幸运飞艇计划

Internkontrollsystemet best氓r av:听

Styrende del: Overordnede rammer og m氓l, styringssystem for informasjonssikkerhet og personvern (SIP) og IKT-reglement,

Gjennomf酶rende del: 幸运飞艇计划s rutiner (kvalitetssystem) for planlegging, gjennomf酶ring, avslutning og kontroll med forskningsprosjekter utgj酶r den gjennomf酶rende delen av internkontrollsystemet for forskning

• Veiviser med oversikt over rutiner for planlegging, oppstart, gjennomf酶ring og avslutning av forskningsprosjekter

Kontrollerende del: rutiner for oppf酶lgning og kontroll

All behandling av personopplysninger m氓 ha rettslig grunnlag i EUs personvernforordning (GDPR). Et rettslig grunnlag er hjemmel for behandlingen.

Det rettslige grunnlaget for behandling av personopplysninger i forbindelse med vitenskapelig forskning i regi av 幸运飞艇计划 vil som hovedregel v忙re:

• At behandlingen er n酶dvendig for 氓 utf酶re en oppgave i allmennhetens interesse (personvernforordningen artikkel 6 nr. 1 e). Denne bestemmelsen krever at det vises til supplerende rettslig grunnlag i nasjonale bestemmelser, jf. personvernforordningen artikkel 6 nr. 3.
• Supplerende rettslig grunnlag for behandling av personopplysninger for form氓l knyttet til vitenskapelig forskning er personopplysningsloven 搂 8. I henhold til personopplysningsloven 搂 8 kan personopplysninger behandles p氓 grunnlag av personvernforordningen artikkel 6 nr. 1 bokstav e) dersom det er n酶dvendig for form氓l knyttet til vitenskapelig forskning. Behandlingen skal v忙re omfattet av n酶dvendige garantier i samsvar med personvernforordningen artikkel 89 nr. 1.

Behandling av s忙rlige kategorier (sensitive) personopplysninger for form氓l knyttet til vitenskapelig forskning har r氓df酶ringsplikt med personvernombud, jf personopplysningsloven 搂搂 9 og 10. F酶r behandlingen av personopplysningene tar til skal forskeren r氓df酶re seg med 幸运飞艇计划s personvernombud eller personvernr氓dgiver hos Sikt.

Ved r氓df酶ringen skal det vurderes om behandlingen vil oppfylle kravene i personvernforordningen og 酶vrige bestemmelser fastsatt i eller med hjemmel i personopplysningsloven. Det er听et vilk氓r at behandlingen听av personopplysninger for vitenskapelig forskningsform氓l er omfattet av n酶dvendige garantier for 氓 sikre den registrertes rettigheter og friheter, jf. personvernforordningen artikkel 89 nr. 1, herunder at det er innf酶rt tekniske og organisatoriske tiltak for s忙rlig 氓 sikre at prinsippet om dataminimering overholdes. Nevnte tiltak kan omfatte pseudonymisering, forutsatt at form氓let med forskningen kan oppfylles p氓 denne m氓ten.听

R氓df酶ringsplikten anses som oppfylt ved gjennomf酶rt vurdering av 幸运飞艇计划s personvernombud eller Sikt. Prosjekter som r氓df酶res ved institusjonens personvernombud registreres direkte i RETTE. Etter gjennomf酶rt vurdering av Sikt overf酶res opplysninger om prosjektet til RETTE.

Det er et grunnvilk氓r at forskningen skjer i henhold til anerkjente forskningsetiske normer. Vurdering av om prosjektet er i tr氓d med forskningsetiske normer og retningslinjer, herunder om vilk氓r for deltakelse i forskningen er oppfylt,听faller utenfor vurderingen听med personvernombud eller personvernr氓dgiver, idet slik vurdering h酶rer under forskningsansvarliges听plikter etter forskningsetikkloven.听

Unntak fra r氓df酶ringsplikten

• hvis det allerede er gjennomf酶rt en personvernkonsekvensvurdering (DPIA) for prosjektet jfr. personopplysningsloven 搂 9, 2. ledd
• hvis det er gjennomf酶rt en personvernkonsekvensvurdering som omfatter flere lignende behandlingsaktiviteter som inneb忙rer tilsvarende risiko, og prosjektet vurderes 氓 v忙re en slik lignende behandling, jf. GDPR artikkel 35 (1).听Det m氓 dokumenteres i RETTE hvilken personvernkonsekvensvurdering prosjektet er tilknyttet.
• medisinsk og helsefaglig forskning som har godkjenning fra REK, jf. helseforskningsloven 搂 33, 3. ledd

Dersom forsker skal samle inn data i land utenfor E脴S, gjelder r氓df酶ringsplikten tilsvarende som ved datainnsamling i Norge.听

