Gir personvernforordningen (GDPR) UDI mulighet til å dele taushetsbelagte opplysninger til bruk i forskning?
UDI samler inn og forvalter store mengder taushetsbelagte data. Regelverket gir oss mulighet til å dele også taushetsbelagte opplysninger når de skal brukes i forskning. Hvordan bør vi gå frem i slike saker? Hvilke grenser setter GDPR for deling av personopplysninger når de skal brukes i forskning. Kan vi dele alle typer opplysninger? Kan vi utlevere direkte personidentifiserende data? Er anonymisering et absolutt krav? Dette er noen av spørsmålene rapporten tar sikte på å besvare.
Les rapporten
Utlevering av personopplysninger til forskning (pdf, 318 kB)
Sammendrag
- Rapporten konkluderer med at GDPR artikkel 89 først og fremst krever at det er på plass «nødvendige garantier».
- Å anonymisere eller avidentifisere opplysningene før de blir utlevert er ikke er den eneste måten å nå opp til terskelen for hva som kan anses som «nødvendige garantier».
- Utredningen peker på at ulike tiltak og forhold kan utgjøre «nødvendige garantier» etter GDPR artikkel 89:
- Dataminimering eller andre tekniske eller organisatoriske tiltak
- Avidentifisering eller anonymisering, der det er mulig
- Forskerens lovfestede taushetsplikt etter forvaltningsloven § 13e
- Vurdering av personvernkonsekvenser etter GDPR artikkel 35
- Gjøre personidentifikasjonen mindre tydelig og direkte
- En konkret interesseavveining må kunne vise at samfunnsinteressen av forskningen vesentlig overstiger personvernulempene.
Oppdragstaker: Advokatfirmaet Simonsen Vogt Wiig
Oppdragsgiver: Utlendingsdirektoratet