Hvilke muligheter og begrensninger gir den nye personvernlovgivingen? Universitetet i Oslo 3. Mai 2019

Transkript

1 Personvern i forskning og studentprosjekter Hvilke muligheter og begrensninger gir den nye personvernlovgivingen? Universitetet i Oslo 3. Mai 2019 Anne-Mette Somby spesialrådgiver NSD

2 TEMA 1. Personvernregelverket 2. Forskning og personvern 3. Veilederrollen og meldeskjemaet 4. Case/gruppediskusjon 5. Kort oppsummering

3 Personvernforordningen

4 Målet med forordningen Harmonisere regelverket i Europa Gjøre det lettere å dele data på tvers av landegrenser Gi innbyggerne tilbake kontrollen over egne data Tilpasse regelverket til den digitale tidsalderen Sørge for høyt nivå av personvern for å opprettholde tillit og rettsikkerhet

5 Begreper Forskning Personvernombud Behandlingsansvar Databehandler Anonymt vs pseudonymt, avidentifisert, indirekte identifiserbart etc.

6 Hva er personopplysninger?

7 Hva er sensitive opplysninger?

8 Særlige kategorier (sensitive opplysninger) Særlige kategorier opplysninger øker risikoen for personvernet og det stilles noen vilkår for å behandle opplysningene som omfatter: Rase eller etnisk bakgrunn Politisk oppfating Religiøs eller filosofisk oppfating Helse Opplysninger om straffbare handlinger Medlemsskap I fagforeninger Seksuell orientering eller seksuelle forhold Genetiske og biometriske data (Art. 9(1)).

9 Hva er anonyme opplysninger? Opplysninger som ikke på noe vis kan identifisere enkeltpersoner i et datamateriale, verken direkte, indirekte gjennom bakgrunnsvariabler, eller gjennom navneliste/koblingsnøkkel.

10 Vurdering av personvernkonsekvenser Personvernkonsekvens Grad av sensitivitet og identifiserbarhet Krav til informasjonssikkerhet og begrunnelse av samfunnsnytte 0 - Ingen Ingen personopplysninger Ingen 1 - Liten Indirekte identifiserbart, men ikke sensitivt. Mindre «spesifikke» krav til sikring av data og begrunnelse av samfunnsnytte. 2 - Middels Sensitivt og indirekte identifiserbart Krav til sikring av data. Samfunnsnytten må begrunnes. 3 - Høy Meget sensitivt og indirekte identifiserbart, eller sensitivt og direkte identifiserbart Strenge krav til sikring av data. Samfunnsnytten må begrunnes godt. 4 - Svært høy Meget sensitivt og direkte identifiserbart Strenge krav til sikring av data. Samfunnsnytten må begrunnes godt.

11 Seks grunnleggende prinsipper (Art. 5) a) Skal behandles lovlig, rettferdig og med åpenhet til forskningsformål b) Skal benyttes til konkrete formål og skal ikke behandles videe til formål som ikke er kompatible med det opprinnelige formålet (prinsippet om formålsbegrensning) Unntak for forskning og arkivformål : Videre behandling kan skje allmennhetens interesse, for vitenskapelig eller historiske eller statistiske og er ikke ansett for uforenelige med det opprinnelise formålet etter art. 89 (1) c) ved at det kun behandles opplysninger som er adekvate, relevante og nødvendige for formålet med prosjektet (Prinsippet om dataminimering) d) Skal ikke behandles lengre enn det som er nødvending for formålet- Unntak for forskning og arkivformål : Videre arkivering kan skje allmennhetens interesse, for vitenskapelig eller historiske eller statistiske formål,og er ikke ansett for uforenelige med det opprinnelise formålet etter art. 89 (1) e) Skal behandles på en måte som forhindrer at det kommer på avveie for å sikre individers integritet og konfidensialitet.

12 Personvern - fem gode prinsipper Du skal ha en god grunn Du skal ha tillatelse Du skal vise respekt for den registrerte og dens rettigheter Du skal sørge for god sikkerhet Du skal ikke beholde opplysningene lenger enn det som er nødvendig

13 Skal du bruke personopplysninger? Minst ett av vilkårene må være oppfylt: Alminnelige kategorier Artikkel 6.nr. 1 a) Samtykke e) Nødvendig for å utføre en oppgave i samfunnets interesse eller oppdrag fra offentlig myndighet Særlige kategorier Artikkel 9.nr 2 a) Utrykkelig samtykke j) Arkivformål I allmennhetens interesse, eller formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål.

14 Hva er egentlig samtykke? Skal være en klar og bekreftende handling Skal kunne dokumenteres (signatur, opptak, elektronisk) Skal være like lett å gi som å trekke tilbake Uttrykkelig/eksplisitt samtykke ved sensitive opplysninger Når du melder prosjektet til NSD er det en fordel at du benytter vår mal for informasjon/oppfyller formkravene i vår mal.

