Datatilsynet præciserer, at forskningsprojekter fortsat kan anvende registerdata i Danmark, selv om databeskyttelseslovens § 10 ikke kan bruges som generel hjemmel i alle tilfælde. Myndigheden understreger, at vurderingen angår anvendelsen af § 10 i bestemte sager, og at andre retsgrundlag – herunder i GDPR og sektorlovgivning – kan understøtte fortsat behandling af personoplysninger til forskning.
Retsgrundlag og rækkevidde
Efter databeskyttelsesloven giver § 10 en bred, men afgrænset adgang til at behandle følsomme data uden samtykke, når formålet udelukkende er statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning. Bestemmelsen supplerer GDPR’s regler om særlige kategorier og oplysninger om straffedomme, jf. artikel 9 og 10, men kan ikke udstrækkes til myndighedsopgaver, der rækker ud over egentlige forskningsformål.
Lovgiver har indbygget garantier for borgernes retssikkerhed: forskningsformålet skal være rent, nødvendighedskravet skal være opfyldt, og behandlingen må ikke ske til andre formål. En udvidende fortolkning risikerer at udhule beskyttelsen. Retsgrundlaget fremgår af databeskyttelseslovens § 10 på retsinformation.dk.
Praksis og vejen frem
Praksis går tilbage til 2008, hvor Datarådet og Datatilsynet fandt, at § 10 ikke kunne anvendes som hjemmel for Lægemiddelstyrelsens opgaver, fordi formålet ikke var rent forskningsmæssigt. Et kortfattet svar i 2021 gav en foreløbig tilkendegivelse i en konkret vaccinekontekst, men blev tolket som generel åbning, hvilket ikke var tilsigtet.
I 2023 præciserede Datatilsynet i et brev til Indenrigs- og Sundhedsministeriet, at § 10 ikke kan bruges generelt til denne type behandling. Brevet kan læses hos Datatilsynet. Myndigheden har efterfølgende meddelt ministeriet, at relevant forskning kan fortsætte på andet retsgrundlag, hvis det findes eller kan etableres, og henviser til et opfølgende brev.
