Personvernordbok

Anonyme opplysninger er informasjon som ikke på noe vis kan spores tilbake til enkeltpersoner, hverken direkte gjennom navn eller personnummer, indirekte gjennom en kombinasjon av opplysninger, eller gjennom en navneliste/koblingsnøkkel.

Les om hvordan du kan gjennomføre et forskningsprosjekt anonymt

Dette begrepet finnes ikke personvernforordningen. Se pseudonymiserte personopplysninger lenger ned. 

For å behandle personopplysninger trenger du et lovlig grunnlag. Det er flere slike, men allmennhetens interesse og samtykke er de mest vanlige i forskning.

Les mer om aktuelle behandlingsgrunnlag her

Behandling er alt du gjør med personopplysninger. Det er alt fra å samle inn, laste ned, registrere, oppbevare og eventuelt sammenstille og utlevere personopplysninger. 

Dersom du på et tidspunkt skal behandle personopplysninger i forbindelse med prosjektet ditt, blir det omfattet av personvernlovverket.

Prosjektet må da meldes til Sikt i vårt meldeskjema, dersom din institusjon har avtale med oss.

Behandlingsansvarlig er den som bestemmer hvorfor man skal samle inn personopplysninger og hvordan behandlingen skal gjøres. Dette skal ikke være en person, men må være en institusjon, bedrift, eller en annen type organisasjon. I noen tilfeller kan flere organisasjoner ha felles behandlingsansvar.

For et forsknings- og studentprosjekt er behandlingsansvarlig for eksempel universitetet, høgskolen, helseforetaket eller forskningsinstituttet, ved øverste ledelse.

Å være behandlingsansvarlig er en rolle som er definert i personvernlovverket, og den innebærer krav til å etterleve en rekke plikter i loven. 

En databehandler er en person eller virksomhet som er utenfor organisasjonen med behandlingsansvar, og som behandler personopplysninger på vegne av den behandlingsansvarlige. Loven krever at denne relasjonen skal avtalereguleres. 

En databehandler kan for eksempel være en ekstern leverandør av spørreskjema, skytjenester eller transkribering.

Dataminimering er et viktig prinsipp i lovverket, og betyr at du ikke skal samle inn flere personopplysninger enn det som er nødvendig for å realisere formålet.

Det betyr at du må ha en begrunnelse for at du trenger akkurat de opplysningene du samler inn, og at du ikke samler inn opplysninger fordi de kan være "greie å ha".

Dette er opplysninger som direkte identifiserer enkeltpersoner. En person kan være direkte identifiserbar via fullt navn, fødsels-/personnummer, eller andre personentydige kjennetegn. 

DPIA står for Data Protection Impact Assessment, altså en vurdering av konsekvenser for personvernet, på norsk gjerne oversatt til personvernkonsekvensvurdering.

En DPIA er en mer omfattende vurdering som blir gjort i prosjekter hvor ulempen for utvalget er høy. Målet er å sikre at personvernet til de registrerte blir ivaretatt.

Les mer under Personvernkonsekvensvurdering.

En forhåndsdrøftelse er en skriftlig og formalisert prosess som gjennomføres med Datatilsynet.

Dette må gjennomføres dersom man ikke har klart å redusere personvernulempen tilstrekkelig etter å ha gjennomført en personvernkonsekvensvurdering (DPIA).

Behandlingsansvarlig institusjon tar da kontakt med Datatilsynet for å gjennomføre forhåndsdrøftelsen.

Opplysninger er indirekte identifiserende dersom de sammen med andre opplysninger gjør det mulig å gjenkjenne enkeltpersoner.

F.eks kan kombinasjonen arbeidssted, kjønn og alder være nok til å identifisere en person.

Les mer om hva som regnes om personopplysninger >

En koblingsnøkkel er en navneliste eller fil som gjør det mulig å identifisere enkeltpersoner i et datasett.

Å opprette en koblingsnøkkel er å erstatte f.eks. navn eller e-epostadresse med et nummer eller annen kode. Koblingsnøkkelen blir da filen som kobler f.eks. koden til navn.

Du må oppbevare koblingsnøkkelen separat fra selve datamaterialet, for å sikre at utenforstående ikke får tilgang til koblingen mellom navn og kode. 

Bruk av koblingsnøkkel kan være et bra tiltak for å ivareta konfidensialiteten til personer i prosjekter med særlige kategorier av personopplysninger, eller som et tiltak for informasjonssikkerhet.

For å behandle personopplysninger trenger du et lovlig grunnlag. Det er flere slike, men allmennhetens interesse og samtykke er de mest vanlige i forskning.

Les mer om aktuelle behandlingsgrunnlag her

En personopplysning er en opplysning/vurdering som kan knyttes til en person.

