Retningslinjer
Retningslinjer for behandling av personopplysninger i student- og forskningsprosjekter ved Høgskolen i Oslo.
Godkjent av høgskoledirektøren 14. februar 2006
1. Virkeområdet
Disse rutinene gjelder for alle forsknings- og studentprosjekter ved Høgskolen i Oslo som innbefatter behandling av personopplysninger helt eller delvis med elektroniske hjelpemidler.
Med personopplysninger menes opplysninger og vurderinger som kan knyttes til en person, som direkte eller indirekte kan identifiseres for eksempel ved hjelp av kodenøkkel, navn, identifikasjonsnummer, eller et annet kjennetegn som er spesielt for personens fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sosiale identitet.
2. Daglig ansvar
Prosjektleder for det enkelte forskningsprosjekt har det daglige ansvaret for at pliktene som personopplysningsloven tillegger behandlingsansvarlig, Høgskolen i Oslo, er oppfylt for behandlingen som skjer av personopplysninger i forskningsprosjektet. For studentprosjekter er det den oppnevnte faglige veileder som har dette daglige ansvaret.
Høgskolen i Oslo regnes som den behandlingsansvarlige når et eller flere av følgende kriterier er oppfylt:
- forskningsprosjektet er initiert av høgskolen/en del av studiet ved høgskolen
- prosjektet er finansiert av høgskolen
- høgskolen har inngått kontrakt med ekstern finansierer (Forskningsrådet o.l.)
- det brukes høgskolens brevpapir i informasjonsskriv og innhenting av samtykke
3. Melding til Norsk samfunnsvitenskapelig datatjeneste
Norsk samfunnsvitenskapelig datatjeneste, NSD, er oppnevnt som personvernombud for forsknings- og studentprosjekter som gjennomføres helt eller delvis ved Høgskolen i Oslo.
Ordningen med personvernombud innebærer at meldeplikten til Datatilsynet erstattes av en meldeplikt til personvernombudet hos Norsk samfunnsvitenskapelig datatjeneste.
Les mer om personvernombudordningen.
Den daglig ansvarlige skal straks, og senest 30 dager før behandlingen av personopplysningene tar til, melde prosjektet til NSD.
Meldeskjema og veiledning finnes på NSDs internettsider: http://www.nsd.uib.no/personvern/
Kopi av meldingen til NSD skal straks sendes administrativ leder av avdelingen, som har ansvaret for gjennomføringen av risikovurdering, jf. punkt 10. Den daglig ansvarlige må samtidig angi det elektroniske systemet som er tenkt benyttet ved behandlingen og gi informasjon om eventuelle spesielle sikkerhetsrutiner som skal gjelde for prosjektet.
4. Informasjon ved innsamling av personopplysninger
Den daglig ansvarlige skal når det samles inn personopplysninger direkte fra respondenten, av eget tiltak først informere respondenten om
- at Høgskolen i Oslo er behandlingsansvarlig,
- formålet med behandlingen av personopplysningene,
- om opplysningene vil bli utlevert, og hvem som eventuelt er mottaker,
- at det er frivillig å gi fra seg opplysningene, og
- om at respondenten har rett til innsyn og til å kreve retting.
Når det samles inn personopplysninger fra andre enn respondenten selv, skal den daglig ansvarlige av eget tiltak informere respondenten om hvilke opplysninger som samles inn og gi informasjon som nevnt ovenfor så snart opplysningene er innhentet.
Forsknings- og studentprosjekter som faller inn under mandatet til de regionale komiteer for medisinsk forskningsetikk, skal i tillegg forholde seg til deres retningslinjer for utforming av informasjonsskriv.
5. Innhenting av samtykke
Ved behandling av personopplysninger i forsknings- eller studentprosjekter skal det innhentes frivillig, informert og aktivt samtykke, jf. personopplysningsloven §§ 8 og 9. Dersom prosjektets formål og innhold forandrer seg skal det innhentes nytt samtykke fra de registrerte i prosjektet. Den daglig ansvarlige skal innhente en frivillig, uttrykkelig og informert erklæring fra respondenten om at hun eller han godtar behandling av opplysninger om seg selv. Norsk samfunnsvitenskapelig datatjeneste har utarbeidet en veiledning for utforming av samtykkeerklæring.
Forsknings- og studentprosjekter som faller inn under mandatet til de regionale komiteer for medisinsk forskningsetikk, skal i tillegg forholde seg til deres retningslinjer for utforming av samtykkeerklæring.
6. Behandling av innsynsforespørsler
Alle forespørsler om hva slags behandling av personopplysninger høgskolen foretar i forsknings- og studentprosjekter, skal henvises til administrativ leder ved den aktuelle avdeling/senter. Forespørsel skal skje skriftlig.
Følgende informasjon kan gis:
- hvem som har det daglige ansvar for å oppfylle pliktene som er tillagt behandlingsansvarlig for det enkelte prosjekt,
- formålet med den enkelte behandlingen,
- beskrivelse av hvilke typer personopplysninger som behandles i det enkelte prosjekt,
- om personopplysningene i det enkelte prosjekt vil bli utlevert, og eventuelt hvem som er mottaker.
Dersom den som ber om innsyn er respondent, skal avdelingsdirektøren eller den daglig ansvarlige for prosjektet opplyse om
- hvilke opplysninger om respondenten som behandles, og
- sikkerhetstiltakene ved behandlingen så langt innsyn ikke svekker sikkerheten.
Henvendelser om innsyn skal besvares uten ugrunnet opphold og senest innen 14 dager fra den dagen henvendelsen kom inn.
