Videregivelse af oplysninger til forskning

Journalnummer: 2026-212-2598.

Resumé

Datatilsynet har efter anmodning fra Københavns Universitet taget stilling til, om universitetet kan videregive oplysninger om tidligere medarbejdere, som burde have været slettet som følge af universitetets interne retningslinjer.

Københavns Universitet har oplyst, at universitetet – efter DR har sat fokus på brugen af kemikaliet formalin i dissektionssalen på Københavns Universitet – er blevet opmærksom på, at de opbevarer oplysninger om tidligere medarbejdere, som burde have været slettet i overensstemmelse med deres interne retningslinjer. Københavns Universitet ønsker nu at videregive oplysningerne til Bispebjerg Hospital, som bl.a. forsker i, hvilken betydning arbejdsmiljøet og det omgivende miljø har for helbredet.

Manglende sletning var kritisabel

Datatilsynet har på baggrund af henvendelsen indledningsvist fundet det kritisabelt, at Københavns Universitet ikke har fulgt deres interne retningslinjer for sletning og derved ikke har iagttaget princippet om opbevaringsbegrænsning i databeskyttelsesforordningens artikel 5, stk. 1, litra e.

På trods af dette har Datatilsynet vurderet, at oplysningerne i dette særlige tilfælde fortsat kan behandles af Københavns Universitet. Det skyldes, at der er opstået et nyt formål med opbevaringen af oplysningerne, som nu er at kunne videregive oplysningerne til Arbejds- og Miljømedicinsk Afdeling på Bispebjerg Hospital til brug for forskning.

Videregivelsen kræver et behandlingsgrundlag

Datatilsynet har i den forbindelse oplyst, at Københavns Universitet skal identificere et behandlingsgrundlag for, at videregivelsen af personoplysningerne lovligt kan ske. Endvidere har tilsynet understreget over for Københavns Universitet, at universitetet i forbindelse med en eventuel videregivelse skal iagttage de øvrige databeskyttelsesretlige regler, herunder reglerne om oplysningspligt.

Udtalelse

1. Datatilsynet har modtaget Københavns Universitets (herefter ”KU”) henvendelse af 1. juni 2026, hvor KU spørger til, om gamle personalesager, der burde have været slettet, kan videregives til Arbejds- og Miljømedicinsk Afdeling på Bispebjerg Hospital til brug for forskning.

KU har i henvendelsen oplyst, at DR i en tv-dokumentar har sat fokus på brugen af kemikaliet formalin i dissektionssalen på KU. KU har i forbindelse hermed fundet ud af, at KU – på trods af interne retningslinjer, der foreskriver, at oplysninger om fratrådte medarbejdere skal slettes senest 10 år efter medarbejderens fratræden – fortsat opbevarer oplysninger om medarbejdere, der er fratrådt for mere end 10 år siden.

Det fremgår af henvendelsen, at KU ser et dilemma i at slette de pågældende oplysninger, da de kan være til nytte for Arbejds- og Miljømedicinsk Afdeling på Bispebjerg Hospital, som blandt andet forsker i, hvilken betydning arbejdsmiljøet og det omgivende miljø har for helbredet. KU står derfor med en afvejning af på den ene side muligheden for at bidrage til, at hospitalet kan skabe ny viden på området, som potentielt også ville kunne have betydning for de konkrete dissektionsvejledere, og på den anden side hensynet til sletning af data, som der ikke længere for KU er en saglig grund til at opbevare.

KU ønsker på den baggrund Datatilsynets stillingtagen til, om oplysningerne om medarbejderne, kan videregives til Arbejds- og Miljømedicinsk Afdeling på Bispebjerg Hospital, eller om oplysningerne bør slettes som følge af, at KU’s interne slettefrist er overskredet.

Datatilsynet har ved telefonsamtale af 17. juni 2026 spurgt KU, om videregivelsen af oplysningerne om medarbejderne til Arbejds- og Miljømedicinsk Afdeling på Bispebjerg Hospital er relevant, idet det alene fremgår af henvendelsen af 1. juni 2026, at KU har sendt en forespørgsel herom til hospitalet. KU oplyste ved denne lejlighed, at hospitalet har oplyst, at oplysningerne kan have relevans, men at man ikke kan sige det med sikkerhed, før man ser, hvilke oplysninger KU ligger inde med.

2. Det følger af princippet om opbevaringsbegrænsning i databeskyttelsesforordningens[1] artikel 5, stk. 1, litra e, at man ikke må opbevare personoplysninger i længere tid, end det er nødvendigt til de formål, de behandles. 

