Hovedguide

Behandlingsgrundlag for forskning efter GDPR: samtykke, opgave i samfundets interesse og garantier efter artikel 89

Valget af behandlingsgrundlag er den første databeskyttelsesbeslutning i ethvert forskningsprojekt, og det er den, der oftest blandes sammen med forskningsetik. Denne guide forklarer, hvordan samtykke efter GDPR adskiller sig fra forskningsetisk informeret samtykke, hvornår universiteter bruger opgave i samfundets interesse (artikel 6, stk. 1, litra e), hvordan artikel 9, stk. 2, litra j, og artikel 89 fungerer for særlige kategorier af oplysninger, hvordan national ret i otte europæiske lande udfylder hullerne, og hvad det betyder for genbrug af data, data fra sociale medier, optagelser og AI-værktøjer. Den slutter med en beslutningstabel og en tjekliste.

Udgivet 9. oktober 2026 · Kilder kontrolleret 9. oktober 2026

Findes også på: English · Svenska · Nederlands · Norsk · Suomi · Français · Español · Português

Kort fortalt

Forskningsetisk informeret samtykke og samtykke efter GDPR er to forskellige ting. Det har EDPB sagt siden 2019, og en underskrevet samtykkeerklæring gør ikke i sig selv samtykke til behandlingsgrundlaget.
Mange offentlige universiteter bruger opgave i samfundets interesse, artikel 6, stk. 1, litra e, til forskning. Grundlaget skal fremgå af EU-retten eller national ret (art. 6, stk. 3), som regel den lov, der giver universitetet dets forskningsopgave. Offentlige myndigheder kan ikke bruge legitim interesse til deres opgaver.
Særlige kategorier af oplysninger (helbred, etnisk oprindelse, politisk overbevisning m.fl.) kræver også en undtagelse i artikel 9. Ved forskning er det som regel artikel 9, stk. 2, litra j, der kun virker gennem national ret eller EU-ret, eller udtrykkeligt samtykke efter artikel 9, stk. 2, litra a.
Ethvert behandlingsgrundlag for forskning følges af garantier efter artikel 89, stk. 1: dataminimering, pseudonymisering hvor det er muligt og anonymiserede data, hvis forskningen kan gennemføres uden identifikation.
National ret varierer meget. Nederlandene forventer udtrykkeligt samtykke til forskning med særlige kategorier af oplysninger, medmindre det er umuligt eller uforholdsmæssigt at spørge; Irland kræver udtrykkeligt samtykke til sundhedsforskning; Danmark og Norge tillader forskning uden samtykke på visse betingelser.
EDPB's retningslinjer 1/2026 om videnskabelig forskning er pr. 9. oktober 2026 stadig et høringsudkast. Vi bruger dem som den bedste tilgængelige vejledning på EU-niveau og markerer, hvor de kan blive ændret.

Indhold

Hvorfor behandlingsgrundlaget betyder så meget i forskning
Samtykke efter GDPR er ikke forskningsetisk samtykke
Mulighederne i artikel 6 ved forskning
Opgave i samfundets interesse og national ret: otte lande
Hvad universiteterne faktisk gør
Særlige kategorier og artikel 9, stk. 2, litra j
Garantier efter artikel 89, stk. 1
Undtagelser fra de registreredes rettigheder
Viderebehandling og genbrug af data
Bredt og dynamisk samtykke
Sociale medier, optagelser, transskriptioner og AI-værktøjer
Hvad oplysningerne til forsøgspersonerne skal indeholde
Beslutningstabel
Kommende ændringer, der er værd at følge
Tjekliste
Kilder
Om denne side

1. Hvorfor betyder behandlingsgrundlaget så meget i forskning?

Behandlingsgrundlaget afgør, hvilke rettigheder forsøgspersonerne har, hvad der sker, når nogen trækker sig, om data kan genbruges i senere projekter, og hvad oplysningerne til forsøgspersonerne skal indeholde. Det skal vælges, før behandlingen begynder, og kan ikke bare udskiftes senere. I forskning bliver valget mere kompliceret af, at de forskningsetiske regler også bruger ordet »samtykke« om noget andet.

