«Vi oppbevarer det til forskningsformål»: EDPB forklarer hvorfor det ikke er et svar

Bredt samtykke finnes, men det koster

Knuten forskningsmiljøet har ventet på i årevis er broad consent: kan man be om samtykke til forskning som ikke er fullt ut definert på innsamlingstidspunktet? Personvernrådets svar er ja, på vilkår. Samtykket kan dekke et tydelig beskrevet forskningsfelt, eller identifiserbare forventede resultater, ledsaget av egnede garantier. Det som ikke holder er samtykke til «forskning» generelt: sier man ikke til den registrerte hvilket område studien beveger seg i, er samtykket verken spesifikt eller informert.

• Beskriv området, ikke ordet: «studier innen barneonkologi», ikke «vitenskapelige formål»
• Framtidige behandlinger må være rimelig forutsigbare på innsamlingstidspunktet
• Garantiene i artikkel 89 nr. 1 er ikke pynt: dataminimering, pseudonymisering der det lar seg gjøre, skille mellom den som holder identifiserende opplysninger og den som analyserer
• Samtykket kan trekkes tilbake: det trengs en prosedyre som sier hva som skjer med opplysninger som allerede inngår i en pågående studie
• Bytter studien felt, går man tilbake til den registrerte: bredt samtykke er ikke evig samtykke

Linjen som havner i protokollen

Her kommer delen som betyr noe for den som fyller ut protokollen etter artikkel 30 og oppbevaringsmatrisen. Rådet er tydelig: å lagre personopplysninger til et generelt «vitenskapelig forskningsformål», uten å angi området, er ikke tillatt. Den behandlingsansvarlige må angi den potensielle forskningen og underbygge den med garantiene i artikkel 89. Oversatt til protokollspråk: «oppbevaring til forskningsformål» er ingen frist, det er en utelatelse med en elegant formulering foran.

Hva dokumentet ikke løser

• Det gjør ikke forskning til et behandlingsgrunnlag: artikkel 89 er et garantiregime, ikke et selvstendig lovlighetsgrunnlag
• Det fjerner ikke forenlighetsvurderingen: presumsjonen i artikkel 5 nr. 1 bokstav b er ikke automatisk og må dokumenteres
• Det rører ikke nasjonal rett: nasjonale regler om forskning gjelder fortsatt
• Det er ikke endelig: høringen ga tunge innspill fra life science-sektoren, og teksten vil endre seg

Dokumentet er langt, og ikke alt tjener personvernombudet i en virksomhet. Men punktene om bredt samtykke og det om lagring er den typen passasje som om et år dukker opp i et overtredelsesgebyr, innledet med «som Personvernrådet har presisert».