Datatilsynet forstår KU’s interne retningslinjer om, at oplysninger om fratrådte medarbejdere skal slettes senest 10 år efter medarbejderens fratræden, som et udtryk for, hvordan KU konkret iagttager princippet om opbevaringsbegrænsning.

Datatilsynet finder det indledningsvist kritisabelt, at KU ikke har fulgt disse interne retningslinjer og slettet oplysningerne om de fratrådte medarbejdere i den konkrete sag, som KU efter det oplyste ikke længere havde noget formål med at opbevare.

På trods af dette er det dog Datatilsynets vurdering, at oplysningerne i dette særlige tilfælde fortsat kan opbevares af KU. Dette skyldes, at der som beskrevet ovenfor ses at være opstået et nyt formål med at opbevare oplysningerne, som er at kunne videregive disse til Arbejds- og Miljømedicinsk Afdeling på Bispebjerg Hospital med henblik på forskning.

Datatilsynet kan på den baggrund ikke udelukke, at der foreligger forskningsmæssige hensyn, som vejer tungere end hensynet til at slette oplysningerne.

Datatilsynet bemærker dog, at KU’s formål med fortsat at opbevare oplysningerne kun vil eksistere, indtil oplysningerne er videregivet til Bispebjerg Hospital, og at KU derfor bør slette oplysningerne umiddelbart herefter.

Datatilsynet bemærker i øvrigt, at det følger af princippet om formålsbegrænsning i databeskyttelsesforordningens artikel 5, stk. 1, litra b, at personoplysninger ikke må behandles på en måde, der er uforenelig med det eller de formål, oplysningerne oprindeligt blev indsamlet til. Viderebehandling til blandt andet videnskabelige forskningsformål anses dog ikke for at være uforenelig med det oprindelige formål.

3. I forhold til om KU kan videregive oplysningerne til Arbejds- og Miljømedicinsk Afdeling på Bispebjerg Hospital, kan Datatilsynet oplyse, at videregivelse af oplysninger om tidligere medarbejdere er en behandling af personoplysninger i databeskyttelsesforordningens forstand.

KU skal som følge heraf identificere et behandlingsgrundlag til denne behandling for, at videregivelsen af personoplysningerne lovligt kan ske. De mulige behandlingsgrundlag fremgår af databeskyttelsesforordningens artikel 6, stk. 1, litra a-f. Datatilsynet kan i den forbindelse særligt henvise til bestemmelsens litra e, som fastsætter, at behandling af personoplysninger kan ske, når det er nødvendigt af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.

Datatilsynet kender ikke karakteren af de oplysninger, der ønskes videregivet, men gør opmærksom på, at der ifølge databeskyttelsesforordningens artikel 9, stk. 1, som udgangspunkt er forbud mod at behandle følsomme personoplysninger, medmindre en af undtagelserne i databeskyttelsesforordningens artikel 9, stk. 2, litra a-j, finder anvendelse. Datatilsynet kan i den forbindelse særligt henvise til bestemmelsens litra j, som blandt andet fastsætter at behandling af følsomme personoplysninger kan ske, hvis behandlingen er nødvendig til videnskabelige forskningsformål på grundlag af EU-retten eller medlemsstaternes nationale ret.

I Danmark er det i databeskyttelseslovens[2] § 10 – i overensstemmelse med databeskyttelsesforordningens artikel 9, stk. 2, litra j – fastsat, at blandt andet følsomme personoplysninger må behandles, hvis dette alene sker med henblik på at udføre statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning, og hvis behandlingen er nødvendig af hensyn til udførelsen af undersøgelserne.

I forbindelse med en eventuel videregivelse af oplysningerne vil KU endvidere skulle foretage en vurdering af, om det er nødvendigt at videregive alle oplysninger, eller om der er nogle af oplysningerne, som ikke vil være relevante for Arbejds- og Miljømedicinsk Afdeling på Bispebjerg Hospital at modtage. Det følger således af dataminimeringsprincippet i databeskyttelsesforordningens artikel 5, stk. 1, litra c, at personoplysninger skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles.

Datatilsynet forudsætter i øvrigt, at KU i forbindelse med en eventuel videregivelse af oplysningerne vil iagttage de resterende regler i databeskyttelsesforordningen herunder særligt reglerne om oplysningspligt i forordningens artikel 13 og 14.