Nya GDPR-riktlinjer för vetenskaplig forskning: Vad innebär de?

Europeiska dataskyddsstyrelsen (EDPB) har presenterat sina efterlängtade riktlinjer för behandling av personuppgifter för vetenskapliga forskningsändamål. Dessa riktlinjer, som är öppna för offentligt samråd, är avsedda att ge välbehövlig klarhet för företag inom life science, forskningsinstitutioner och andra organisationer som behandlar personuppgifter för forskning. Målet är att underlätta efterlevnaden av GDPR.

Vad är vetenskaplig forskning enligt EDPB?

EDPB ger ingen fast definition av ”vetenskaplig forskning” utan listar sex vägledande faktorer som ska bedömas när man avgör om behandling av personuppgifter motiveras av vetenskapliga forskningsändamål:

• Metodiskt och systematiskt tillvägagångssätt: Forskningen ska följa en systematisk metod, till exempel en omfattande forskningsplan.
• Efterlevnad av etiska standarder: Aktiviteter ska genomföras i enlighet med etiska standarder för att förhindra skada på individer.
• Verifierbarhet och transparens: Resultaten ska vara verifierbara, öppna för kritik (exempelvis genom peer review) och delas med andra parter.
• Autonomi och oberoende: Forskningen ska utföras autonomt och oberoende, med frihet att definiera forskningsfrågor och sprida resultat. Forskarna ska ha akademiska eller vetenskapliga kvalifikationer.
• Forskningssyften: Målet är att bidra till samhällets allmänna kunskap och välbefinnande, vilket även kan inkludera kommersiella intressen.
• Bidrag till befintlig kunskap: Forskningen ska ha potential att bidra till eller tillämpa befintlig vetenskaplig kunskap på nya sätt.

Om alla sex faktorer är uppfyllda, antas det att aktiviteterna utgör vetenskaplig forskning. Kommersiellt finansierad forskning kan kvalificera sig, som exempelvis kliniska prövningar av läkemedelsföretag. Ren marknadsanalys, som ett detaljhandelsföretags analys av försäljningsdata, gör det däremot inte.

Breddat och dynamiskt samtycke

EDPB:s riktlinjer betonar möjligheten att använda både brett och dynamiskt samtycke inom vetenskaplig forskning.

• Brett samtycke gör det möjligt för registeransvariga att samla in personuppgifter för framtida forskningsprojekt inom ett specifikt område, även om de exakta syftena inte är helt kända vid insamlingstillfället. Samtycket måste dock vara så tydligt specificerat som möjligt, till exempel genom att avgränsa det till medicinsk forskning inom onkologi eller sociologisk forskning inom kriminologi.

  För att kompensera för bristen på specifikation krävs robusta skyddsåtgärder. Registeransvariga bör till exempel tillhandahålla detaljerad information om hur personuppgifter behandlas vartefter forskningen framskrider. Detta kan innebära information i två steg: initialt vid samtycket, och sedan mer detaljerad information när den blir tillgänglig. Andra åtgärder kan inkludera oberoende dataförvaltare, tidsbegränsad giltighet för samtycket, eller ett oberoende tillsynsorgan. Registeransvariga bör också överväga tekniska verktyg som ger de registrerade kontroll över sitt samtycke, till exempel en ”sekretesspanel”. Mer om vad som ska stå i en integritetspolicy hittar du här.

• Dynamiskt samtycke innebär att de registrerade ombeds samtycka till varje enskilt forskningsprojekt – eller del därav – separat, så snart syftena blir kända och faller utanför ramen för det ursprungligen lämnade breda samtycket. Detta kan vara särskilt relevant vid långvariga forskningsprojekt där forskare har en nära och kontinuerlig relation med deltagarna. Dessa riktlinjer är de mest detaljerade EDPB har tillhandahållit hittills gällande ”specifikt” samtycke.

Ytterligare punkter av intresse

Utöver dessa huvudpunkter framhäver riktlinjerna flera andra viktiga aspekter:

• Syfteskompatibilitet: Vidare behandling för vetenskapliga forskningsändamål antas vara förenlig med det ursprungliga insamlingssyftet enligt GDPR. Det innebär att en separat kompatibilitetsbedömning ofta inte är nödvändig. Mer om hur länge uppgifter får sparas finns i vår guide om lagringstider och gallring.
• Berättigat intresse: Vetenskaplig forskning kan utgöra ett berättigat intresse, oavsett om den är ideell eller kommersiell. Vikten av genuin vetenskaplig forskning som en samhällsnyttig aktivitet får tilldelas betydande vikt vid intresseavvägningen.
• Vidare behandling för nya vetenskapliga syften: EDPB intar en forskningsvänlig hållning. Även om registeransvariga i princip ska informera de registrerade före användning av data för ett nytt forskningssyfte, erkänns det att direkt kontakt inte alltid är praktisk. Pragmatiska lösningar rekommenderas, som att hålla kommunikationskanaler öppna där framtida forskningsanvändning är förutsägbar och att göra rimliga ansträngningar för att nå de registrerade med indirekta meddelanden.
• Lämpliga skyddsåtgärder: Vid behandling av personuppgifter för vetenskapliga forskningsändamål krävs skyddsåtgärder enligt GDPR. En riskanalys eller DPIA (konsekvensbedömning avseende dataskydd) bör alltid utföras. Personuppgifter bör i första hand anonymiseras, eller åtminstone pseudonymiseras, om forskningssyftena kan uppnås med sådan data. Andra skyddsåtgärder inkluderar bland annat styrstrukturer, förbättrad transparens, säkra behandlingsmiljöer, integritetsförstärkande tekniker, sekretesskyldigheter och kvalifikationskrav för forskare.

Vad betyder det för dig?

Dessa nya riktlinjer är viktiga för alla svenska företag som bedriver eller samarbetar med vetenskaplig forskning där personuppgifter behandlas. Att förstå och implementera EDPB:s rekommendationer är avgörande för att säkerställa efterlevnad av GDPR och undvika potentiella risker. Det är viktigt att löpande granska din integritetspolicy och dina databehandlingsprocesser mot dessa uppdaterade riktlinjer.