Sådan håndterer du personoplysninger i et forskningsprojekt

Det er vigtigt, at du kender din rolle i behandlingen af personoplysninger. Du kan enten være databehandler eller dataansvarlig. Som ansat på SDU er det ikke dig personligt, der har denne rolle, men SDU som din arbejdsgiver.

SDU RIO fastlægger fordelingen af roller i projektet. Følgende spørgsmål indgår i arbejdet med at identificere SDU’s rolle i projektet, når projektet er registreret hos SDU RIO:

• Hvem definerede projektets formål eller opgave?
• Hvem valgte værktøjerne, herunder hvordan og hvilken slags analyse der udføres?
• Bliver du betalt for at udføre projektet?
• Træffer du beslutninger inden for projektet?
• Har SDU modtaget midlerne?
• Vil SDU bruge dataene til egne formål (f.eks. i et andet projekt, publikation osv.)?

Bemærk, at du udover en databehandleraftale også skal sikre dig, at der foreligger en samarbejdsaftale. Du er velkommen til at oprette en sag ved at kontakte SDU RIO.

Billeder er personoplysninger, uanset om billedet er et portræt eller et billede af de omgivelser, hvor en person tilfældigvis optræder.

Det samme er tilfældet med lydoptagelser.

Hvis du bruger billeder eller lydoptagelser, skal du registrere dit projekt som alle andre forskningsprojekter, hvor der behandles personoplysninger.

SDU RIO kan vejlede om, hvorvidt der er behov for samtykke, eller om oplysningerne kan behandles efter et andet retsgrundlag.

For forskningsprojekter, der også kræver samtykke fra SDU’s Research Ethics Committee (REC), anbefales det at anvende forskningstilladelsen som behandlingsgrundlag – dvs. Databeskyttelseslovens § 10. Det skyldes, at GDPR-samtykke har meget strenge krav til form, indhold og frivillighed, hvilket gør det vanskeligt at udarbejde på en måde, der er både korrekt og forståelig for deltagere og forskere. I praksis har dette ofte resulteret i ugyldige samtykker og dermed ulovlig databehandling.

Som udgangspunkt bør GDPR-samtykke og REC-samtykke ikke blandes sammen, da de har forskellige formål og juridiske konsekvenser. REC-samtykke vedrører deltagelse i selve forskningsprojektet, mens GDPR-samtykke vedrører behandling af personoplysninger. Ved at bruge forskningstilladelsen undgår man en situation, hvor deltagernes tilbagetrækning af samtykke automatisk kræver sletning af allerede indsamlede data, hvilket kan bringe forskningens integritet i fare.

Studerende, der arbejder med forskningsdata, skal ikke nødvendigvis underskrive en dataaftale. Det afhænger af omstændighederne.

Kontakt Legal Services hos SDU RIO for at høre om mulighederne.