Dato Datatilsynet Borgergade 28, 5. 1300 København K CVR-nr. 11-88-37-29 Telefon 3319 3200 Fax 3319 3218 E-mail dt@datatilsynet.dk www.datatilsynet.dk J.nr. 2015-019-0014 Sagsbehandler Camilla Knutsdotter Hallingby Direkte 3319 3233 Vedrørende tilsyn med behandling af personoplysninger udelukkende i videnskabeligt eller statistisk øjemed Datatilsynet fører tilsyn med enhver behandling af oplysninger, der er omfattet af persondataloven 1. Som led i denne tilsynsvirksomhed kan Datatilsynet kræve enhver oplysning, der er af betydning for tilsynets virksomhed, herunder til afgørelse af, om et forhold falder ind under lovens bestemmelser. Datatilsynet kan endvidere foretage tilsynsbesøg. De nærmere regler findes i persondatalovens 62. Datatilsynet har i 2016 valgt at udføre en række tilsyn med behandling af personoplysninger udelukkende i videnskabeligt eller statistisk øjemed, som sker med private forskere og virksomheder som dataansvarlig. Datatilsynets tilsyn på dette område vil i 2016 navnlig fokusere på: Iagttagelse af Datatilsynets vilkår, databehandleraftaler, og den dataansvarliges kontrol med databehandlere. Under tilsynene vil der blive anvendt oplysningsindsamling ved hjælp af spørgeskemaer. [Du/organisationens navn] er blandt de dataansvarlige, som tilsynet har udvalgt til tilsyn i 2016. [Du/organisationens navn] skal i første række udfylde og indsende følgende oplysningsskemaer, som vedlægges: Oplysningsskema privat forskning og statistik (2016) Oplysningsskema om databehandler privat forskning og statistik (2016) Oplysningsskema om verserende projekt privat forskning og statistik (2016) Sidstnævnte oplysningsskema om verserende projekt bedes udfyldt for hvert af følgende fire af dine projekter: 1 Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer
2 [titel + Datatilsynets j.nr.] [titel + Datatilsynets j.nr.] [titel + Datatilsynets j.nr.] [titel + Datatilsynets j.nr.] Når Datatilsynet har modtaget de udfyldte skemaer, vil tilsynet vurdere, om der ønskes yderligere materiale og i givet fald hvilket, f.eks. databehandleraftaler. [Du/organisationens navn] bedes snarest muligt og senest fredag den 8. april bekræfte modtagelsen af dette brev. Bekræftelsen kan ske til undertegnede på direkte telefonnummer 33 19 32 [XX] eller e-mail dt@datatilsynet.dk. Datatilsynet skal anmode om at have de besvarede oplysningsskemaer i hænde senest mandag den 2. maj 2016. Materialet bedes sendt til Datatilsynet via Digital Post. (Log ind på Digital Post på www.borger.dk med din NemID og vælg Skriv ny post. Du kan nu vælge Datatilsynet som modtager, vedhæfte bilag og skrive til os.) [eller hvis forskeren er en virksomhed/organisation skrives efter første punktum i stedet: Materialet bedes sendt elektronisk til dt@datatilsynet.dk.] Hvis ovenstående giver anledning til spørgsmål, kan undertegnede kontaktes telefonisk herom. Med venlig hilsen [sagsbehandler] Bilag: Oplysningsskema privat forskning og statistik (2016) Oplysningsskema om databehandler privat forskning og statistik (2016) Oplysningsskema om verserende projekt privat forskning og statistik (2016)
Oplysningsskema privat forskning og statistik (2016) Dette skema anvendes som led i Datatilsynets tilsyn i 2016, som bl.a. fokuserer på, i hvilket omfang tilsynets vilkår, databehandleraftaler og de dataansvarliges kontrol med databehandlere bliver iagttaget i forbindelse med behandling af personoplysninger, der udelukkende sker i videnskabeligt eller statistisk øjemed. Der bedes tillige udfyldt et eksemplar af følgende: Oplysningsskema om databehandler privat forskning og statistik (2016) for hver enkelt databehandler, herunder underdatabehandler, der benyttes til behandling af personoplysninger på den dataansvarliges vegne. Oplysningsskema om verserende projekt privat forskning og statistik (2016). Der skal udfyldes en blanket for hvert af de fire projekter, der er angivet i Datatilsynets brev. Bemærk: Den dataansvarlige kan være en person, virksomhed, organisation el.lign. 1. Oplysninger om dataansvarlig og eventuel repræsentant 1.1. Dataansvarliges navn og adresse 1.2. Dataansvarliges CPRnummer (eller CVR-nummer hvis den dataansvarlige er en virksomhed, organisation el.lign.) 1.3. Skemaet udfyldt dato 1.4. Eventuel kontaktperson eller repræsentant for den dataansvarlige, hvis repræsentanten udfylder skemaet på den dataansvarliges vegne (Navn, telefonnummer og e-mailadresse) NB: Fuldmagt skal indsendes til Datatilsynet, hvis en dataansvarlig lader en repræsentant udfylde skemaet på sine vegne. 