GDPR artikel 6, stk. 1, indeholder seks behandlingsgrundlag; fire af dem er relevante for forskning: samtykke (litra a), retlig forpligtelse (litra c), opgave i samfundets interesse (litra e) og legitim interesse (litra f). Særlige kategorier af oplysninger kræver desuden en undtagelse i artikel 9, stk. 2. Begge valg indgår i forordningens forskningsregler: artikel 5, stk. 1, litra b, om viderebehandling, artikel 5, stk. 1, litra e, om opbevaring og artikel 89 om garantier og undtagelser.

Ifølge betragtning 159 bør behandling til videnskabelige forskningsformål fortolkes bredt. EDPB er mere forsigtig. I sine retningslinjer om samtykke skriver EDPB, at begrebet »may not be stretched beyond its common meaning« (ikke må strækkes ud over sin almindelige betydning), og henviser til forskning, der gennemføres efter fagområdets metodiske og etiske standarder (retningslinjer 05/2020, punkt 153). Udkastet til retningslinjer om forskning fra 2026 tilføjer seks vejledende faktorer, først og fremmest en »methodical and systematic approach« (metodisk og systematisk tilgang) og »adherence to ethical standards« (overholdelse af etiske standarder).

2. Hvad er forskellen på samtykke efter GDPR og forskningsetisk informeret samtykke?

Forskningsetisk informeret samtykke beskytter personens værdighed og integritet: Ingen må inddrages i forskning uden at vide det og sige ja. Samtykke efter GDPR er et af seks behandlingsgrundlag for personoplysninger og har strenge betingelser: Det skal være frivilligt, specifikt, informeret, utvetydigt og kunne trækkes tilbage. Et studie kan kræve det første uden at bruge det andet som behandlingsgrundlag.

De europæiske organer har været konsekvente på dette punkt:

EDPB's udtalelse 3/2019 om kliniske forsøg: Informeret samtykke efter forordningen om kliniske forsøg »must not be confused with the notion of consent as a legal ground« (må ikke forveksles med samtykke som behandlingsgrundlag) efter GDPR (punkt 15). Ved en klar skævhed i magtforholdet er samtykket ikke frivilligt.
EDPB's retningslinjer 05/2020 om samtykke: Samtykke til brug af personoplysninger »should be distinguished from other consent requirements that serve as an ethical standard or procedural obligation« (bør holdes adskilt fra andre samtykkekrav, der fungerer som etisk standard eller proceduremæssig forpligtelse) (punkt 154). Det etiske samtykke »could be considered as an additional safeguard« (kan betragtes som en yderligere garanti).
EDPB's svar til Kommissionen om sundhedsforskning (2. februar 2021): Informeret samtykke til deltagelse »can and must be distinguished from explicit consent« (kan og skal holdes adskilt fra udtrykkeligt samtykke) som behandlingsgrundlag (punkt 5).
EDPS' foreløbige udtalelse om videnskabelig forskning (2020): Samtykke efter GDPR »differs conceptually and operationally from 'informed consent' of human participants in research« (adskiller sig begrebsmæssigt og praktisk fra forsøgspersoners »informerede samtykke«) (sammenfatning).
EDPB's udkast til retningslinjer 1/2026: Det etiske samtykke »is not required by the GDPR, but may be considered as an additional safeguard according to Article 89 GDPR« (kræves ikke af GDPR, men kan betragtes som en yderligere garanti efter artikel 89) (punkt 53). Indhentes begge på samme tid, skal anmodningen efter GDPR tydeligt kunne skelnes fra den anden (punkt 55).

De nationale myndigheder siger det samme. Den franske CNIL anbefaler, at erklæringen har to separate felter, når samtykke efter GDPR bruges, »l'une pour recueillir le consentement RGPD, l'autre pour participer à la recherche« (et til samtykke efter GDPR og et til deltagelse i forskningen), og bemærker, at forskning, der bygger på samfundets interesse, stadig kan kræve forsøgspersonernes accept af at deltage (CNIL). Den britiske Health Research Authority siger det i én sætning: »Consent to participation in research is not the same as consent as the legal basis for processing under data protection legislation« (samtykke til at deltage i forskning er ikke det samme som samtykke som behandlingsgrundlag efter databeskyttelseslovgivningen) (HRA).

