Opplysninger om rasemessig eller etnisk bakgrunn, politisk, filosofisk eller religiøs oppfatning, at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, helseforhold, seksuelle forhold, og medlemskap i fagforeninger regnes som sensitive. 

Fødeland, nasjonalitet og statsborgerskap er isolert sett ikke i henhold til personopplysningsloven en sensitiv opplysning, men både Norsk Samfunnsvitenskapelig Datatjeneste (NSD) (se nedenfor) og Datatilsynet behandler likevel disse opplysningene med enn viss forsiktighet, da disse opplysningene kan tendere nært opp til opplysninger om rase eller etnisk bakgrunn. Ved forskningsprosjekter hvor opplysninger om fødeland inngår gjøres det en helhetlig vurdering av prosjektet både i forhold til øvrige opplysninger som samles inn og formålet med prosjektet.

Prosjekter som innebærer elektronisk behandling av personopplysninger skal meldes til Datatilsynet

Alle prosjekter som innebærer elektronisk behandling av personopplysninger (også ikke-sensitive) og/eller opprettelse av et manuelt personregister med sensitive personopplysninger skal meldes til Datatilsynet. Med behandling menes for eksempel innsamling, registrering, kopling eller lagring av personopplysninger.

Personopplysninger er opplysninger og vurderinger som direkte eller indirekte kan knyttes til en enkeltperson. Dette innebærer at ikke bare kvantitative undersøkelser, men også alle kvalitative studier der det foreligger så mye som en liste med navn på intervjuobjektene er meldepliktige. I praksis er dermed så godt som alle intervjuundersøkelser meldepliktige – eventuelt også konsesjonspliktige.

For å få konsesjon må en enten ha samtykke fra registrerte eller et prosjekt av samfunnsinteresse

Det er i utgangspunktet forbudt å registrere og behandle personopplysninger. For å få konsesjon (eller godkjent meldepliktig prosjekt) må prosjektet oppfylle minst ett av unntakene som er gitt i lov om personvern. I forskningssammenheng er de aktuelle unntakene enten at den registrerte har samtykket og/eller at (forskningen) har tilstrekkelig samfunnsinteresse til at hensynet til de registrertes personvern ikke overstiger denne interessen.

Når det gjelder behandlingen av sensitive opplysninger er unntaksvilkårene strengere. Her heter det (i det av unntaksvilkårene som er aktuelt for brukerundersøkelser) at slike opplysninger kun kan behandles dersom det er nødvendig for historiske, statistiske eller vitenskapelige formål, og at samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte.

NSD har på sine hjemmesider en gjennomgang av ulike tema som har betydning for vurderingen av om et prosjekt er i tråd med regelverket. Disse temaene omfatter informasjon til og samtykke fra utvalget, fremgangsmåter for etablering av førstegangskontakt med utvalget, behandling av lyd- og bildeopptak, taushetsplikt samt bruk av data fra eksisterende registre. For en nærmere beskrivelse av disse temaene viser vi til http://www.nsd.uib.no/personvern/forsk_stud/registerstudier.html

Forskere melder til NSD istedenfor Datatilsynet

En rekke forskningsinstitusjoner og universiteter/studenter benytter seg av ordningen med å bruke NSD som personvernombud. For disse er meldeplikten til Datatilsynet avløst av meldeplikt til NSD. Prosjekter som tilrådes av personvernombudet kan unntas fra kravet om konsesjonsplikt. Slike prosjekter blir meldepliktige. Omfatter prosjektet medisinsk og helsefaglig forskning, skal det i tillegg være tilrådd av en regional forskningsetisk komité.

Forskningsprosjekter av stort omfang og lang varighet, samt forskning på store datasett som ikke er pseudonymisert eller avidentifisert på annen sikker måte, er ikke unntatt. Unntaket omfatter bare frafallsanalyser i den grad de er basert på samtykke.

NSDs tjenester som personvernombud retter seg mot forskningsvirksomhet. NSD tilbyr per i dag ikke disse tjenestene til kommuner eller fylkeskommuner. Begrunnelsen for dette er at disse i liten grad driver med forskningsvirksomhet. Foreløpig er det ikke tatt stilling til om markedsanalyseinstitutter og konsulentselskaper kan bruke NSD som personvernombud (så langt er det ikke kommet slike henvendelser). Disse er – i likhet med kommunene – henvist til å søke Datatilsynet direkte.

For ytterligere informasjon henvises til www.datatilsynet.no.