7. Utlevering av personopplysninger
Personopplysninger i forsknings- eller studentprosjektene må ikke utleveres til utenforstående. Utlevering kan likevel skje
- som informert om ved innhenting av personopplysningene,
- med samtykke fra respondenten,
- med hjemmel i lov, eller forskrift gitt med hjemmel i lov.
8. Retting av mangelfulle personopplysninger
Personer som behandler personopplysninger i forsknings- eller studentprosjekter som blir kjent med at det er registrert personopplysninger i prosjektet som er uriktige, ufullstendige eller som det ikke er adgang til å behandle, skal av eget tiltak eller etter krav fra respondenten rette de mangelfulle opplysningene.
Henvendelser fra respondenten om retting skal besvares uten ugrunnet opphold og senest innen 30 dager fra den dagen henvendelsen kom inn.
9. Lagring og sletting av personopplysninger
Det skal ikke lagres personopplysninger i forsknings- eller studentprosjekter lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen. Den daglig ansvarlige skal sørge for at opplysningene blir slettet.
Personopplysninger kan lagres ved høgskolen ut over dette for vitenskapelige formål, dersom samfunnets interesse i at opplysningene lagres klart overstiger de ulempene den kan medføre for den enkelte respondent. Slik beslutning skal treffes av avdelingsdirektøren etter forslag fra den daglig ansvarlige for behandlingen. Dersom slik lagring besluttes, skal høgskoledirektøren sørge for at opplysningene ikke oppbevares på en måte som gjør det mulig å identifisere respondenten lenger enn nødvendig.
Personopplysninger kan etter søknad fra den daglig ansvarlige lagres hos
Norsk samfunnsvitenskapelig datatjeneste. Personopplysninger ved alle prosjekter som er støttet av Norges forskningsråd, skal lagres hos Norsk samfunnsvitenskapelig datatjeneste.
Den daglig ansvarlige skal informere avdelingsdirektøren eller senterleder skriftlig når personopplysningene er slettet eller overført til Norsk samfunnsvitenskapelig datatjeneste.
10. Risikovurdering
Avdelingsdirektørene og senterlederne skal holde oversikt over alle forsknings- og studentprosjekter på avdelingen/senteret hvor det behandles personopplysninger.
Avdelingene skal klarlegge sannsynlighet for, og konsekvens av sikkerhetsbrudd ved hjelp av risikovurdering for forsknings- og studentprosjekter som hører inn under avdelingen. Risikovurderingen skal gjennomføres så snart som mulig etter at administrativ leder av avdelingene/sentrene har mottatt kopi av meldingen av prosjektet til Norsk samfunnsvitenskapelig datatjeneste, jf. punkt 3.
Risikovurderingen skal foretas av en gruppe nedsatt av administrativ leder av avdelingen/senteret.
Datatilsynets veiledning om risikovurderingen, som finnes på Datatilsynets hjemmesider: http://www.datatilsynet.no/upload/Dokumenter/infosik/veiledere/Risikovurdering_TV-506_02.pdf, skal benyttes i arbeidet.
Høgskolen har fastsatt kriterier for akseptabel risiko forbundet med behandlingen av personopplysninger i dokumentet ”Instruks for bruk av IT-utstyr ved Høgskolen i Oslo” jf § 3. Disse kriteriene skal benyttes som et grunnlag for risikovurderingen.
Resultatet av risikovurderingen skal dokumenteres og kopi den daglig ansvarlige for prosjektet.
Administrativ leder vil etter risikovurderingen kunne stille ytterligere sikkerhetskrav til det enkelte prosjekt.
11. Sikkerhetskrav
Ved elektronisk behandling av personopplysninger i forsknings- og studentprosjekter, som Høgskolen i Oslo er behandlingsansvarlig for, skal så langt det er mulig høgskolens edb-anlegg eller bærbare maskiner benyttes. Private maskiner skal bare unntaksvis kunne benyttes og må godkjennes av avdelingsdirektør/senterleder jf. punkt 10 Risikovurdering.
Maskinen skal da bare benyttes av de som er knyttet til prosjektet. Andre, som for eksempel familiemedlemmer, skal ikke ha tilgang til eller bruke maskinen.
Direkte personidentifiserbare opplysninger skal ikke lagres elektronisk. Personopplysningene skal avidentifiseres. Direkte personidentifiserbare opplysninger kan unntaksvis lagres elektronisk på høgskolens filserver når dette er klart nødvendig ut fra formålet med behandlingen. Direkte personidentifiserbare opplysninger bør ikke lagres sammen med det øvrige datamaterialet i prosjektet.
Kodeliste, eller annet materiale som kan brukes til å identifisere personene, skal ikke lagres på samme maskin eller filserver.
Maskinen som benyttes skal være satt opp med de tiltak som er mulig for å sikre maskinen, uansett operativsystem. Enhetens IT-konsulent er ansvarlig for dette. Brukeren skal ikke ha administratorrettigheter på en slik maskin.
Når høgskolens edb-anlegg benyttes skal personopplysningene lagres på filservere det tas backup av. Veiledning kan fås av enhetens IT-konsulent. Personopplysningene skal ikke lagres på lokal maskin.
12. Melding om avvik
Hvis det oppdages avvik fra lov og retningslinjer ved behandling av personopplysninger i forsknings- og studentprosjekter skal dette meldes til den som har det daglige oppsyn på sin avdeling/sitt senter, det vil si avdelingsdirektør/senterleder.
Det henvises for øvrig til de overordnede retningslinjer for behandling av personopplysninger ved Høgskolen i Oslo.