Overordnet informasjon
GDPR (General Data Protection Regulation) er en personvernforordning som er vedtatt av EU og gjort gjeldende i Norge som vedlegg til EØS-avtalen. GDPR er en forordning “om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger.” (Lovdata). Bestemmelsene i forordningen berører alle forskningsprosjekter som behandler personopplysninger.
UiO/SV-fakultetet/Instituttet har det overordnede ansvaret for at gjeldende regler for håndtering av forskningsdata blir gjort kjent og etterfulgt. Veileder påser at studenten ivaretar sitt ansvar, og at personvernet til respondenter eller informanter i studentforskning på bachelor- og masternivå blir ivaretatt av studenten. Studenten har ansvaret for sitt prosjekt, og for personvernet til deltakere i forskningsprosjektet (respondenter og informanter) når det behandles personopplysninger om dem. Studenten må sette seg inn i og etterfølge retningslinjer for datahåndtering. Dette bør skje i samråd med sin veileder.
Se UiOs side om personvern for student og personvern for veileder.
Hva er personopplysninger og særskilte kategorier av personopplysninger
Personopplysninger er alle opplysninger eller vurderinger som direkte eller indirekte kan knyttes til enkeltpersoner. Det gjelder eksempelvis navn, adresse telefonnummer, epost, IP-adresse, fødselsnummer, bilder, lydopptak, videoopptak, biometriske opplysninger. Også ulike typer data om atferd vil kunne være persondata, for eksempel handlevaner eller aktivitet på nettet. Når flere datakilder kobles sammen, kan også data som i seg selv ikke er personidentifiserende bli personopplysninger.
Særskilte kategorier av personopplysninger (tidligere sensitive personopplysninger) er opplysninger som bare kan samles inn ut fra særskilte behov, blant annet vitenskapelig forskning. Dette gjelder informasjon om rasemessig eller etnisk opprinnelse, politisk oppfatning, religiøs eller filosofisk overbevisning, fagforeningsmedlemskap, genetiske opplysninger, biometriske opplysninger, opplysninger om helse, seksuelle forhold eller seksuell legning, opplysninger om straffedommer eller lovovertredelser.
Klassifisering av data
Når du samler og behandler data, vil dataene ha ulik klassifisering avhengig av hva de omhandler. UiO har utarbeidet en generell klassifiseringsoversikt som identifiser fire kategorier: Grønn – åpen, Gul – begrenset, Rød – fortrolig, og Svart – strengt fortrolig. Denne klassifisering gjelder også for forskere og studenter ved ISS.
Det er du som masterstudent som er prosjektleder for ditt prosjekt. Det betyr at du er ansvarlig for dataene i prosjektet. I samråd med veileder skal du ha oversikt over dataene, vurdere at de er riktig klassifisert, og påse at du samler inn, behandler og lagrer data på forskriftsmessig måte. SIKT vil i sitt svarbrev også kunne si noe om klassifisering, men dette er en anbefaling og det er du som har det endelige ansvaret.
Datahåndteringsplan
En datahåndteringsplan (forkortet DMP: data management plan) er et dokument som beskriver hvordan forskningsdataene i et prosjekt skal håndteres: fra start til slutt, samt etter prosjektet er avsluttet. DMP er et dokument som skal følge forskningsprosjektet og tydeliggjøre hvilke data som vil bli generert, hvordan dataene skal beskrives, hvor dataene skal lagres, om de kan deles og hvordan.
Alle forskningsprosjekt ved UiO skal ha en egen datahåndteringsplan. Dette gjelder også for masteroppgaver og andre studentprosjekter. Opplæring i og arbeid med DMP vil være en del av undervisningsopplegget knyttet til masteroppgaven for ditt program. Du vil også bli bedt om å levere DMP sammen med oppgaven ved endt prosjekt. Rådfør deg med veileder i dette arbeidet.
Mal for datahåndteringsplan (word).
Melde prosjekt til SIKT (tidligere NSD)
Prosjekter som innebærer behandling av personopplysninger må meldes til Norsk Senter for forskningsdata (SIKT)
Som formell prosjektansvarlig for masteroppgaven, skal veileder påse at meldeplikten overholdes der det er aktuelt. Praksis på ISS er at du drøfter dette med veileder før du melder prosjektet til SIKT.
I de tilfellene der du har to veiledere, skal intern veileder (ansatt ved ISS) stå som prosjektansvarlig i meldeskjema til SIKT.
Valg av behandlingsgrunnlag - Allmenhetens interesse eller samtykke
Når du melder prosjektet til SIKT, må du velge behandlingsgrunnlaget for forskningsprosjektet ditt. Det er i hovedsak to alternativer som er aktuelle:
- Samtykke
- Allmenhetens interesse
Samtykke er det vanligste og vil passe de fleste masterprosjekter.