Én kilde trækker i den anden retning. Kommissionens notat »Ethics and data protection« til Horizon Europe (5. juli 2021) beder om en samtykkeprocedure, der lever op til GDPR's standarder, når data indsamles direkte. Notatet er skrevet af et ekspertpanel og oplyser selv, at det »does not constitute official EU guidance« (ikke udgør officiel vejledning fra EU) (Kommissionen).

Validemics analyse Videnskabsetiske komitéer og databeskyttelsesrådgivere taler ofte forbi hinanden, fordi begge siger »samtykke«. En enkel løsning er at bruge forskellige ord i skabelonerne: »accept af at deltage« om det etiske krav og »samtykke til behandling af personoplysninger« kun der, hvor artikel 6, stk. 1, litra a, faktisk er grundlaget.

3. Hvilke behandlingsgrundlag i artikel 6 kan forskning bruge?

Forskning kan bygge på samtykke, opgave i samfundets interesse, legitim interesse og, for afgrænsede dele, retlig forpligtelse. Valget afhænger primært af, hvem der er dataansvarlig. I den vejledning, vi har læst, bruger offentlige universiteter for det meste opgave i samfundets interesse, mens private organisationer uden en lovfæstet forskningsopgave bruger legitim interesse eller samtykke.

Behandlingsgrundlag	Hvornår det passer til forskning	Vigtigste konsekvenser
Samtykke, art. 6, stk. 1, litra a	Veldefinerede studier, hvor personer kontaktes direkte og frit kan sige nej; visse biobank- og kohortestudier (bredt samtykke).	Skal være specifikt og dokumenteret. Samtykket kan altid trækkes tilbage; EDPB siger, at der er »no exemption to this requirement for scientific research« (ingen undtagelse fra dette krav for videnskabelig forskning) (05/2020, punkt 163). Retten til dataportabilitet gælder.
Opgave i samfundets interesse, art. 6, stk. 1, litra e	Forskning ved offentlige universiteter og andre organer, hvis forskningsopgave er fastlagt ved lov. EDPB kalder det »a legal basis of particular importance for scientific research« (et behandlingsgrundlag af særlig betydning for videnskabelig forskning) (udkast 1/2026, punkt 56).	Grundlaget skal fremgå af EU-retten eller national ret (art. 6, stk. 3). Retten til indsigelse gælder, men art. 21, stk. 6, begrænser den ved forskning i samfundets interesse. Forskningsetisk accept af at deltage kan stadig indhentes.
Legitim interesse, art. 6, stk. 1, litra f	Private forskningsinstitutter, virksomheder og fonde. Kan ikke bruges af offentlige myndigheder som led i udførelsen af deres opgaver (art. 6, stk. 1, sidste afsnit).	Kræver en dokumenteret interesseafvejning. Se vores skabelon til interesseafvejning (på engelsk).
Retlig forpligtelse, art. 6, stk. 1, litra c	Afgrænsede dele af behandlingen, som loven kræver, fx sikkerhedsindberetning i kliniske forsøg.	Dækker kun det, loven kræver.

Udkastet til retningslinjer 1/2026 bemærker også, at opgave i samfundets interesse »is not limited to public entities« (ikke er begrænset til offentlige organer): Private organer kan bruge grundlaget, »if the legal act covers their activities« (hvis retsakten omfatter deres aktiviteter) (punkt 58). Om et bestemt universitet er en »offentlig myndighed«, afhænger også af national ret, hvilket har betydning for private universiteter i nogle lande.

