RETTE System for Risiko og ETTErlevelse ved UiB Hvorfor RETTE? Personvernkrav Internkontroll Forskningsetikk Kompetanseøkning
AGENDA Hva er RETTE? Hvorfor RETTE? Roller og ansvar i RETTE? Hvordan virker RETTE i praksis? Registrering, oversikt, internkontroll DEMO Utvikling av RETTE Brukerbehov Teknisk løsning og integrasjoner 2
FØRST LITT HISTORIKK... Startpunkt 2009 2011 2012 2013 2014 2016 2018 I dag Personopplysningslov REKgodkjenning + andre godkjenninger NSD er personvernombud for forskning, gir tilråding 1 Innføring av Helseforskningsloven, Enpostkasse, REK Rokne- Rapport (UiBrapport) Målsetning 1 Innføring av «en-postkasse» for søknad av godkjenning for forskningsprosjekter jf. Helseforskningsloven. 2 UiB: Mål og strategidokument for helsefaglig forskning og behandling av personopplysninger Arbeidsgruppe for sikker lagring- og tilgang til forsknings- data- SAFE Tilsyn fra Datatilsynet Internrevisjon av IK for forskning Målsetning 2 Rapport fra arbeidsgruppe UiB skal utvikle SAFE og RETTE Ny internrevisjon av IK for forskning Opprettelse av prosjekt: Delprosjekt 2: RETTE GDPR og ny personopplysningslov med nasjonale tilpasninger for forskning Styrket institusjonsansvar, En enklere løsning for prosjekter med lavere person vernrisiko RETTE utviklet og implementert UiB har eget personvernombud Integrasjoner for at opplysninger bare registreres en gang. Gir bedre datakvalitet. Internkontrollmodul er neste stadie 3 Målsetning 3 UiB skal ha en samlet oversikt over all behandling av personopplysninger som ivaretar institusjonens plikter og internkontroll
BAKGRUNN OG LOVVERK Nytt personvernregelverk i 2018 VIKTIGE ENDRINGER Opphevet melde- og konsesjonsplikt Skjerpet kravene til ansvarlighet, oversikt og kontroll Styrking av de registrertes rettigheter Harmonisering av regelverket i EU Høyere bøtenivå! MEN MYE VAR LIKEVEL SOM FØR... I stor grad videreføring av tidligere regelverk Plikt til oversikt og kontroll er ikke ny Forskning er gitt viktige særregler = Større frihet, men større ansvar 4
BAKGRUNN OG LOVVERK UNIVERSITY OF BERGEN PLIKT LOVHJEMMEL HVILKE BEHANDLINGER / PROSJEKTER? HVEM? HVOR? Dokumentasjon GDPR art. 30, jf. Art. 5 Alle forskningsprosjekter og studentoppgaver Forskere og studenter. Veileder er prosjektansvarlig for studentprosjekter RETTE Forskningsetisk godkjenning Helseforskningsloven 10 Medisinsk og helsefaglig forskning Forsker er prosjektleder har det daglige ansvaret (veileder i Ph.d prosjekter og lavere nivå) REK CRISTIN - RETTE Rådføringsplikt med personvernombud Personopplysningsloven 9 og 10 Behandling av særlige kategorier personopplysninger for formål knyttet til vitenskapelig forskning Forsker. (Masterprosjekter må vurderes om tilknytning til forskergruppe/prosjekt) NSD - RETTE Personvernkonsekvensvurderig GDPR art. 35 PAGE 5 Sannsynlig høy risiko for personvernet, definert i veileder og liste fra Datatilsynet Institusjonen er ansvarlig for vurdering og gjennomføring. Må involvere institusjonens personvernombud DPIA MODUL I DRAFTIT FOR UIB
HVA ER RETTE? UNIVERSITY OF BERGEN RETTE består av: veileder registreringsløsning oversikt over prosjekter og status internkontrollfunksjon RETTE henter data fra tre kilder: REK NSD Egenregistrert informasjon PAGE 6
HVA ER RETTE? 7
HVORFOR RETTE? Krav til UiB Oversikt over alle behandlinger Internkontroll (systematisk oppfølging) Informasjonssikkerhet Kompetanse innen personvern i forskning og utdanning RETTE skal sikre: Lovpålagt oversikt over alle prosjekter der det behandles personopplysninger jf. personvernregelverket og helseforskningloven Ansvarliggjøring og kompetanseheving ved tydelig informasjon og bekreftelser. Internkontroll for å sikre etterlevelse ved oppfølging av endringer, sikkerhet, lagring, sletting etc. 8
HVORFOR RETTE? Hva betyr dette i praksis? Hva vi gjør: Følger lovens ordlyd og formål Enklere løsning for behandlinger med lavere personvernrisiko Kan registreres direkte i RETTE Institusjonen har ansvar for forskningsetikk og opplæring Konsekvenser Samlet intern oversikt over alle forskningsog studentprosjekter Rådføring med PVO som hovedregel kun når loven krever det, ellers dokumentasjonsplikt og risikovurdering i RETTE, og rådføring ved behov Kan komme raskere i gang med prosjekter med lavere personvernrisiko 9
ROLLER OG ANSVAR I RETTE Rolle Ansvar og oppgaver Prosjekteier Registrerer prosjekt (student/forsker) Oppdatere prosjektinformasjon Ny: Operativt ansvarlig Forskerstøtte Prosjektansvarlig Registrere egne prosjekter Bekrefte studentprosjekt Følger opp student/stipendiat Oppdatere prosjektinformasjon Bekrefter prosjektinformasjon to ganger i året Faglig ledelse internkontroll Personvernombudet Ha oversikt Følge opp ved behov for DPIA
