NAV-evaluering - behandling av personopplysninger Voksenåsen, Oslo 23.oktober 2007
Instanser å forholde seg til Registerforvalter - SSB - Rikstrygdeverket (melding) Fagdepartementet Arbeidsog inkluderingsdepartementet (dispensasjon fra fra taushetsplikt) Forsker Datatilsynet (konsesjon) Rådet for taushetsplikt og forskning (forskrift til til forvaltningsloven) Personvernnemda (klageinstans)
Hvem er NSD personvernombud for? NSD er ombud for 138 institusjoner Alle universitet og vitenskapelige høgskoler (UiO, UiB) Statlige høgskoler (Høgskolen i Vestfold) Private høgskoler Helseforetak og sykehus Instituttsektoren (Fafo, BI, AFI, Unifob) Kompetansesentre
Hva gjør r Personvernombudet? Vurdere forskningsprosjekt i forhold til bestemmelsene i personopplysningsloven med tilhørende forskrifter Vurderingen skjer i nær dialog med prosjektleder. Dersom opplegget ikke er i overensstemmelse med regelverket for behandling av personopplysninger, påpeker ombudet hvilke endringer som må gjøres for at kravene som er nedfelt i regelverket skal være oppfylt. Ferdigbehandle og tilrå meldepliktige prosjekter Sende søknader om konsesjon til Datatilsynet Følge opp prosjektene ved prosjektavslutning Gi informasjon og veiledning til institusjonene og til den enkelte forsker om forskning og personvern Bistå den registrerte med å ivareta sine rettigheter Føre en systematisk og offentlig oversikt over alle behandlinger På våre Internettsider er det tilrettelagt informasjon om alle meldinger som er behandlet. I tillegg har ledelsen ved den enkelte institusjon en egen portal over alle meldte forskningsprosjekter som gir detaljert informasjon om det enkelte prosjekt.
NAV-evaluering Moduler og prosjekter 8 institusjoner 7 moduler med til sammen ca. 20-25 underprosjekter En overordnet prosjektleder 7 modulledere Samarbeid mellom prosjekter innenfor moduler og mellom moduler Datainnsamlingsmetoder - Observasjon, intervju, spørreskjema, dokumentanalyse, tilgang til interne NAV-dokumenter, tilgang til registerdata (FD-trygd, sosialhjelpsdata, sykepengedata, arbeidsmarkedsdata etc). Utvalg! 10-20 opp til 100.000 (?)
Hvilke prosjekter skal meldes? Behandling av personopplysninger med elektroniske hjelpemidler Opprettelse av manuelt personregister som inneholder sensitive personopplysninger
Personopplysninger Opplysninger og vurderinger som direkte eller indirekte kan knyttes til en enkeltperson. Fotografier, bildeopptak og stemmer på lydopptak kan også anses som personopplysninger. Direkte identifiserbare opplysninger En person vil være direkte identifiserbar via navn, personnummer eller andre personentydige kjennetegn. Indirekte personidentifiserbare opplysninger En person vil være indirekte identifiserbar dersom det er mulig å identifisere vedkommende gjennom bakgrunnsopplysninger som for eksempel bostedskommune eller institusjonstilknytning kombinert med opplysninger om alder, kjønn, yrke, diagnose, etc.
Avidentifiserte vs anonyme opplysninger Avidentifiserte opplysninger Navn, personnummer eller andre personentydige kjennetegn erstattes med et nummer/ en kode/fiktive navn som viser til en atskilt liste med de direkte personopplysningene. Opplysningene kan kun knyttes til en enkeltperson ved å kople nummeret eller koden med listen. Avidentifiserte opplysninger er personopplysninger, uansett hvem som oppbevarer navnelisten, hvor den oppbevares og hvordan den oppbevares. Anonymiserte opplysninger Modul 5 Arbeidsretting - avidentifisert informasjon Opplysninger som ikke på noe som helst vis kan identifisere enkeltpersoner i et datamateriale, verken direkte gjennom navn eller personnummer, indirekte gjennom bakgrunnsvariabler, eller gjennom navneliste/koplingsnøkkel eller krypteringsformel og kode.
