analyseresultater fra Danmarks Statistiks forskerordning Disse retningslinjer gælder alle forskere, som har adgang til data ved DST igennem OPENs autorisation. Forskningsservice har skærpet reaktionen ved et brud på reglerne om datafortrolighed og datasikkerhed under forskerordningen ved Danmarks Statistik (DST). Brud på reglerne for anvendelse af mikrodata medfører at der lukkes for hele institutionens adgang til forskermaskinen i minimum en måned! Det er vigtigt at forskere, der anvender forskerordningen, kun hjemsender relevante resultater af deres analyse, men derimod aldrig oplysninger, der på nogen måde kan identificere enkeltpersoner eller enkeltvirksomheder. Det skal understreges at forbuddet også omfatter (pseudo)anonymiserede (afidentificerede) data hidrørende fra enkeltpersoner. OPEN har derfor indført en procedure for hjemsendelse af data: Ønsker du at hjemsende aggregerede data (tabeller, figurer eller lignende), skal du gøre følgende: 1. Samle data i en eller flere filer, som lægges i en i øvrigt tom folder 2. Sikre dig at data overholder Danmark Statistiks krav til data der hjemtages (se nedenfor) 3. Sende en mail til ouh.open.dst@rsyd.dk, hvor i du oplyser: 1. DST projektnummer 2. Hvilken mappe filerne, som ønskes hjemtaget, ligger i 3. Navn på de pågældende filer OPEN vil derefter gennemse filerne og forestå selve hjemsendelsen indenfor 1-2 arbejdsdage, når filernes vurderes at overholde reglerne. Nedenfor gives en kort beskrivelse af hovedreglerne for hjemsendelse af filer, herunder hvad der menes med mikrodata og detaljerede tabeller, proceduren ved et regelbrud samt et forslag til arbejdsmetode, der gerne skulle sikre, at de filer du anmoder om at få hjemtaget, overholder reglerne og dermed sikre at OPENs hjemsendelsesprocedure kan fungere så smidigt som muligt. Side 1 af 5 version 3, OPEN 28-12-2016
Hvad må hjemsendes? Som hovedregel må der kun hjemsendes analyseresultater, aggregerede tabeller eller figurer, hvor det ikke er muligt at identificere enkelte enheder, dvs. hverken personer, husstande, familier, virksomheder og andre enheder. Dette gælder også selv om data er afidentificerede og også selvom det afidentificerede løbenummer er fjernet. Det må med andre ord ikke være muligt at genkende nogen personer eller enheder i det hjemsendte materiale. Det er ikke muligt at lave helt faste regler for, hvad der må hjemsendes og hvad der ikke må. Nedenstående skal derfor ses som nogle generelle retningslinjer, der i langt de fleste tilfælde vil sikre, at de hjemsendte data ikke vil indeholde nogen identifikationskraft. Det er med andre ord tilladt at hjemsende tabeller, figurer mv. der har en større detaljeringsgrad end de tommelfingerregler, som vi anbefaler nedenfor, blot det sikres, at ovenstående overholdes. Ansvaret for dette er dit, også selv om OPEN måtte vælge at følge din anmodning og sende data hjem til dig. Generelt gælder nedenstående tommelfingerregler for aggregerede data. Hjemsendte resultater bør som udgangspunkt have sådan en form, at de umiddelbart kan anvendes i en publikation. Men det er tilladt at arbejde videre med det hjemsendte, aggregerede materiale, f.eks. danne figurer eller udføre yderligere analyser i statistikprogrammer. For tabeller gælder nedenstående: Tabeller bør indeholde mindst 3 observationer pr. celle Tommelfingerreglen er, at tabeller bør indeholde 0 eller mindst 3 observationer per celle. I nogle tilfælde er grænsen højere end 3. Grænsen skal derfor altid afhænge af en konkret vurdering af, hvad tabellen indeholder. For yderligere information henvises til Datafortrolighedspolitik i Danmarks Statistik, kapitel 3. Indeholder tabellerne færre observationer, bør det overvejes at aggregere disse tabeller yderligere, alternativt blænde celler med få observationer før tabellen hjemsendes. Afblænding kan f.eks. ske ved at slette cellens indhold, eller erstatte det med en markering såsom n<4, se dog nedenfor mht. ikke at kunne regne tilbage. Vær opmærksom på, at man heller ikke af en tabels marginale totaler, procenter eller rater må kunne udlede om en given information stammer fra for få observationer, f.eks. må der ikke af Side 2 af 5 version 3, OPEN 28-12-2016