ROLLER OG ANSVAR I RETTE Registrering, oppfølging og bekreftelse av prosjekter vil foregå i linjen ROLLER I RETTE Ledelsen ved UiB Fakultet og operativt ansvarlig ved fakultet Institutt og operativt ansvarlig ved institutt Prosjektansvarlig Prosjekteier ANSVAR Får samlet oversikt over prosjekter som behandler personopplysninger Får oversikt over prosjekter ved underliggende enheter Følger opp institutter Bekrefter sine prosjekter to ganger i året Følger opp at prosjektleder har bekreftet informasjon om prosjekt i RETTE Kommuniserer med prosjektansvarlig Bekrefter sine prosjekter to ganger årlig Er ansatt ved UiB Ansvar for at prosjekter blir registrert i RETTE Bekrefter at informasjon i RETTE er korrekt og oppdatert to ganger i året Forsker/ph.d-kandidat/student Registrerer informasjon om prosjekt i RETTE Personvernombudet ved UiB vil rådgi i personvernspørsmål og bistå ved risikovurderinger og personvernkonsekvensvurderinger (DPIA) NSD fortsetter som rådgivende instans for UiB ved behov. Hos NSD vil forskningsprosjekter der det er krav om rådføringsplikt fortsatt meldes inn. NSD kan i tillegg bistå ved DPIA. Helseforskning er unntatt rådføringsplikt (hfl 33,3.ledd). Prosjekter som ikke er vitenskapelig forskning, men f.eks utdanningsoppgaver ikke er omfattet av rådføringsplikt Informasjon om forskningsprosjektene som meldes til NSD vil overføres automatisk til RETTE. Med RETTE får UiB oversikt over og oppfølging av alle prosjekter (inkludert helseforskning og prosjekter som ikke er forskning) der det behandles personopplysninger.
HVORDAN VIRKER RETTE I PRAKSIS Informasjon Registrering av prosjekt Samlet prosjektinformasjon RETTE Oppfølging av prosjekter Oversikt og internkontroll 1 2 3 4 5 RETTE NSD REK Student eller forsker finner informasjon om forskningsrutiner og personvern ved UiB Personvernportalen på uib.no Student eller forsker søker REK, registrerer prosjekt hos NSD eller i RETTE avhengig av formål med prosjektet Informasjon om prosjekter fra REK, NSD og RETTE samles ett sted og bekreftes Prosjektinformasjon følges opp og bekreftes i linjen for å sikre oppdatert og korrekt informasjon UiB har internkontroll og oversikt over alle prosjekter der det behandles personopplysninger ved UiB
INPUT PROSESS OUTPUT Prosjekter som krever REK-godkjenning REK Overføring Supplering av manglende informasjon Etterlever lovkrav Internkontroll og Oversikt Ledelse: Artikkel 30 protokoll Følger opp fakultet (ved behov) Andre forskningsprosjekter NSD Overføring RETTE Fra fakultet: Følger opp institutt (periodisk) Fra institutt: Bekreftelse på prosjektportefølje (periodisk) (Kontroll og vurdering av alle prosjekter) - Følger opp prosjektansvarlig Studentprosjekter / kvalitetssikring Uib.no: Prosjektportal/guide Overføring Utplukk av prosjekter som trenger rådføring eller DPIA Fra prosjektansvarlig: Bekreftelse på prosjekter (periodisk) Med spørsmål om det er endringer mtp: -Formål med behandling -Type personopplysninger -prosjektinformasjon -Behandlingsansvar -Utvalg og antall -rettslig grunnlag -sikring -varighet
DEMO UNIVERSITY OF BERGEN Kort om Wizard Informasjon om prosjekter Informasjon om ett prosjekt PAGE 14
15
16
17
Sett brukeren i sentrum Ved utvikling av RETTE ble det lagt opp til: o Tett samarbeid med brukere på fakultet og instituttnivå o Jevnlig brukergruppemøter o Brukertesting og pilotering o Fokus på informasjon og forankring Det er utarbeidet brukerprofiler for RETTE. Disse bidrar til å forstå: o Nåværende og potensielle brukere o Hvilke behov brukerne har o Hvilke utfordringer brukerne har o Hvilken informasjon brukerne trenger
UTVIKLING AV RETTE RETTE: Teknisk Teknologi: Laravel (PHP) + Livewire Integrasjoner: IAM 19
UTVIKLING AV RETTE Integrasjon Full synkronisering skjer en gang om dagen. Det er ikke mulig å få nok info fra Cristin (vi er i kontakt med unit). Prosjektansvarlig får epost når et nytt prosjekt blir importert. Det er nødvending for prosjekteier/ansvarlig å fylle ut info (dobbel registering) REK-portalen sender opplysninger til Cristin tre dager etter at det er sendt ut et nytt vedtak i saken. 20
UTVIKLING AV RETTE Integrasjon Nye prosjekter importeres hver time. Full synkronisering skjer en gang om dagen. Prosjektene må fortsatt bekreftes av prosjektansvarlig. Prosjektansvarlig får epost når et nytt prosjekt blir importert. Siden all informasjon fås fra NSD er det ikke nødvending å fylle ut mer informasjon. 21
OPPSUMMERING RETTE Institusjonens eget verktøy Integrasjoner med Cristin og NSD Hever kompetansen innen personvern hos studenter og ansatte Ivaretar UiB sitt selvstendige juridiske ansvar Gir én samlet oversikt over alle prosjekter som behandler personopplysninger - dokumentasjonsplikt (GDPR art. 30) Sikrer internkontroll etterlevelse av lovverk Åpen for samarbeid 22
I tillegg støtter RETTE opp om Målbilde for informasjonssikkerhet og personvern Og «Mest mulig effektiv bruk av forskernes tid, gi god veiledning og gjøre det enkelt å velge god praksis.»