4. Hvordan understøtter national ret forskning som opgave i samfundets interesse? Eksempler fra otte lande

Efter artikel 6, stk. 3, skal opgaven i samfundets interesse være fastlagt i EU-retten eller national ret. Loven behøver ikke at beskrive hvert projekt. Ifølge EDPB's udkast kan den give hjemmel til forskning »without necessarily specifying how the research is to be undertaken« (uden nødvendigvis at angive, hvordan forskningen skal gennemføres) (punkt 57). I praksis henviser universiteterne til deres universitetslov, og flere lande har forskningsbestemmelser i deres nationale databeskyttelseslove. Tabellen opsummerer de bestemmelser, vi læste den 9. oktober 2026.

Land	Bestemmelse	Hvad den betyder for forskning
Sverige	Högskolelag (1992:1434) 1 kap. 2 §; Dataskyddslag (2018:218) 2 kap. 2 §; Etikprövningslag (2003:460) 6 §	Universitetsloven giver universiteterne en forskningsopgave (nævnt i EDPB's udkast som eksempel på art. 6, stk. 1, litra e). Den svenske databeskyttelseslov tillader behandling efter art. 6, stk. 1, litra e, ved opgaver i samfundets interesse, der følger af lov. Forskning med følsomme oplysninger kræver en etisk godkendelse, der omfatter behandlingen (nævnt som eksempel på art. 9, stk. 2, litra j).
Norge	Personopplysningsloven §§ 8, 9 og 10	§ 8 tillader behandling efter art. 6, stk. 1, litra e, når det er nødvendigt til forskning, med garantier efter art. 89, stk. 1. § 9 tillader særlige kategorier af oplysninger uden samtykke, når »samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte« (samfundets interesse i behandlingen klart overstiger ulemperne for den enkelte), efter høring af databeskyttelsesrådgiveren, medmindre der er lavet en konsekvensanalyse. § 10 udvider pligten til at høre databeskyttelsesrådgiveren til forskning med særlige kategorier af oplysninger, der bygger på samtykke.
Finland	Tietosuojalaki (1050/2018) §§ 4, 6 og 31	§ 4, stk. 3, tillader behandling efter art. 6, stk. 1, litra e, når det er »tarpeen tieteellistä tai historiallista tutkimusta taikka tilastointia varten« (nødvendigt til videnskabelig eller historisk forskning eller statistik) og står i rimeligt forhold til formålet i samfundets interesse. § 6, stk. 1, nr. 7, ophæver forbuddet i art. 9, stk. 1, for forskning, med foranstaltninger efter § 6, stk. 2, fx pseudonymisering. § 31 tillader undtagelser fra art. 15, 16, 18 og 21, hvis der er en forskningsplan og en navngiven ansvarlig person eller gruppe, og oplysningerne kun bruges til forskning.
Danmark	Databeskyttelsesloven (LBK nr. 289/2024) § 10 og § 22, stk. 5	§ 10, stk. 1, tillader behandling af særlige kategorier af oplysninger og oplysninger om strafbare forhold, hvis det alene sker med henblik på at udføre »statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning«, og hvis behandlingen er nødvendig for disse undersøgelser. Oplysningerne må senere kun behandles til statistiske eller videnskabelige formål (§ 10, stk. 2). Visse videregivelser kræver forudgående tilladelse fra Datatilsynet (§ 10, stk. 3). § 22, stk. 5, fastslår, at art. 15, 16, 18 og 21 ikke gælder, når oplysningerne udelukkende behandles til videnskabelige eller statistiske formål.
Nederlandene	Uitvoeringswet AVG art. 24 og 44	Art. 24 ophæver forbuddet mod særlige kategorier af oplysninger ved forskning, men kun hvis forskningen tjener en almen interesse, behandlingen er nødvendig, »het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning kost« (det viser sig umuligt eller uforholdsmæssigt besværligt at bede om udtrykkeligt samtykke), og der er garantier for privatlivet. Art. 44 giver forskningsinstitutioner mulighed for at fravige art. 15, 16 og 18, hvis oplysningerne kun kan bruges til forskning eller statistik.
Frankrig	Loi Informatique et Libertés art. 44, nr. 6; Code de la recherche art. R322-2	CNIL siger, at opgaven i samfundets interesse »en premier lieu« (først og fremmest) gælder for offentlige myndigheder og organer, og forventer, at andre bruger legitim interesse. Følsomme oplysninger i offentlig forskning uden for sundhedsområdet kan behandles efter en udtalelse fra CNIL efter art. 44, nr. 6, når det er nødvendigt for offentlig forskning og begrundet i en vigtig samfundsinteresse (CNIL, 4. februar 2026). Sundhedsforskning følger særskilte regler. EDPB's udkast nævner Code de la recherche art. R322-2 som eksempel på art. 6, stk. 1, litra e.
Spanien	LOPDGDD (LO 3/2018), 17. tillægsbestemmelse	Ved sundhedsforskning kan samtykket omfatte »áreas generales vinculadas a una especialidad médica o investigadora« (generelle områder knyttet til et medicinsk eller forskningsmæssigt speciale). Genbrug til beslægtede områder er lovligt, når der er offentliggjort oplysninger, og en videnskabsetisk komité har afgivet en positiv udtalelse. Pseudonymiserede data må bruges, hvis der er teknisk og funktionel adskillelse fra dem, der har nøglerne til genidentifikation.
Portugal	Lei 58/2019, art. 31	Behandling til forskning skal respektere dataminimering og bruge anonymisering eller pseudonymisering, når formålet tillader det. Rettighederne i art. 15, 16, 18 og 21 begrænses i det omfang, det er nødvendigt. Samtykke til forskning »pode abranger diversas áreas de investigação« (kan omfatte flere forskningsområder), altid med respekt for anerkendte etiske standarder.

