Utlevering av taushetsbelagte opplysninger til forskning

Utlevering av opplysninger etter vedtak om dispensasjon fra taushetsplikten

Når må du søke om dispensasjon fra taushetsplikten?

Når du ber om taushetsbelagte opplysninger fra NAV må du søke om dispensasjon fra taushetsplikten så lenge du ikke har samtykke fra de som opplysningene gjelder. Opplysninger om noens personlige forhold er taushetsbelagte, se forvaltningsloven § 13 første ledd nr. 1. Dette vil være opplysninger som det er naturlig at en person vil holde for seg selv. Det gjelder også opplysninger om fødested, fødselsdato, personnummer, statsborgerforhold, sivilstand, yrke, bopel og arbeidssted, se NAV-loven § 7 og sosialtjenesteloven § 44.  

Når trenger du ikke å søke om dispensasjon fra taushetsplikten?

I disse tilfellene er det ikke nødvendig å søke om dispensasjon fra taushetsplikten etter forvaltningsloven § 13: 

• Hvis du har innhentet samtykke fra alle som deltar i forskningsprosjektet, og kan sende inn samtykkene til NAV, se forvaltningsloven § 13 a nr. 1. Les mer om dette lenger ned på siden.
• Hvis du ber om utlevering av opplysninger i statistisk form, se forvaltningsloven § 13 a nr. 2. Les mer om det her.
• Hvis du ber om opplysninger som ellers ikke er underlagt lovbestemt taushetsplikt, for eksempel allment tilgjengelig informasjon.

Hvem kan få utlevert taushetsbelagte opplysninger til bruk i forskning?

Vi kan utlevere taushetsbelagte opplysninger til forskning etter forvaltningsloven § 13 d. Det innebærer at den som er prosjektansvarlig, må dokumentere at han eller hun har forskerkompetanse (doktorgrad), og er knyttet til et forskningsinstitutt, høgskole eller universitet. Hvis den prosjektansvarlige ikke kan dokumentere dette, må NAV vurdere om forskningsprosjektet kan regnes som forskning. Prosjektansvarlig kan ikke være student.

Hva er du ansvarlig for når du søker om utlevering av opplysninger?

Som forsker er du behandlingsansvarlig for opplysningene som forskningsprosjektet behandler. Du er derfor ansvarlig for å følge personopplysningsloven og personvernforordningen. Det innebærer følgende:

• Behandlingen av personopplysninger i forskningsprosjektet må ha et lovlig behandlingsgrunnlag, se personvernforordningen artikkel 6, 9 og 10. Hvis du har flere behandlingsgrunnlag må dette komme klart fram.
• Du må følge personvernprinsippene i personvernforordningen artikkel 5.
• Hvis det er nødvendig, skal det gjennomføres en personvernkonsekvensvurdering (PVK/DPIA) for forskningsprosjektet, se personvernforordningen artikkel 35.
• Opplysningene som blir utlevert fra NAV, må lagres sikkert, både fysisk og elektronisk, se personvernforordningen artikkel 5 nr. 1 bokstav e.

Hva må du gjøre når du søker om å få utlevert opplysninger?

Du må undersøke om forskningsprosjektet kan gjennomføres med andre opplysninger enn taushetsbelagte opplysninger, for eksempel om du kan bruke anonymiserte data og statistikk. Du må også undersøke om du kan hente opplysninger fra andre kilder enn NAV, for eksempel ved bruk av microdata.no.

Det er viktig at du fyller inn alle rubrikker i søknaden så godt som mulig, og ha nødvendige vedlegg klare så du kan levere dem inn sammen med søknaden. Vi sier fra hvis det er noe som er uklart eller mangler. Fra vi har mottatt all nødvendig dokumentasjon og avklaringer, vil det ta inntil 12 uker å få svar på søknaden.

Du kan sende søknaden med vedlegg til arbeids.og.velferdsdirektoratet@nav.no, med emne «Dispensasjon – forskerdata». Dersom du har spørsmål til søknaden, kan du ta kontakt på e-post: nav.juridisk.avdeling@nav.no. Opplysningene i søknadsskjemaet er ikke underlagt taushetsplikt, med mindre du ber om unntak etter offentleglova.

Her finner du malen for søknadsskjemaet.

Vi oppfordrer deg til ikke å sende taushetsbelagte opplysninger via e-post. Vi gjør oppmerksom på at vanlig e-post er usikret og ukryptert. 

