Det første er form. Informasjonen kan gis skriftlig eller muntlig. Men du må kunne dokumentere at de registrerte har fått informasjon, og hvilken informasjon som er gitt. Derfor vil det i de fleste tilfeller være fordelaktig å gi informasjonen skriftlig. Uavhengig av om prosjektet gir skriftlig eller muntlig informasjon, er det et absolutt krav at informasjonen er lett forståelig for den registrerte.
Informasjonen bør være kortfattet og må formidles på et språk som den registrerte forstår. Det kan være nødvendig å legge inn en ekstra innsats for klarspråk og språklige tilpasninger, for å forsikre seg om at informasjonen blir forstått. Det kan også være et godt tiltak å gå igjennom informasjonen muntlig sammen med den registrerte (f.eks. før intervju), selv om informasjonen er gitt skriftlig på forhånd.
Det er også viktig at informasjonen gis via kanaler der den faktisk når frem til dem som skal motta den. Informasjonen må gis individuelt til hver deltaker. Det er ikke tilstrekkelig å gi kollektiv informasjon for å oppfylle den registrertes rett til informasjon (les mer under unntak).
Det andre er innhold. Regelverket stiller krav til hva du må informere om. Den registrerte har rett til informasjon om:
- Hvem som er forsknings- og dataansvarlig institusjon (kontaktopplysninger- og personer i alle deltakende institusjoner)
- Hvorfor personopplysningene skal behandles (formål), hvor lenge, og på hvilket lovgrunnlag opplysningene behandles,
- Hvem som vil få tilgang til personopplysningene (mottakere),
- Hvilke datakilder opplysningene hentes fra
- Hvilke rettigheter den registrerte har: innsyn/kopi, retting, sletting, protest/trekke samtykke, og at den registrerte kan klage på behandlingen til Datatilsynet
- Kontaktopplysninger til personvernombudet ved din institusjon
- Lovlig grunnlag for å overføre personopplysningene ut av EU/EØS (hvis aktuelt)
- Planer om utlevering/viderebehandling av opplysningene til andre formål (hvis aktuelt)
Det tredje er tidspunktet. Hvis prosjektet skal samle data direkte fra de registrerte, må du gi informasjonen før datainnsamlingen starter. Dette vil for eksempel være tilfelle ved datainnsamling gjennom intervju, spørreskjema, deltakende observasjon, medisinske/andre tester, biologiske prøver og andre former for datainnsamling der prosjektet får personopplysningene direkte fra den det gjelder.
De registrerte er da aktive deltakere i prosjektet, og må på forhånd ha fått vite hva deltakelsen innebærer og hvordan personopplysningene deres vil bli behandlet. Hvis prosjektet ikke samler data direkte fra de registrerte, men innhenter opplysninger om dem fra andre datakilder, må du informere de registrerte senest en måned etter at datainnsamlingen har startet, eller (hvis aktuelt) senest når opplysningene skal utleveres til andre, eller prosjektet skal kontakte de registrerte.
Sistnevnte kan f.eks. være aktuelt når prosjektet behandler personopplysninger for å trekke og/eller rekruttere et utvalg som blir spurt om å delta i intervju. I informasjonen som blir gitt til utvalget må det da beskrives hvordan personopplysninger ble behandlet ifm. rekruttering.
Det finnes flere ressurser å støtte seg på, når du skal utarbeide informasjon til de registrerte. Sikt personverntjenester har utarbeidet maler for informasjonsskriv i forskning: Informasjon til deltakarane i forskingsprosjekt (sikt.no). REK har utarbeidet maler for informasjonsskriv i helseforskning: Hjem - Insights (rekportalen.no). Se også Normens veileder om de registrertes rettigheter