Fyrtårnprosjektet:
Statusoppdatering av aktiviteter

• Fikk svar fra PVO 25.04.2023
  

Tilbakemelding
RÅD FRA PERSONVERNOMBUDET I ANLEDNING PERSONVERNKONSEKVENSVURDERING FOR «Skader i Norge: analyse av data i Fyrtårnprosjektet»

Det er gjort en personvernkonsekvensvurdering for «Skader i Norge: analyse av
data i Fyrtårnprosjektet». Det følgende er et råd fra personvernombudet ved FHI
etter FHIs mal for personvernkonsekvensvurderinger. Rådet gis med grunnlag i
personvernforordningen artikkel 35 nr.2. Det presiseres at
personvernforordningen ikke legger en godkjennelsesmyndighet til
personvernombudet. Det er likevel antatt at rådet fra personvernombudet bør
tillegges vekt ved en evt. godkjennelse av personvernkonsekvensvurderingen.

Personvernombudet har særlig sett på følgende forhold:

• Behandlingen av personopplysninger, herunder dataflyt
  
• Det rettslige grunnlag for behandlingen av personopplysninger
  
• De registrertes rettigheter
  
• Risikoanalyse og tiltak
  

Personvernombudets råd

Prosjektet er godt beskrevet når det gjelder hvordan de skal behandle
personopplysninger, med noen unntak. Personvernombudet tilrår at
personvernkonsekvensvurderingen godkjennes på følgende forutsetninger:

Generelt forutsettes det at behandlingen skjer i tråd med vedtak fra REK og
vedtak om utlevering fra dataeiere. Det mangler opplysninger om lagringstid i
eProtokoll, i henhold til vedtaket fra REK: «Prosjektet er godkjent frem til
31.12.2027. Etter prosjektslutt skal opplysningene oppbevares i fem år for
dokumentasjonshensyn. Enhver tilgang til prosjektdataene skal da være knyttet
til behovet for etterkontroll. Prosjektdata skal således ikke være tilgjengelig
for prosjektet. Prosjektleder og forskningsansvarlig institusjon er ansvarlig
for at opplysningene oppbevares indirekte personidentifiserbart i denne
perioden, dvs. atskilt i en nøkkel- og en datafil. Etter disse fem årene skal
data slettes eller anonymiseres. Vi gjør oppmerksom på at anonymisering kan være
mer omfattende enn å kun slette koblingsnøkkelen, jf. Datatilsynets veileder om
anonymiserings-teknikker.»

I henhold til krav fra SSB og øvrige personvernkrav skal institusjonen ha en
oppdatert liste over personer som skal ha tilgang til datasettet. Det
forutsettes at listen under «Følgende prosjektmedarbeidere vil ha tilgang til
personopplysninger (navn/institusjon):» i eProtokoll til en hver tid er
oppdatert.

Det er oppgitt at det skal benyttes ca. 20 variabler fra politiets database over
trafikkulukker med personskade. Samtidig er det opplyst at prosjektet får
tilgang til data fra SSB. Det må klargjøres om det kun er SSB-data prosjektet
skal benytte, eller om de også skal søkes politidirektoratet om utlevering av
data /fritak for taushetsplikten som følger av politiregisterloven § 23, jf.
politiregisterloven § 33. Det forutsettes at det er eller blir innhentet
dispenasjon for uttrekk av slike opplysninger. REK har ikke myndighet til å
frita for taushetsplikten for denne typen data. Informasjon om prosjektet på
fhi.no bør informere om alle kildene det blir hentet data fra. Evt. vedtak om
utlevering av data fra SSB og politidirektoratet må vedlegges eProtokoll, med
orientering til godkjenner og personvernombudet når det foreligger.

Lykke til med prosjektet!

Med vennlig hilsen
Kjersti Haugan
Personvernombud (sign.)

