Løsninger til spørgsmålene i IST GDPR-awarenessundersøgelse

Spørgsmål 1: Hvem på SDU kan du kontakte, hvis du har brug for hjælp til databeskyttelse?
SDU har en DPO (data protection officer, databeskyttelsesrådgiver), Simon Kamber, som kan kontaktes på dpo@sdu.dk .
Juridiske spørgsmål til håndtering af persondata kan stilles til SDU RIO (https://www.sdu.dk/da/forskning/service_til_forskere ) via sdu.persondata@sdu.dk
Se eventuelt link til databeskyttelse på SDU: https://www.sdu.dk/da/om_sdu/om_dette_websted/databeskyttelse
eller link til understøttelse af forskningsdatamanagement på SDU: https://www.sdu.dk/da/bibliotek/forskere/rdm+support

Spørgsmål 2: Indsæt link (stien) til hjemmesiden for IST's forskningsinstruks
ISTs forskningsinstruks findes på https://www.sdu.dk/da/om_sdu/institutter_centre/ist_sundhedstjenesteforsk/forskningsinstruks

Spørgsmål 3: Antag at du ved en fejl har sendt en mail, som indeholder persondata. Hvad gør du?
Der er to komponenter til spørgsmålet. Har du sendt persondata til en modtager, som ikke har ret til at se disse data? I dette fald skal du melde et brud på persondatasikkerheden til SDU via IT Service (servicedesk,

formular: https://www.sdu.dk/-/media/files/om_sdu/fakulteterne/sundhedsvidenskab/gdpr/registreringsskema+ved+sikkerhedsbrud.pdf ), kontakte modtageren for at slette mailen, men afvente med at slette mailen fra din sendt post-mappe indtil den videre proces er afklaret. Har du brugt mailsystemet til transfer af persondata, hvor modtageren havde ret til at se disse data? I dette tilfælde burde du for en sikkerheds skyld slette mailen fra din sendt post-mappe (husk at slette fra slettet-post bakken også!) og bede modtageren om at gøre det samme, selvom SDU mail er krypteret for mails indenfor SDU. Mailsystemet skal ikke anvendes til transfer af persondata.

Spørgsmål 4: Angiv i hvilken kategori (A=anonyme, P=pseudonymiseret, AFI=afidentificeret, PI=personidentificerbare) de følgende typer af data befinder sig:
• En lydfil af et patientinterview, hvori der ikke forekommer navne og stedreferencer AFI
• Et datasæt med blodprøvesvar; cpr-numre er krypteret AFI (se dog nedenfor)
• Et udtræk af en klinisk database med oplysninger om operationstype, operationstidspunkt, diagnose, alder, køn og kommune, men ingen cpr-numre AFI (se dog nedenfor)
• Kvalitative interviews med pårørende til patienter med en sjælden sygdom; der er enkelte stednavne og fornavne PI
• Et datasæt med dødelighedsrater fordelt på alder, køn og region, hentet fra statistikbanken (https://www.statistikbanken.dk) A

Vil du genopfriske begreberne, kunne du fx se på ISTs forskningsinstruks – Ord og begreber https://www.sdu.dk/da/om_sdu/institutter_centre/ist_sundhedstjenesteforsk/forskningsinstruks/ordliste
Kort om udfordringen ift. pseudonyme data (versus af-identificerbare data): En person (dvs. typisk en række i datafilen) kan blive identificerbar, hvis man kombinerer mange informationer (dvs. man har mange kolonner=variable per række i sin datafil), selvom åbenlyse elementer til identifikation (navne, CPR-numre mm) er fjernet. Dermed vil kravet om pseudonymitet ikke være opfyldt, når man blot har tilstrækkeligt mange information om personer. På den anden side kan et datasæt med oplysninger om operationstype, operationstidspunkt, diagnose, alder, køn og kommune godt være pseudonymt – der skal være mindst tre personer i alle tænkelige kombinationer af variablerne.

Spørgsmål 6: Hvor må man ifølge IST's forskningsinstruks opbevare og/eller analysere persondata til forskning? Obs: der spørges ikke om midlertidig lagring af persondata.

Spørgsmål 8: Hvor opbevares datamanagementplanen til projektet?
Når en DMP ikke indeholder persondata, skal den som udgangspunkt ikke opbevares et sikkert sted. Dog skal ifølge IST’s forskningsinstruks al dokumentation samles ét sted, så DMP kunne med fordel placeres på en sikker server, hvor al dokumentation og eventuelt originaldata (i krypteret form) opbevares.
Spørgsmål 9: Forestil dig, at en overlæge på Rigshospitalet, som du kender, kontakter dig og beder dig lave nogle hurtige statistiske analyser på nogle patientdata som han har på et regneark. SDU skal sende en faktura på din indsats. Hvad gør du?
Det er den dataansvarlige (myndighed) der skal udforme en databehandleraftale (DBAT). Derfor beder du overlægen om at anmode Region Hovedstaden om en DBAT. Da det er dig som SDU ansat, og ikke som privatperson, der skal behandle data, er det SDU som skal underskrive DBAT på vegne af dig. Derfor beder du RIO om at gennemse og underskrive DBAT’en, når den er klar. Herefter laver du analyserne.