Vår adresse for vanlig post er: 

Vi ber deg spesielt om å være oppmerksom på disse punktene i søknaden:

• prosjektbeskrivelsen
• redegjørelsen for hvilken populasjon du skal forske på, og hvordan NAV skal identifisere denne populasjonen
• hvem som finansierer forskningsprosjektet

Dette må du levere i tillegg til søknaden:

• en personkonsekvensvurdering (PVK/DPIA), dersom du skal behandle særlige kategorier personopplysninger  
• en komplett variabelliste, se eksempel her. Variabellisten må inneholde en redegjørelse av hvorfor alle variablene du ber om er nødvendige, se prinsippet om dataminimering i personvernforordningen artikkel 5 nr. 1 bokstav c. Det er viktig at du forklarer hvorfor all etterspurt data er nødvendig for forskningsprosjektet.
• eventuelle godkjenninger og dispensasjoner fra andre forvaltningsorganer eller Regionale komiteer for medisinsk og helsefaglig forskningsetikk (REK). Merk at godkjenninger eller vedtak fra andre ikke forplikter NAV til å utlevere opplysninger. NAV må ta en selvstendig vurdering av om vi kan, og skal, utlevere opplysninger.
• prosjektansvarliges CV
• dersom dataene skal behandles utenfor EU, må det dokumenteres at dette gjøres i overenstemmelse med personvernlovgivningen

Når kan NAV utlevere taushetsbelagte opplysninger?

Utlevering av opplysninger kan skje der det «finnes rimelig og ikke medfører uforholdsmessig ulempe for andre interesser», se forvaltningsloven § 13 d. Vurderingen vår vil basere seg på følgende:

• forskningsprosjektets forventede samfunnsnytte
• hvem som søker om å få taushetsbelagte opplysninger og hvor betryggende rutiner etc., som er på plass for å håndtere taushetsbelagte opplysninger for å redusere muligheten for at opplysningene havner på avveie
• hvorvidt opplysningene er av særlige kategorier etter personvernforordningen artikkel 9, og hvorvidt opplysningene er av en slik karakter at NAVs brukere forventer hemmelighold
• hvordan dispensasjon fra taushetsplikten vil kunne virke inn på brukernes tillit til NAV
• hvordan forskeren skal håndtere og publisere opplysningene
• hvordan forskeren skal publisere forskningsresultatene
• hvordan, og hvilke vilkår vi kan stille for å veie opp for eventuelle risikoer ved forskningsprosjektet
• eventuelle ulemper for NAV, som ikke kan overkommes ved å stille vilkår eller foreta andre grep

Rådet for taushetsplikt og forskning

Dersom NAV er i tvil om søknaden skal innvilges eller ikke, må saken sendes til Rådet for taushetsplikt og forskning. Dersom du skal ta direkte kontakt med de personene opplysningene fra NAV angår, skal saken alltid sendes til Rådet for taushetsplikt og forskning. Dette går fram av forvaltningslovforskriften § 9.

Hva skjer når du har fått innvilget søknad om utlevering av opplysninger i vedtak?

Du må sjekke vedtaket om vi har stilt vilkår for behandlingen av opplysningene i forskningsprosjektet som du må følge. 

Det er Statistikkseksjonen i Arbeids- og velferdsdirektoratet som utleverer dataene, basert på det vedtaket du har fått. Etter at du har mottatt vedtaket må du derfor ta kontakt med Statistikkseksjonen på e-post: nav.statistikk@nav.no. 

Har du fått avslag på søknaden om dispensasjon?

Du kan klage på avslaget. Du må sende klagen til Arbeids- og velferdsdirektoratet, som enten vil ta den til følge eller opprettholde vedtaket, og sende klagen til Arbeids- og inkluderingsdepartementet for klagebehandling. Fristen for å klage er tre uker fra det tidspunkt underretning om vedtaket er kommet fram, se forvaltningsloven § 29.

Du har fått data, og ber om ny data eller ønsker å beholde dataen lengre enn det som er bestemt i vedtaket

Du kan ikke beholde data lenger enn først avtalt, og NAV kan ikke automatisk utlevere ny data, uten at vi først foretar en ny vurdering av saken. Dersom du ønsker dette, må du ta kontakt med NAV på e-post arbeids.og.velferdsdirektoratet@nav.no, med emne «Dispensasjon – forskerdata». Husk å legge ved en beskrivelse av hvilke variabler du ønsker utlevert, samt referanse til det tidligere vedtaket om dispensasjon.