15 Alternativ til samtykke? Når opplysninger ikke hentes direkte fra den registrerte : registerdata, sosiale medier, publiserte opplysninger Ved behov for streng konfidensialitet: feltarbeid I farlige områder I prosjekter med lang varighet? Der opplysninger innhentes fra barn? NB! Selv om kravet til et juridisk samtykke er vanskelig å dokumentere (I feltarbeid) må forsker forsikre seg om at samtykket oppfyller forskningsetiske krav.

16 Informasjon For at de registrerte skal kunne benytte seg av sine rettigheter må de som en hovedregel få informasjon. Direkte I offisielle kanaler På nettsider til forskningsprosjektet En utfordring der man benytter opplysninger som allerede er publisert Kan offentlige personer reservere seg mot å bli forsket på?

17 De registrertes rettigheter De som deltar i forskning har rett til : -innsyn, retting sletting, begrensning, dataportabilitet og reservasjon. Som forsker må du begrunne dersom du mener noen ikke har disse rettighetene. Eksempel på unntak: når det ikke er mulig å identifisere noen

18 DPIA Data Protection Impact Assessment

19 Personvernkonsekvensvurderinger: Før og nå Før GDPR måtte man søke Datatilsynet om godkjenning. Datatilsynet vurderte personvernrisikoen og vedtak om den var akseptabel (konsesjon med og uten vilkår, evt. avslag). I dag: Forskningsinstitusjonen selv som skal gjøre denne vurderingen og konkludere. Personvernombudet skal involveres i vurderingene. NSD bistår, etter avtale med institusjonen. Vurderingen kan etterprøves av Datatilsynet. Manglende DPIA, eller mangelfullt utført DPIA, kan i seg selv bøtelegges med opptil 10 mill. euro. Brudd på rettslig grunnlag, prinsipper eller de registrertes rettigheter kan medføre bøter på inntil 20 mill. euro. Konsekvenser etter ny personvernlovgivning, Helse Fonna,

20 Hva er en DPIA? Data Protection Impact Assessment = Personvernkonsekvensvurdering Et verktøy som forskningsinstitusjonen er pålagt å bruke. Når man planlegger behandling av personopplysninger med høy risiko for de registrertes rettigheter og friheter. Formålet er å få oversikt over risikoene for personvernet, hvilke tiltak man bør gjøre for å redusere risiko, ta stilling til om restrisikoen er akseptabel. Hva er høy risiko? Hvordan skal man egentlig vurdere konsekvensene? Konsekvenser etter ny personvernlovgivning, Helse Fonna,

21 Hva utløser krav om DPIA? Behandling av særlige kategorier (sensitive) personopplysninger eller personopplysninger om straffedommer eller lovovertredelser (evt. opplysninger av svært personlig karakter). Behandling av personopplysninger i stor skala (stort antall eller stor andel av populasjonen, mengde opplysninger, varighet, regelmessighet og/eller geografisk omfang). Sammenstilling av datasett (f.eks. ulike formål og/eller ulike behandlingsgrunnlag) på en måte som overstiger den registrertes rimelige forventninger. Behandling av personopplysninger om sårbare registrerte dvs. enkeltpersoner som kan være ute av stand til å gi samtykke, motsette seg behandling, eller utøve sine rettigheter, som f.eks. barn, arbeidstakere, psykisk syke, asylsøkere, eldre personer, pasienter eller andre personer som står i en skjev maktrelasjon til behandlingsansvarlig. At de registrerte hindres i å utøve rettighet(er) eller bruke tjeneste/avtale. Systematisk monitorering observasjon, overvåkning eller kontroll av registrerte. Evaluering/poengsetting, inkludert profilering og forutsigelse f.eks. prestasjoner, økonomisk situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser. Innovativ bruk eller anvendelse av ny teknologi eller organisatorisk løsning. Konsekvenser etter ny personvernlovgivning, Helse Fonna,

22 Prosessen ved utføring av DPIA Institusjonen har ansvar for at DPIA utføres. Personvernombudet ved institusjonen skal involveres og gi råd. Forsker må bidra med beskrivelse og begrunnelse for den planlagte behandlingen. NSD lager utkast til DPIA i samråd med prosjektansvarlig og sender dette til ledelsen og personvernombud. Personvernombudet uttaler seg. Ledelsen skal ta stilling til om: - DPIA er korrekt utført. - Om behandlingen kan gjennomføres. - Om behandlingen må forhåndsdrøftes med Datatilsynet. Konsekvenser etter ny personvernlovgivning, Helse Fonna,

23 Hvordan kan forsker bidra til en effektiv DPIA? Gi en god beskrivelse av den planlagte behandlingen i meldeskjema. Last opp alle nødvendige vedlegg. Ved informasjon til de registrerte: Bruk vår mal for informasjonsskriv (se våre nettsider for mer informasjon). Variabelliste må være forståelig og detaljert (variabler og variabelverdier). Konsekvenser etter ny personvernlovgivning, Helse Fonna,

24 Hva er NSD sin rolle og tjenester?

25 Hvilke prosjekter skal meldes til NSD? Når du behandler personopplysninger i forskning * eller kvalitetsutvikling Forutsatt at din institusjon har avtale* med NSD * Kan også være helseforskning **Institusjonene kan velge ulike tjenester fra NSD.