Sensitive opplysninger jf. personopplysningsloven 2 Rasemessig eller etnisk bakgrunn, politisk, religiøs, filosofisk oppfatning At en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling Helseforhold Seksuelle forhold Medlemskap i fagforeninger Modul 3, 4, 5, 6 - helseforhold - rasemessig.. - medlemskap i fagforeninger
Melde- og konsesjonsplikt jf. personopplysningsloven Meldepliktig 31 - Elektronisk behandling av personopplysninger - Opprettelse av manuelt register med sensitive personopplysninger NAV-prosjektene -Modul 1,(2), 3, 4, 6 og 7 vil i utgangspunkt være meldepliktige - Modul 5, kanskje modul 6, vil være konsesjonspliktig - Prosjekter som skal koples mot modul 5 vil antakelig også være konsesjonspliktige (avhenger av konsesjonsvilkår og ev. samtykke) Konsesjonspliktig 33 Elektronisk behandling av sensitive personopplysninger Fritaksregler 7-27 * Prosjektet er tilrådd av personvernombud Prosjektet er tilrådd av en regional forskningsetisk komité (dersom medisinsk eller helsefaglig forskning) -utvalgsstørrelse (under 5000 personer) - prosjektperiode (15-20 år) - registerdata (avidentifisert)
NAV-evalueringen Forholdet til personopplysningsloven Meldeplikt/Konsesjonsplikt - Hvilken institusjon skal melde behandlingen av personopplysninger? Avtaler - Mellom samarbeidende institusjoner - Skriftlig og formell - dokumentere hva samarbeidet innebærer - ansvarsfordeling og struktur - tilgang og bruk av datamaterialet - hvordan datamaterialet behandles, registreres og brukes - evt. eierskap - finansiering
NAV-evalueringen Forholdet til personopplysningsloven forts. Annen skriftlig dokumentasjon - Den institusjonen som har meldt prosjektet har gjennom meldingen dokumentert skriftlig behandling, registrering, oppbevaring og sikkerhetstiltak knyttet til behandlingen av personopplysninger. Det tilsvarende må samarbeidende institusjoner gjøre. Databehandler - Databehandler jf. personopplysningsloven 15 (for eksempel NSD, Questback) Personvernombudet kan være behjelpelig med utarbeidelse av avtaler
NAV- evalueringen- eksempel Modul 3 Lokal iverksetting - Delprosjektansvarlig AFI - Medarbeidere Høgskolen i Vestfold og Fafo - 6 delprosjekter - En organisasjonsdatabase - Samarbeid med modul 2 (Avtalearkivet) og modul 7 (Effektevalueringen) Melding til Personvernombudet - En institusjon melder AFI - I meldeskjemaet, punkt prosjektmedarbeidere, føres opp navn på deltakende institusjoner og medarbeidere som skal ha tilgang til personopplysninger
NAV- evalueringen- eksempel Modul 3, forts. Avtaler og annen dokumentasjon - Avtale inngås mellom AFI, Høgskolen i Vestfold og Fafo (og evt. Rokkan) - Dokumentasjon av registrering og behandling av personopplysninger ved deltakende institusjoner. Meldeplikt- en institusjon melder anbefalt løsning! Hvert delprosjekt meldes for seg, AFI melder prosjektet Totalt 6 meldinger. Det inngås avtale mellom deltakende institusjoner. Dokumentasjon utarbeides av deltakende institusjoner. Personvernombudet vil gi tilbakemelding til alle deltakende institusjoner.
Rekruttering og førstegangskontaktf Opprettelse av førstegangskontakt er i stor grad et forskningsetisk spørsmål. Fra et personvernperspektiv er likevel enkelte fremgangsmåter mindre problematiske enn andre. Vær oppmerksom på: - frivillighetsaspektet - avhengighetsforhold - taushetsplikt - privatlivets fred - gjenbruk NAV-prosjektene - politikere - ledere, direktorat - ledere, det enkelte NAVkontor - arbeidsgivere - brukere - ansatte Skriftlig eller muntlig kontakt!