Ved planlegging av enhver behandling av personopplysninger for forskningsform氓l b酶r det vurderes om det er krav om 氓 gjennomf酶re en personvernkonsekvensvurdering (Data protection impact assessment - DPIA), i samsvar med kravene听i GDPR听artikkel 35. En personvernkonsekvensvurdering skal gjennomf酶res n氓r det er sannsynlig at behandlingen vil medf酶re h酶y risiko for de registrertes rettigheter og friheter, s忙rlig ved bruk av ny teknologi, og i det det tas hensyn til behandlingens art, omfang, form氓l og sammenhengen den utf酶res i. En vurdering kan omfatte flere lignende behandlingsaktiviteter som inneb忙rer tilsvarende h酶ye risikoer.

Datatilsynet har myndighet til 氓 bestemme at enkelte behandlingsaktiviteter skal v忙re omfattet av kravet til DPIA, og har bestemt at det er krav om 氓 gjennomf酶re en personvernkonsekvensvurdering. For form氓l knyttet til vitenskapelig forskning vil dette omfatte:

• behandling av s忙rlige kategorier personopplysninger for forskningsform氓l der deltakelse ikke er basert p氓 samtykke

Andre form氓l knyttet til vitenskapelig forskning kan ogs氓 v忙re omfattet av kravet, herunder kobling av store mengder sensitive personopplysninger, genetiske opplysninger mv.听

Personvernkonsekvensvurdering kan v忙re n酶dvendig for enkeltprosjekter og for behandlinger som har generelle forskningsform氓l, for eksempel opprettelse av helseregister for befolkningsbaserte studier eller andre registre for forskningsform氓l.听

Hvis forskningsprosjektet er听omfattet av kravet til DPIA, skal det avklares med institusjonens personvernombud om det skal gjennomf酶res en personvernkonsekvensvurdering. Personvernombudet skal involveres, og kan blant annet bist氓 med 氓 vurdere om personvernhensyn er tilstrekkelig ivaretatt.听Det er alltid behandlingsansvarlige som har ansvaret for 氓 gjennomf酶re personvernkonsekvensvurderingen.

Institusjonens l酶sninger og verkt酶y for personvernkonsekvensvurdering (DPIA) skal benyttes - se Hvordan opprette en personvernkonsekvensvurdering.听 Oversikten over gjennomf酶rte DPIA for forskningsform氓l, herunder sammenkobling av flere datasett for brede forskningsform氓l (behandlinger som tidligere var konsesjonspliktige), holdes oppdatert i samme l酶sning.听

Ved fortsatt h酶y risiko skal Datatilsynet kontaktes for forh氓ndsvurdering. F酶r forh氓ndsvurdering p氓begynnes skal behandlingsansvarlige f酶rst vurdere om ytterligere tiltak kan iverksettes for 氓 redusere personvernrisikoen for de registrerte.

Unntak fra kravet om 氓 gjennomf酶re personvernkonsekvensvurdering (DPIA)

• hvis det er gjennomf酶rt en personvernkonsekvensvurdering som omfatter flere lignende behandlingsaktiviteter som inneb忙rer tilsvarende risiko, og prosjektet vurderes 氓 v忙re en slik lignende behandling, jf. GDPR artikkel 35 (1).听Det m氓 dokumenteres i RETTE hvilken DPIA prosjektet er tilknyttet
• dersom en behandling som gjennomf酶re i henhold til artikkel 6 nr. 1 c) eller e) har et rettslig grunnlag i nasjonale bestemmelser, og det allerede er utf酶rt en vurdering av personvernkonsekvenser som del av en generell konsekvensvurdering i forbindelse med vedtakelse av nevnte rettslig grunnlag. Krever n忙rmere vurdering, men kan v忙re aktuelt for forskning p氓 opplysninger fra helseregistre der det er gjennomf酶rt en personvernkonsekvensvurdering som vilk氓r for 氓 kunne etablere registeret.听

B氓de beslutningen om 氓 gjennomf酶re en personvernkonsekvensvurdering, og 氓 ikke gjennomf酶re en personvernkonsekvensvurdering, m氓 begrunnes og dokumenteres. Personvernombudet skal involveres i vurderingen.听

Personvernforordningen artikkel 30 p氓legger听virksomheten 氓 ha听oversikt over alle behandlinger av personopplysninger (protokoll). Alle forsknings-, doktorgrads- og studentprosjekter, samt kvalitetssikringsprosjekter som gjennomf酶res av studenter eller forskere, skal derfor f酶res inn i 幸运飞艇计划s prosjektoversikt RETTE (Risiko og ETTErlevelse i forskningsprosjekter). Prosjektoversikten vil danne grunnlag for tilsyn og kontroll med forskningsprosjekter.