26 NSD- personverntjenester Vurdere student og forskerprosjekter i nytt meldeskjema DPIA/konsekvensanalyser og forhåndsdrøftelse med Datatilsynet I samråd med Personvernombud ved institusjonene. NSD er personvernombudet for noen institusjoner, og leverer da de samme tjenestene men har et annet ansvar NSD har som en følge av GDPR nytt meldeskjema, chattjeneste og utvikler nye kurs og digital opplæring.

27 MinSide livssyklus, tjenester, meldingsdialoger

28 Samarbeid på tvers Meldeskjemaet fanger opp delt behandlingsansvar Samarbeidsavtale behandlingen må oppfylle kravene til felles behandlingsansvar, jf. personvernforordningen art. 26. Prosedyrer for sikker deling og tilgang I tråd med insitusjonenes retningslinger DPIA må godkjennes av alle insitusjoner som har behandlingsansvar Må oppfylle kravene til behandling av personopplysninger utenfor EU (personvernforordningen kapittel 5).

29 Data livssyklus 1. Generere data 6. Gjenbruk av data 2. Behandle data DMP 5. Gi tilgang til data 3. Analysere data 4. Arkivere data

30 NSD DMP verktøy NSD har utviklet verktøy for generering av datahåndteringsplan Arkiv uavhengig Kompatibel med Horizon 2020 Under utvikling - skal gjøres dynamisk, versjonskontroll, institusjonstilpasset Kan deles og eksporteres Tilgang til chat

31 Arkivtjenester Ved å arkivere ved NSD oppfyller forskere FAIR prinsippene. Data kvalitetssikres før de arkiveres. Man kan inngå avtale om åpen eller tilgangsbegrenset publisering av datasett. Metadata publiseres alltid for å sikre gjenfinnbarhet NSD er sertifisert for langtidsarkivering og deling av forskningsdata. Arkivet er integrert med personvern- og datahåndteringstjenester og Cristin via API. Data som arkiveres og publiseres får en DOI og en egen landingsside slik at de kan siteres.

32

33 Studentoppgaver Bør gjennomføres anonymt hvis mulig Kan meldes samlet (hele kull) etter visse kriterier Obs! Opptak på lyd/video Informasjonssikkerhetsrutiner må gjøres kjent for studentene Løsninger for særlige kategorier også for studenter Oppfølging med veileder viktig når sårbare grupper inkluderes

34 Sårbare grupper og sensitive data Skille mellom ulike roller og formål Hvordan kan data lagres underveis Samtykker Anonymisering REK Studentoppgaver

35 Meldeskjemaet

36 Forenklet vurdering Utvalget inkluderer ikke sårbare grupper Det registreres ikke særlige kategorier av personopplysninger Det registreres ikke personopplysninger om straffedommer og lovovertredelser Varigheten/prosjektperioden er rimelig kort Behandling av personopplysninger er basert på samtykke Datakilder/metoder er intervju og/eller spørreskjema

37 Meldeskjemaet Prosjekttittel og informasjon Private enheter Datakilder/metoder og behandlingsgrunnlag (som oftest samtykke ev. allmenn interesse) Last opp nødvendige vedlegg for hvert utvalg, slik som informasjonsskriv, intervjuguide, spørreskjema, variabelliste eller liknende. Pass på at prosjektslutt er den samme i dokumentasjon og I meldeskjemaet Informasjonssikkerhet - krav ved institusjonen

38 CASE og gruppediskusjon

39 Deling av data som ikke er anonyme er det mulig? Behandlingsgrunnlag: samtykke eller allmennhetens interesse Avtale mellom partene (eierskap, formål, sikkerhet og sletting).

40 Alternativer til samtykke og forskjellen samtykke. mellom et etisk og juridisk Det juriske samtykket har noen formkrav som kan stå I veien for et etisk samtykke (for eksempel feltarbeid eller barns samtykker) Alternativer til samtykke er ofte benyttet I andre EUland.

41 Elektroniske og åpne lingvistiske korpus hvordan vite om noe er anonymt og kan man ha ikke-anonyme data i åpne arkiver? Stemmer er alltid personopplysninger Alternativer til samtykker kan være løsningen der slike opplysninger skal deles med allmennheten

42 Sosiale medier, offentlige personer, litteraturstudier, rettsavgjørelser og feltarbeid. Hvordan oppfylle vilkårene i forordningen? Alternativ til samtykke som behandlingsgrunnlag Vurdere om det kan gis informasjon individuelt eller kollektivt Etisk samtykke er en forutsetning der man er I direkte kontakt, men ikke kan oppfylle krav om å dokumentere et samtykke

43 Takk for oppmerksomheten! nsd.no/personvern nsd.no/opplaring NSD