Grundlæggende databeskyttelseskrav

Princippet om god databehandlingsskik finder anvendelse ved enhver form for behandling af personoplysninger. Det betyder bl.a., at regionen skal sikre sig, at enhver behandling af personoplysninger er lovlig, rimelig og gennemsigtig. 

Kravet om gennemsigtighed betyder, at ved information og kommunikation om behandling af personoplysninger benyttes et klart og enkelt sprog. Dette er særligt vigtigt, når der kommunikeres til deltagere i et forskningsprojekt.

Behandlingen af personoplysninger skal ske til udtrykkeligt angivne og legitime formål og må ikke senere viderebehandles på en måde, der er uforenelig med disse oprindelige formål.

Et legitimt formål kan være forskning, hvor lovhjemlen er i orden. 

Kravet om uforenelighed betyder, at der, ved udveksling af personoplysninger, senere behandling, genbrug mv. skal foretages en konkret vurdering af, om det nye formål er forenelig med det oprindelige. Videre skal der også laves en vurdering af lovhjemlen til det nye formål. Her kan du læse mere om lovhjemmel til et forskningsprojekt.

Kravet om proportionalitet indebærer bl.a., at der før regionen behandler personoplysninger, skal overvejes, om det ønskede formål kan nås med mindre indgribende midler.

Det er samtidigt nødvendigt at have i tankerne, at behandlingen af personoplysninger skal gennemføres sådan, at det virker mindst muligt indgribende for vedkommende oplysningerne omhandler. 

Kravet om dataminimering indebærer, at der i forskningsprojekter ikke må behandles flere personoplysninger end, hvad der er nødvendigt for udførelsen af projektet. Der må således behandles personoplysninger, hvis det er "need to have" ved udførelsen af forskningsprojektet,  og ikke hvis det er "nice to have". Derfor skal det altid vurderes i et forskningsprojekt, om alle de personoplysninger, der behandles, er nødvendige for projektet. Man kunne forestille sig en situation hvor der i forskningsprojektet blev behandlet patienternes navne, og hvor navnet ikke er nødvendigt eller relevant for projektet, da et identifikationsnummer ville være tilstrækkeligt.

Indsamlede personoplysninger må ikke opbevares personhenførebare/identificerbare i et længere tidsrum, end hvad der er nødvendigt for opfyldelse af det formål, hvortil oplysningerne er indsamlet.  

Det betyder, at personoplysninger, der indgår i forskning, skal anonymiseres eller slettes, når det ikke længere er nødvendig at behandle personoplysninger i forskningsprojektet. Arkivering i medfør af arkivlovens regler sidestilles med sletning. 

Du skal som forsker fastsætte en opbevaringsperiode, der ikke strækker sig længere end nødvendigt af hensyn til formålet med det enkelte forskningsprojekt. De fastlagte slettefrister skal kunne dokumenteres.

Personoplysningerne skal være korrekte og ajourførte - og er personoplysningerne ikke korrekt, skal de straks slettes eller berigtiges.

Personoplysninger skal beskyttes mod uautoriseret eller ulovlig behandling, ligesom det skal sikres, at oplysninger ikke går tabt eller bliver beskadiget. Her kan du læse mere om behandlingssikkerhed.

Vurderingen af, om de grundlæggende databeskyttelses krav er opfyldte, skal foretages konkret i forhold til behandling af personoplysninger i det enkelte forskningsprojekt. Har du brug for hjælp i forbindelse med vurderingen eller spørgsmål hertil, kan du kontakte Juridisk Enhed for Databeskyttelse.

En personoplysning er enhver form for information, der direkte eller indirekte kan henføres til en bestemt person. Det er uden betydning, om det er nødvendigt at kombinere informationen med andre oplysninger for at kunne identificere den enkelte person. Det afgørende er, at oplysningen er personhenførbar – enten alene eller i kombination med andre oplysninger.

• Almindelige personoplysninger: Navn, adresse, telefonnummer, e-mail, civilstand, fødselsdag, sygedage, tjenstlige forhold, arbejdsområde og økonomi, CPR-nr., oplysninger om strafbare forhold, sociale problemer, tilknytning til botilbud mv.
• Følsomme personoplysninger: Oplysninger om helbred, race, etnisk oprindelse, politisk, religiøs, filosofisk overbevisning fagforeningsmæssigt tilhørsforhold, seksuelle forhold/orientering samt genetiske data og biometriske data.

Anonymyserede personoplysninger: Personhenførebare oplysninger slettes, så det ikke længere er mulig at henføre dem til en bestemt person. 

Pseudonymiserede personoplysninger: Personoplysninger der ikke længere kan henføres til en bestemt person uden brug af supplerende oplysninger f.eks. en kode. OBS! Pseudonymisering er altså ikke det samme som anonymisering.