Forskning med samtykke Hvem kan samtykke - Voksne personer over 18 år med samtykkekompetanse - Ungdom over 15 år kan vanligvis selv samtykke. Men foresatte bør som hovedregel gis informasjon - Barn under 15 år må foresatte samtykke Personer med redusert/manglende samtykkekompetanse - Gi tilpasset informasjon - Et hvert uttrykk på at vedkommende motsetter seg deltakelse skal respekteres - Konsultere nærmeste pårørende - Stedfortredende samtykke anses ikke som gyldig samtykke etter personopplysningsloven og helseregisterloven Muntlig og /eller skriftlig informasjon og samtykke
Informasjon og samtykke En frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv. Frivillig Samtykket skal ikke være avgitt under noen form for tvang eller press fra forsker eller andre involverte aktører Uttrykkelig Det skal ikke herske noen tvil om hvorvidt det avgis samtykke eller ikke Informert Den registrerte skal gis tilstrekkelig informasjon slik at vedkommende vet hva det samtykkes til og er i stand til å bruke sine rettigheter etter loven
Informert samtykke Prosjektets formål (bakgrunn og tittel). Navn og adresse til behandlingsansvarlig, daglig ansvarlig Medarbeidere og deres institusjonstilknytning Hvilke opplysninger som innhentes, og hvor de innhentes fra (intervju, observasjon, saksmappe, SSB etc.) Hva deltakelse innebærer. Hva opplysningene skal brukes til. Oppbevaring, evt. gjenbruk av data. Angivelse av prosjektets varighet og hva som skjer med personopplysningene etter prosjektslutt (sletting, anonymisering eller lagring i påvente av eventuell oppfølging). Frivillighet, mulighet for å trekke seg underveis uten begrunnelse Taushetsplikt, konfidensialitet
Informert samtykke forts. I noen tilfeller er det også relevant å oppgi informasjon om følgende: At foresatte/verge har rett til å se spørreskjema/intervjuguide som skal forelegges en umyndig. Evt. hvem personopplysninger skal utleveres til Finansiering (NFR etc.). At prosjektet er meldt til/tilrådd av, Norsk samfunnsvitenskapelig datatjeneste AS/evt. konsesjon fra Datatilsynet Se for øvrig http://www.nsd.uib.no/personvern/melding/pvo_eks_infoskriv.cfm
Forskning uten samtykke Vilkår i forhold til personopplysningsloven - Behandlingen må være nødvendig for å oppfylle formålet med prosjektet og behandlingen må være av allmenn interesse I tillegg, dersom det er sensitive personopplysninger, - Behandlingen må være nødvendig for historiske, statistiske eller vitenskapelige formål og samfunnsnytten klart overstige ulempene behandlingen vil ha for den registrerte. Gyldige grunner til ikke å informere og innhente samtykke - umulig eller uforholdsmessig vanskelig - den registrerte kjenner allerede til informasjonen varselet skal inneholde - utilrådelig ut fra vedkommendes helse eller forholdet til personer som står vedkommende nær Kan det være aktuelt å Begrunnes! lage hjemmesider om NAV-evalueringen?
Tilgang til taushetsbelagte opplysninger uten samtykke Krever dispensasjon fra taushetsplikten. Gis av aktuelle fagdepartement. Krever nødvendigvis n ikke meldeplikt /konsesjonsplikt! Dispensasjon er ikke nødvendig for tilgang til: Anonyme data Avidentifiserte fra de sentrale helseregistrene Modul 5 Arbeidsretting - Avidentifisert informasjon om den norske befolkning i forhold til arbeidsmarkeds og trygdetilstander (fom 1994) - Konsesjonspliktig (Datatilsynet) - Dispensasjon fra taushetsplikten Modul 6 Brukererfaringer - NAVs egne brukerundersøkelser - Dispensasjon fra taushetsplikten / samtykke
Arbeids- og inkluderingsdepartementet Taushetsbelagte opplysninger - Forvaltningsloven 13 første ledd (opplysninger om personlige forhold) og arbeids- og velferdsforvaltningsloven 7 - Forvaltningsloven 13 andre ledd (tekniske innretninger og fremgangsmåter samt drifts- eller forretningsforhold som det vil være av konkurransemessig betydning å hemmeligholde av hensyn til den opplysningen angår Søknad - Skriftlig søknad med begrunnelse Gir tillatelse for tilgang til; - Registerdata (FD-trygd, Arbeidsmarkedsdata) - Gir ikke innsyn i saksmapper - Tilretteleggelse for frivillige brukerundersøkelser Elektronisk registrering av taushetsbelagte personopplysninger krever meldeplikt/konsesjonsplikt SSB administrerer utlevering av registerdata
Arkivering av data Regelverket - ikke lagre personopplysninger lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen. Kan lagre personopplysninger for historiske, statistiske eller vitenskapelige formål, dersom samfunnets interesse i at opplysningene lagres klart overstiger de ulempene den kan medføre for den enkelte. NFR - kontraktfestet avlevering og oppbevaring av data Etisk aspekt - kontrakt mellom forsker og deltaker - informasjonsskriv og samtykkeerklæring legger føringer
Oppsummering! Samordne meldinger til personvernombudet Merk i tittel (NAV-evaluering Modul nr.) (Velferdsmodell, styringssystem og NAV (modul 1 under NAV-evalueringen)) Fyll ut og send meldeskjema i god tid (minst 30 dager før datainnsamlingen skal starte og/eller utvalget kontaktes) Alle felter i meldeskjemaet må fylles ut Legg ved alle relevante vedlegg Hovedregel: Informasjon og samtykke