UDI samler inn og forvalter store mengder taushetsbelagte data. Regelverket gir oss mulighet til å dele også taushetsbelagte opplysninger når de skal brukes i forskning. Hvordan bør vi gå frem i slike saker? Hvilke grenser setter GDPR for deling av personopplysninger når de skal brukes i forskning. Kan vi dele alle typer opplysninger? Kan vi utlevere direkte personidentifiserende data? Er anonymisering et absolutt krav? Dette er noen av spørsmålene rapporten tar sikte på å besvare.

Les rapporten

Utlevering av personopplysninger til forskning (pdf, 318 kB)

Sammendrag

• Rapporten konkluderer med at GDPR artikkel 89 først og fremst krever at det er på plass «nødvendige garantier».
  
  
• Å anonymisere eller avidentifisere opplysningene før de blir utlevert er ikke er den eneste måten å nå opp til terskelen for hva som kan anses som «nødvendige garantier».
  
  
• Utredningen peker på at ulike tiltak og forhold kan utgjøre «nødvendige garantier» etter GDPR artikkel 89:
  
  • Dataminimering eller andre tekniske eller organisatoriske tiltak
  • Avidentifisering eller anonymisering, der det er mulig
  • Forskerens lovfestede taushetsplikt etter forvaltningsloven § 13e
  • Vurdering av personvernkonsekvenser etter GDPR artikkel 35
  • Gjøre personidentifikasjonen mindre tydelig og direkte
    
    
• En konkret interesseavveining må kunne vise at samfunnsinteressen av forskningen vesentlig overstiger personvernulempene.

Oppdragstaker: Advokatfirmaet Simonsen Vogt Wiig
Oppdragsgiver: Utlendingsdirektoratet