Før opstart af forskningsprojekt

Du skal først og fremmest tage stilling til, om der i dit forskningsprojekt behandles personoplysninger, og hvis du gør det, vil du være omfattet af reglerne om behandling af persondata.

Hvis du behandler personoplysninger, kan du læse mere om de forskellige typer personoplysninger her. 

Hvis du er i tvivl, om du behandler personoplysninger i dit forskningsprojekt, kan du altid kontakte SDU RIO.

Man skelner mellem dataansvarlige og databehandlere. Det er vigtigt, at du kender din egen rolle i forbindelse med behandlingen af personoplysninger, fordi kravene til dataansvarlige og databehandlere er forskellige. Dataansvarlige afgør alene eller sammen med andre til hvilke formål og med hvilke hjælpemidler, der må foretages behandling af personoplysninger. Databehandlere behandler personoplysninger på den dataansvarliges vegne.

Det betyder, at hvis det er dig der definerer, hvorfor der skal behandles personoplysninger (formålet) og hvordan der skal behandles personoplysninger (hjælpemidler) vil SDU være dataansvarlig. Derfor skal du anmelde dit forskningsprojekt til SDU RIO, så dit forskningsprojekt fremgår af SDU’s interne fortegnelse over forskningsprojekter.

Hvis du er i tvivl, om dataansvaret i dit forskningsprojekt, kan du altid kontakte SDU RIO.

Hvis du behandler persondata i dit forskningsprojekt, og SDU er dataansvarlig, så skal projektet anmeldes til SDU RIO. Juristerne i SDU RIO modtager anmeldelsen, gennemgår denne, stiller spørgsmål til den projektansvarlige, foretager en risikovurdering baseret på oplysningerne i anmeldelsesskemaet, registrerer projektet og giver dig en udtalelse (som bl.a. indeholder kravene til behandling af personoplysninger og behandlingssikkerhed). 

Foruden at registrere projekterne vedligeholder juristerne en oversigt (fortegnelse) over forskningsprojekter og forskningsdatabaser. Herved har SDU styr på i hvilke forskningsprojekter, der behandles personoplysninger. Fortegnelsen kan sendes til Datatilsynet ved et eventuelt tilsyn. 

Du skal forvente en uges sagsbehandlingstid fra du anmelder projektet til SDU RIO kontakter dig. Bemærk venligst, at projekter som udgangspunkt ikke kan forventes godkendt inden for en uge, da det afhænger af projektets kompleksitet (særlige hjemler, mange registrerede, eventuelle databehandleraftaler eller andet). 

Du skal tage stilling til med hvilket formål og ud fra hvilken hjemmel, du vil behandle personoplysninger i dit forskningsprojekt (det vil du også blive bedt om at tage stilling til ved anmeldelse af forskningsprojektet til SDU RIO). 

Når du behandler personoplysninger, skal du være bevidst om formålet. Det er f.eks. væsentligt om personoplysningerne kun skal behandles i forskningsøjemed, eller om de også skal behandles til andre formål (f.eks. undervisning, administration eller andet). Vurdér desuden altid om projektet kan gennemføres med færre eller mindre indgribende persondata. Hvis navn, landsdel og alder f.eks. er tilstrækkelig til forskningsprojektets formål, bør du ikke også behandle CPR-numre, fagforeningsmæssige tilhørsforhold eller andet jf. princippet om dataminimering.

I forskningssammenhænge skelnes der primært mellem behandling på baggrund af samtykke eller behandling på baggrund af databeskyttelseslovens § 10 (forskning i samfundets interesse). Der er fordele og ulemper ved begge hjemmelsgrundlag, og du bør derfor have overvejet det nøje, inden du begynder at indsamle og behandle persondata. Du kan læse mere om de to hjemmelsgrundlag her. 

SDU RIO kan vejlede om hjemmelsgrundlag.

Når du indsamler personoplysninger (f.eks. ved spørgeskemaundersøgelser, interviews, video- /lydoptagelser eller lignende) skal du give den registrerede en række oplysninger – og efterleve den såkaldte oplysningspligt. 

Det er ikke tilstrækkeligt at oplyse om forskningsprojektets indhold og formål; databeskyttelsesloven stiller også krav om, at du skal give en række oplysninger af ren juridisk karakter. Det drejer sig blandt andet om følgende: Identitet på og kontaktoplysninger for den dataansvarlige, kontaktoplysninger på databeskyttelsesrådgiveren (DPO), formålet med behandlingen, hjemmel osv. Du kan læse mere om oplysningspligten her.

Hvis du er i tvivl om oplysningspligten, kan du altid rette henvendelse til SDU RIO.

Hvis du i dit projekt skal udveksle indsamlede personoplysninger med kollegaer på SDU, andre universiteter, eller eksterne virksomheder eller organisationer, skal det afklares hvorvidt der er tale om videregivelse, om der skal udarbejdes en databehandleraftale.  Ellers skal du søge SDU RIO om tilladelse til at en anden kollega kan genbruge oplysningerne til et nyt projekt. Hvis du har spørgsmål til f.eks. videregivelse eller anden form for samarbejde om personoplysninger, skal du altid kontakte SDU RIO.

SDU's Open Science policy stiller krav om, at projektets håndtering af de indsamlede data eller skabte forskningsdata skal planlægges. Formen og omfanget af planlægningen varierer mellem forskellige forskningsområder, og de konkrete krav til planlægningen fastlægges i de enkelte institutters Open Science-politikker. I mange tilfælde vil det være en god idé eller et krav at lave en formel Data Management Plan.

Dit institut arbejder muligvis med en specifik skabelon, og ellers kan du finde inspiration hos DMP online.

Hvis du har behov for konkret vejledning eller sparring omkring din Data Management Plan, kan du kontakte Research Data Management-support. 

Dit forskningsprojekt skal oprettes i et journal- og økonomisystem, hvis: 

• Der indgås en aftale med en ekstern part 
• Du har modtaget en ekstern bevilling 
• SDU hæfter for noget i forbindelse med dit forskningsprojekt

Bed dit institut om hjælp, hvis du er i tvivl. SDU RIO opretter Acadre-sager til alle anmeldte forskningsprojekter (inkl. dem hvor der ikke er en ekstern bevilling eller samarbejde med ekstern part). Du er velkommen til at benytte dette Acadre sagsnummer til opbevaring af projektdokumentation.

Du anbefales desuden at oprette en mappe på f.eks. SharePoint til opbevaring af al relevant projektdokumentation (f.eks. Data Management Plan, teksten til oplysningspligten, RIO’s godkendelse af det anmeldte forskningsprojekt ol.). Hvis du benytter samtykke som hjemmel for din behandling af persondata, er det særligt vigtigt at disse bliver opbevaret et tilgængeligt sted, idet det er din og SDU’s eneste dokumentation for, at du har lov til at behandle oplysninger. Det er ligeledes relevant i tilfælde af, at en respondent trækker sit samtykke tilbage.

Forskningsprojekter som omfatter behandlingen af menneskeligt biologisk materiale skal anmeldes til det videnskabsetiske komitésystem. Det er særligt relevant for forskningsprojekter tilknyttet Det Sundhedsvidenskabelige Fakultet - se mere her. Hvis dit forskningsprojekt ikke er anmeldelsespligtigt, men du gerne vil have en etisk godkendelse af dit forskningsprojekt, kan du søge SDU’s videnskabsetiske komité (REC) om en etisk godkendelse. Bemærk at du skal anmode komitéen om godkendelse, inden du påbegynder dit forskningsprojekt. REC har faste mødedatoer og frister for ansøgninger.