Hoe waarborg je de zorgvuldige omgang met onderzoeksdata met persoonsgegevens?
Dit deel beschrijft de elementen van zorgvuldige omgang met data die van belang zijn tijdens elk onderzoek waarin Persoonsgegevens verwerkt worde. Ook beschrijft het de manier waarop Tilburg University de zorgvuldige omgang met data waarborgt.
Daarbij gaat het om de omgang met contactgegevens van respondenten, de rechten van participanten tijdens het onderzoek, het gebruik van programma’s voor het verzamelen-, opslaan- en analyseren van data, het delen van data, het beveiligen van data en het rapporteren van de resultaten.
Contactgegevens van (potentiële) respondenten
Bestanden met contactgegevens mogen alleen toegankelijk zijn voor noodzakelijke personen:
- De betrokken hoofdonderzoekers
- De leidinggevende.
Een onderzoeker van Tilburg University die contactgegevens verzamelt en bewaart in het kader van wetenschappelijk onderzoek dient deze volgens de AVG beveiligd op te slaan waarbij beperkte toegang verzekerd is.
De onderzoeker is verantwoordelijk voor het separaat opslaan van het bestand met contactgegevens. De contactgegevens die gelinkt kunnen worden aan de dataset dienen zo snel als mogelijk (binnen 6 maanden tenzij langer noodzakelijk is) door de onderzoeker verwijderd te worden, zolang dit niet conflicteert met belangen van het wetenschappelijk onderzoek.
Wijziging in verzamelde persoonsgegevens
Een onderzoeker kan gedurende het onderzoek besluiten dat aanvullende persoonsgegevens noodzakelijk zijn
Indien er gedurende het onderzoek wijzigingen plaatsvinden in de persoonsgegevens die verzameld worden dan dient de onderzoeker het datamanagementplan aan te passen door middel van een amendement zodat het verwerkingsregister geactualiseerd wordt.
Toegang en beveiliging persoonsgegevens
Binnen Tilburg University krijgen zo min mogelijk personen toegang tot de digitale of fysieke datasets van onderzoek waarin persoonsgegevens verwerkt zijn. Deze toegang beperkt zich meestal tot de betrokken onderzoekers en zijn leidinggevende.
Toegang tot bestanden met persoonsgegevens en archieven
| Bestanden persoonsgegevens | Toegang is alleen toegestaan voor de betrokken onderzoekers (inclusief student onderzoekers) en de leidinggevende (in verband met back-up) |
| Archieven | Toegang tot digitale en fysieke datasets met persoonsgegevens is alleen toegestaan voor onderzoekers, de departementsvoorzitter en de beheerder van de digitale of fysieke datasets. |
Digitale en fysike datasets met persoonsgegevens dienen veilig opgeslagen te worden en zijn alleen toegankelijk voor degene voor wie dit in het kader van het onderzoek noodzakelijk is.
Toegang tot persoonsgegevens
| Digitaal |
Datasets met persoonsgegevens dienen veilig opgeslagen te worden. Dat wil zeggen:
Bij afwezigheid van de onderzoekers op de werkplek dienen computers gelockt te zijn en de werkruimte afgesloten. |
| Fysiek | Documenten met persoonsgegevens dienen veilig opgeslagen te worden in een afgesloten kast of archief. Bij afwezigheid dienen de kasten of archieven afgesloten te zijn en niet toegankelijk voor onbevoegden. |
Gebruik van programma’s voor het verzamelen, opslaan, analyseren en delen van data
Het verzamelen van data gedurende het onderzoek kan op diverse manieren plaatsvinden, online, face-to-face, met een papieren vragenlijst, observaties, video-beelden, etc.
De AVG heeft implicaties voor deze manieren van data verzamelen, het gebruik van bestaande of nieuwe data, de tools die gebruikt worden bij het verzamelen van data en eventuele veiligheidsaspecten voortkomend uit de AVG gedurende het onderzoek.
Bij gebruik van applicaties/programma’s van externe leveranciers dient er een verwerkersovereenkomst afgesloten om goede afspraken te maken over verantwoordelijkheden, beveiliging etc.
| Verzamelen van data |
Indien voor het verzamelen van persoonsgegevens externe applicaties gebruikt worden: Themabeleid Privacy & Bescherming Persoonsgegevens – Wetenschappelijk onderzoek 28 Versie 1.0 – mei 2018
|
| Opslaan van data |
Digitaal
Fysiek Documenten met persoonsgegevens dienen veilig opgeslagen te worden in een afgesloten kast of archief. Bij afwezigheid dienen de kasten of archieven afgesloten te zijn en niet toegankelijk voor onbevoegden. Indien opslag plaats vindt op een externe locatie of door een externe beheerder dan dient een verwerkersovereenkomst afgesloten te worden. |
| Analyseren van data |
Wordt voor het analyseren van data gebruik gemaakt van applicaties zoals SPSS:
|
| Delen van data |
|
| Anonimiseren of pseudonimiseren |
Indien persoonsgegevens niet langer noodzakelijk zijn, maar de data nog niet verwijderd kan worden bijvoorbeeld op basis van controleerbaarheid, moeten de persoonsgegevens in een zo vroeg mogelijk stadium geanonimiseerd of gepseudonimiseerd worden. |
Overeenkomst en Verwerkersovereenkomst
Het is wettelijke verplicht dat, wanneer een onderzoeker namens Tilburg University persoonsgegevens uitwisselt met , verstrekt aan of ontvangt van een andere organisatie, daar goede contractuele afspraken over worden gemaakt. Wat voor soort overeenkomst gesloten dient te worden is afhankelijk van de rol van Tilburg University en de rol van de andere partij (verwerkingsverantwoordelijke, verwerker).
