Inden opstart af projekt

Hvis du skal behandle personoplysninger  i forbindelse med et forskningsprojekt, skal projektet anmeldes til SDU RIO, inden du går i gang med at indsamle personoplysninger. 

Her skal du anmelde dit forskningsprojekt med personoplysninger

Læs mere her hvis du er SDU-dataansvarlig. Nogle gange kan det være vanskeligt at afgøre om SDU eller f.eks. Region Syddanmark er dataansvarlig for et forskningsprojekt, og om det derfor skal anmeldes til SDU eller til Region Syddanmark. Der findes desværre ikke nogen facitliste, men hvis du er dobbeltansat eller ansat i regionen og indskrevet på en ph.d.-uddannelse på SDU, så kontakt SDU RIO ( sdu.persondata@sdu.dk), som så forsøger (sammen med regionens jurister) at finde ud af hvor det er mest hensigtsmæssigt at placere dataansvaret. Læs evt mere om databeskyttelse i regionerne her. Husk at hvert forskningsprojekt skal have en projektansvarlig, dvs. en person, der har ansvaret for, at databeskyttelsesreglerne er opfyldt for hver enkelt behandling, og som fungerer som kontaktperson for SDU RIO.  

I anmeldelsen skal du blandt andet tage stilling til formål og hjemmel: Hvis du behandler personoplysninger, skal du være bevidst om formålet med indsamling/behandling af personoplysninger. Det er f.eks. væsentligt om personoplysningerne kun skal behandles til forskning eller om de også skal behandles til andre formål (undervisning, patientbehandling, administration).

• Vurder nødvendigheden af mængde og type af personoplysninger. Hvilke personoplysninger er nødvendige ud fra formålet? Indhent kun de personoplysninger der er nødvendige for at opfylde formålet med projektet.
• Skal du have samtykke- eller forskningshjemmel? Læs mere  her    om valg af behandlingshjemmel.

Forbered tekst til oplysning af informanter/respondenter/registrerede. Du skal oplyse om formål med behandling, retligt grundlag for behandlingen, kontaktinformation og modtagere af personoplysninger m.v. RIO kan hjælpe dig med at sikre at din deltagerinformation opfylder kravene.

Hvis dit projekt er et registerprojekt, skal du som udgangspunkt ikke have samtykke fra de registrerede. Øvrige regler, om behandlingshjemmel og anmeldelse af projekt, m.v., gælder fortsat. 

Hvis du undervejs i dit projekt skal udveksle indsamlede personoplysninger med kolleger på SDU, andre universiteter, hospitaler, virksomheder eller organisationer, skal du have afklaret hvorvidt der er tale om en videregivelse, om du skal have lavet en databehandleraftale eller om du skal søge RIO om tilladelse til at genbruge personoplysningerne til et nyt projekt (genbrug). Spørg RIO( sdu.persondata@sdu.dk), hvis du er i tvivl. Hvis der er tale om videregivelse, skal du søge RIO eller Datatilsynet om tilladelse til at videregive personoplysningerne, og er der tale om overladelse af oplysninger til en databehandler, har SDU RIO nogle skabeloner til databehandleraftaler. Hvis en af dine forskerkolleger ønsker at genbruge personoplysninger, skal du også have tilladelse fra RIO. At arbejde på samme projekt på fx Danmarks Statistik, eller at bruge en app til dataindsamling er også at udveksle data med andre.  

Se mere om videregivelse

Se mere om databehandleraftaler

Hvis du skal bruge personoplysninger fra andre  i dit forskningsprojekt, f.eks. Danmarks Statistik, Sundhedsdatastyrelsen, andre danske eller udenlandske universiteter eller hospitaler, vil der ofte skulle indgås en aftale. Flere institutter har indgået databehandleraftaler med Danmarks Statistik og SDU har indgået en databehandleraftale med Sundhedsdatastyrelsen. Hvis du skal bruge personoplysninger fra Danmarks Statistik eller Sundhedsdatastyrelsen behøver du altså ikke kontakte SDU RIO mhp. indgåelse af en databehandleraftale. I andre tilfælde vil det universitet, hospital m.v. hvis personoplysninger du skal bruge kræve, at der bliver indgået en databehandleraftale,en Data Access Agreement m.v. og så skal du kontakte SDU RIO.  

