklusiv helseopplysninger.

Det er strengere krav til sikring av særlige kategorier personopplysninger.

Pseudonymisering og avidentifisering

Opplysningene er pseudonymiserte eller avidentifisert dersom navn, personnummer eller andre personentydige kjennetegn er erstattet med et nummer, en kode, fiktive navn eller lignende som viser til en atskilt liste eller en koblingsnøkkel med de direkte personopplysningene. 

For at datamaterialet skal regnes som avidentifisert, må også indirekte personidentifiserende opplysninger kategoriseres i vide kategorier eller fjernes helt. Med vide kategorier menes for eksempel landsdel i stedet for spesifiserte kommuner eller byer, aldersintervaller (10-19 år, 20-29 år osv.) i stedet for presis alder og lignende.

Den eneste måten å identifisere enkeltpersoner i et avidentifisert datamateriale skal være gjennom navnelisten/koblingsnøkkelen.

Koblingsnøkkel skal alltid oppbevares adskilt fra data.

Pseudonyme opplysninger anses som personopplysninger sålenge koblingsnøkkel eksisterer. Anonymisering av data krever at koblingsnøkkel slettes.

Bilde- og lydopptak må transkriberes for å pseudonymisere personopplysningene. Unngå å bruke navn eller notere opplysninger som kan identifisere en person. For anonymisering må lydopptak slettes.

Tredjepersoner

Personidentifiserbare opplysninger om andre personer enn utvalget/respondentene selv regnes som tredjepersonsopplysninger. Det kan her være snakk om både direkte eller indirekte identifiserende opplysninger.

Tredjepersonsopplysninger kan f.eks. komme frem i intervju eller i spørreskjema (f.eks. spørsmål om mors og fars utdannelse eller aktivitetsnivå, spørsmål til elever om lærers undervisningsmetoder, eller hvis deltakeren skal fortelle om livshendelser).

Les mer om tredjepersoner hos Sikt.

Behandlingsgrunnlag

Lovgrunnlag

Personopplysninger kan ikke samles inn eller behandles på annen måte uten et lovlig grunnlag. Prosjektleder har ansvar for at det mest hensiktsmessige formål velges. De mest relevante grunnlagene i forskningsprosjekter vil være allmenhetens interesse eller samtykke fra de som deltar i prosjektet. 

Allmenhetens interesse som behandlingsgrunnlag

Personopplysningsloven åpner for å bruke forskning som lovlig grunnlag: "utføre en oppgave i allmenhetens interesse" (artikkel 6.1.e)  Allmenhetens interesse som behandlingsgrunnlag betyr ikke et redusert krav om frivilllig deltakelse og informasjon til deltakerne. 

Personvernregelverket gir vitenskapelig forskning et særskilt handlingsrom, forutsatt at personvernet ivaretas gjennom egnede tiltak, som dataminimering og god informasjonssikkerhet osv. Samtykke kan trekkes tilbake og må ofte fornyes ved forlengelse av prosjektperioden. Dette gjør samtykke mindre egnet for langvarige forskningsprosjekter eller i prosjekter hvor det fort kan føre til at opplysningene skal brukes i fremtidig forskning innenfor samme fagområdet. I tillegg til at prosjektet har mulighet til å beholde/ikke slette innsamlede data dersom deltaker ønsker å trekke seg, dersom det kan argumenters for at det vil undergrave forskningsreslutatene i prosjektet. "Forskning i allmennhetens interesse" vil derfor ofte være mer forutsigbart og robust. 

Merk at uavhengig av behandlingsgrunnlaget må det fremdeles må være frivillig for deltakerne å delta og kunne trekke seg. Deltakerne gir altså sin tilslutning/etisk samtykke til deltakelse i prosjektet, mens det rettslige grunnlaget for behandling av personopplysninger vil være "allmenn interesse/vitenskapelig forskning".

Se informasjon hos Sikt om samtykke og allmennhetens interesse som behandlingsgrunnlag i forskningsprosjekt.

