4. Oppbevaring av aktive forskningsdata

• Oppbevaring av aktive forskningsdata for forskningsprosjekt
• Oppbevaring av aktive forskningsdata på private enheter for studenter
• Langtidsoppbevaring, publisering og gjenbruk av forskningsdata

4.a Oppbevaring av aktive forskningsdata for forskningsprosjekt

• Dersom prosjektet har fått ekstern finansiering fra EU eller NFR er det et krav at prosjektleder utarbeider en databehandlingsplan hvor all behandling av data, fra innsamling til avslutning med sletting, anonymisering og/eller langtidslagring og evt. deling, beskrives.
• Når behandling av personopplysninger er forhåndsvurdert av Sikt/REK må prosjektleder opprette et lagringsområde på HVL sin forskningsserver for prosjekter som behandler særlige kategorier personopplysninger (se 5. Guide for å behandle forskningsdata).
• For studentprosjekter som ikke har særlige kategorier personopplysninger [1], og har lav personvernrisiko, kan private lagringsenheter benyttes (se 4.b Oppbevaring av aktive forskningsdata på private enheter).
• Datamaterialet skal så langt det er mulig oppbevares og behandles avidentifisert på HVL sin forskningsserver eller i henhold til lagringsguide. Dette innebærer at forskningsdata og personidentifiserende elementer (koblingsnøkkel) lagres hver for seg.
• Gjennom registreringen på HVL sin forskningsserver autoriserer prosjektleder medarbeidere som skal ha tilgang til forskningsdata gjennom forskningsserveren. Prosjektleder er ansvarlig for at dette skjer i samsvar med samtykke, melding til Sikt/REK og eventuell datahåndteringsplan.
  • Dersom ekstern forskningsmedarbeider skal ha tilgang til forskningsdataene, skal det undertegnes Avtale med ikke-ansatt (mal finnes i Vestibylen).
  • Tilgang til koblingsnøkkelen skal vanligvis være begrenset til prosjektleder. Det kan gjøres unntak i særskilte situasjoner der det er avgjørende for gjennomføring av prosjektet.
• Prosjektleder skal sørge for at midlertidig oppbevaring og transport av persondata (mellom virksomheter eller for lagring i forskningsserveren) via mobile lagringsmedier skjer på en sikker måte:
  • Papirbaserte forskningsdata lagres i avlåste arkiv. Skanning og lagring av dokumenter på forskningsserveren anbefales når dette er mulig.
  • Lyd- og bildeopptak lagres midlertidig på passordbeskyttet enhet. Lyd- og bildefiler skal lagres på forskningsserveren eller i henhold til lagringsguide så snart det lar seg gjøre og umiddelbart slettes fra den eksterne enheten.
  • Minnepinner skal kun brukes til midlertidig lagring som ved overføring av data fra en enhet til en annen, eller ved utlevering av data til annen virksomhet. Filene krypteres og beskyttes med passord. Når dataene er overført til forskningsserveren slettes dataene fra minnepinnen.
  • Personopplysninger kan mellomlagres i OneDrive eller Box i henhold til lagringsguide.

• Prosjektleder er ansvarlig for at det foreligger en databehandleravtale med eksterne virksomheter som behandler personopplysninger i prosjektet, når HVL ikke allerede har en databehandleravtale med virksomheten.
• For oppbevaring av data etter prosjektslutt, se 4.c. Langtidsoppbevaring av forskningsdata.

4.b Oppbevaring av aktive forskningsdata på private enheter for studenter

Private enheter kan brukes i studentoppgaver dersom forutsetningene under oppfylles.

