Behandling av personopplysninger i studentoppgaver

All behandling av personopplysninger i studentoppgaven forutsetter at du har lovlig behandlingsgrunnlag og behandlingen er nødvendig for å oppfylle prosjektets formål. Det vil si at metodevalg og dataene som skal samles inn og analyseres er nødvendig for å svare på forskningsspørsmålet/problemstillingen. Du skal sammen med din veileder diskutere og bli enige om hvorvidt innsamling av personopplysninger er nødvendig eller ikke. Samtidig er det viktig at det ikke samles inn eller oppbevares mer personopplysninger enn strengt nødvendig, dere må derfor også komme til enighet om hvor mye opplysninger som skal samles inn og hvordan dette kan begrenses til et minimum.  

Om det ikke er kritisk for prosjektets formål anbefales det sterkt at du unngår å behandle personopplysninger og heller samler inn anonyme data. Dette kan f.eks. være gjennom anonymiserte spørreundersøkelser, dokumentanalyse eller bruk av allerede eksisterende data. Se egne nettressurser for hjelp til hvordan du kan samle anonyme data.

Det er anbefalt at man har gjennomført lynkurset for personvernhåndtering «Personvern (GDPR) og etikk i forskning» på sikresiden.no før man starter arbeidet.

Hva må jeg gjøre hvis jeg skal behandle personopplysninger i studentoppgaven min?  

Hvis du skal behandle personopplysninger som del av arbeidet med studentoppgaven din er det flere ting du må huske på. Under har vi derfor samlet en oversikt over tiltak som må være i orden dersom du skal kunne behandle personopplysninger på en forsvarlig måte. Sjekkpunktene er underinndelt etter tre prosjektfaser (før innsamling, gjennomføring og avslutning) og satt opp nummerert i kronologisk rekkefølge. Under flere av punktene har vi også samlet lenker til nyttige ressurser og verktøy som kan være til hjelp i prosessen.  

Husk at du alltid skal ha avtalt og rådført deg med din veileder før du begynner prosessen med å behandle personopplysninger.  

Merk! Vær oppmerksom på at bachelorstudenter ikke skal sende meldeskjema til Sikt på egenhånd. Du får informasjon i bacheloremnet via Canvas og fra veilederen din hvordan dette skal håndteres (se punkt 6).  

Før innsamling 

Før du kan begynne å samle inn personopplysninger må du ha følgende klart   

Før du gjør noe annet skal du ha avklart med veilederen din hvorvidt det er nødvendig å samle inn personopplysninger i arbeidet med studentoppgaven din. Dere skal også bli enige om hvordan mengden innsamlede personopplysninger kan holdes til et minimum og hvordan de skal kunne behandles på en forsvarlig og tilstrekkelig sikret måte.  

For å kunne bestemme riktig løsning for lagring og videre bearbeidelse av personopplysningene må du tildele dataene du har innsamlet en konfidensialitetsklasse. Klassetildelingen skal baseres på hvor sensitive dataene dine er og er kritisk for ivareta data- og informasjonssikkerheten i prosjektet – du må derfor sette deg inn i omfanget av hver av konfidensialitetklassene og hvor du velger riktig klasse, ved å lese Kristianias veilederside. Praksis for konfidensialitetsklasse er fortsatt under utarbeidelse – spør veileder om råd for sikker og trygg lagring.

Med utgangspunkt i konfidensialitetsklassen du har tildelt dataene dine skal disse oppbevares og eventuelt bearbeides innenfor en godkjent og tilstrekkelig sikret lagringsløsning. For å finne ut hvilke lagringstjenester og -ressurser du kan velge mellom og hvilke klasser disse støtter skal du bruke Kristianias lagringsguide. I tillegg til hvilken klassetildeling du har måtte gjøre, er hvordan dataene skal behandles viktig i valget av lagringstjenester og -ressurs. Kristiania utarbeider for tiden en lagringsguide for godkjente løsninger. Frem til lagringsguiden er publisert – spør veileder om råd for sikker og trygg lagring.

Hvis du skal analysere og/eller bearbeide data som inneholder personopplysninger må du passe på at verktøyene (programvaren og de digitale tjenestene) er godkjent for denne bruken. Informasjon om hvilke verktøy som er klarert for bruk med personopplysninger finner du i lagringsguiden. Lagringsguiden er fortsatt under utarbeidelse og for øyeblikket utilgjengelig – spør veileder om hvilke verktøy du kan benytte.

For å behandlepersonopplysninger i studentoppgaven må du ha et lovlig behandlingsgrunnlag (rettslig grunnlag), dette kan være enten samtykke eller allmennhetens interesse. Hvilket av de to behandlingsgrunnlagene som er best egnet for prosjektet ditt, avhenger av flere faktorer. For studentoppgaver vil samtykke likevel som oftest være det mest relevante behandlingsgrunnlaget, på grunn av prosjektets formål og relativt korte varighet. Valget av behandlingsgrunnlag skal alltid gjøres sammen med veileder.  

Les mer om hvilket behandlingsgrunnlag du bør velge på Sikts nettsider.

Datahåndteringsplan (DHP/DMP) er et dokument hvor du beskriver hvordan dataene du samler inn skal håndteres både i løpet av prosjektet og etter du har lever studentoppgaven. Hovedformålet med en datahåndteringsplan er å ta stilling til hvordan dataene, inkludert personopplysninger, skal håndteres, lagres og sikres, slik at du har en gjennomtenkt plan på plass før du begynner å innsamlingen. 

For studenter er det anbefalt å bruke Sikts datahåndteringsplan (Sikts DMP-verktøy) – få tilgang og les mer om tjenesten her. 