Indien in een onderzoek wordt samengewerkt met andere (externe) onderzoeksinstituten of partijen dan dient er een onderzoeksovereenkomst afgesloten te worden waarin afspraken worden gemaakt over de verdeling van verantwoordelijkheden etc. Hiervoor zijn modelovereenkomsten beschikbaar.
| Situatie | Verplichte overeenkomst |
| Tilburg University is verwerkingsverantwoordelijke en derde partij is verwerker | Verwerkersovereenkomst conform vastgesteld model. |
| Tilburg University is verwerker voor andere verwerkingsverantwoordelijke | Verwerkersovereenkomst conform vastgesteld model. Voorbeeld: Een onderzoek in opdracht waarbij de opdrachtgever het doel en de middelen voor het onderzoek bepaalt en Tilburg University de persoonsgegevens verzamelt en analyseert. |
| Tilburg University is samen met andere verwerkingsverantwoordelijke |
Afspraken in onderzoeksovereenkomst of in aparte overeenkomst over verdeling van verantwoordelijkheden. Denk aan:
Voorbeeld: Ondezoek in opdracht waarbij de opdrachtgever samen met Tilburg University het doel en de middelen voor het onderzoek bepaalt |
| Afwijken van model verwerkingsovereenkomst |
Het verdient in verband met risico’s de voorkeur om de standaard model overeenkomst af te sluiten. Toch kan het nodig zijn dat er afgeweken wordt. Indien de onderzoeker wil afwijken van het vastgestelde model dan dient hij dit af te stemmen met de data representative van de School. De data representative kan om advies vragen bij de werkgroep data protectie gecoördineerd door de functionaris gegevensbescherming, De verwerkersovereenkomst dient geautoriseerd te worden door een tekeningsbevoegde, dit is meestal de decaan, faculteitsdirecteur of College van Bestuur. |
| Verantwoordelijk voor totstandkoming en inhoud overeenkomst | De onderzoeker dient voor het afsluiten van de overeenkomst de data representative te consulteren. De data representative ondersteunt hierbij en kan advies vragen van de functionaris gegevensbescherming of de afdeling legal affairs. De verwerkersovereenkomst dient centraal opgeslagen te worden. |
| Registratie / audit trail | De verwerkersovereenkomst (inclusief motivatie in geval van afwijking) dient centraal gearchiveerd te worden. |
Schrijven en publiceren van een artikel
Bij het schrijven van het artikel moet de onderzoeker voorkomen dat er herleidbare persoonsgegevens worden opgenomen in het artikel. Het komt voor dat de onderzoeker wil citeren uit het onderzoek. Dit is mogelijk indien het anoniem kan. Citaten die voortkomen uit webscraping kunnen herleidbaar (eenvoudig te zoeken op internet) en daardoor niet anoniem. Bij voorkeur worden deze geparafraseerd.
Aandachtspunt is de mogelijkheid dat een combinatie van persoonsgegevens herleidbaar is naar individuele personen. Denk bijvoorbeeld aan het uitlichten van een manager van een groot ziekenhuis in de regio Eindhoven in de leeftijdscategorie 45 tot 55 jaar.
Persoonsgegevens in een artikel
De onderzoeker dient te waarborgen dat er geen herleidbare persoonsgegevens opgenomen worden in het artikel door:
- onderzoeksresultaten te anonimiseren / pseudonimiseren.
- Bij citeren.
- Bij anonimiseren;
- Bij parafraseren, in geval een citaat via webscraping is verkregen
Data delen ten behoeve van een review
Tijdens het publicatieproces kan het voor komen dat data gedeeld dienen te worden met peer reviewers. Hierbij dienen de persoonsgegevens vanzelfsprekend zoveel mogelijk beschermd te worden.
Data met herleidbare persoonsgegevens
Indien persoonsgegevens gedeeld moeten worden met peer reviewers:
- Indien mogelijk Anonimiseren of Pseudonimiseren (waarbij sleutel niet wordt meegestuurd naar de reviewer).
- Indien dit niet mogelijk is:
- Controleer of er reeds een verwerkersovereenkomst is afgesloten met de uitgever.
- Indien er nog geen verwerkersovereenkomst is: Sluit verwerkersovereenkomst af met uitgever van het tijdschrift.
- Indien een ruwe dataset wordt vereist. Lever deze dan vrij vanvan herleidbare persoonsgegevens aan.
- Spreek contractueel af dat de dataset na de review procedure vernietigd worden.
Data zonder herleidbare persoonsgegevens
Indien er datasets gedeeld worden zonder dat er herleidbare persoonsgegevens zijn, dan is dit beleid niet van toepassing.
Rechten van respondenten tijdens onderzoek
Respondenten mogen zich ook tijdens het onderzoek beroepen op een aantal rechten.