”Vi sparar det för forskningsändamål”: EDPB förklarar varför det inte är ett svar

Brett samtycke finns, men det har ett pris

Knuten som forskarsamhället väntat på i åratal är broad consent: kan man begära samtycke till forskning som vid insamlingstillfället ännu inte är fullt bestämd? Styrelsens svar är ja, på villkor. Samtycket kan täcka ett tydligt beskrivet forskningsfält, eller identifierbara förväntade resultat, med lämpliga skyddsåtgärder. Vad som inte håller är samtycke till ”forskning” i allmänhet: sägs inte till den registrerade inom vilket område studien rör sig är samtycket varken specifikt eller informerat.

• Beskriv området, inte ordet: ”studier inom barnonkologi”, inte ”vetenskapliga ändamål”
• Framtida behandlingar måste vara rimligen förutsebara vid insamlingstillfället
• Skyddsåtgärderna i artikel 89.1 är ingen dekoration: minimering, pseudonymisering där det går, åtskillnad mellan den som håller identifierande uppgifter och den som analyserar
• Samtycket förblir återkalleligt: det behövs en rutin som säger vad som händer med uppgifter som redan ingår i en pågående studie
• Byter studien fält går man tillbaka till den registrerade: brett samtycke är inte evigt samtycke

Raden som hamnar i registret

Här kommer den del som betyder något för den som fyller i registret enligt artikel 30 och gallringsmatrisen. Styrelsen är uttrycklig: att lagra personuppgifter för ett allmänt ”vetenskapligt forskningsändamål”, utan att ange området, är inte tillåtet. Den personuppgiftsansvarige måste ange den potentiella forskningen och underbygga den med skyddsåtgärderna i artikel 89. Översatt till registerspråk: ”lagring för forskningsändamål” är ingen lagringstid, det är en utelämning med en elegant formulering framför sig.

Vad dokumentet inte löser

• Det gör inte forskning till en rättslig grund: artikel 89 är ett skyddsåtgärdsregelverk, inte en självständig grund för laglighet
• Det tar inte bort förenlighetsbedömningen: presumtionen i artikel 5.1 b är inte automatisk och måste dokumenteras
• Det rör inte nationell rätt: medlemsstaternas regler om forskning gäller fortfarande
• Det är inte slutligt: samrådet gav tunga synpunkter från life science-sektorn och texten kommer att ändras

Dokumentet är långt och allt tjänar inte företagets dataskyddsombud. Men punkterna om brett samtycke och den om lagring är den sortens passage som om ett år dyker upp i ett sanktionsbeslut, inlett med ”såsom styrelsen har klargjort”.