Hvis du skal bruge personoplysninger fra andre  i dit forskningsprojekt, f.eks. Danmarks Statistik, Sundhedsdatastyrelsen, andre danske eller udenlandske universiteter eller hospitaler, vil der ofte skulle indgås en aftale. Flere institutter har indgået databehandleraftaler med Danmarks Statistik og SDU har indgået en databehandleraftale med Sundhedsdatastyrelsen. Hvis du skal bruge personoplysninger fra Danmarks Statistik eller Sundhedsdatastyrelsen, behøver du altså ikke kontakte SDU RIO mhp. indgåelse af en databehandleraftale. I andre tilfælde vil det universitet, hospital m.v. hvis personoplysninger du skal bruge, kræve, at der bliver indgået en databehandleraftale, en Data Access Agreement m.v. og så skal du kontakte SDU RIO ( sdu.persondata@sdu.dk) .  

Juristerne i RIO modtager anmeldelsen, gennemgår anmeldelsen og stiller spørgsmål til den projektansvarlige, foretager en risikovurdering af projektetbaseret på oplysningerne i anmeldelsesskemaet, og registrerer projektet og bekræfter registreringen med en udtalelse som også indeholder kravene til behandling af personoplysninger og behandlingssikkerhed. Udover at registrere projekterne, vedligeholder juristerne en oversigt (fortegnelse) over forskningsprojekter og forskningsdatabaser/-registre. RIO kan også bede IT-service om at foretage en risikovurdering af projektet, hvis det skønnes nødvendigt.

Er du i tvivl?

• Er du i tvivl om, hvorvidt du behandler personoplysninger, kan du sende en mail til sdu.persondata@sdu.dk
• Hvis du allerede er i gang med et forskningsprojekt, som burde have været anmeldt, kan du sende en mail til  sdu.persondata@sdu.dk
• Vær opmærksom på, at hvis personoplysningerne omhandler en person, der er død for mere end 10 år siden, er oplysningerne ikke omfattet af reglerne.  
• Hvis du ønsker at ændre i en eksisterende anmeldelse,er der en ændringsblanket her.

Mange sundhedsvidenskabelige forskningsprojekter skal anmeldes til det videnskabsetiske komitésystem, men ikke alle projekter kan anmeldes.Spørgeskemaundersøgelser og sundhedsvidenskabelige registerforskningsprojekter skal kun anmeldes til det videnskabsetiske komitésystem, hvis projektet omfatter menneskeligt biologisk materiale. Hvis dit forskningsprojekt ikke er anmeldelsespligtigt, men du gerne vil have en etisk godkendelse eller hvis en etisk godkendelse kræves af National Institutes of Health, kan du søge SDU’s videnskabsetiske komite REC om en etisk godkendelse. Bemærk, at du skal søge komiteen inden du påbegynder dit forskningsprojekt, og at de har faste mødedatoer og frister for ansøgninger. Se fristerne her.

Hvis du indsamler personoplysninger hos den registrerede (spørgeskemaundersøgelser, interviews, tager blodprøver m.v.) hvor du har kontakt til den registrerede, skal du give ham/hende en række oplysninger.

Det er ikke nok at oplyse om forskningsprojektets indhold og formål; databeskyttelsesforordningen stiller også krav om, at du/den dataansvarlige skal give en række oplysninger af juridisk karakter. Det drejer sig bl.a. om følgende oplysninger:

• Identitet på og kontaktoplysninger for den dataansvarlige
• Kontaktoplysninger for en eventuel databeskyttelsesrådgiver. På SDU er det DPO'en dpo@sdu.dk
• Formålene med den behandling, som personoplysningerne skal bruges til, og retsgrundlaget for behandlingen

Kontakt evt SDU RIO  for hjælp på sdu.persondata@sdu.dk. 

Der skal være dokumentation af din databehandling. Det kaldes en data management plan, og den skal du begynde at lave før du går i gang. Der skal lavesdata management plan for alle typer af databehandling,det gælder også projekter med kvalitative data, fotos, etc.

Data management planen skal bruges gennem hele projektet. Måske har dit institut en skabelon, ellers kan du finde inspiration hos DMP online eller Rigsarkivet .

Hvis du har spørgsmål til din data management plan, har du mulighed for at kontakte OPEN (open@rsyd.dk) - primært for forskere på SUND - eller Research Data Management-support på SDU for at modtage konkret vejledning. Læs mere om Research Data Management Support her.

Dit projekt skal oprettes i journalsystem og økonomisystem. Hvis du er i tvivl om hvordan, kan jeres enheds sekretær hjælpe. Opret en mappe på fællesdrev, Sharepoint, eller lignende til din projektdokumentation, så andre kan finde det.

Hvis du benytter samtykkeerklæringer, er det især vigtigt, at disse bliver journaliseret, idet det er din og SDU's eneste dokumentation for, at du har lov at behandle personoplysningerne (behandlingshjemmel).