Indledning
Datatilsynet har modtaget Syddansk Universitets ansøgning om tilladelse efter databeskyttelseslovens[1] § 10, stk. 3, til videregivelse af personoplysninger fra en videnskabelig undersøgelse benævnt ”The Ecology of Psychotherapy: Integrating Cognition, Language, and Emotion (EPICLE)”.
Syddansk Universitet har oplyst, at videregivelsen sker med henblik på offentliggørelse i to anerkendte videnskabelige tidsskrifter el.lign., hvorved videregivelsen er omfattet af databeskyttelseslovens § 10, stk. 3, nr. 3.
Syddansk Universitet ønsker således at publicere forskningsresultaterne fra undersøgelsen ”The Ecology of Psychotherapy: Integrating Cognition, Language, and Emotion (EPICLE)” i tidsskrifterne Pragmatics & Cognition og Gesture.
Artiklerne indeholder bl.a. billeder af en patient diagnosticeret med OCD og en behandler uddannet i at foretage mentaliseringsbaseret terapi. De registreredes ansigter fremstår i ”sløret” form. Endvidere er samtaler mellem patienten og behandleren transskriberet. Det fremgår af artiklerne, at ansatte, patienter og behandlere på Brønderslev Psykiatriske Hospital takkes for deltagelse i undersøgelsen.
1. Afgørelse
Datatilsynet meddeler – efter at sagen har været behandlet på et møde i Datarådet – hermed afslag på ansøgningen fra Syddansk Universitet om tilladelse til videregivelse af personoplysninger efter databeskyttelseslovens § 10, stk. 3, nr. 3. En begrundelse for tilsynets afslag fremgår af pkt. 3 nedenfor.
2. Retligt grundlag
Det følger af databeskyttelseslovens § 10, stk. 1, at oplysninger som nævnt i databeskyttelsesforordningens[2] artikel 9, stk. 1, og artikel 10 må behandles, hvis dette alene sker med henblik på at udføre statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning, og hvis behandlingen er nødvendig af hensyn til udførelsen af undersøgelserne.
Af § 10, stk. 2, følger, at de oplysninger, der er omfattet af stk. 1, ikke senere må behandles i andet end videnskabeligt eller statistisk øjemed. Det samme gælder behandling af andre oplysninger, som alene foretages i statistisk eller videnskabeligt øjemed efter databeskyttelsesforordningens artikel 6.
Det følger af databeskyttelseslovens § 10, stk. 3, nr. 3, at videregivelse af oplysninger omfattet af stk. 1 og 2 til tredjemand kræver forudgående tilladelse fra tilsynsmyndigheden, når videregivelsen sker med henblik på offentliggørelse i et anerkendt videnskabeligt tidsskrift el.lign.
Datatilsynet kan fastsætte nærmere vilkår for videregivelse af oplysninger efter stk. 3, jf. databeskyttelseslovens § 10, stk. 4, 2. pkt.
3. Begrundelse
Datatilsynet har lagt til grund, at tidsskrifterne Pragmatics & Cognition og Gesture er anerkendte videnskabelige tidsskrifter. Tilsynet har i den forbindelse lagt vægt på, at tidsskrifterne fremgår af BFI-listen på Uddannelses- og Forskningsministeriets hjemmeside på niveau 2 (højt niveau).
Videregivelse af personoplysninger i medfør af databeskyttelseslovens § 10, stk. 3, kan imidlertid efter Datatilsynets opfattelse som et klart udgangspunkt alene ske i pseudonymiseret form, således at oplysningerne ikke er umiddelbart personhenførbare for modtageren.
Efter Datatilsynets opfattelse fremstår oplysningerne om patienten og behandleren, som Syddansk Universitet ønsker tilladelse til at videregive, imidlertid ikke i pseudonymiseret form. De registreredes ansigter fremstår således alene i ”sløret” form, hvorved de registreredes ansigtstræk, mimik og karakteristika umiddelbart vil kunne henføres til disse.
Endvidere har Datatilsynet lagt vægt på, at en offentliggørelse af oplysningerne vil kunne opleves som meget indgribende af de registrerede, og at det ikke kan udelukkes, at offentliggørelsen kan få visse konsekvenser for de registrerede. Hensynet til de registrerede vægter således efter tilsynets opfattelse tungere end hensynet til udbredelse af undersøgelsens resultater.
På denne baggrund finder Datatilsynet, at den omhandlede videregivelse af personoplysninger ikke vil kunne rummes inden for rammerne af databeskyttelseslovens § 10, stk. 3, nr. 3, og tilsynet meddeler et afslag på ansøgningen fra Syddansk Universitet om tilladelse til videregivelse af personoplysninger efter databeskyttelseslovens § 10, stk. 3, nr. 3.
[1] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).
[2] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).