Opplysninger kan for eksempel knyttes til en person via fødselsnummer, navn, e-postadresse/IP-adresse.

Det kan også være referansenummer som viser til en navneliste, via bilde/video av ansikter eller en sammenstilling av bakgrunnsopplysninger. Indirekte personopplysninger, er med andre ord også personopplysninger.

En personvernkonsekvensvurdering (DPIA) må gjøres i prosjekter hvor behandlingen av personopplysninger vil medføre en høy risiko for fysiske personers rettigheter og friheter.

Før behandlingen av personopplysninger starter, skal man i slike prosjekter foreta en mer omfattende vurdering av hvilke konsekvenser den planlagte behandlingen vil ha for vernet av personopplysninger. 

Når prosjektet ditt meldes inn til Sikt, vil vi vurdere om det er nødvendig å gjennomføre en personvernkonsekvensvurdering i ditt prosjekt. I så fall vil vi hjelpe deg med dette. 

Les mer om vurdering av personvernulempe og DPIA

Personvernforordningen inneholder både rettigheter og plikter knyttet til behandling av personopplysninger. I artikkel 5 i personvernforordningen fremgår de grunnleggende prinsippene for personvern som alle reglene i forordningen er bygget videre på. 

Personvernprinsippene skal sikre at all behandling av personopplysninger er forutsigbar for dem du skal forske på.

All behandling av personopplysninger skal være i tråd med følgende prinsipper: 

• Lovlighet, rettferdighet og gjennomsiktighet 
• Formålsbegrensning 
• Dataminimering 
• Riktighet 
• Lagringsbegrensning 
• Integritet og konfidensialitet 
• Ansvar 

Prosjektansvarlig er den som har det daglige ansvaret for riktig og forsvarlig etterlevelse av lovens bestemmelser om informasjonssikkerhet og internkontroll. Prosjektansvarlig må være ansatt ved den behandlingsansvarlige institusjonen. 

I forskningsprosjekter (inkludert ph.d.-prosjekter) er dette vanligvis prosjektleder/forsker selv.

I studentprosjekter (bachelor eller master) skal veileder (eventuelt biveileder eller fagansvarlig ved studiestedet) være prosjektansvarlig. Studenten selv kan ikke være prosjektansvarlig. 

Prosjektslutt er tidspunktet for når formålet med behandlingen av personopplysninger er oppfylt, og datamaterialet enten skal anonymiseres/slettes, eller arkiveres.

Opplysningene er pseudonymiserte dersom navn, personnummer eller andre personentydige kjennetegn er erstattet med et nummer, en kode, fiktive navn eller lignende, som viser til en atskilt liste med de direkte personopplysningene (koblingsnøkkel). 

Merk at også indirekte personidentifiserende opplysninger må kategoriseres i vide kategorier eller fjernes for at datamaterialet skal være å regne som pseudonymisert. Med vide kategorier menes for eksempel landsdel i stedet for spesifiserte kommuner eller byer, aldersintervaller (10-19 år, 20-29 år osv.) heller enn presis alder og lignende.

Den eneste måten å identifisere enkeltpersoner i et pseudonymisert datamateriale skal være gjennom navnelisten/kodenøkkelen. 

Pseudonymiserte opplysninger anses fortsatt som personopplysninger, uavhengig av hvem som oppbevarer navnelisten, og hvor og hvordan den oppbevares. 

Begrepet sensitive personopplysninger er i personvernforordningen erstattet med begrepet særlige kategorier av personopplysninger, samt personopplysninger om straffedommer og lovovertredelser mv. 

Les mer om særlige kategorier av personopplysninger her

Det finnes to hovedkategorier av personopplysninger, alminnelige og særlige. Særlige kategorier er det som før ble kalt "sensitive opplysninger", og kan vise til alt fra opplysninger om religion til helse.

Behandler du slike opplysninger, er det noen særskilte krav du må sørge for å ivareta.

Les mer om ulike typer personopplysninger her

Personidentifiserbare opplysninger om andre personer enn utvalget/respondentene selv, regnes som tredjepersonsopplysninger. Det kan her være snakk om direkte eller indirekte identifiserende opplysninger (se definisjoner over).

Tredjepersonsopplysninger kan f.eks. komme frem i intervju eller i spørreskjema, for eksempel fra en respondent som blir spurt om mors og fars utdannelse eller diagnoser, eller fra en elev som blir spurt om lærerens undervisningsmetoder. 

Merk at dersom utvalget har taushetsplikt, kan dette være til hinder for utlevering av tredjepersonsopplysninger. 

I Sikts meldeskjema viser ordet utvalg til personer som du kommer til å behandle personopplysninger om i løpet av prosjektet. Dette kan være en eller flere grupper av personer.

I loven omtales dette som "de registrerte", det vil si personer som kan identifiseres.