Søknaden kan leses her https://eprotokoll.ihelse.net/form/3618/706E027670DD1E53

Ta kontakt med FAS for å legge endringene foreslått av PVO. Referer mail fra Siri Vatne i FAS 25.04.2023

Jeg gjenåpner skjema for dere, så retter dere bare opp i de aktuelle feltene og
sender det inn igjen. Vi sender da en PDF av det endelige skjema, som dere igjen
sender til godkjenning hos godkjenner. Den samme PDF’en kan dere sende som
vedlegg når dere søker om data hos registrene.

Videre kommunikasjon fra Eyvind og avklaring fra FAS 05.05.2023 er følgende:

1. PVO etterlyser informasjon om lagringstid i eProtokoll. Regner med at dette skal beskrives (helt til slutt) i tekstboksen «Gi en systematisk beskrivelse av databehandlingen i prosjektet» under fanen «Databehandling»? Ja, det kan du gjøre. OK, men hva er det konkret vi skal beskrive her? Regner med at vi ikke skal lime inn teksten fra REK-vedtaket her, men holder det å angi antall år data skal lagres (ut 2027, og deretter for ytterligere 5 år av dokumentasjonshensyn), eller ønsker PVO at vi beskriver hvordan denne lagringen skal gjøres (teknisk/organisatorisk)? I så fall, hva er standard praksis for forskningsprosjekter ved FHI for de 5 «REK-årene» der data ikke skal være tilgjengelige for prosjektet (der TSD ikke brukes)? Vil våre tilganger til forskningsmappen slettes (men hvem har da tilgang)? Lagres de i en egen/ny mappe på F som vi ikke har tilgang til? Eller i sikker sone? Det holder med lagringstid (31.12.2032). Selve sluttdatoen er allerede registrert. Trenger ikke skrive noe om det tekniske, da de lagres samme sted som de behandles. For forskningsfilmapper vil tilgang stenges, men med mulighet for gjenåpning dersom det er behov for det (kontrollhensyn).
   

1. Når det gjelder politiets database over trafikkulykker med personskade ønsker PVO en klargjøring av om det også må søkes Politidirektoratet om dispensasjon fra taushetsplikt for disse data. Vi har bedt SSB om en avklaring på dette. De bekrefter at disse data utleveres som SSB-data, og med dette er dispensasjon fra taushetsplikt oppfylt. I påvente av et vedtaksbrev fra SSB når vi etter hvert skal søke om data (som vi da vil vedlegge eProtokoll, med orientering til godkjenner og PVO), holder det at vi forklarer dette i eProtokoll, eller må vi legge ved en skriftlig bekreftelse fra SSB på denne avklaringen? Og hvor i eProtokoll skal dette beskrives? Jeg tenker at det holder med at dette er presisert i eProtokoll (hvor da?) Under «Gi en systematisk beskrivelse av databehandlingen i prosjektet»), og når dere får vedtaksbrev fra SSB, så holder det å arkivere dette i p360 samtidig som du orienterer godkjenner og PVO. Dere kan nevne denne avklaringen i kommentarfeltet i p360 ved oversendelse til godkjenne (OK, men kun når vedtaksbrevet kommer, eller også når vi oversender til godkjenner første gang?). Når vedtaksbrevet kommer. Bare send inn skjema med det samme de to små klargjøringen er lagt inn, så er den klar for godkjenning.
   

1. Hvordan synliggjør vi at kommentarene fra PVO er innarbeidet i eProtokoll? Tidligere var det en boks hvor vi gjorde rede for tilpasningene som ble gjort etter uttalelse fra PVO, men er det en slik boks i eProtokoll? Eller skal dette lastes opp som eget vedlegg? Dere kan bare skrive at innspill til PVO er tatt til etterretning (OK, men hvor skal vi skrive det? Ett eller annet sted i eProtokoll? Eller i e-posten til godkjenner, ev. i kommentarfeltet i p360?) og at dere har endret teksten i de relevante feltene (som i dette tilfellet er under «Gi en systematisk beskrivelse av databehandlingen i prosjektet»). Dere skriver kommentarene i p360. Det er et felt der hvor dere legger inn kommentar til godkjenner (dette får du oppskrift på når vi oversender PDF’en av skjemaet).
   

