Videnskabelig forskning under GDPR: fleksibiliteter og konsekvenser
Klassifikationen af en behandling som udført til videnskabelige forskningsformål kan udløse væsentlige lempelser i anvendelsen af flere grundlæggende GDPR-principper. Det gælder bl.a. formålsbegrænsning, hvor efterfølgende behandling til forskning som udgangspunkt ikke anses for uforenelig, samt opbevaringsbegrænsning, hvor sletning kan vige for et lovligt forskningsformål, forudsat passende garantier.
En nyere afgørelse fra Datatilsynet om Københavns Universitets håndtering af personalesager illustrerer pointen: Universitetet blev kritiseret for ikke at have fulgt egne slettepolitikker, men tilsynet anerkendte, at oplysningerne fortsat kunne opbevares med henblik på udlevering til et hospital til dokumenteret forskningsformål. Samtidig blev det bekræftet, at viderebehandling til videnskabelig forskning ikke er uforenelig med det oprindelige formål, jf. artikel 5, stk. 1, litra b.
Bred fortolkning, ikke carte blanche: fra institution til substans
GDPR’s betragtning 159 tilsiger en bred forståelse af forskning, der omfatter teknologisk udvikling, anvendt forskning, privat finansieret forskning og studier i offentlig sundhed. EDPS har dog understreget, at forskning ikke er en carte blanche: Aktiviteten skal følge anerkendte metodiske og etiske standarder og have til formål at bidrage til samfundets viden, ikke blot private interesser. Se EDPS’ foreløbige udtalelse her: 6 January 2020 Preliminary Opinion.
EDPB’s Guidelines 1/2026 præciserer nu, at både offentlige og private aktører – også med profitformål – kan operere inden for forskningsregimet, så længe projektet er metodisk, etisk vurderet og videnproducerende. EDPB opstiller seks indikative faktorer; jo flere der er opfyldt, desto stærkere formodning for, at behandlingen er forskning efter GDPR. Også afledte processer som rekruttering, dataudtræk, filtrering, harmonisering, pseudonymisering og anonymisering kan være omfattet, hvis de er nødvendige og målrettede mod projektets forskningsformål.
Afgrænsning: interne analyser og markedssegmentering falder udenfor
Det forskningsretlige regime kan ikke anvendes til rene interne analyser, marketingstrategi, kundesegmentering, produktoptimering eller adfærdsmanipulation. Sådanne aktiviteter mangler uafhængighed, fagfællebedømmelse, åbenhed og et eksplicit sigte om at bidrage til generel vidensopbygning.
Det gælder også, hvor virksomhedsinterne “research”-teams eksperimenterer på brugere primært for at øge engagement eller forbedre kommercielle nøgletal. Selv avancerede metoder gør ikke i sig selv en aktivitet til videnskabelig forskning, hvis resultaterne ikke er verificerbare, ikke underkastes ekstern kontrol og ikke publiceres bredt.
Lær at udarbejde solide databehandleraftaler på praksisnært kursus
Læs mere her →Praktiske krav: retsgrundlag, transparens og art. 89-garantier
Når aktiviteten kvalificerer som forskning, skal den ansvarlige stadig identificere et lovligt behandlingsgrundlag efter artikel 6, og ved særlige kategorier en hjemmel efter artikel 9. Transparenskravene i artikel 13-14 skal håndteres, registreredes rettigheder efter artikel 15-22 planlægges, og passende garantier efter artikel 89 implementeres. I klinisk eller medicinsk forskning vil en konsekvensanalyse efter artikel 35 ofte være nødvendig.
Robust governance er afgørende. Afklar roller og relationer mellem parter, dokumentér forskningsdesignet og integrér sikkerhedsforanstaltninger tidligt i projektforløbet. Følgende tiltag kan understøtte compliant eksekvering:
- Dokumentér forskningsformål, metode, protokol og etisk vurdering samt projektets potentiale for videnbidrag.
- Gennemfør DPIA og indbyg art. 89-garantier, inkl. dataminimering, pseudonymisering og adgangskontrol.
- Afklar dataansvarlighed, fælles dataansvar og databehandlerroller, og indgå nødvendige aftaler.
- Sikr gennemsigtighedsmateriale og proces for udøvelse af registreredes rettigheder i hele datalivscyklussen.
