Droppe til innhold

I forskning

I forskning

Overføring av forskningsdata til andre virksomheter i Norge

Ved overføring av forskningsdata til andre virksomheter, er det blant annet nødvendig å sjekke ut at virksomheten har et tilfredsstillende informasjonssikkerhetssystem og å inngå en databehandleravtale.

Personopplysningslovens bestemmelser gjelder også ved overføring av forskningsdata til andre virksomheter. Du er derfor pliktig til å sende søknad til REK/Datatilsynet eller melding til NSD, der hvor dette er et krav.

Den virksomheten du representerer; det vil si høgskolen / fakultetet / instituttet, er behandlingsansvarlig for behandlingen av de personopplysningene som skal overføres. Behandlingsansvarlig bestemmer formålet med behandlingen av personopplysningene og hvilke hjelpemidler som skal brukes.

Dette må du gjøre i tillegg:

  • Du må forsikre deg om at virksomheten du skal overføre data til, for eksempel en kommune, et privat firma eller en annen utdanningsinstitusjon, har et tilfredsstillende informasjonssikkerhetssystem i form av policy, retningslinjer, rutiner og lignende.
  • Personopplysningslovens generelle krav til behandling av personopplysninger må være oppfylt. Det må derfor foreligge et rettslig grunnlag, se Pol §§ 8 og 9 (for eksempel at det foreligger et samtykke fra forskningsdeltaker/lovhjemmel), og overføringen må være i samsvar med definerte formål og utgjøre et så lite inngrep i personvernet som mulig.
  • Før behandlingen av personopplysninger starter, skal du sørge for at det foretas en risikovurdering, se også retningslinjer om Informasjonssikkerhet om Hva skal beskyttes? Verdivurdering/risikovurdering og hva krever personopplysningsloven.
  • Det må også signeres en databehandleravtale med de som du (på vegne av behandlingsansvarlig) setter ut behandlingen til (databehandler) hvor ansvars- og myndighetsforhold beskrives, se også Datatilsynet sin mal for databehandleravtale (gammel mal). Det vil ofte også stå noe om formål, utlevering til tredjemenn og sletting. Ansvar for avtalen er instansen som «låner ut»/gir tilgang på/utleverer data. Virksomheten du setter ut behandlingen til (databehandler) kan ikke behandle forskningsdataen på en annen måte enn det som er avtalt i databehandleravtalen.

Begreper med tykk skrift er definert i liste med definisjoner og forkortelser.

Kontakt