Oversikten omfatter ogs氓 kvalitetssikringsprosjekter som utf酶res med vitenskapelig metode som del av bachelor, master eller forskerutdanning.

Les mer om kravet om registrering i RETTE her og fremgangsm氓te her.听

Alle forskningsprosjekter skal ha en datah氓ndteringsplan. Prosjektleder har ansvar for at det blir satt opp en datah氓ndteringsplan for prosjektet. Datah氓ndteringsplanen skal beskrive hvordan forskningsdata skal samles inn, lagres og deles slik at dataene blir h氓ndtert sikkert og forsvarlig.

Planen skal v忙re et aktivt dokument som oppdateres underveis i prosjektet og som dokumenterer hvordan forskningsdata blir behandlet og organisert gjennom hele prosjektet.听En datah氓ndteringsplan skal ogs氓 inkludere vurderinger knyttet til etikk og personvern. Planen skal tilfredsstille krav fra finansieringskildene og v忙re i tr氓d med 幸运飞艇计划s retningslinje for behandling av personopplysninger.听听

Personopplysninger skal ikke lagres lenger enn det som er n酶dvendig for form氓let de ble innhentet for, hvis ikke annet er bestemt i lov eller f.eks. i forbindelse med finansiering av forskning.

Prosjektleder er ansvarlig for de data som prosjektet samler inn og bruker听og skal ha tilgang til alle forskningsdata som prosjektet omfatter. Prosjektleder tildeler tilgangsrettigheter og holder oversikt over hvem som har tilgang til dataene. Prosjektleder er ogs氓 ansvarlig for h氓ndteringen av aktive forskningsdata og for sletting/lagring av data p氓 en betryggende m氓te ved prosjektets avslutning.听

Prosjektleder skal s酶rge for at det iverksettes tiltak ang氓ende forskningsdataene som st氓r i forhold til faktisk risiko basert p氓 en risikovurdering.听 Sentrale forhold i risikovurderingen er prosjektets omfang, opplysningenes f酶lsomhet, trusselbildet knyttet til milj酶et opplysningene bearbeides og lagres i, og prosjektets varighet. Alle vurderinger og tiltak skal v忙re dokumentert.

For 氓 minimere risikoen ved behandling av personopplysninger skal prosjektleder vurdere om personopplysningene kan pseudonymiseres, dvs. behandles p氓 en slik m氓te at personopplysningene ikke lenger kan knyttes til en bestemt registrert uten bruk av tilleggsopplysninger. Opplysningene vil fortsatt regnes som personopplysninger etter loven.听

Prosjektmedarbeideres tilgang til forskningsdata

Forskningsdataene skal bare v忙re tilgjengelig for godkjente prosjektmedarbeidere fram til prosjektavslutning. Prosjektleder bestemmer hvilke prosjektmedarbeidere som skal ha tilgang til pseudonymiserte personopplysninger og koblingsn酶kkel. Prosjektleder skal ha dokumenterbar oversikt over hvem som har tilgang til data. Oversikten skal v忙re tilgjengelig for forskningsansvarlig.听

Prosjektmedarbeidere skal normalt ikke ha tilgang til koblingsn酶kkel. I de tilfeller de har tilgang til koblingsn酶kkelen, er ikke lenger dataene 氓 anse som pseudonymiserte, men som direkte personidentifiserbare, noe som skjerper kravene til forsvarlig behandling og oppbevaring.听听

Ved prosjektslutt skal prosjektleder s酶rge for at personopplysningene blir anonymisert eller slettet hvis det ikke er krav om langtidslagring eller deponering. Etter anonymisering skal det ikke v忙re mulig 氓 knytte opplysninger til enkeltpersoner.

Ved oppbevaring til videre bruk skal oppbevaringen av personopplysningene v忙re omfattet av tekniske og organisatoriske tiltak for 氓 sikre at prinsippet om dataminimering overholdes. Nevnte tiltak omfatter informasjonssikkerhet og pseudonymisering.

Forskningsansvarlig skal gjennomf酶re systematiske tiltak for 氓 p氓se at prosjektet gjennomf酶res i tr氓d med retningslinjene og at behandling av personopplysninger er i samsvar med lover, forskrifter og 幸运飞艇计划s egne retningslinjer. Kontrollen skal sikre at听r氓df酶ringsplikten, personvernkonsekvensvurderinger og n酶dvendige etiske godkjenninger er overholdt.听

Hvis forskningsansvarlig oppdager avvik, skal dette 听i 幸运飞艇计划s l酶sning for avviksh氓ndtering.

Forskningsansvarlig skal kontrollere om rutinene knyttet til avslutning er fulgt og at forskningsdata som er oppbevart elektronisk eller i andre arkiv er slettet, anonymisert eller pseudonymisert.