Krav til samtykke

Samtykket fra deltakerne skal være informert og frivillig. Prosjektleder har ansvar for at den enkelte deltaker forstår hva de sier ja til å delta i. Det kan være nødvendig å lage egne informasjonsskriv til ulike deltakergrupper. Dersom forskningsprosjektet skal behandle særlige kategorier (sensitive) personopplysninger, må samtykket være uttrykkelig.

Personopplysningsloven stiller krav om at samtykkene må kunne dokumenteres. Dokumentasjonen må oppbevares så lenge behandlingen varer.

På Sikts sider finner du mer informasjon om samtykke og maler for informasjonsskriv. For å være sikker på å få med all lovpålagt informasjon, skal disse malene brukes - ikke klipp og lim fra et tidligere informasjonsskriv.

Bredt samtykke

I enkelte tilfeller er det mulighet til å innhente et bredt samtykke hvor deltakerne samtykker til flere forskjellige forskningsprosjekter. Deltakeren må informeres om hva det innebærer å gi bredt samtykke. Dette forutsetter at de hører inn under samme definerte forskningsmål. REK kan sette vilkår for bruk av bredt samtykke

Deltakere uten samtykkekompetanse

Forskning som inkluderer mindreårige og personer uten samtykkekompetanse kan bare finne sted dersom:

• Eventuell risiko eller ulempe for personen er ubetydelig
• Personen selv ikke motsetter seg det.
• Det er grunn til å anta at resultatene av forskningen kan være til nytte for den aktuelle personen eller for andre personer med samme aldersspesifikke lidelse, sykdom, skade eller tilstand.

For mindreårige kreves det at tilsvarende forskning ikke kan gjennomføres på personer som ikke er mindreårige.

Barn og ungdommer kan som hovedregel selv samtykke til deltakelse i forskning når de er fylt 15 år. For barn under denne alderen bør foreldre samtykke på vegne av barnet. Hvis det skal samles inn særlige kategorier av personopplysninger må ungdommen være fylt 16 år for å samtykke.

Foreldre eller andre med foreldreansvar må samtykke dersom forskningsdeltakeren er under 16 år. Det samme gjelder hvis deltakeren er mellom 16 og 18 år og forskningen innebærer legemsinngrep eller legemiddelutprøving. Det må utarbeides alderstilpassede informasjonsskriv som tar hensyn til den mindreåriges modenhet og erfaring og informasjonsskriv til den som samtykker på vegne av deltakeren. 

For medisinsk og helsefaglig forskning finnes det en egen forskrift som bestemmer at barn mellom 12 og 16 år selv kan samtykke til behandling av personopplysninger til visse typer forskning.

Deltagelse i forskning skal alltid være frivillig, uavhengig av hvem som har samtykkekompetanse .

For personer uten samtykkekompetanse på grunn av helsetilstand, psykisk utviklingshemming eller umyndiggjøring, kreves det at det ikke er grunn til å tro at vedkommende ville motsatt seg deltakelse i forskningsprosjekter hvis vedkommende hadde hatt samtykkekompetanse, og at tilsvarende forskning ikke kan gjennomføres på personer med samtykkekompetanse. Særlige regler gjelder for hvem som må gi samtykke, se helseforskningsloven § 17 og 18.

Rett til å trekke tilbake samtykke

Den registrerte skal ha mulighet til å trekke sitt samtykke like enkelt som det ble gitt. Den registrerte trenger ikke å oppgi noen grunn for å trekke seg.

Å trekke samtykket innebærer for det første at forskningsdeltagere ikke lenger ønsker å være med på prosjektet. For det andre innebærer dette at vi ikke lenger har et rettsgrunnlag for behandlingen og personopplysningene vi har om vedkommende skal dermed slettes.

Adgangen til å trekke samtykket varer så lenge det er mulig å identifisere vedkommende i datamaterialet. I prosjekter med mange deltagere vil dette si inntil informasjonen er slettet eller anonymisert. For prosjekter med få deltagere vil det teknisk sett kunne være mulig å trekke samtykket og få slettet informasjon også etter anonymisering fordi forskeren kjenner identiteten til de få deltagerne. Hvis vi publiserer resultater basert på forskning vil disse som regel ikke omfatte identifiserende opplysninger. At en forskningsdeltager trekker sitt samtykke etter publisering innebærer derfor ikke at vi må trekke tilbake en publisert artikkel. Er det imidlertid slik at det vil være mulig å kunne identifisere enkeltpersoner i en publikasjon er det viktig at deltagere får god informasjon på forhånd om hvilke data som skal publiseres og hvor gjenkjennbare de vil være.