Forutsetning for bruk av private enheter i studentoppgaver:

• Bruk av private enheter skal være avklart med veileder eller faglærer. Veileder eller faglærer må kjenne til forutsetningene under, og kunne gi veiledning om de enkelte punktene.
• Kun for studentprosjekter med lav personvernrisiko der det ikke skal innhentes særlige kategorier opplysninger [1], kan private enheter benyttes.
• Studentprosjekter kan ikke starte før det foreligger en vurdering fra Sikt og eventuelt REK.
• Studenten må sørge for å ivareta informasjonssikkerheten i perioden hvor personopplysninger behandles. Det skal iverksettes tiltak for å ivareta konfidensialitet, dvs. forhindre at personopplysninger kommer på avveie gjennom for eksempel kryptering.
• Studenten må sørge for at prosjektdeltakers integritet må sikres ved at ikke uvedkommende har tilgang til de personopplysningene som behandles.
• Studenten må sikre at enhetene aldri forlates uten beskyttelse med passord.
• Studenten skal sørge for å ikke lagre personopplysninger i skyløsninger hvor det ikke er mulig å sikre hvem som har tilgang til dataene og ha kontroll over hvor servere befinner seg geografisk, eller på annen måte sprer disse opplysningene uten kontroll.
• Studenten skal sørge for sikkerhet rundt bruk av private lydopptakere. Lydopptak må krypteres etter opptak og ikke beholdes lenger enn nødvendig for transkribering. Lydopptak slettes senest ved prosjektslutt.
• Studenten skal sørge for at personopplysninger som har blitt samlet inn for behandling i masteroppgaver slettes eller anonymiseres når oppgaven er levert og funnet godkjent. Dette gjelder også lydopptak, videoer og bilder. Dette gjelder så lenge det ikke foreligger lovlig hjemmel for videre oppbevaring
• Studenten skal selv rapportere til Sikt om at sletting/anonymisering er utført ved avslutning av prosjektet. Dette gjelder alle originaler og eventuelle kopier av personopplysningene. Veileder har ansvar for å kontrollere at studenten varsler om sletting/anonymisering til Sikt ved prosjektslutt.

4.c Langtidsoppbevaring, publisering og gjenbruk av forskningsdata        

Personopplysninger skal lagres slik at det ikke er mulig å identifisere forskningsdeltakerne i lengre perioder enn det som er nødvendig for prosjektets formål. Langtidsoppbevaring er særlig aktuelt for anonyme data slik at disse kan deles og utnyttes videre i vitenskapelig forskning, eller i personidentifiserbar form der det foreligger oppbevaringsplikt eller ønske om oppfølgingsstudier.

• Prosjektleder skal påse at oppbevaring etter prosjektslutt er i samsvar med informasjons- og samtykkeskriv, datahåndteringsplan, kontrakt med oppdragsgiver og avtale om delt behandlingsansvar der det er aktuelt.
• Prosjektleder skal sørge for at dataene klargjøres, anonymiseres eller på andre måter bearbeides for langtidsoppbevaring i god tid før prosjektet avsluttes.
• Datamateriale som inneholder personopplysninger, kan også publiseres/arkiveres for gjenbruk når det foreligger et gyldig behandlingsgrunnlag.[2]
• Forskere ved HVL kan publisere/arkivere forskningsdata i vårt institusjonelle forskningsdataarkiv, HVL Open Research Data. Ta kontakt med biblioteket for veiledning i hvordan forskningsdata skal bearbeides for arkivering.
• Prosjekter som er finansiert av Norges forskningsråd (NFR) skal arkivere sine forskningsdata i et godkjent forskningsdataarkiv[3]
• Enkelte personopplysninger kan være oppbevaringspliktige etter journalforskriften og/eller arkivloven. Fortsatt oppbevaring etter dette kriteriet krever at opplysningene kun lagres i henholdsvis pasientjournalsystem og/eller høgskolen sin forskningssever.
• Prosjektleder skal ikke slette kildedata eller andre forskningsdata og dokumenter dersom tilsynsmyndighetene har åpne saker tilknyttet forskningsprosjektet, eller dersom prosjektdeltaker(e) er under mistanke for uredelighet i forskning.

_{[1] opplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning, fagforeningsmedlemskap, genetiske opplysninger, biometriske opplysninger med det formål å entydig identifisere noen, helseopplysninger, om seksuelle forhold, seksuell legning, straffedommer og lovovertredelser (art. 9 og 10 i forordningen)}

_{[2] NSD og/ eller HVL sin fagansvarlig kan i samråd med personvernombudet vurdere om det foreligger gyldig behandlingsgrunnlag i personvernforordningen til publisering av personopplysninger for arkivformål.}

_{[3] Eksempler på godkjente arkiver er Dataverse, NSD og CLARINO.}