Har du styr på dine forskningsdata?

Datatilsynet har for nylig indstillet Danske Bank til en bøde på 10 mio. kr. Årsagen til indstillingen er, at banken har opbevaret oplysninger, som burde være blevet slettet. Datatilsynet understreger i afgørelsen, at et af grundprincipperne i GDPR er, at man kun må behandle oplysninger, man har brug for – og når man ikke har brug for dem længere, skal de slettes.

Når der udføres forskning i Region Nordjylland, er det forskerens ansvar at sikre, at der kun opbevares de oplysninger, der er nødvendige for projektet, og at de ikke opbevares i en længere periode, end der er brug for, eller som eventuel særlovgivning stiller krav om. 

Reglerne om håndtering af data ved projektafslutning er nærmere beskrevet i forskningsvejledningens punkt 11 på Personalenet. Kort fortalt er der følgende muligheder at vælge imellem:

• Sletning: Sletning betyder, at alt data slettes/destrueres. Dette gælder for både tørre og våde data.
• Anonymisering: Hvis det vælges, at data anonymiseres, skal der være tale om reel anonymisering. Det er f.eks. ikke nok bare at erstatte et CPR-nummer med et løbenummer, idet der kun vil være tale om pseudonymisering. Data er først anonymiserede, når det ikke er muligt at identificere enkeltpersoner ud fra data eller i kombination med andre oplysninger. Reel anonymisering kan dermed være svær at sikre. En vejledning om anonymisering findes på Personalenet under ”Personoplysninger og anonymisering” samt her på Datatilsynets hjemmeside.
• Arkivering: Hvis man ønsker at arkivere sit forskningsmateriale, skal dette ske i samarbejde med Rigsarkivet. Der er på nuværende tidspunkt ikke mulighed for at lave et lokalt arkiv i Region Nordjylland. Anmeldelse og aflevering af forskningsdata til Rigsarkivet er beskrevet her.

Spørgsmål til håndtering af data ved projektafslutning kan rettes til forskningsanmeldelse@rn.dk. 

Link til nyheden fra Datatilsynet: Danske Bank indstilles til bøde (datatilsynet.dk)