2. Oppstart av prosjekter

Del 2.a beskriver de prosjektene som kommer innunder personopplysningsloven, mens del 2.b handler om prosjekter innen helseforskning. I begge deler beskrives rutiner for student- og forskningsprosjekter separat

2.a Oppstart av prosjekter under personopplysningsloven

Formålet med rutinen er å sikre at oppstart av student- og forskningsprosjektet ivaretar personvernet i samsvar med Lov om behandling av personopplysninger (personopplysningsloven og personvernforordningen (GDPR)) og generelle forskningsetiske hensyn i tråd med Lov om organisering av forskningsetisk arbeid (forskningsetikkloven). Alle prosjekter som behandler personopplysninger, skal forhåndsvurderes av NSD og eventuelt forskningsetisk komité (REK).

Forskningsprosjekter

• Prosjektleder utarbeider en prosjektbeskrivelse og en datahåndteringsplan når dette er et krav. Alle prosjekter som mottar finansiering fra NFR eller EU må utarbeide en datahåndteringsplan.
• Prosjektleder informerer fakultetet om prosjektet. Fakultetet anses å være informert når det er tildelt FoU-tid til prosjektet, eller dekan på andre måter har godkjent prosjektet.
• Prosjektleder skal sjekke og sikre at prosjektleder selv, og prosjektets andre medarbeidere, er kjent med retningslinjer for personvern og forskningsetikk.
• Dersom det skal samles personopplysninger i prosjektet, sender prosjektleder meldeskjema med prosjektbeskrivelse og vedlegg til Sikt som er HVL sin personvernrådgiver i forskning. Meldingen skal sendes senest 30 dager før innsamlingen av personopplysninger skal starte.
• Prosjektleder avventer vurdering fra Sikt før datainnsamling igangsettes.
• Data som inneholder særlige kategorier[1] personopplysninger skal lagres på HVL’ s forskningsserver. Før oppstart bestiller prosjektleder lagringsplass på HVL sin forskningsserver (se 4.a Oppbevaring av aktive forskningsdata) og registrer gjennom dette hvilke type(r) personopplysninger som behandles.
• Prosjektleder skal sørge for at det foreligger en gyldig databehandleravtale dersom det benyttes eksterne databehandlere. En liste over felles databehandleravtaler inngått av HVL finnes i Vestibylen.
• Prosjektleder registrerer prosjektet i CRIStin prosjektdatabase.
• Prosjektet kan starte behandling av personopplysninger, herunder innsamling, registrering, sammenstilling, analyse, utlevering og lagring, når dette er på plass.
• Dersom prosjektet har medarbeidere som ikke er ansatt på HVL, skal det inngås en samarbeidsavtale. For tilgang til data på forskningsserveren, skal Avtale med ikke-ansatt inngås.
• I samarbeid med andre vil det ofte foreligge delt behandlingsansvar etter personvernregelverket [2]. Dette inntreffer når virksomhetene i felleskap fastsetter formål og midler. Felles behandlingsansvar kan ha ulike former og ulik ansvarsfordeling. Det er ikke et krav om at ansvaret er likt fordelt
• Dersom dette er aktuelt for prosjektet må avtale om delt behandlingsansvar inngås mellom virksomhetene.

Studentprosjekter

• Prosjektbeskrivelse skal være utarbeidet og godkjent av veileder før oppstart.
• Veileder og student vurderer nødvendigheten av å behandle personopplysninger i prosjektet.
• Veileder skal ha gjennomført grunnleggende opplæringstilbud i forskningsetikk. Veileder har ansvar for at student overholder nødvendige forskningsetiske retningslinjer og normer.
• Det er studenten selv som melder prosjektet til Sikt, men veileder har ansvar for at meldeskjema og prosjektbeskrivelse blir sendt Sikt. Meldingen skal sendes senest 30 dager før innsamlingen av personopplysninger skal starte.
• Veileder skal sørge for at det foreligger en gyldig databehandleravtale dersom det benyttes eksterne databehandlere.
• Studenten avventer en vurdering fra Sikt før datainnsamling igangsettes.
• Veileder skal sørge for sikker lagring og bestiller lagringsplass på HVL sin forskningsserver dersom studenten skal innhente særlige kategorier personopplysninger (se 4.a Oppbevaring av aktive forskningsdata).
• Ved innsending av søknad om lagringsplass registreres det samtidig hvilke type(r) personopplysninger som behandles.
• Når overstående punkter er gjennomført kan behandling av personopplysninger, herunder innsamling, registrering, sammenstilling, analyse, utlevering og lagring på forskningsserveren, starte.

2.b Oppstart av prosjekter under helseforskningsloven

Formålet med rutinen er å sikre at oppstart av forskningsprosjektet er etisk forsvarlig i samsvar med helseforskningsloven, ivaretar personvernet i samsvar med personvernregelverket og gjennomføres i tråd med anerkjente forskningsetiske normer. Alle helseforskningsprosjekter skal forhåndsgodkjennes eller vurderes av Regionale etiske komiteer (REK) og Sikt.

