Forskningsdata

EU-Domstolen bekræfter, at identifikationsmulighed skal vurderes hos modtageren: Data kan være anonyme for én part, selv om afsenderen kan identificere. Afgørelsen kan lette datadeling, forskning og AI-træning, men kræver dokumenterede vurderinger og klare tekniske og organisatoriske skel.

Datatilsynet undersøger et forskningsprojekt i Region Hovedstaden og efterspørger grundlaget for persondatabehandlingen. Myndigheden betoner krav om DPIA ved høj risiko, især ved sundhedsdata og AI. Ulovlig behandling kan medføre stop og sletning af data og resultater.

Datatilsynet kritiserer Aarhus Universitet for mangler i forskningsprojekters databehandling: uklart behandlingsgrundlag, utilstrækkelige databehandleraftaler og svagt tilsyn. Ved videregivelse manglede både overførselsgrundlag og påkrævede tilladelser efter databeskyttelsesloven § 10.

Datatilsynet fastslår, at forskning med registerdata kan fortsætte, selv om § 10 i databeskyttelsesloven ikke er en generel hjemmel. Alternative grundlag i GDPR og sundhedslovgivningen kan anvendes, og praksis er præciseret over for ministeriet i nye breve.