2. Den dataansvarliges projekter 2.1. Hvor mange projekter har den dataansvarlige i øjeblikket, hvor der behandles (herunder opbevares) personoplysninger? 2.2. Har Datatilsynet givet tilladelse til behandlingen af personoplysninger i disse projekter, jf. persondatalovens 50, stk. 1, nr. 1? Sæt kryds og angiv titel på projektet samt Datatilsynets j.nr. eller begrundelse for manglende tilladelse. Begrundelsen kan f.eks. være forglemmelse, eller at der ikke er anmeldelsespligt til Datatilsynet, fordi der er tale om kliniske forsøg med lægemidler omfattet af lov om lægemidler eller sundhedsvidenskabelige forskningsprojekter omfattet af lov om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter, eller fordi der ikke sker behandling af følsomme 1 personoplysninger. Antal: 1. Angiv titel og j.nr.: 2. Angiv titel og j.nr.: 3. (fortsættes om nødvendigt) 1. Angiv titel og begrund: 2. Angiv titel og begrund: 3. (fortsættes om nødvendigt) 1 Følsomme personoplysninger er oplysninger, der er omfattet af persondatalovens 7 eller 8, dvs. oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold, oplysninger om helbredsmæssige forhold, seksuelle forhold, strafbare forhold, væsentlige sociale problemer eller andre rent private forhold end de i 7 nævnte.
Oplysningsskema privat forsker 2016 Version: 1.0 marts 2016 2.3. Datatilsynet har tidligere givet den dataansvarlige tilladelse til projektet [indsæt titel på projekt, hvor tilladelse udløbet]. Tilladelsen udløb den [indsæt dato]. Er samtlige personoplysninger fra dette projekt slettet, anonymiseret eller overført til arkiv efter arkivlovens regler? Angiv tidspunkt for sletning, anonymisering eller overførsel til arkiv: 2.4. Ved ja i ovenstående spørgsmål, hvordan er det sikret, at samtlige personoplysninger er slettet eller anonymiseret, således at personoplysningerne ikke kan genetableres? Harddisk/datamedie er makuleret: Harddisk/datamedie er overskrevet med specialprogram: Andet, beskriv: 2
Oplysningsskema om databehandler privat forskning og statistik (2016) Dette skema anvendes som led i Datatilsynets tilsyn i 2016, som bl.a. fokuserer på, i hvilket omfang databehandleraftaler og de dataansvarlige kontrol med databehandlere bliver iagttaget i forbindelse med behandling af personoplysninger, der udelukkende sker i videnskabeligt eller statistisk øjemed. Der bedes udfyldt et skema for hver enkelt databehandler, herunder underdatabehandler, der benyttes til behandling af personoplysninger på den dataansvarliges vegne i videnskabeligt eller statistisk øjemed. Med databehandler menes enhver ekstern organisation, der behandler og/eller har adgang til personoplysninger på den dataansvarliges vegne, herunder også såkaldte underdatabehandlere. 1. Dataansvarliges navn 2. Eventuel kontaktperson eller repræsentant for den dataansvarlige, hvis repræsentanten udfylder skemaet på den dataansvarliges vegne (Navn, telefonnummer og e-mailadresse) 3. Databehandlerens navn, adresse og land NB: Fuldmagt skal indsendes til Datatilsynet, hvis en dataansvarlig lader en repræsentant udfylde skemaet på sine vegne. 4. CVR-nummer på databehandleren, hvis det er en virksomhed eller myndighed i Danmark 5. Hvilket år begyndte den dataansvarlige at benytte denne databehandler i videnskabeligt eller statistisk øjemed? 6. Hvad bruges databehandleren til? For eksempel: Opbevaring af data Statistiske analyser Analyse af biologisk materiale osv 7. I hvilke(t) projekt(er) anvendes databehandleren? (Angiv titel samt j.nr. på eventuel tilladelse fra Datatilsynet) Titel og j.nr.: Titel og j.nr.: Titel og j.nr.: (Angiv om nødvendigt flere projekter) 1