To nabolande uden for tabellen: I Irland fortæller Trinity College Dublin forskerne, at »explicit consent is required for any health research in Ireland« (udtrykkeligt samtykke kræves til al sundhedsforskning i Irland), hvilket afspejler de nationale regler for sundhedsforskning. I Storbritannien har UK GDPR samme opbygning, og HRA siger, at offentlige myndigheder, der udfører forskning, »will use 'task in the public interest' as their legal basis« (vil bruge opgave i samfundets interesse som behandlingsgrundlag).

Sammenfatningerne er selektive. De nationale love har flere betingelser og sektorregler (sundhed, registre, biobanker), og nogle ændres ofte: Den finske lov blev ændret i maj 2026 (380/2026). Læs hele bestemmelsen, og spørg jeres databeskyttelsesrådgiver, før I bygger på den.

5. Hvilket behandlingsgrundlag bruger europæiske universiteter i praksis?

Det meste af den vejledning fra universiteter, vi har læst, gør opgave i samfundets interesse til udgangspunktet for forskning og bevarer samtykke som et etisk krav. Detaljerne varierer fra land til land, især for særlige kategorier af oplysninger. Med universiteternes egne ord:

Institution	Hvad de siger	Holdning
Sikt (Norge, national tjeneste for forskningsdata)	»There has been a tradition in Norway for using consent as the legal basis when processing personal data in research.« (Der har i Norge været tradition for at bruge samtykke som behandlingsgrundlag ved behandling af personoplysninger i forskning.) Og: »In many projects, public interest will be a more appropriate basis for processing.« (I mange projekter vil samfundets interesse være et mere passende behandlingsgrundlag.)	Samtykke eller samfundets interesse; registerstudier, internetstudier og dokumentstudier typisk samfundets interesse.
Universitetet i Bergen (Norge)	»Consent to participation, however, is not the same as consent constituting the legal basis for processing personal data« (samtykke til deltagelse er dog ikke det samme som samtykke, der udgør behandlingsgrundlaget for personoplysninger)	Som hovedregel art. 6, stk. 1, litra e, sammen med personopplysningsloven § 8; § 9 for særlige kategorier.
Stockholms universitet (Sverige)	Samfundets interesse efter art. 6.1 e er »den vanligaste rättsliga grunden« (det mest almindelige retsgrundlag), med hjemmel i den lovfæstede opgave i universitetsloven.	Art. 6, stk. 1, litra e.
Lunds universitet (Sverige), skabelon til oplysning af forsøgspersoner	»Personal data are processed on the lawful ground of public interest.« (Personoplysninger behandles på grundlag af samfundets interesse.)	Art. 6, stk. 1, litra e, i standardskabelonen.
Helsingfors Universitet (Finland), FAQ fra forskningsdatastøtten	Om behandlingsgrundlaget og om at bede om samtykke til at deltage i et studie: »These are two independent issues and typically confused with each other.« (Det er to uafhængige spørgsmål, som typisk forveksles.)	Samfundets interesse bruges ofte; projekternes meddelelser afkrydser »task carried out in the public interest«.
Aarhus Universitet (Danmark)	»As the data controller, AU must decide which basis for processing to apply in the individual project.« (Som dataansvarlig skal AU beslutte, hvilket behandlingsgrundlag der skal bruges i det enkelte projekt.)	Art. 6, stk. 1, litra e, eller art. 9, stk. 2, litra j, med databeskyttelseslovens § 10, stk. 1; samtykke (art. 6, stk. 1, litra a, og art. 9, stk. 2, litra a) som alternativ.