Andre grunnlag

Andre relevante lovlige grunnlag for forskning kan være

• Berettiget interesse
• Lovhjemmel

Berettiget interesse: Noen ganger kan virksomhetens eller en tredjeparts interesse være større enn personvernulempen for den registrerte. Eksempel kan være utsending av påmelding til et seminar eller strømming 

Det må i tillegg til berettiget interesse foreligge hjemmel i lov eller forskrift. Ofte vil dette være personopplysningslovens § 8 for behandling vanlige personopplysninger og § 9 for særlig kategori av personopplysninger. I det siste tilfellet må samfunnets interesse for at behandlingen finner sted klart overstige ulempene for den enkelte. 

Godkjenninger og vurderinger

Om godkjenninger og vurderinger før oppstart

Se Prosedyrer for oppstart av et prosjekt under Forskningsadministrative rutiner.​​​​​​

Innsamling

Om innsamling av data

Studenter og ansatte ved NIH kan benytte Nettskjema for datainnsamling. Nettskjema kan brukes til spørreskjemaer og datainnsamling via nett og også til å gjøre lydopptak via en egen app. ​Sjekk lagringsguide for å se hva slags data som kan samles inn via Nettskjema.

Se side om Nettskjema.

Zoom kan benyttes til intervjuer med eller uten bilde, så lenge disse ikke inneholder særlige kategorier personopplysninger. Zoom kan ikke benyttes utenfor NIH. 

Se fullstendig rutinebeskrivelse for Zoom

Biologisk materiale

Se prosedyre for innsamling, lagring og bruk av humant biologisk materiale under Godkjenninger før oppstart/Prosjekter innenfor helseforskning på sider om prosjektadmininstrasjon.

Egne regler for personopplysninger i masterprosjekt

Masterstudenter som skal behandle personopplysninger i sitt prosjekt må bekrefte skriftlig at rutiner og regler for personvern og informasjonssikkerhet er fulgt. Dette må bekreftes både ved innmelding av prosjekt til Sikt og ved innlevering av masteroppgave. Se egne skjema på side om Eksamen/Masteroppgave.

Oppfølging av prosjektdeltakeres rettigheter

Enhver som har samtykket til deltakelse i et forskningsprosjekt kan som hovedregel kreve innsyn, retting av uriktig registrerte opplysninger, trekke seg fra videre deltakelse uten begrunnelse/tilbakekalle avgitt samtykke. Krav om innsyn skal besvares innen 30 dager.

Se Datatilsynets sider om rett til innsyn. Der ligger det også et skjema som kan brukes for å be om innsyn.

Ulike oppgaver knyttet til oppfølging av deltakere

• Besvare henvendelser fra forskningsdeltakere
• Sørge for forsvarlig sletting eller anonymisering av forskningsdata dersom informanter trekker sitt samtykke
• Be respondenter om nytt samtykke dersom innsamlede opplysninger skal behandles til andre formål eller på andre måter, for eksempel lagres lengre enn hva de opprinnelig har samtykket til.
• Kontrollere at personopplysninger som behandles i prosjektet ikke anvendes til andre formål enn det deltakerne har samtykket til.
• Kontrollere at avtaler med samarbeidspartnere overholdes

Klassifisering og lagring

Informasjon og forskningsdata klassifiseres i personvernsammenheng i ulike kategorier - med tilhørende fargekoder. Avgjørende for klassifiseringen er hvor stor skade det kan medføre for enkeltpersoner eller institusjoner dersom data kommer på avveie. Kravene er strengest for behandling og oppbevaring av data i kategoriene rød eller sort.

Se egen side om klassifisering.

Se egen side om lagringsguide for NIH.

Lagring av biologisk materiale

Det er et grunnleggende prinsipp at humant biologisk materiale i en forskningsbiobank skal oppbevares og behandles forsvarlig, og at dette skjer i respekt for giveren.

