Etter personvernforordningen skal opplysninger aldri lagres lenger enn det som er nødvendig for formålet med behandlingen, jf. personvernforordningen artikkel 5 nr. 1 bokstav e. Bestemmelsen setter en ytre ramme for hvor lenge helseopplysninger i et medisinsk og helsefaglig forskningsprosjekt kan oppbevares. Opplysningene kan imidlertid lagres i lengre perioder dersom de utelukkende brukes til forskning eller statistikk. Dette må skje i samsvar med artikkel 89 nr. 1, forutsatt at det gjennomføres egnede tekniske og organisatoriske tiltak som kreves i henhold til denne forordning for å sikre de registrertes rettigheter og friheter. Se omtale i kapitlet om gjenbruk av helseopplysninger til nye forskningsformål.
Når det ikke lenger er lagringsplikt etter helseforskningsloven, arkivlova eller andre regler, og det ikke er hjemmel til å bruke opplysningene til nye formål, skal opplysningene anonymiseres eller slettes. Les mer om anonymisering av helse- og personvernopplysninger i kapitlet om forholdet til personvernregelverket.
Virksomhetene må organisere gode systemer for å følge opp at forskningsdata i hvert enkelt forskningsprosjekt blir slettet til rett tid. Det skal føres protokoll over behandlingen i av personopplysninger i forskningsprosjektet med plan for lagring og frister for sletting eller anonymisering, jf. personvernforordningen artikkel 30 nr. 1 (lovdata.no). Plan for lagring og sletting bør tas inn i forskningsprotokollen.
Det vil være enkelte medisinske og helsefaglige forskningsprosjekter hvor det er stilt vilkår om sletting innen en fastsatt frist i vedtak om dispensasjon fra taushetsplikten fra REK, Helsedirektoratet eller Helsedataservice. Særskilte vilkår om sletting av helseopplysninger som er omfattet av vedtaket må følges.
Opplysninger kan også være journalført i den enkeltes pasientjournal som relevante og nødvendige opplysninger for helsehjelp som er ytt, for eksempel i en klinisk behandlingsstudie. Opplysningene i pasientjournalen skal oppbevares og behandles i samsvar med pasientjournalloven. Pasientjournalloven og helsepersonelloven har egne bestemmelser om oppbevaring, lagringstid, sletting og retting som gjelder for opplysningene i pasientjournalen. Se pasientjournalloven § 25 (lovdata.no), samt helsepersonelloven §§42 (lovdata.no) og 43 (lovdata.no). Les også om dokumentasjonsplikt i rundskriv til helsepersonelloven.
Forskningsansvarlig som dataansvarlig har videre plikt til å rette, oppdatere og supplere opplysninger av eget tiltak i samsvar med personvernforordningen artikkel 5 nr. 1 bokstav d.
Forskningsdeltakerens krav om retting og sletting av helseopplysninger reguleres av personvernforordningen artikkel 16 (lovdata.no) og 17 (lovdata.no). Av artikkel 16 følger det at forskningsdeltakeren skal ha rett til å få uriktige helse – og personopplysninger om seg selv rettet uten ugrunnet opphold.
På visse vilkår skal vedkommende også ha rett til å få slettet opplysninger om seg selv, etter artikkel 17. Dette gjelder for eksempel i tilfeller der opplysningene lenger ikke er nødvendige for formålet som de ble samlet inn eller behandlet for eller forskningsdeltakeren trekker tilbake samtykket som ligger til grunn for behandlingen, i henhold til artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), og det ikke finnes noe annet rettslig grunnlag for behandlingen. Dette gjelder likevel ikke for forskningsformål i samsvar med artikkel 89 nr. 1 i den grad dette sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, jf. artikkel 17 nr. 3 bokstav d. Se også personopplysningsloven § 17 annet og tredje ledd.
Det følger også særlige bestemmelser om forskningsdeltakerens rett til å få opplysninger om seg slettet i forbindelse med tilbaketrekking av samtykke i helseforskningsloven § 16, se særlig tredje ledd. Se omtale i kapitlet om tilbaketrekking av samtykke.