For prosjektforum-prosjekt hvor studenter kan ha ønske om bruke data og funn videre i sitt masterprosjekt, vil allmenhetens interesse være et alternativ.
Se SIKTs informasjonsside om de to behandlingsgrunnlagene
Forskpro ved ISS
Alle masterprosjekt ved ISS som meldes til SIKT, vil automatisk meldes inn i Forskpro. Forskpro er UiOs eget verktøy for å holde oversikt over pågående og avsluttede forskningsprosjekter. Forskpro er ikke åpent tilgjengelig på nettet, og er tilgjengelig for forskningsadministrasjonen.
Meld fra til SIKT om avsluttet prosjekt
Dersom du har behandlet/innhentet personopplysninger som er meldepliktige til SIKT, er det viktig at du melder fra om at prosjektet er avsluttet når masteroppgaven er levert, og hva som skal skje med personopplysningene.
Lagring av data - Lagringstjenester, sletting og eventuelt arkivering.
Når du samler og behandler data, er det viktig at dette skjer i trygge rammer og at du benytter tekniske løsninger som er sikre. Dette begrenser muligheten for at dataene kan komme på avveie, eller at uvedkommende får tilgang til dem.
Når du har klassifisert dataene i prosjektet ditt, kan du se hva du må gjøre for å behandle de trygt. Det er ulike løsninger utfra hvilken klassifisering dataene i ditt prosjekt har. Instituttet har utviklet en skreddersydd guide for våre studenter som veileder deg.
Behandling, avidentifisering og anonymisering av data
Når du behandler data, skal du forsikre deg om at alle persondata er avidentifisert eller anonymisert før data blir tatt ut fra lagringsstedet i form av transkripsjoner, skriftlige datautdrag etc. Etter transkribering er det vanlig å slette rådata, men det finnes unntak (se det som står under «Prosjektavslutning»).
- Avidentifisering: personidentifiserende informasjon er fjernet, men indirekte personidentifiserende informasjon finnes, f.eks. i form av koblingsnøkler.
- Anonymisering: all personidentifiserende informasjon slettes (inklusive koblingsnøkler). NB: Det er da ikke lenger mulig for informanter å trekke seg fra undersøkelsen.
Prosjektavslutting – arkivering/sletting
Når prosjektet er ferdig skal data som hovedregel slettes eller anonymiseres.
Hvis data skal arkiveres for videre bruk etter prosjektet er hovedregelen at du må ha eksplisitt samtykke for dette. For mer informasjon om videre bruk, se SIKTs dokumentasjonsguide for arkivering av forskningsdata.
Samtykkeskjema
Når du samler inn data, må du kunne dokumentere at du har gitt informasjon og innhentet samtykke fra de du registrerer opplysninger om, med mindre du benytter data på aggresjonsnivå (for eksempel registerdata). SIKT anbefaler skriftlig informasjon og skriftlig samtykke som en hovedregel.
Du må utarbeide et informasjonsskriv der du forespør om deltakelse og informerer om studien. Informasjonen du gir skal være kortfattet, lett forståelig og i en lett tilgjengelig form. SIKT har utarbeidet en mal for informasjonsskriv og samtykkeerklæring som du kan bruke for ditt prosjekt.
Lydopptak - Nettskjema Diktafon og Zoom
Et lydopptak regnes som personidentifiserende, og du skal søke om godkjennelse fra SIKT for ditt prosjekt for å gjennomføre opptak av intervjuer.
Merk at selv om prosjektet ditt skal handle om gule eller grønne data, kan et intervjuobjekt si noe om seg selv eller andre som faller inn under røde data. På UiO regnes derfor lydopptak som røde data.
Studenter ved UiO skal som hovedregel benytte seg av Nettskjema diktafon. Dette er en sikker løsning som baserer seg på Nettskjema, og du har en egen opptaksapp på mobiltelefonen din. Vi anbefaler at du bruker denne løsningen for alle lydopptak i forbindelse med datainnsamling.
Nettskjema diktafon og backup
Det er meldt om ulike problemer med Nettskjema diktafon. Gjør deg kjent med og test nettskjema diktafon i god tid før første intervju.
Så fremt du har tilgang til en vanlig diktafon, kan du benytte deg av denne som backup. Dersom Nettskjema diktafon ikke overfører opptak fra mobil enhet og til nettskjema, finner du veiledning for overføring fra annen diktafon under. Slett opptakene så fort du har overført de.
Instituttet har noen vanlige diktafoner til utlån. Ta kontakt med instituttets ekspedisjon for forespørsel om å låne disse.
Meld fra til instituttet dersom du opplever problemer med nettskjema diktafon, se epost nederst på siden.
Se veiledning for å sette opp og ta i bruk nettskjema diktafon
Vi anbefaler sterkt at du noterer på papir underveis når du gjennomfører et intervju. Slik er du sikret notater uavhengig av det tekniske.