Regelverket gjelder uavhengig av om materiale kan knyttes opp til giver ved direkte personidentifiserbare kjennetegn; ved bruk av kodenøkkel eller uten noen form for koblingsmulighet.

REK skal ha forhåndsgodkjent opprettelse av generelle forskningsbiobanker.

Instituttleder skal ha oppdatert register over instituttets biobanker, hvor det fremgår hvem som er ansvarlig, og rutine for lagring, destruksjon ved sluttdato og internkontroll.

REK har skjerpet kravene til søknad om generell biobank og stiller krav om at det skal legges ved en protokoll som beskriver biobanken. Kravet gjelder ikke for generelle biobanker som allerede var godkjente, men dersom du skal sende inn en endringssøknad for en generell biobank, vil du bli bedt om å legge ved en (revidert) protokoll.

Arkivering av forskningsdata

Arkivering av data må ikke forveksles med lagring av data som er i bruk i løpet av prosjektperioden. 

NIH stiller krav om at data fra forskningsprosjekt skal oppbevares i fem år etter prosjektslutt (for kontroll og etterprøvbarhet.) Kravet gjelder ikke for masterprosjekter - med mindre disse inngår i et større forskningsprosjekt.  Etter påbudt lagringstid skal prosjektleder sørge for at personopplysninger blir anonymisert eller slettet.

Fullstendig anonymisering kan være utfordrende og ressurskrevende å gjennomføre i praksis og gjenbruksverdien av datasettet vil som regel begrenses.

Hvis forskningsdeltakerne har samtykket til dette og under visse forutsetninger, kan indirekte identifiserende data arkiveres og deles eksternt.

Tilgang, deling og overføring

Virksomheten/forskerne/studentene eller medarbeiderne som skal  ha tilgang til persondata må være omtalt i meldeskjema til Sikt og eventuelt i søknad til REK. Forskningsdeltakerne må også være informert om og ha samtykket til slik deling av personinformasjon.

Avtaler for tilgang for ikke-ansatte

Dersom prosjektmedarbeidere ikke er tilsatt ved NIH og skal ha tilgang til personopplysninger må det inngås egen avtale. Det er ikke nødvendig med taushetserklæring dersom det er samarbeid med en statlig virksomhet. Masterstudenter signerer taushetserklæringen i forbindelse med veiledningsavtalen for sitt prosjekt.

Skal eksternt ansatte ha tilgang til NIHs IT-system, skal det utarbeides egen tilgangsavtale

Maler for tilgangsavtale og taushetserklæring finnes på side om Maler og skjema under Forskningsadministrasjon.

Overføring - deling med andre institusjoner

Dersom identifiserbare persondata skal overføres til eller lagres ved en samarbeidsinstitusjon må det inngås en avtale der ansvaret og oppgavene for hver institusjon framgår.  For avtalen er det viktig å vite hvilken rolle og hvilke oppgaver hver institusjon skal ha. Les mer i delingsguiden.

Dersom NIH lar ekstern part behandle personinformasjon kun for NIHs eget formål, er NIH behandlingsansvarlig og instruerer databehandler om hvordan data skal behandles. Databehandler kan ikke bruke disse data til egne formål. 

Felles behandlingsansvar oppstår når to eller flere separate behandlingsansvarlige beslutter formål og de avgjørende midlene i behandlingen. Det er ikke krav om at ansvaret er likt fordelt men begge parter må ha en lovlig adgang til å behandle opplysningene.

Se mer informasjon på Datatilsynets sider om Databehandleravtaler og hva som ligger i begrepene behandlingsansvarlig og databehandler.

Overføring av persondata til land utenfor EU/EØS-området krever spesielle vurderinger og avtaler. Se mer hos Datatilsynet. 

IT-ansvarlig ved NIH skal underskrive databehandleravtaler, men prosjektleder har ansvar for å utarbeide forslag til avtale. Maler ligger på side om "Maler og skjema" under Forskningsadministrasjon.

Avtale om overføring av fysisk materiale ((Material Transfer Agreement MTA) kan i de fleste tilfeller underskrives av instituttleder. Relevante eksempler er avtaler om blodprøver og muskelvev som skal analyseres i andre laboratorier.