Datatilsynet vil føre tilsyn med aktiviteter på forskningsområdet

Store mængder af personoplysninger behandles på forskningsområdet

Der bliver behandlet en omfattende mængde personoplysninger i forbindelse med forskningsprojekter. Det er derfor vigtigt, at databeskyttelseslovgivningen efterleves på dette område, og at behandlingen af personoplysninger sker på en ansvarlig måde af hensyn til de enkelte registrerede. Man skal især være opmærksom på, hvordan personoplysninger behandles, når der er tale om følsomme oplysninger efter art. 9 i Databeskyttelsesforordningen. 

Datatilsynet har igangsat en række tilsynsaktiviteter på forskningsområdet for at imødegå behandlingen af personoplysninger i forbindelse med forskningsprojekter mv. Herudover vil Datatilsynet udarbejde en ny vejledning på området, som skal blive mere konkret og målrettet, så det bliver nemmere for dataansvarlige at leve op til kravene for behandling af personoplysninger. 
 

Tidligere undersøgelser på forskningsområdet

Sundheds- og Ældreministeriet iværksatte i 2019 en advokatundersøgelse af Statens Serum Institut (SSI), som blandt andet skulle undersøge instituttets behandling af personoplysninger til forskningsbrug i forbindelse med konkrete større forskningssamarbejder. To foreløbige rapporter i forbindelse med undersøgelsen blev offentliggjort den 22. juni 2020. Rapporterne afslørede en række problematikker på området blandt andet: manglende dokumentation, manglende overførselsgrundlag, tvivl om ansvars-, opgave- og rollefordeling, manglende tilladelse fra Datatilsynet ved videregivelse til andre dataansvarlige m.v.  

Da rapporterne udkom, tilkendegav Datatilsynet, at de ville se nærmere på SSI’s behandling af personoplysninger til brug for forskning. Datatilsynet har nu set nærmere på rapporterne fra juni og har på denne baggrund besluttet at tage en sag op af egen drift over for SSI, da flere problematikker går igen i rapporterne. Datatilsynet har ligeledes anmodet SSI om at redegøre for en række af problematikkerne i rapporterne. 

Kammeradvokaten, som har foretaget undersøgelsen, forventes at fremlægge sin endelige vurdering af SSI’s behandling af personoplysninger til forskningsbrug senere på året. Herefter vil Datatilsynet tage stilling til, om der skal foretages yderligere reaktioner over for SSI.  
 

Tilsyn med andre offentlige myndigheder på forskningsområdet

Som følge af rapporterne vedrørende SSI’s behandling af personoplysninger har Datatilsynet igangsat en række skriftlige tilsyn med flere offentlige myndigheder inden for forskningsområdet. De skriftlige tilsyn skal undersøge, om problematikkerne, der kom frem ved undersøgelsen af SSI’s behandling, går igen ved disse myndigheders behandling. Tilsynene fokuserer blandt andet på behandlingsgrundlaget, fortegnelse efter GDPR art. 30, rolle- og ansvarsfordeling, overførsel af personoplysninger til modtagere i EØS-lande eller i lande uden for EU, samt Datatilsynets eventuelle tilladelse til videregivelse efter GDPR art. 10, stk. 3. 
 

Ny vejledning på forskningsområdet

På baggrund af de forskellige problematikker, der går igen i de foreløbige rapporter fra juni om SSI’s behandling af personoplysninger til forskningsbrug, har Datatilsynet besluttet at udarbejde en ny vejledning på forskningsområdet. Datatilsynet har indledt et samarbejde med Sundheds- og Ældreministeriet med henblik på at udarbejde vejledningen.  

Da den nye vejledning skal imødegå de udfordringer, der viser sig at være på området, skal den udarbejdes, så den giver en konkret og målrettet vejledning. Den skal både (1) indeholde beskrivelser af reglerne på området og (2) afklare de udfordringer, forskere kan opleve i hverdagen. 

Datatilsynet igangsætter herved en bred indsats på forskningsområdet igennem både tilsyn med offentlige myndigheder samt en mere konkret og målrettet vejledning.