All behandling av personopplysninger må ha et lovlig grunnlag, også kalt behandlingsgrunnlag. Det mest vanlige i forskning er å innhente samtykke, men det finnes også andre lovlige grunnlag.
For behandling av personopplysninger i forskning, er behandlingsgrunnlaget som oftest samtykke.
Bruker du NSDs veiledende mal er du på god vei for å sikre at samtykket du innhenter er gyldig.
Her finner du maler for informasjonsskriv som kan tilpasses ditt prosjektLovlig grunnlag kan i noen tilfeller også være at behandlingen er nødvendig for et formål som lovverket anser som rettmessig. Det kan være å utføre en oppgave i allmennhetens interesse eller utøve en rettslig forpliktelse som behandlingsansvarlig har etter norsk lov.
Nedenfor redegjør vi for de ulike behandlingsgrunnlagene som er aktuell for bruk i forskning.
Lovlig grunnlag for samtykke:
Et gyldig samtykke krever at det er:
Det skal være frivillig å delta i forskning. Samtykket er ikke gyldig dersom deltakeren føler seg presset til å samtykke, eller dersom det får uheldige konsekvenser å ikke samtykke. Det er viktig at det ikke er skjevt maktforhold mellom den som spør og den som deltar. For eksempel kan det være vanskelig for en elev å takke nei til å delta i egne læreres forskning.
Det må være tydelig og spesifikt hva man samtykker til. Det vil si at man må samtykke til et klart og presist formulert formål. Dersom noen har samtykket til et formål, kan personopplysningene kun brukes til dette. Dersom et prosjekt har flere formål, må man be om samtykke til hvert enkelt formål separat. Det er mulig å be om samtykke til brede formål i forskningsprosjekt.
Når du ber om samtykke, må du bruke klart, enkelt og forståelig språk som målgruppen forstår og fatte deg i korthet. Vi anbefaler at du benytter vår mal for informasjonsskriv for å sikre at deltakerne er tilstrekkelig informert.
Den som skal delta i forskningen må foreta en aktiv handling for at samtykket skal være gyldig. En handling kan være å klikke på en knapp, skrive under på et samtykkeskjema, eller hake av i en boks. Passivitet eller mangel på svar er ikke et gyldig samtykke.
Et samtykke er bare gyldig hvis det kan dokumenteres. Loven sier ikke hvordan det skal gjøres, men det kan f.eks. avgis via signatur, muntlig på lydopptak, avkrysning på skjema eller via epost.
Selv om du kan dokumentere samtykket er det viktig at du ikke samler inne flere opplysninger enn det som er nødvendig for din forskning.
Skal du for eksempel samle inn opplysninger via et elektronisk spørreskjema kan det være tilstrekkelig at utvalget ditt trykker på en knapp som bekrefter samtykket. Du må ikke samle inn signatur.
Avkrysningsbokser bør legges opp slik at deltakeren kan velge å samtykke til noen deler av studien uten å delta på alt (for eksempel spørreskjema, men ikke intervju).
Avkrysningsbokser er også aktuelt dersom du skal lagre data med personopplysninger for videre forskning eller det skal brukes til flere formål.
Det skal være like lett å avgi samtykke som å trekke tilbake samtykke. Ved tilbaketrekking av samtykke skal du vanligvis slette denne personens personopplysninger fra datamaterialet.
Personen som samtykker til deltakelse i et forskningsprosjekt må ha samtykkekompetanse. Dette innebærer at personen må ha visse grunnleggende personlige egenskaper. Personen kan ikke være fysisk eller psykisk svekket på en måte som gjør at vedkommende ikke lenger har tilstrekkelig evne til å treffe en rasjonell avgjørelse.
Det kan være vanskelig å avgjøre når evnen er for liten til å kunne si at personen ikke har samtykkekompetanse. Det vil være en flytende grense som avhenger av hvor omfattende forskningsprosjektet er. Det er fagpersoner som må ta avgjørelsen om personer innehar samtykkekompetanse eller ikke. Les mer om forskning på sårbare grupper.
Barn og ungdommer kan som hovedregel selv samtykke til deltakelse i forskning når de er fylt 15 år. For barn under denne alderen bør foreldre samtykke på vegne av barnet. Hvis det skal samles inn særlige kategorier av personopplysninger må ungdommen være fylt 16 år for å samtykke.