Oplysningsskema om databehandler privat forskning og statistik 2016 Version: 1.0 marts 2016 8. Benyttes der underdatabehandler(e) i forhold til denne databehandler? Antal: Hvis ja, så udfyld venligst et skema for hver underdatabehandler. 9. Er der indgået skriftlig databehandleraftale mellem den dataansvarlige og databehandleren? (persondatalovens 42, stk. 2). Dato: 10. Er databehandleren blevet gjort bekendt med vilkårene i den relevante tilladelse fra Datatilsynet? 11. Har den dataansvarlige påset, at databehandleren har truffet de sikkerhedsforanstaltninger, der kræves efter persondataloven og Datatilsynets vilkår? (persondatalovens 42, stk. 1). 12. Ved ja til spørgsmål 11, beskriv hvordan den dataansvarlige har påset, at databehandleren har truffet de sikkerhedsforanstaltninger, der kræves efter persondataloven og Datatilsynets vilkår, og anfør dato for hvornår det skete sidst. For eksempel: Den dataansvarlige udfører selv kontrol, samt dato for seneste kontrol. Den dataansvarlige indhenter årligt revisionserklæring, samt dato for seneste erklæring. 2
Oplysningsskema om databehandler privat forskning og statistik 2016 Version: 1.0 marts 2016 13. Ved nej til spørgsmål 11, beskriv i hvilket omfang den dataansvarlige agter at påse, at databehandleren har truffet de sikkerhedsforanstaltninger, der kræves efter persondataloven og Datatilsynets vilkår. 3
Oplysningsskema om verserende projekt privat forskning og statistik (2016) Dette skema anvendes som led i Datatilsynets tilsyn i 2016, som bl.a. fokuserer på iagttagelse af Datatilsynet vilkår i forbindelse med behandling af personoplysninger, der udelukkende sker i videnskabeligt eller statistisk øjemed. Der bedes udfyldt et skema for hvert enkelt verserende forskningsprojekt, der er angivet i Datatilsynets brev. NB! Besvarelsen skal omfatte ALLE personoplysninger, der i forbindelse med projektet behandles af den dataansvarlige eller på vegne af denne. Sker der f.eks. behandling af projektdata hos en databehandler eller hos et såkaldt deltagende center, sker dette på den dataansvarliges vegne og ansvar, og svarene i dette skema skal omfatte sådanne behandlinger. 1. Dataansvarliges navn 2. Eventuel kontaktperson eller repræsentant for den dataansvarlige, hvis repræsentanten udfylder skemaet på den dataansvarliges vegne (Navn, telefonnummer og e- mail-adresse) 3. Titel på projektet NB: Fuldmagt skal indsendes til Datatilsynet, hvis en dataansvarlig lader en repræsentant udfylde skemaet på sine vegne. 4. Er identifikationsoplysninger, der behandles elektronisk, krypteret eller erstattet af et kodenummer el.lign., eller lagres alle oplysninger krypteret? (Vælg mellem svarmulighederne) Ja. Identitetsoplysninger er krypteret eller erstattet af et kodenummer eller lign.: Ja. Alle oplysninger lagres krypteret: 5. Hvor mange passwords giver adgang til projektdataene, og hvem har kendskab til disse passwords? (Vælg mellem svarmulighederne, sæt kryds og uddyb) Der er kun ét password, og der er flere personer, der har kendskab til dette: Antal personer, der deler password: Har den dataansvarlige stillet krav om, at det/de anvendte password skal holdes fortroligt/hemmeligt? Der er udstedt et personligt password til hver enkelt person, som skal have adgang: Antal personlige passwords: Har den dataansvarlige stillet krav om, at det/de anvendte passwords skal holdes fortroligt/hemmeligt? Andet, beskriv: 1
Oplysningsskema for verserende projekt privat forskning og statistik 2016 Version: 1.0 marts 2016 7. Hvor ofte skiftes der password? Beskriv hvor ofte det eller de anvendte passwords udskiftes: 8. Hvordan opbevares elektroniske projektdata? (Vælg en eller flere svarmuligheder, sæt kryds og uddyb På en server eller computer hos den dataansvarlige: Beskriv: På en server eller computer, der tilhører en anden organisation eller person (end den dataansvarlige): Beskriv: På USB-nøgle, ekstern harddisk eller lignende: Beskriv: Andet, beskriv: 2