Forskningsprosjekter

• Prosjektleder utarbeider en prosjektbeskrivelse og en datahåndteringsplan når dette er et krav. Alle prosjekter som mottar finansiering fra NFR eller EU må utarbeide en datahåndteringsplan.
• Prosjektleder informerer fakultetet om prosjektet. Fakultetet anses å være informert når det er tildelt FoU-tid til prosjektet, eller dekan på andre måter har godkjent prosjektet.
• Prosjektleder skal sjekke og sikre at prosjektleder selv, og prosjektets andre medarbeidere, er kjent med retningslinjer for personvern og forskningsetikk.
• Prosjektleder vurderer om prosjektet behandler personopplysninger og om prosjektet omfattes av helseforskningsloven. REK skal godkjenne helseforskningsprosjekter. I tillegg må prosjektleder melde prosjektet til Sikt for å få vurdert prosjektet i henhold til personvernregelverkt og oppfylle HVL sitt krav om protokoll for behandling av personopplysninger. HVL har avtale med Sikt at prosjektleder kan ha parallelle søknadsprosesser med REK og Sikt.
• Prosjektleder fyller ut og sender søknadsskjema med prosjektbeskrivelse og vedlegg til REK og Sikt. Vær oppmerksom på at REK har søknadsfrister. Hvis prosjektleder er i tvil om prosjektet skal forhåndsgodkjennes av REK kan det bes om en fremleggingsvurdering eller tas kontakt med REK sitt sekretariat eller en forskningsrådgiver ved HVL.
• Prosjektleder avventer forhåndsgodkjenning fra REK og vurdering fra Sikt før datainnsamling igangsettes.
• Prosjektleder skal sørge for at det foreligger en gyldig databehandleravtale dersom det benyttes eksterne databehandlere.
• Prosjektleder bestiller lagringsplass på HVL sin forskningsserver (se 4.a Oppbevaring av aktive forskningsdata) og registrer gjennom dette hvilke type(r) person- og helseopplysninger som behandles.
• Prosjektleder registrerer prosjektet i CRIStin prosjektdatabase.
• Når overstående punkter er gjennomført, kan behandling av personopplysninger og helseforskningsdata, herunder innsamling, registrering, sammenstilling, analyse, utlevering og lagring på forskningsserveren, starte.
• Dersom prosjektet har medarbeidere som ikke er ansatt på HVL, skal det inngås Samarbeidsavtale. For tilgang til data på forskningsserveren, skal "Avtale med ikke-ansatt inngås".
• I samarbeid med andre vil det ofte foreligge delt behandlingsansvar etter personvernregelverket[2]. Dette inntreffer når virksomhetene i felleskap fastsetter formål og midler. Felles behandlingsansvar kan ha ulike former og ulik ansvarsfordeling. Det er ikke et krav om at ansvaret er likt fordelt
• Dersom dette er aktuelt for prosjektet må avtale om delt behandlingsansvar inngås mellom virksomhetene.

Studentprosjekter

• Prosjektbeskrivelse skal være utarbeidet og godkjent av veileder før oppstart.
• Veileder skal ha gjennomført grunnleggende opplæringstilbud i forskningsetikk. Veileder har ansvar for at student overholder nødvendige forskningsetiske retningslinjer og normer.
• Veileder og student vurderer nødvendigheten av å behandle personopplysninger og helseforskningdata i prosjektet.
• Når det samles helseopplysninger i prosjektet har veileder ansvar for at det sendes søknad med prosjektbeskrivelse og vedlegg til REK[3]. Vær oppmerksom på at REK har søknadsfrister. Dersom det er tvil om prosjektet skal forhåndsgodkjennes av REK kan det bes om en fremleggingsvurdering, tas kontakt med REKs sekretariat eller en forskningsrådgiver.
• I tillegg må student melde prosjektet til Sikt for å få vurdert prosjektet i henhold til personvernregelverket og oppfylle HVL sitt krav om protokoll for behandling av personopplysninger. HVL har avtale med Sikt at prosjekt kan ha parallelle søknadsprosesser med REK og Sikt.
• Veileder skal sørge for at det foreligger en gyldig databehandleravtale dersom det benyttes eksterne databehandlere.
• Studenten avventer forhåndsgodkjenning fra REK og vurdering fra Sikt før datainnsamling igangsettes.
• Veileder skal sørge for at særlige kategorier[1] personopplysninger lagres på HVL sin forskningsserver SILAF (se 4.a Oppbevaring av aktive forskningsdata). Ved innsending av søknad om lagringsplass registreres det samtidig hvilke type(r) personopplysninger og helseforskningsdata som behandles.
• Når overstående punkter er gjennomført, kan behandling av personopplysninger og helseforskningsdata, herunder innsamling, registrering, sammenstilling, analyse, utlevering og lagring på forskningsserveren, starte.

Når studenter eller forskere ved HVL deltar i prosjekter der andre institusjoner er behandlingsansvarlige, skal de påse at de samme hensyn er ivaretatt ved behandlingsansvarlig institusjon.

_{[1] Opplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning, fagforeningsmedlemskap, genetiske opplysninger, biometriske opplysninger med det formål å entydig identifisere noen, helseopplysninger, om seksuelle forhold, seksuell legning, straffedommer og lovovertredelser (art. 9 og 10 i personvernforordningen).}

_{[2] Personvernforordningen artikkel 26}

_{[3] Det er krav om doktorgradskompetanse eller tilsvarende for å være prosjektleder på en søknad om forhåndsgodkjenning til REK}