Når foresatte skal samtykke for sitt barn kan det være utfordrende å vite med sikkerhet at den som samtykker faktisk er den som har foreldreansvaret. I prosjekter hvor det er lav personvernulempe eller lav risiko kan det være tilstrekkelig at foreldre for eksempel samtykker over epost, men dersom risikoen med behandlingen er større kan det være aktuelt å be om ytterligere bevis på foreldreansvaret.
Les mer om forskning på barn.
Dersom forskningsprosjektet skal behandle særlige kategorier (sensitive personopplysninger), gjelder det krav om at samtykket må være uttrykkelig – også ofte kalt eksplisitt. Et uttrykkelig samtykke betyr et samtykke som er gitt på en ekstra tydelig måte.
Et eksempel på et uttrykkelig samtykke er signatur på en samtykkeerklæring eller lydopptak av samtykke.
Her er noen eksempler på hvordan du kan innhente uttrykkelig samtykke hvis du ikke er i fysisk kontakt med utvalget ditt:
Merk at eksemplene gjelder ved krav om uttrykkelig samtykke når det innhentes særlige kategorier av personopplysninger og er kun ment som ulike eksempler.
I spørreskjema som kun behandler alminnelige kategorier av personopplysninger kan samtykke registreres ved at deltakerne svarer på undersøkelsen.
Når du innhenter et samtykke skal du gi informasjon til utvalget ditt om hvor lenge du skal behandle deres personopplysninger. Du kan beholde utvalget sine opplysninger så lenge de har samtykke til det.
Det finnes ingen gitt tidsperiode for hvor lenge et samtykke er gyldig, men hvis prosjektet er langvarig skal du gi utvalget supplerende informasjon med jevne tidsintervaller.
Supplerende informasjon minner utvalget på at de er deltakere i forskningen og at de kan benytte seg av sine rettigheter. Dersom forskningsprosjektet endrer seg kan det bli aktuelt å innhente et nytt samtykke.
Du må kunne dokumentere at du har innhentet gyldig samtykke så lenge du behandler personopplysninger i forskningen din.
Når du ikke lenger behandler personopplysninger skal du vanligvis også slette samtykket.
Hvis du grunnet sensur eller fagfellevurdering har behov for å beholde samtykket i en begrenset periode etter prosjektslutt går dette fint. Du må i så tilfelle planlegge for dette i forkant og du må informere utvalget om lagring av samtykke for dette formålet.
I noen tilfeller kan det av ulike grunner være vanskelig å innhente et gyldig samtykke fra utvalget, eller samtykke innebærer en uforholdsmessig innsamling av personopplysninger. I slike tilfeller vil vi anbefale at du bruker «allmenn interesse» som rettslig grunnlag. Du kan velge dette som alternativ i meldeskjemaet til NSD.
Du må oppgi hvorfor forskningen din er i allmennhetens interesse og argumentere for samfunnsnytten ved prosjektet ditt.
Registerforskning er eksempel på en forskningsmetode der allmenn interesse ofte blir et egnet rettslig grunnlag for behandlingen.
Husk at selv om du ikke innhenter samtykke fra utvalget ditt, skal du likevel i utgangspunktet informere dem om studien.
Behandlingen må være nødvendig for å utføre en oppgave i allmennhetens interesse eller nødvendig for et formål knyttet til vitenskapelig eller historisk forskning. Dette betyr at det må foretas en nødvendighetsvurdering av behandlingen.
Nødvendig er et sterkt begrep og som innebærer strenge krav. Det betyr derimot ikke at behandlingen av opplysninger vil være umulig uten å bruke allmenn interesse som grunnlag, men nødvendighetsbegrepet forutsetter at det må være veldig vanskelig å oppnå forskningsformålet uten å benytte allmenn interesse som grunnlag.
I begge tilfellene, altså både for alminnelige eller særlige kategorier personopplysninger, må behandlingen også ha hjemmel i lov eller forskrift, såkalt supplerende rettsgrunnlag. Det vil si at behandlingsgrunnlaget må fastsettes i en lov som den behandlingsansvarlige er underlagt. I Norge er det personopplysningsloven §§ 8 og 9 som fastsetter nærmere regler for allmenn interesse som behandlingsgrunnlag i forskning, men det kan også være andre lover som kan utgjøre et slikt supplerende rettsgrunnlag.