Utlevering basert på samtykke

Når kan NAV utlevere taushetsbelagte opplysninger?

Samtykker som inneholder personopplysninger kan ikke sendes på e-post, og må derfor sendes per post. Arbeids- og velferdsdirektoratet skal vurdere om samtykket er gyldig, ved at det oppfyller alle de kravene som er nevnt nedenfor. Det innebærer at vi ser på om samtykket dekker de dataene det er bedt om.

Samtykket kan ikke være for vidt eller for generelt. Det må spesifikt være nevnt i samtykket at det vil innhentes opplysninger fra NAV, og det må spesifiseres hvilke opplysninger. Det er ikke tilstrekkelig at det er samtykket til at alle opplysninger fra NAV kan utleveres, det må spesifiseres om opplysningene er knyttet til ytelser, arbeid, sykdom etc. Vi ønsker å påpeke at samtykket kan være tilstrekkelig som behandlingsgrunnlag til forskning, men ikke tilstrekkelig behandlingsgrunnlag for utlevering av data fra NAV.

Det er viktig at informasjon om utlevering av taushetsbelagte personopplysninger fra NAV kommer klart og tydelig fram i samtykket eller informasjonsskrivet, og at informasjonen ikke er gjemt, eller blandet sammen med annen informasjon.  

Det er også et krav om at du må kunne dokumentere alle samtykkene til NAV for at du kan få utlevert data, se personvernforordningen artikkel 7.

Krav til samtykke

Etter forvaltningsloven § 13 a nr. 1 og personvernforordningen artikkel 4. nr. 11, må et gyldig samtykke være:

• • frivillig
  • spesifikt
  • informert
  • utvetydig
  • gitt gjennom en aktiv handling
  • dokumenterbart
  • mulig å trekke tilbake like lett som det ble gitt

Hva er du ansvarlig for når du søker om utlevering?

Du er behandlingsansvarlig for opplysningene som behandles, og er derfor ansvarlig for at personopplysningsloven og personvernforordningen følges. Det innebærer at:

• behandlingen av personopplysninger i forskningsprosjektet må ha et lovlig behandlingsgrunnlag. Et slikt grunnlag kan være samtykke, se personvernforordningen artikkel 6, 9 og 10.
• du følger personvernprinsippene i personvernforordningen artikkel 5.
• opplysningene som blir utlevert fra NAV må lagres sikkert, både fysisk og elektronisk, se personvernforordningen artikkel 5 nr. 1 bokstav e.

Hva må du gjøre før du ber om taushetsbelagte opplysninger?

Du som forsker må levere følgende:

• utfylt søknadsskjema
• samtykkeskjemaet fra personen det gjelder
• en prosjektbeskrivelse
• informasjonsskrivet til de som har samtykket
• en komplett variabelliste, se eksempel her. I variabellisten må du redegjøre for hvorfor alle dataene du ber om er nødvendige, se prinsippet om dataminimering i personvernforordningen artikkel 5 nr. 1 bokstav c. Det er viktig at denne forklaringen er forståelig, slik at NAV klart forstår hvorfor all etterspurt data er nødvendig for forskningsprosjektet.

Hva skjer når du har fått godkjent utlevering av data basert på samtykke?

NAV må kunne dokumentere vårt behandlingsgrunnlag for å utlevere taushetsbelagte opplysninger, se personvernforordningen artikkel 7. Du må derfor sende inn de ferdig utfylte samtykkene. Etter at samtykkene er dokumentert, og vurdert å være gyldige, er det Statistikkseksjonen i Arbeids- og velferdsdirektoratet som utleverer dataene. I vår godkjenning vil det være nærmere forklart hvordan du skal gå fram for å ta kontakt med Statistikkseksjonen.

Hva gjør du om du ikke får utlevert data basert på samtykker?

En beslutning om å ikke levere ut taushetsbelagte opplysninger basert på et samtykke er ikke et enkeltvedtak, se forvaltningsloven § 2. Vår vurdering av at samtykkene ikke er gyldig til utlevering av opplysninger, kan derfor ikke påklages etter reglene i forvaltningsloven. Du kan eventuelt sende inn en søknad om dispensasjon fra taushetsplikten etter forvaltningsloven § 13 d, se her.