Du kan også lese mer om datahåndteringsplan som verktøy på openscience.no 

Alle studentoppgaver som på et eller annet tidspunkt i løpet av prosjektperioden behandler personopplysninger må meldes til Sikt. Det betyr at hvis du samler inn personopplysninger og anonymiserer disse fortløpende er prosjektet foresatt meldepliktig. Dette gjelder også studentoppgaver hvor det skal samles eller registrere allerede offentlig kjent informasjon om enkeltpersoner (les mer om internettforskning her).

Merk! Bachelorstudenter skal ikke sende meldeskjema til Sikt selv. I de bacheloremnene hvor det er tillatt at studentene kan behandle personopplysninger vil det bli sendt felles meldeskjema. Informasjon om dette vil bli gitt i Canvas – spør veilederen din om du er i tvil. Les alt du trenger å vite om meldskjema på Sikt sine sider.

Forskningsdeltagere skal være tilstrekkelig informert om hvilke personopplysninger som samles inn om de, hvordan disse blir behandlet og til hvilket formål – dette er en grunnleggende rettighet etter personvernforordningen (GDPR). Du må derfor utforme et informasjonsskriv til personene som skal delta i forskningsprosjektet ditt. Informasjonsskrivet skal gjøres tilgjengelig for forskningsdeltagerne før datainnsamlingen starter.  

Det er sterkt anbefalt at du bruker Sikts informasjonsskrivmal. Malen inneholder også oppsett for skiftelig samtykkeerklæring.  

Les mer om hvilken informasjon informasjonsskrivet må inneholde på Sikt sine nettsider.

I tillegg til informasjonsskrivet, må det innhentes dokumenterbart samtykke fra alle deltagere (gjelder ikke i tilfeller hvor allmenhetens interesse kan brukes som lovlig behandlingsgrunnlag). For at et samtykke skal være gyldig må det i tillegg til å kunne dokumenteres være frivillig, spesifikt, informert (via informasjonsskrivet), utvetydig, gitt gjennom en aktiv handling og være like lett å trekke tilbake som å gi.  

Samtykke kan enten gis elektronisk (epost), skriftlig (signatur) eller muntlig (lydopptak). Hvis du ønsker å innhente skiftelig samtykke er dette vanlig å inkludere dette som del av informasjonsskrivet (se mal fra Sikt).

For spørreundersøkelser er det vanlig at informasjonsskrivet inngår i starten, som en del av selve spørreskjemaet.  

Les mer om samtykke på Sikt sine nettsider.

Gjennomføring 

Når du skal bearbeide og analysere personopplysningene må du under hele prosessen passe på følgende:  

Under hele prosjektet og frem til dataene enten slettes eller fullt ut anonymiseres må du passe på at du ikke flytter eller overfører de til utenfor den godkjente lagringsløsningen du valgte under punkt 2. eller en løsnings godkjent for den tilsvarende konfidensialitetsklassen. For eksempel ikke vil kunne laste ned lydopptak gjort i nettskjema til egen privat PC/Mac da sistnevnte kun er godkjent for grønne data/offentlige data.  

Kristiania utarbeider for tiden en lagringsguide for godkjente løsninger. Frem til lagringsguiden er publisert – spør veileder om råd for sikker og trygg lagring.

11. At personopplysningene ikke deles med personer utenfor prosjektet 

Det er viktig at personopplysningene kun er synlig og tilgjengelig for de personene som er meldt som medvirkende til prosjektet, fortrinnsvis studenten(e) og veileder (prosjektansvarlig). Personopplysninger skal aldri deles med personer utenfor prosjektet.  

Om du har gjort større endringer i prosjektet ditt i etterkant av det opprinnelige vurderingen fra Sikt skal dette meldes ved å oppdatere informasjonen i meldeskjemaet og sende det inn for ny vurdering. Grunnen til dette er at større endringer som for eksempel: sluttdato for prosjektet, metode og utvalg, har innvirkning på hvordan personopplysningene håndteres og hvorvidt prosjektet fortsatt er i overenstemmelse med lovverk må derfor vurderes på nytt. Du kan ikke starte datainnsamlingen før du har fått svar og gjennomført eventuelle utbedringer.  

Se hvilke prosjektendringer som krever og ikke krever oppdatering av meldeskjema.

13. At det ikke oppbevares personopplysninger lengre enn nødvendig 

Personopplysningene du har samlet inn skal aldri oppbevares lengre enn nødvendig. Dette er for å redusere risikoen for at data havner på avveie eller blir glemt. Du skal derfor anonymisere eller slette personopplysningene så fort du er ferdig med behandlingen, og aldri senere enn når studentoppgaven er ferdig (med mindre forskningsdeltagerne har gitt samtykke for videre lagring). Om prosjektets varighet går ut over hva som opprinnelig ble planlagt må meldeskjemaet oppdateres for ny vurdering.   

Avslutning  

Når du har levert studentoppgaven og er klar til å avslutte prosjektet ditt må du gjøre følgende:  

Ved prosjektslutt skal alle personopplysninger som ble samlet inn for prosjektet enten slettes eller fullstendig anonymiseres i overenstemmelse med hva som ble informert om til Sikt og deltagerne.  

Ved sletting eller fullstendig anonymisering av personopplysninger må du huske at gjøre det for alle kopier av filene.  

 For bachelorstudenter: I bacheloroppgaver skal du sende sluttmelding til emneansvarlig/fagansvarlig, som så melder dette videre til Sikt. Du finner informasjon om hvem du skal sende sluttmelding til og hvordan i Canvas-rommet for ditt bacheloremne. Spør veilederen din om du er usikker.  

For masterstudenter: I masteroppgaver skal du eller din veileder sende sluttmelding direkte til Sikt. Dette kan gjøres direkte i meldeskjemaet.