Personopplysningsloven § 9 har noen strengere vilkår enn § 8, ettersom § 9 gjelder for særlige kategorier personopplysninger. Bestemmelsen gjelder kun dersom «samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte», og gir derfor uttrykk for at det må foretas en interesseavveining i forskningsprosjektet.
Dette innebærer at det skal gjøres en interesseavveining mellom samfunnets interesser i forskningen og de ulempene behandlingen medfører for den enkelte og videre at den må klart slå ut i favør av samfunnsinteressen for å kunne bruke bestemmelsen i et forskningsprosjekt. Videre er det ved behandling av særlige kategorier krav om at den behandlingsansvarlige skal rådføre seg med personvernombudet eller en annen, slik som NSD.
Som hovedregel skal det også gis informasjon når det lovlige grunnlaget er allmennhetens interesse.
Dersom det ikke er mulig å gi individuell informasjon, bør du forsøke å gi kollektiv informasjon ved å gjøre informasjonen offentlig tilgjengelig på en egen nettside om prosjektet eller lignende. Dersom det er vanskelig å gi informasjon til de registrerte i henhold til informasjonsplikten etter artikkel 14, må det gjøres unntak for denne plikten.
Du må selv argumentere for hvorfor det eventuelt er vanskelig å gi informasjon.
I noen forskningsprosjekter er det behov for å behandle opplysninger om straffedommer og lovovertredelser. Det er i forordningen artikkel 10 vi finner vilkår for behandling av slike opplysninger. Bestemmelsen sier for det første at all behandling av slike opplysninger må ha rettslig grunnlag i artikkel 6 nr. 1. Dette betyr at det må foreligge et lovlig rettslig grunnlag for at det skal være adgang til å behandle opplysninger om straffedommer og lovovertredelser.
Dersom det rettslige grunnlaget er allmenn interesse, vil det videre være krav om et supplerende rettslig grunnlag i nasjonal rett, slik som personopplysningsloven § 8 for forskning.
I utgangspunktet kan opplysninger om straffedommer og lovovertredelser kun behandles av offentlige myndigheter. Dersom de skal behandles av andre, slik som i forskning, må det være fastsatt nasjonale bestemmelser om dette som ivaretar de registrertes rettigheter og friheter. Det er personopplysningsloven § 11 som er en slik nasjonal bestemmelse, og bestemmelsen supplerer derfor personvernforordningen artikkel 10.
Behandlingsansvarlig kan bare behandle opplysninger om straffedommer og lovovertredelser dersom behandlingen:
Kvalitetssikringsprosjekter enten i høyere utdanning eller i helsesektoren er eksempler på prosjekter der dette er et egnet behandlingsgrunnlag.
Kvalitetssikring i helsesektoren handler om å evaluere en tjeneste (prosedyre, medikament, operasjon), behandlingen utført av en enhet (team, avdeling, sykehus), eller behandling knyttet til en bestemt diagnose. Kvalitetssikring i utdanningssektoren handler om å systematisk kvalitetsarbeid for å sikre kvaliteten i studietilbudene.
Lovlig grunnlag:
Les mer om intern kvalitetssikring i helsesektoren.
I henhold til artikkel 9 nr. 1 bokstav e) kan en behandlingsansvarlig lovlig behandle særlige kategorier personopplysninger dersom det er åpenbart at den registrerte har offentliggjort disse.
Vilkåret om at opplysningene er offentliggjort innebærer at den registrerte har gjort opplysningene åpent tilgjengelig for et ubestemt antall mennesker. Dette kan for eksempel være opplysninger en person har offentliggjort om sin helsetilstand, sin politiske oppfatning eller lignende i en autorisert biografi, i en avis, internett eller andre medier som ikke er forbeholdt et bestemt antall/gruppe mennesker.
Behandling av opplysninger om aktive partipolitikere eller personer som offentlig bekrefter sin religiøse tilhørighet, kan skje med grunnlag i denne bestemmelsen, forutsatt at det foreligger rettslig grunnlag etter artikkel 6.
Også behandling av opplysninger som andre offentliggjør, og som den registrerte senere bekrefter, vil kunne være dekket av behandlingsgrunnlaget i art. 9 nr. 2 bokstav e).