Intervju og opptak ved bruk av Zoom
Instituttet har utarbeidet en veiledning for intervju og opptak ved bruk av Zoom. Veiledning for bruk av Zoom
OBS. Bruk av Zoom i henhold til rutinen forutsetter stabil og god nettilgang. Vi anbefaler at du tester i forkant av intervju at nettilgang er god nok. Så fremt det er mulig anbefaler vi at du befinner deg i UiOs lokaler og på UiO-nett når du gjennomfører disse møtene.
Rutinen tar utgangspunkt i UiOs sentrale rutine for bruk av Zoom.
Transkribering
Vi vil fremheve to ulike verktøy for transkribering av intervjuer som er tilgjengelige for deg som UiO-student.
- F4 transkript. Manuelt transkriberingsverktøy, med mye nyttig funksjonalitet. Kan også brukes for å forbedre autogenererte transkripsjoner.
- Autotekst. Autotekst er et UiO-utviklet program som baserer seg på OpenAI-teknologi og er et automatisk transkriberingsprogram.
Det er viktig å merke seg at begge løsningene må brukes gjennom UiO Desktop, og at filer som inneholder personopplysninger ikke skal lagres utenfor egnet lagringsmedium (e.g. Educloud)
Se veiledning for bruk av Autotekst sammen med lagringsløsninger
Andre forhold vedrørende GDPR
Personvernkonsekvensutredning - DPIA
Pernsvernkonsekvensutredning (DPIA) vil være aktuelt for svært sensitive prosjekter. SIKT gir beskjed om at dette skal utføres. Får du beskjed om at ditt prosjekt trenger DPIA, ta kontakt med datahåndtering ved ISS.
Kollektiv informasjonsplikt
Kollektiv informasjonsplikt vil gjelde dersom ditt prosjekt ikke innhenter spesifikt samtykke fra deltakerne i studien. SIKT gir beskjed om at dette er nødvendig. Det kan også være aktuelt å endre behandlingsgrunnlaget i slike forskningsprosjekt. Se punkt om behandlingsgrunnlag lenger oppe på siden.
Får du beskjed om at ditt prosjekt utløser kollektiv informasjonsplikt, ta kontakt med datahåndtering ved ISS.
Dersom du har spørsmål du ikke finner svar på her, kan du ta kontakt med datahåndtering ved ISS.
Melde inn avvik
Hvis du opplever uhell eller problemer med dine data eller personopplysninger du jobber med, skal du melde inn avviket til UiO sentralt.
Du kan lese mer om avvik på UiOs sentrale sider.
GDPR og masteroppgaver – et lynkurs for ISS studenter
Fra og med våren 2020 arrangerer ISS et informasjonsmøte – et lynkurs – om GDPR og masteroppgaver. Dette er et tilbud for ALLE masterstudenter på ISS: master i sosiologi, Master in Human Geography og OLA-programmet.
Kurset vil gi en generell orientering om datahåndtering og GDPR, samt hvilke implikasjoner det har for planlegging og gjennomføring av din masteroppgave. Kurset er ikke obligatorisk, men vi oppfordrer alle studenter som er i oppstartfasen av sine masterprosjekter til å delta. Kontakt studiekonsulenten for ditt program eller kontaktpunkt for datahåndtering for informasjon om kurs.
Powerpoint og opptak fra kurs.
«Hvordan går jeg fram med GDPR?»
Dette er en kronologisk sjekkliste du kan bruke når du skal i gang med masteroppgaven.
- Masterskisse for oppgaven utformes og leveres
- Datahåndteringsplan utformes og leveres.
- Melde prosjektet til SIKT. Du kan bli bedt om å legge ved:
- Forslag til intervjuguide dersom du ønsker å benytte kvalitative intervjuer
- Forslag til infoskriv (informasjon om ditt prosjekt for potensielle informanter)
- Forslag til samtykkeskjema
- Ved datainnsamling, sørge for god informasjon og samtykke fra informanter, der det er relevant.
- Hvis relevant, gjennomføre intervjuer ved hjelp av sikker opptaksløsning gjennom Nettskjema-diktafon
- Under hele prosjektet, lagre data sikkert
- Under hele prosjektet, bruke din datahåndteirngsplan og revidere denne hvis det er nødvendig
- Ved databehandling, avidentifisere data som hentes ut av ditt prosjektområde i Educloud. Se ISS lagringsguide for mer informasjon om Educloud.
- Ved prosjektslutt, slette, anonymisere og arkivere data i henhold til inngåtte avtaler
- Meld prosjektet som avsluttet til SIKT.
- Sende inn ferdigstilt datahånteringsplan til din veileder.
UiOs «Sjekkliste for behandling av personopplysninger i en bachelor- eller masteroppgave»(pdf) kan også komme til hjelp. Der kan du enkelt holde oversikt og krysse av de personvernpunktene som gjelder ved prosjektstart, under oppgaveskrivingen og når oppgaven er levert.