Det vil likevel alltid kunne oppstå endringer i prosjektet som avviker fra planleggingen du gjorde før oppstart. Det kan være overraskende funn og utfordringer knyttet til dataene, det kan være behov for mer og nye data, og det kan skje endringer i ressurser og organisering. Konsekvensene av dette er at det kan bli nødvendig å gjøre endringer i prosjektet.
Når du skal vurdere om det er behov for å gjøre endringer, er det viktig å huske at alle tillatelser, innsamlede samtykker og personvernvurderinger bygger på den opprinnelige prosjektbeskrivelsen. Et prosjekt vil etter hvert ofte ha flere versjoner av prosjektbeskrivelser, og det er derfor viktig å dokumentere hva som til enhver tid er gjeldende versjon, og hvilke grep som har blitt gjennomført som følge av endringene. Noen typiske eksempler på endringer som kan påvirke behandlingen av personopplysninger er:
- Utsettelse av prosjektslutt som medfører forlengelse av behandling av personopplysninger
- Nye og utgående prosjektmedarbeidere
- Nye datainnsamlinger, f. eks ny type personopplysninger
- Inklusjon av nye prosjektdeltakere (registrerte)
- Inklusjon av ny dataansvarlig institusjon
- Endringer i hvordan prosjektdeltakere rekrutteres
- Endringer i tekniske løsninger som benyttes (f. eks eCRF-løsning)
I helseforskning vil også endringer både av faglig og organisatorisk karakter kreve at prosjektet sender endringsmelding til REK.
Videre må du alltid vurdere endringen før den gjennomføres. I helseforskning vil endringer både av faglig og organisatorisk karakter kreve at prosjektet sender endringsmelding til REK. Endringer kan også medføre at prosjektet må ha en ny vurdering og tillatelse fra Direktoratet for medisinske produkter, Helsedirektoratet eller Helsedataservice. Merk at det ikke vil være tilstrekkelig å dokumentere at endringsmelding er sendt.
Prosjektet må videre alltid vurdere hvordan endringene i prosjektet påvirker den registrerte, og om behandlingen av deres personopplysninger fortsatt vil være forutsigbar, åpen og rettferdig. F. eks kan det være slik at informasjonen prosjektet har gitt til den registrerte, og det samtykket som er samlet inn, ikke er dekkende for den behandlingen av personopplysninger endringen medfører.
Dersom dette er tilfellet må prosjektet iverksette tiltak som å gi den registrerte ny informasjon, gi dem mulighet til å reservere seg eller samle inn nytt samtykke.