law and data

Wat zijn de limieten aan het verzamelen en bewaren van persoonsgegevens in onderzoek?

Naast dat moet worden vastgesteld dát je persoonsgegevens mag verwerken, zal je ook moeten bepalen wát je precies aan persoonsgegevens gaat verzamelen en hoe lang je die persoonsgegevens mag bewaren. Op deze pagina vind je meer informatie en richtlijnen hierover.

Doelbinding

Allereerst is van belang om te weten dat persoonsgegevens alleen mogen worden verwerkt voor een welbepaald (specifiek), uitdrukkelijk omschreven doel (doelbinding). Wanneer je persoonsgegevens gaat verzamelen voor het uitvoeren van wetenschappelijk onderzoek, dan is het doel van de verwerking “het uitvoeren van wetenschappelijk onderzoek als bedoeld in de Wet op het Hoger onderwijs en Wetenschappelijk onderzoek en de Nederlandse Gedragscode Wetenschappelijke Integriteit naar [doel onderzoek]”.  Het kan natuurlijk ook zijn dat bepaalde persoonsgegevens in eerste instantie verzameld zijn voor een ander doel dan het uitvoeren van wetenschappelijk onderzoek. In de AVG is daarom bepaald dat het verder verwerken van die persoonsgegevens met het oog op wetenschappelijk onderzoek verenigbaar is met het oorspronkelijke doel waarvoor de gegevens zijn verzameld. Wel zijn er bepaalde vereisten gesteld aan hoe met die gegevens moet worden omgegaan (zie ook onze pagina over integriteit en vertrouwelijkheid).

Dataminimalisatie

Een van de principes van de AVG is dataminimalisatie: de onderzoeker mag alleen persoonsgegevens die noodzakelijk zijn voor het doel van het wetenschappelijk onderzoek verzamelen, maar waarborgt wel dat er voldoende gegevens verzameld worden om de vraagstelling van het onderzoek te kunnen beantwoorden. Een voorbeeld hiervan is dat bij een onderzoek naar tevredenheid op de werkvloer, de onderzoeker normaal gesproken enkel vragen hoeft te stellen over de sfeer op de werkvloer en de tevredenheid over faciliteiten. De onderzoeker zou ook vragen kunnen stellen over dieet, rook- en drinkgewoontes, maar in het kader van dataminimalisatie wordt dit waarschijnlijk niet toegestaan als het onderzoek niet gericht is op de levensstijl van de medewerkers. Daarom zijn deze data niet nodig voor het beantwoorden van de onderzoeksvraag.

Dankzij dataminimalisatie is een betrokkene ervan verzekerd dat er niet meer privacygevoelige data dan noodzakelijk over hem of haar bij een organisatie bekend zijn. Dat alleen al zorgt voor meer privacy. Het verkleint daarnaast ook de impact van een verkeerde verwerking. Denk aan inzage door een onbevoegd persoon, of zelfs diefstal door hackers. Data die een organisatie niet bezit, kan niet op straat belanden of onder verkeerde ogen komen. Stel je dus altijd de vraag: heb ik deze data daadwerkelijk nodig voor het beantwoorden van mijn onderzoeksvraag?

Met het oog op dataminimalisatie is het daarnaast raadzaam om de onderzoeksdata zo snel mogelijk te pseudonimiseren of indien mogelijk, te anonimiseren. Meer informatie hierover vind je op de pagina over integriteit en vertrouwelijkheid van persoonsgegevens in onderzoek.

Het bewaren van data

Het is van belang dat data na afronding van het onderzoek zorgvuldig bewaard worden. Vanuit privacy perspectief geldt dat data niet langer bewaard mogen blijven dan nodig voor het doel waarvoor ze verzameld zijn, maar vanuit andere perspectieven (bv wetenschappelijke integriteit of open science) gelden mogelijk andere bewaartermijnen. Het is van belang de diverse perspectieven mee te nemen bij het bepalen van de bewaartermijnen van de onderzoeksgegevens. Direct herleidbare persoonsgegevens (voornamelijk contactgegevens en informed consent) mogen separaat bewaard blijven zolang noodzakelijk, maar deze kunnen vaak eerder verwijderd worden dan de onderzoeksdata, die minimaal 10 jaar bewaard blijven in lijn met de Regeling Onderzoeksdatamanagement.

Contactgegevens van (potentiële) respondenten 

In geval van pseudonimiseren dient een onderzoeker in ieder geval ervoor te zorgen dat de contactgegevens van (potentiële) respondenten apart van de overige onderzoeksdata worden opgeslagen en bewaard.

Bestanden met contactgegevens mogen alleen toegankelijk zijn voor diegenen die daadwerkelijk toegang nodig hebben. Normaal gesproken zijn dat:

  • De betrokken hoofdonderzoeker(s); 
  • De leidinggevende. 

De contactgegevens die gelinkt kunnen worden aan de dataset dienen zo snel als mogelijk (binnen 6 maanden tenzij langer noodzakelijk is) door de onderzoeker verwijderd te worden, zolang dit niet conflicteert met de belangen van het wetenschappelijk onderzoek.