Vi har sendt revidert søknaden som kan leses her

DPIA er sendt til godkjenner via P360. Arbeidsbeskrivelse for arkivering til
senere referanse finnes her Arkivering og godkjenning av DPIA i P360.

DPIA er godkjent.

• FHI sender søknad om utlevering av data (omfatter både aktivitetsdata
  somatikk og FMDS). Søknaden vil gjelde for første utlevering samt rullerende
  datautleveringer i løpet av prosjektperioden. Link til søknaden er her. Søknaden sendes via Altinn (avklart med Magnus K. Wass).
  
• Hdir fatter vedtak som også vil dekke rullerende datautleveringer.
  
• Søknadstiden vil være 30 – 60 dager fra en fullstendig søknad er mottatt.
  
• Variabler og kodeverk finnes hos helsedata.no
  

• Data vil bli utlevert tertialvis. Dette gjelder både for aktivitetsdata somatikk og data fra FMDS.
  
• Aktivitetsdata somatikk kan utleveres når Helsedirektoratet selv har
  publisert disse, jf. Statistikkalenderen. Sjekk dato for publisering av
  aktuelle datagrunnlag i statistikkalender.
  
• Tentative publiseringsdatoer for aktivitetsdata somatikk er mars (tall for
  hele året før, inkl. tredje tertial), juni (første tertial gjeldende år) og
  oktober (andre tertial gjeldende år).
  
• Data fra FMDS vil utleveres samtidig med aktivitetsdata somatikk, dvs. hvert tertial.
  
• De rullerende datautleveringene vil få en fast saksbehandler og vil bli prioritert.
  
• Saksbehandlingstiden er 3-4 uker. FHI fyller ut søknadsskjema i
  https://www.altinn.no 3-4 uker før ønsket leveringstidspunkt og henvise til
  Helsedirektoratets saksnummer.
  

Liste over variabler som skal søkes fra Skade og Somatikk data i NPR finnes her

OBS! Søknaden må nå sendes via helsedata.no og ikke via Altinn.
Tidligere søknad var sendt via Altinn den 6.6.2023. Referansenummer i Altinn: AR555116241.

• Søknaden er sendt via helsedata.no 29.06.2023. Saksnummeret er H-337.
  
• Kommunikasjoner og relaterte dokumenter finnes i denne mappen.
  
• Fikk tilbakemelding 08.08.2023 om å revurdere variablene. Se svaret.
  
• Fikk faktura fra Helsedataservice kr 23 240,63 som er betalt med prosjekt 27021 (Fyrtårn).
  

• Fikk bekreftelse om mottatt kopi av vedtak om tilgjengeliggjøring av
  opplysninger fra Helsedataservice og søknaden 10.11.23. Se e-post
  
• Saknummer:
  
  • NPR: 23/31310
    
  • KPR: 23/48146
    
• Sendt epost om avklaring at det ikke skal medføre kostnader for utlevering av
  data (se referat fra møte i koordineringsgruppen)
  
• Avklart med Hdir at datautleveringen vil ikke medføre kostnader (e-post)
  
• Kontaktperson hos Avd. Registerkvalitet (gamle Hdir) er Thomas N. Heyeraas
  
• Det har vært frem-og-tilbake angående søknad som skal gjøres igjen via Altinn (brev), men nå må det gjøres via HDS likevel (brev)
  
• Signe Ringdal Bergan ba om å snakke med deres jurister angående søknaden (brev) og hun skal avtale et møte.
  

• Kodebok er her eller som Excel fil
  
• Dataene ligger i forskningsmappe F:\Forskningsprosjekter\PDB 3327 - Skader i Norge analy_
  
• Mappe ../Data/01_raw inneholder raw data sortert på dato de er mottatt.
  Følgebrev finnes også i samme mappen.
  

• Ingen pulsering for indikatorer for 2023 siden Hdir har publisert rapporten for 2023 inkludert data for FMDS. Rapporten finnes her