Sletting
Som nevnt over er utgangspunktet at personopplysninger ikke skal lagres lenger enn det som er nødvendig for å oppnå formålet med prosjektet, og derfor skal slettes ved prosjektslutt. Før du legger en plan for hvordan personopplysningene skal slettes, må du undersøke om prosjektet omfattes av lovfestede krav og/eller retningslinjer om arkiveringsplikt. Eksempler på dette er REK sin adgang til å fastsette vilkår om at prosjektet skal oppbevare dokumentasjon 5 år etter prosjektslutt i helseforskning av hensyn til etterkontroll, jf. helseforskningsloven § 38.
Det er imidlertid viktig å merke seg at data kun skal lagres av hensyn til etterkontroll, og ikke brukes av prosjektleder eller andre i perioden mellom prosjektslutt- og slettedato. Videre er andre eksempler krav til oppbevaring av dokumentasjon på 25 år i legemiddelstudier (EUs forordning for kliniske studier (Clinical Trials Regulation, no. 536/2014) artikkel 58) og retningslinjene Good Clinical Practice (GCP). Merk her at GCP ikke er i strid med prinsippet om lagringsbegrensning i personvernforordningen.
Se også Normens faktaark 25 om lagringstid og sletting.
Anonymisering
Hvordan personopplysninger anonymiseres er beskrevet under veilederens kapittel 5.2.2. Kort oppsummert innebærer dette at personopplysninger i et datasett må slettes eller bearbeides slik at det ikke lenger er mulig å gjenkjenne enkeltpersoner, verken direkte eller indirekte. Anonymisering kan være en krevende prosess, og det er f. eks ikke alltid tilstrekkelig å slette kodenøkkel.
Du må også vurdere om datasettet i seg selv er egnet til å identifisere enkeltpersoner. Dersom du er usikker på hvordan du skal anonymisere personopplysninger, eller om du har fått det til anbefaler vi at du rådfører seg med personvernressurser i din institusjon.
Viderebehandling
På visse vilkår kan det også være adgang til å viderebehandle personopplysninger for forskningsformål. Her er det blant annet sentralt å avklare hva formålet med viderebehandlingen er, hvilken informasjon som er gitt til den registrerte og/eller hvilket rettslig grunnlag den opprinnelige behandlingen av personopplysningene var basert på, samt hvem som er dataansvarlig.
Dette er det lurt å vurdere allerede i planleggingen av prosjektet, og det anbefales at du rådfører deg med personvernressurser i din institusjon. Det vil også være nyttig å se til veilederens kapittel 3 om formål.
Det er også mulig å lagre opplysningene videre for gjenbruk i forskning på visse vilkår. Her er det blant annet sentralt å avklare hvilke formål det er ønskelig å viderebehandle opplysningene for og hvem som er dataansvarlig. Hvis det er aktuelt, er det best å planlegge dette ved prosjektstart. Rådfør deg med ressurser i din institusjon.
Et annet spørsmål det bør tas stilling til i forbindelse med prosjektslutt er publisering. Dette står det mer om i veilederens kapittel 10.3.