Til stede: Vilde Sørbø Nenseth, Thomas Østerhaug, Rikke Julie Foss-Pedersen, Ingvild Sollund (ref.)
Forfall: Maren Magnus Voll
Bakgrunn for dagens diskusjon
Rikke og Ingvild har foretatt brukertester med tre forskere. Forskerne ble vist skisser av godkjenninger-fanen og en hjelpetekst om behandlingsansvar. De ble bedt om å markere hva de syns var uklart eller uforståelig.
Tilbakemelding på forslaget
Les referat fra brukertestene her.
To av tre forskere syns følgende var uklart:
- Hva "intern" godkjenning betyr
- Hva de måtte gjøre for å få det
- Hvem som skulle gi det
Forskerne vi snakket med var alle opptatt av at det tok for lang tid når man først måtte søke REK, vente på vedtak, deretter vente opptil fire måneder på UiOs godkjenning før man kunne begynne. Alle tre fortalte om prosjekter som hadde blitt flere måneder forsinket på grunn av dette.
Slik foregår intern godkjenning i dag
IT-juridisk gruppe ved USIT mottar REK-vedtak for et forskningsprosjekt. De vurderer behandlingsgrunnlaget for personopplysninger, etterspør eventuelt mer informasjon fra forskeren ( f. eks databehandleravtale, hvor dataene skal lagres etc). Når de godkjenner så sender de et brev med UiOs godkjenning av behandlingsgrunnlag og ber forskeren å laste det opp i Helseforsk. (Bør det også arkiveres i ephorte eller noe?) I månedene som har gått siden juni har det ikke vært noen rutinen, så de har ikke noen oversikt på hvem som har fått intern godkjenning foreløpig.
Ulike løsninger på UiOs godkjenning av behandlingsansvar
a) Ikke la forskeren starte prosjektet før IT-juridisk gruppe ved USIT har sendt offisiell godkjenning per e-post eller brev ( slik er det i dag)
b) Samme som (a), men at ansvaret for å gjøre en offisiell godkjenning per e-post eller brev delegeres til fakultetene eller instituttene (som Katrine Ori gjør i dag, hun anslår at ca. 20% av stillingen hennes er avsatt til dette).
c) la forskeren starte på prosjektet, ta den risikoen i den perioden det tar for IT-juridisk gruppe å godkjenne.
c) Delegere ansvaret til enten forskningsansvarliges representant på instituttet eller en forskningsrådgiver på instituttet som kanskje kan ta en slags vurdering av personvernet i forbindelse med intern fremleggelse. Og at vi da, sammen med REK-vedtaket, kan tenke at det er greit å ta den risikoen.
d) La REK-vedtaket være eneste dokument, og satse på at den vurderingen de tross alt fortsatt gjør, er god nok. En risiko, men kanskje en risiko som ikke er så stor?
I skjemaet
Ta bort intern godkjenning feltet igjen? Legge det som et kulepunkt under REK. Kalle det: "UiOs godkjenning av behandlingsgrunnlag for personopplysninger" Dette gjelder når UiO er behandlingsansvarlig, se retningslinjer for ...
I teksten
Vilde tar det videre med Asbjørn hvordan de går fram for å endre teksten.
Skriptejobben og mailen
trenger ikke lenger si noe om at det er opprettet et nytt felt under godkjenninger. og ikke at alle prosjekter skal settes som ikke gjennomført enda.
Annet
Uklart på web
på denne siden står det:
Avgrensning: Personopplysninger som behandles i medisinsk og helsefaglig forskning omfattes ikke av retningslinjene i denne veiledningen. Denne forskningen har sine egne rutiner og retningslinjer for behandling av personopplysninger.
Den lenken som her går til kvalitetssystemet, burde vært til den nye rutinen.
OUS
Hva med de prosjektene hvor OUS er forskningsansvarlig? Da er det OUS som er ansvarlig for behandlingsgrunnlaget. HVordan synliggjør man det i skjemaet og i hjelpeteksten?
Vi vet ikke hva OUS sitt personvernombud gjør og om helseforsk må pålegge forskeren å laste opp godkjenningen fra OUS. Spør Maren hva som er rutinene til personvernombudet til OUS.
Delt behandlingsansvar
Under "samarbeid" i helseforsk-skjemaet. "Delt behandlingsansvar"? Skjønner folk hva dette betyr? Og er det egentlig så få at man ikke burde hatt det? Vi må ha oversikt over det i følge GDPR. Endre til "avtale om delt behandlingsansvar av personopplysninger". Legge til noe i "samarbeidsavtale" som klargjør litt / binder sammen med det der oppe.