Universiteit Utrecht (Nederlandene), Det Samfunds- og Adfærdsvidenskabelige Fakultet	Fakultetet »uses “public interest” as the primary legal basis for processing personal data in research« (bruger samfundets interesse som det primære behandlingsgrundlag for personoplysninger i forskning). For særlige kategorier: »Processing these variables as personal data still requires explicit consent.« (Behandling af disse variabler som personoplysninger kræver stadig udtrykkeligt samtykke.)	Samfundets interesse, med udtrykkeligt samtykke for særlige kategorier (i overensstemmelse med UAVG art. 24).
KU Leuven (Belgien), dokument med etiske cases	»KU Leuven neemt als uitgangspunt dat universitair onderzoek doorgaans wordt gevoerd in het algemeen belang.« (KU Leuven går ud fra, at universitetsforskning som regel udføres i samfundets interesse.)	Samfundets interesse; for GDPR-delen er det nok at oplyse forsøgspersonerne, men etisk samtykke kræves stadig.
Trinity College Dublin (Irland)	»In advance of any data collection, Researchers must inform participants of the legal basis under GDPR.« (Før nogen dataindsamling skal forskerne oplyse deltagerne om behandlingsgrundlaget efter GDPR.)	Art. 6, stk. 1, litra e, efter den irske universitetslov fra 1997; art. 9, stk. 2, litra j; udtrykkeligt samtykke til sundhedsforskning.
University of Edinburgh (Storbritannien)	Forskerne skal have etisk samtykke, men »you will not need to obtain consent for processing, sharing or storing the research data« (I behøver ikke at indhente samtykke til at behandle, dele eller opbevare forskningsdata).	»Public task« i de fleste tilfælde; art. 9, stk. 2, litra j, med garantier efter art. 89, stk. 1, for særlige kategorier.
University of Essex (Storbritannien)	»'research ethics consent' does not translate to 'consent' as a legal basis for processing personal data.« (forskningsetisk samtykke er ikke det samme som samtykke som behandlingsgrundlag for personoplysninger.)	Opgave i samfundets interesse; art. 9, stk. 2, litra j, for særlige kategorier.
Universidad de Granada (Spanien), fortegnelse over behandlingsaktiviteter	Angiver art. 6.1 e, »misión realizada en interés público« (opgave i samfundets interesse), sammen med art. 6.1 a og art. 9.2 j.	Samfundets interesse eller samtykke afhængigt af studiet; art. 9, stk. 2, litra j, for særlige kategorier.

Edinburghs privatlivsmeddelelse til forsøgspersoner gør også opdelingen synlig for deltagerne: Samtykke til at bruge personoplysninger »(which we rarely request) is separate from your ethical consent to participate« (som vi sjældent beder om, er adskilt fra dit etiske samtykke til at deltage) (Edinburgh).

Validemics analyse Mønstret er tydeligt i Norden, Belgien, Irland og Storbritannien. Nederlandene er den vigtigste undtagelse for særlige kategorier af oplysninger, fordi UAVG artikel 24 gør udtrykkeligt samtykke til udgangspunktet. Spanske og danske universiteter angiver ofte begge grundlag og lader projektet afgøre det. Fælles for dem alle er, at valget skal træffes for hvert projekt, og at forsøgspersonerne skal oplyses om det.

