Datatilsynet har publicerat ett förtydligande av reglerna om radering av personuppgifter när forskningsprojekt avslutas.
Från och med den 1 januari 2023 har förordningen om utlämnande av uppgifter ändrats så att villkoren för utlämnande av personuppgifter från statistiska eller vetenskapliga undersökningar enligt 10 § databeskyttelsesloven preciseras.
Hittills har det i förordningen bland annat föreskrivits att personuppgifter ska raderas, anonymiseras, förstöras eller återlämnas i slutet av undersökningen så att det inte senare är möjligt att identifiera fysiska personer utifrån uppgifterna eller i kombination med andra uppgifter.
För att förtydliga att personuppgiftsansvariga kan ha ett berättigat intresse av att behandla uppgifter under en period efter undersökningens slut, till exempel för kollegial granskning eller för att hantera anklagelser om vetenskaplig misskötsel, har reglerna ändrats. Det anges nu hur personuppgifter ska raderas:
”När ändamålet med behandlingen av personuppgifter har upphört ska uppgifterna raderas, anonymiseras, förstöras eller återlämnas på ett sådant sätt att det därefter inte är möjligt att identifiera fysiska personer utifrån uppgifterna eller i kombination med andra uppgifter. Alternativt kan personuppgifterna överföras för att lagras i ett arkiv i enlighet med de regler som fastställs i arkivlovgivningen.”
Detta beror på att de personuppgiftsansvariga ofta kommer att behöva bevisa under en period efter det att studien har avslutats att studien inte bygger på falska uppgifter eller att andra forskare måste kunna reproducera resultaten. Inom vissa forskningsområden arbetar man dessutom mer med pågående upptäckt av forskningsområden, pågående uppbyggnad av relationer eller pågående datainsamling, där det inte är meningsfullt att tala om att ett projekt ”avslutas”.
De personuppgiftsansvariga bör dock vara medvetna om huruvida syftet med behandlingen av personuppgifter efter studiens slut kan uppnås genom att uppgifterna behandlas i en annan, till exempel anonymiserad, form, i enlighet med den grundläggande principen om uppgiftsminimering i dataskyddsförordningen.
Slutligen bör de personuppgiftsansvariga vara medvetna om att tillstånd för utlämnande som tillsynsmyndigheten har gett före ändringen av förordningen bör tolkas i enlighet med ovanstående.