en tabels summer kunne udledes, hvor mange personer, der er blevet diskretioneret. Man må med andre ord ikke kunne regne tilbage og nå en bestemt værdi under 3. Maks og min og percentiler, som fx medianen, må kun hjemsendes, hvis der ikke er fare for identifikation af enkeltindivider. Værdier som min og maks henviser ofte til enkeltindivider, men de kan hjemsendes, hvis det er sikret, at ingen personer kan genkendes i materialet. Figurer Figurer må kun hjemsendes, hvis de ikke indeholder identificerbar information. Man skal ved figurer være særligt opmærksom på såkaldte outliere/ekstreme værdier. Det skal derudover sikres, at figurerne ikke indeholder indlejrede mikrodata. Sidstnævnte kan f.eks. sikres ved at hjemsende figuren i pdf-format. Hvad må ikke hjemsendes? Ingen form for mikrodata må hjemsendes Mikrodata defineres som data, der f.eks. indeholder nedenstående: Afidentificerede nøglevariabler som personnumre, CVR-numre, arbejdsstedsnumre, adressekoder mv. Selv om der f.eks. blot hjemsendes afidentificerede personnumre, uden anden information betragtes dette stadig som en hjemsendelse af mikrodata. Dette gælder også eksterne data, dvs. data som man selv har indsendt til Danmarks Statistik og som skal indgå i et konkret projekt Datasæt med oplysninger på individniveau, også i de tilfælde, hvor man har fjernet det afidentificerede løbenummer. Dvs. et datasæt på individniveau bestående af baggrundsoplysninger, som f.eks. indkomst, uddannelse og socioøkonomisk status, men hvor det afidentificerede personnummer for hver person er fjernet Side 3 af 5 version 3, OPEN 28-12-2016
Pas på med programfiler og logfiler Programmer og logfiler kan også indeholde mikrodata, jf. nedenstående eksempler på programmer og logfiler, der ikke må hjemsendes: Programkode, der indeholder mikrodata, f.eks. skrevet ind i en betingelse Logfiler, der lister observationer. Nogle procedurer lister f.eks. et lille udsnit af det datasæt, der er anvendt ved analysen Bemærk at det er ligegyldigt, om de hjemsendte individdata har identifikationskraft, det drejer sig om, at man ikke må hjemsende mikrodata! Enhver handling, hvor man har hjemsendt mikrodata, defineres som et regelbrud, da dette er i strid med både forsker- og autorisationsaftalen. F.eks. vil en hjemsendt logfil, der lister afidentificerede personnumre betragtes som et regelbrud også selv om disse personnumre ikke indeholder anden information. Al arbejde med mikrodata skal foregå på forskermaskinerne Al arbejde med mikrodata skal derfor foregå på forskermaskinen. Det er tilladt at danne logfiler, der lister afidentificerede personnumre f.eks. som kontrol af et program, men en sådan fil SKAL, i lighed med alle andre filer, der indeholder mikrodata, blive på forskermaskinen og må IKKE hjemsendes. Procedurer og sanktioner ved et brud på datafortroligheden Hvis et brud på datafortroligheden konstateres, så skelnes der mellem hjemsendelse af detaljerede tabeller og hjemsendelse af mikrodata. Hvis Danmarks Statistik konstaterer, at der er hjemsendt mikrodata, så lukker de for OPENs adgang, hvilket betyder at samtlige OPENs brugere rammes. Lukningen er mindst en måned. Hvis Danmarks Statistik konstaterer, at der er hjemsendt detaljerede tabeller, så lukker de IKKE for adgangen, men kontakter forskeren for en redegørelse, vejleder forskeren i reglerne for hjemsendelse af data og lukker herefter sagen. Kun hvis der er tale om meget detaljerede tabeller, som har karakter af mikrodata, dvs. mange celler indeholder 1-taller, så kan de overveje at behandle sagen som en hjemsendelse af mikrodata. Side 4 af 5 version 3, OPEN 28-12-2016
Hvis der begås et regelbrud Hvis du ved en fejl har sendt mikrodata eller detaljerede tabeller hjem så kontakt Danmarks Statistik og OPEN så hurtigt som muligt. Orienter altid Danmarks Statistik ved et regelbrud Beskriv i mailen, hvornår data er sendt hjem samt omfanget af hjemsendelsen. Adgangen til mikrodata vil fortsat blive lukket og der skal sendes en redegørelse og plan for forebyggelse, men det betragtes som en formildende omstændighed, at forskeren/institutionen selv rapporterer regelbruddet. Orienteres der hurtigt om et regelbrud, betragtes det som en formildende omstændighed Gode råd Nedenfor følger en liste med gode råd om hvordan man undgår brud på reglerne om datafortrolighed og datasikkerhed: For forskere, der har adgang til mikrodata: 1. Kontroller altid samtlige filer, der skal hjemsendes a. Kontakt altid Forskningsservice i tvivlstilfælde 2. Begræns hjemsendelsen af filer til det mest nødvendige. a. Er det f.eks. nødvendigt at hjemsende programmer og logfiler? de opbevares sikkert under forskerordningen b. Er det nødvendigt at hjemsende foreløbige resultater? 3. Husk at analyser på mikrodata skal foretages på Danmarks Statistiks forskermaskiner, og at mikrodata må ikke hjemtages med henblik på videre analyser andet steds. Side 5 af 5 version 3, OPEN 28-12-2016