1. Datatilsynet har modtaget Region Syddanmarks anmodning om tilladelse efter databeskyttelseslovens § 10, stk. 3, til videregivelse af personoplysninger fra en statistisk eller videnskabelig undersøgelse benævnt ”A paired liver biopsy – plasma proteomics study reveals the origins of circulating biomarkers for alcoholic liver disease”.
Region Syddanmark har oplyst, at videregivelsen sker med henblik på offentliggørelse i tidsskriftet Nature Communications, hvorved videregivelsen er omfattet af databeskyttelseslovens § 10, stk. 3, nr. 3.
Oplysningerne ønskes desuden videregivet til The Protemoics Identifications Database (PRIDE), som er en offentlig tilgængelig database, der har til formål at øge gennemsigtigheden og muligheden for, at andre forskere kan replicere resultaterne.
Region Syddanmark har i forlængelse heraf oplyst, at offentliggørelse i databasen er en forudsætning for offentliggørelse af artiklen i tidsskriftet.
Region Syddanmark har videre oplyst, at der ønskes offentliggjort oplysninger om 596 personer, herunder ”Metadata in the form of liver biopsy-scores for classification of liver injury, sex, age and BMI”. Oplysningerne offentligøres i psudonymiseret form.
Endelig har Region Syddanmark oplyst, at overførelsen til tidsskriftet Nature Communications sker til behandling uden for databeskyttelsesforordningens territoriale anvendelsesområde, jf. databeskyttelsesforordningens artikel 3, da tidsskriftet har adresse i Storbritannien. Overførslen er således omfattet af databeskyttelseslovens § 10, stk. 3, nr. 1.
Datatilsynet meddeler hermed en sådan tilladelse, jf. databeskyttelseslovens § 10, stk. 3, nr. 1 og 3.
Datatilsynet har lagt vægt på, at tidsskiftet Nature Communications fremgår af BFI-listen på Uddannelses- og Forskningsministeriets hjemmeside på niveau 2 (højt niveau).
Om baggrunden for nedenstående vilkår 8 bemærker Datatilsynet, at en vid offentliggørelse af en undersøgelses ”rådata” med henblik på offentliggørelse af en videnskabelig artikel i et anerkendt videnskabeligt tidsskrift el.lign. efter tilsynets opfattelse ikke kan rummes inden for rammerne af databeskyttelseslovens § 10, stk. 3, nr. 3.
2. Tilladelsen gives på følgende vilkår, som Region Syddanmark har ansvaret for at overholde:
1. Der må kun videregives personoplysninger, når videregivelse er nødvendig som led i viderebehandling til statistiske eller videnskabelige formål. Oplysningerne må ikke senere behandles i andet end videnskabeligt eller statistisk øjemed. Hvis Region Syddanmark over for den registrerede har oplyst, at oplysningerne ikke vil blive videregivet, må der ikke ske videregivelse.
2. Videregivelse af personoplysninger skal ske i pseudonymiseret form, således at oplysningerne ikke er umiddelbart personhenførbare for den modtagende dataansvarlige.
3. Hvis personoplysningerne videregives ved overførsel over internettet eller andet eksternt netværk, skal den afgivende dataansvarlige træffe passende sikkerhedsforanstaltninger. Ved transmission af fortrolige og følsomme personoplysninger over internettet eller eksterne netværk skal den dataansvarlige som minimum anvende passende kryptering.
4. Der skal i øvrigt i overensstemmelse med databeskyttelsesforordningens artikel 32 gennemføres passende tekniske og organisatoriske foranstaltninger under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder med henblik på at sikre et sikkerhedsniveau, der passer til disse risici.
5. Det skal inden videregivelsen påses, at personoplysningerne udelukkende videreanvendes til statistiske eller videnskabelige undersøgelser. Endvidere skal det påses, at den modtagende dataansvarlige overholder vilkår 7-12.
6. Fra tidspunktet for videregivelsen og efterfølgende skal det kunne dokumenteres, at vilkår 5 er overholdt. Dokumentation skal ske ved indhentelse af en skriftligt begrundet erklæring eller lignende fra den modtagende dataansvarlige.
Vilkår vedrørende den modtagende dataansvarlige
7. Videregivelse skal ske til personer, som af den modtagende dataansvarlige er autoriseret til at have adgang til de pågældende personoplysninger. Der må kun autoriseres personer, der er beskæftiget med personoplysningerne. De enkelte personer må ikke autoriseres til anvendelser, som de ikke har behov for.
8. Ved videregivelse der sker med henblik på offentliggørelse i et anerkendt videnskabeligt tidsskrift el.lign. – eksempelvis med henblik på udførelse af en fagfællebedømmelse – må personoplysninger hos den modtagende dataansvarlige alene gøres tilgængelig for personer, der har et konkret og sagligt formål med behandlingen heraf.
9. Der skal gives den fornødne instruktion til de medarbejdere, som har adgang til personoplysningerne. Medarbejderne skal i den forbindelse gøres bekendt med, at personoplysningerne alene må behandles med henblik på udførelse af statistiske eller videnskabelige undersøgelser, og at personoplysningerne ikke senere må behandles i andet end videnskabeligt eller statistisk øjemed.
10. Der må ikke behandles flere oplysninger, end hvad der er nødvendigt som led i viderebehandling til statistiske eller videnskabelige formål.
11. Der skal i øvrigt i overensstemmelse med databeskyttelsesforordningens artikel 32 gennemføres passende tekniske og organisatoriske foranstaltninger under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder med henblik på at sikre et sikkerhedsniveau, der passer til disse risici.
12. Personoplysninger skal ved undersøgelsens afslutning slettes, anonymiseres, tilintetgøres eller tilbageleveres, således at det efterfølgende ikke er muligt at identificere fysiske personer ud fra oplysningerne eller i kombination med andre oplysninger.
Ovenstående vilkår er supplerende og præciserende i forhold til reglerne i databeskyttelsesforordningen og databeskyttelsesloven. Det skal understreges, at databeskyttelsesforordningen og databeskyttelsesloven således finder anvendelse i det omfang, at der er tale om forhold, som ikke er reguleret i de ovenstående vilkår.
3. EU og Storbritannien har i forbindelse med Brexit indgået en udtrædelsesaftale, hvoraf det fremgår, at overførsler til Storbritannien kan fortsætte uændret fra den 1. januar 2021 og foreløbigt 4 måneder frem og med mulighed for yderligere 2 måneders forlængelse. Det betyder, at overførsel af personoplysninger til Storbritannien frem til udgangen af april 2021 fortsat kan ske uden et overførselsgrundlag i henhold til databeskyttelsesforordningens kapitel V.
Hvis Storbritannien herefter bliver godkendt som et sikkert tredjeland, vil der også efter udgangen af april kunne ske overførsel af oplysninger som i dag. Datatilsynet bemærker dog, at hvis Storbritannien ikke bliver godkendt som et sikkert tredjeland, vil overførsel af personoplysninger fra og med udgangen af april 2021 kun være lovlig i det omfang, der er et overførselsgrundlag. Tilladelse fra Datatilsynet til videregivelse af personoplysninger i medfør af § 10, sk. 3, nr. 1, gælder – uanset hvilket overførselsgrundlag der benyttes – fortsat efter udgangen af april 2021.