Samtykket skal være indhentet, inden der påbegyndes behandling af personoplysninger. Det kan være både mundtligt, skriftligt eller digitalt. Vi anbefaler dog altid et skriftligt samtykke, idet regionen – og dermed den projektansvarlige – har bevisbyrden for, at en deltager har givet det fornødne samtykke til behandling af personoplysninger i regi af projektet. Den projektansvarlige skal derfor opbevare indhentede samtykker – som minimum så længe forskningsprojektet verserer. Samtykke skal opbevares forsvarligt og sikres uvedkommende adgang, da et samtykke kan indeholde almindelige personoplysninger og følsomme personoplysninger. Her kan du læse mere om opbevaring af personoplysninger.

• Samtykke er det mest passende grundlag for behandling af personoplysninger i det konkrete forskningsprojekt.
• Der må ikke være negative konsekvenser forbundet med ikke at give samtykke.
• Samtykket må ikke være en betingelse for en ydelse f.eks. patientbehandling.
• Samtykke skal være tydeligt adskilt fra eventuelle andre forhold f.eks. almindelig patientinformation i forbindelse med behandling.
• Det skal fremgå, hvem der er dataansvarlig for forskningsprojektet. Ligeledes skal samtykket indeholde oplysninger om, hvor i regionen projektet er forankret med angivelse af navn og kontaktoplysninger på den projektansvarlige og eventuelle andre relevante personer.
• Samtykket skal være en udtrykkelig og utvetydig tilkendegivelse fra deltageren. Det betyder med andre ord, at et afgivet samtykke ikke må give anledning til tvivl.
• Samtykket skal være formuleret i et klart og enkelt sprog, som er letforståeligt for målgruppen af deltagere.
• Der skal være tale om et aktivt tilvalg fra deltagerens side.
• Der må ikke anvendes felter, der er afkrydset på forhånd, eller på anden vis baserer sig på passivitet fra deltagerens side.
• Samtykket skal indeholde information om, hvilke oplysninger der påtænkes indsamlet og hvordan de skal anvendes. Et samtykke skal således være tilstrækkelig informeret til at være gyldigt i databeskyttelsesforordningens forstand. Kravet om information falder sammen med databeskyttelsesforordningens mere omfattende oplysningspligt, som du kan læse mere om her [indsæt link]. Det kan være en fordel at indarbejde eller vedlægge information til opfyldelse af oplysningspligten, når samtykket indsamles.
• Samtykket skal specificere formålet/formålene med den/de påtænkte behandling/behandlinger af personoplysninger, så det klart og tydeligt fremgår, hvad der gives samtykke til. Hvis der ønskes samtykke til flere forskellige formål, indhentes separat samtykke til hvert enkelt formål. Deltageren skal med andre ord have mulighed for at vælge, hvilke formål der samtykkes til. Deltageren må således ikke tvinges til at give samtykke til samtlige formål. Vi anbefaler, at du tager stilling til videregivelse af personoplysninger til et andet forskningsprojekt. I så fald skal det fremgå af samtykket.
• Samtykket skal indeholde information om eventuelle modtagere af oplysningerne, herunder om der for eksempel påtænkes videregivelse af personoplysninger til et andet forskningsprojekt.
• Der skal oplyses om muligheden for at trække samtykket tilbage, ligesom der skal være taget stilling til, hvordan samtykket kan trækkes tilbage. Det skal være lige så let at give et samtykke, som det vil være at trække det tilbage. Det må desuden ikke have negative konsekvenser at trække et samtykke tilbage.
• Der skal følges regelmæssigt op på, at samtykket fortsat er aktuelt og korrekt, samt at formålet med behandling af personoplysninger på baggrund af samtykket og selve behandlingen ikke har ændret sig.

Her kan du hente en skabelon til samtykke.

Det er desuden vigtigt at være opmærksom på, at det kan følge af anden lovgivning, at der skal indhentes et samtykke. Et sådant samtykke er ikke nødvendigvis det samme som et samtykke i databeskyttelseslovgivningens forstand og dermed det juridiske grundlag for behandling af personoplysninger. Behandlingsgrundlaget vil i disse tilfælde oftest være databeskyttelsesforordningens artikel 6, stk. 1, litra e eller databeskyttelseslovens § 10, stk. 1 alt efter, om der er tale om personoplysninger under henholdsvis kategorien almindelige personoplysninger, følsomme personoplysninger eller personoplysninger om straffebare forhold.

Som eksempel kan nævnes sundhedslovens krav om samtykke fra patienten til videregivelse af oplysninger fra patientjournalen til forskning (jfr. sundhedslovens § 43, stk. 1). Her vedrører samtykket kun videregivelsen. Det juridiske grundlag for behandling af personoplysninger i regi af forskningsprojektet følger af databeskyttelsesforordningen, databeskyttelsesloven eller samtykke, jfr. bemærkningerne ovenfor. 

Det vil bero på en konkret vurdering, om behandling af personoplysninger i regi af en spørgeskemaundersøgelse skal ske på baggrund af samtykke fra deltageren. Det vil oftest være tilfældet, hvis der kun skal forskes på oplysninger, som deltageren giver i spørgeskemaet, og der ikke skal ske f.eks. videregivelse til andre senere forskningsprojekter.

En personoplysning er enhver form for information, der direkte eller indirekte kan henføres til en bestemt person. Det er uden betydning, om det er nødvendigt at kombinere informationen med andre oplysninger for at kunne identificere den enkelte person. Det afgørende er, at oplysningen er personhenførbar – enten alene eller i kombination med andre oplysninger.

• Almindelige personoplysninger: Navn, adresse, telefonnummer, e-mail, civilstand, fødselsdag, sygedage, tjenstlige forhold, arbejdsområde og økonomi, CPR-nr., oplysninger om strafbare forhold, sociale problemer, tilknytning til botilbud mv.
• Følsomme personoplysninger: Oplysninger om helbred, race, etnisk oprindelse, politisk, religiøs, filosofisk overbevisning fagforeningsmæssigt tilhørsforhold, seksuelle forhold/orientering samt genetiske data og biometriske data.

En fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler, der må foretages behandling af personoplysninger.

En dataansvarlig er altså den fysiske eller juridiske person, offentlige myndighed mv., der bestemmer, med hvilke formål personoplysningerne må behandles (formålet), og hvordan personoplysningerne må behandles (hjælpemidlerne), herunder af hvem personoplysningerne må behandles.

Enhver, frivillig, informeret og utvetydig viljestilkendegivelse, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling.

Databeskyttelsesretlig videregivelse er, når der videregives personoplysninger til 3. mand uden for Region Midtjylland, for eksempel en studerende, en anden region, et universitet, privat virksomhed mv., og denne 3. mand ønsker at behandle personoplysningerne til sit eget formål. Når der er tale om videregivelse bliver der ikke handlet på instruks fra den dataansvarlige. Dermed resulterer videregivelsen i, at der kommer en ny selvstændig dataansvarlig. Dette betyder, at personoplysningerne bliver givet videre og ejerforholdet skifter. I sådanne situationer skal der ikke laves databehandleraftaler, der skal dog være særskilt lovhjemmel til videregivelsen.

OBS! En databeskyttelsesretlig videregivelse, som beskrives i denne sammenhæng, er ikke lig med en sundhedsretlig videregivelse.