Er I i gang med at vurdere en leverandør? Validemic gennemgår leverandørens dokumenter i forhold til GDPR og AI-forordningen og angiver kilden til hver vurdering. Prøv demomiljøet

6. Hvilken undtagelse i artikel 9 gælder for særlige kategorier af oplysninger i forskning?

Særlige kategorier af oplysninger kræver en undtagelse i artikel 9, stk. 2, ud over behandlingsgrundlaget i artikel 6. Ved forskning er de realistiske muligheder udtrykkeligt samtykke (litra a), forskningsundtagelsen (litra j), oplysninger, som den registrerede tydeligt selv har offentliggjort (litra e), og væsentlig samfundsinteresse eller folkesundhed (litra g og i), hvor national ret eller EU-retten giver hjemmel.

Artikel 9, stk. 2, litra j, omfatter behandling, der er nødvendig til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, på grundlag af EU-retten eller medlemsstaternes nationale ret. Den lov skal stå i rimeligt forhold til formålet, respektere det væsentligste indhold af retten til databeskyttelse og sikre passende og specifikke foranstaltninger. EDPB's udkast tilføjer, at de dataansvarlige skal kunne påvise, at loven gælder for deres behandling, og at de opfylder dens betingelser (punkt 74). Udkastet nævner bl.a. den danske § 10, den finske § 6, stk. 1, nr. 7, den franske art. 44, nr. 6, den tyske BDSG § 27, stk. 1, og den svenske etikprøvningslov som eksempler, men bemærker, at »The EDPB has not reviewed nor analysed the laws referred to« (EDPB har hverken gennemgået eller analyseret de nævnte love).

Artikel 9, stk. 4, giver medlemsstaterne mulighed for at indføre yderligere betingelser for genetiske data, biometriske data og helbredsoplysninger, så et studie i flere lande kan kræve udtrykkeligt samtykke i ét land og slet ikke i et andet. For kliniske forsøg nævner EDPB's udtalelse 3/2019 opgave i samfundets interesse med artikel 9, stk. 2, litra i eller j, eller legitim interesse med artikel 9, stk. 2, litra j, som alternativer til samtykke.

7. Hvilke garantier kræver artikel 89, stk. 1?

Artikel 89, stk. 1, kræver fornødne garantier ved behandling til forskning, med tekniske og organisatoriske foranstaltninger, navnlig for at sikre overholdelse af princippet om dataminimering. Pseudonymisering nævnes som en mulig foranstaltning. Hvis forskningen kan gennemføres med data, der ikke længere identificerer personer, skal formålene opfyldes på den måde.

EDPB's retningslinjer om samtykke siger: »Anonymisation is the preferred solution as soon as the purpose of the research can be achieved without the processing of personal data« (anonymisering er den foretrukne løsning, så snart forskningens formål kan opnås uden behandling af personoplysninger) (punkt 160). Udkastet fra 2026 tilføjer en liste over yderligere garantier: uafhængigt eller etisk tilsyn, sikre behandlingsmiljøer, privatlivsfremmende teknologier, beskyttelsesforanstaltninger ved offentliggørelse og betingelser for videre anvendelse. EDPB's svar fra 2021 kobler også de to ting: Formodningen om forenelighed ved videre forskning »can only be used« (kan kun anvendes), hvis garantierne i artikel 89, stk. 1, overholdes (punkt 20).

I praksis er det disse garantier, databeskyttelsesrådgivere og videnskabsetiske komitéer kigger efter:

En datahåndteringsplan, der begrunder hver enkelt oplysning.
Pseudonymisering så tidligt som praktisk muligt, med nøglen opbevaret separat og begrænset adgang.
Anonymisering ved deling og offentliggørelse, hvor det er muligt.
Sikker opbevaring i universitetets godkendte tjenester; se vores guide om forskningsdata i cloudlagring (på engelsk).
En aftale efter artikel 28 med hver leverandør og, uden for EØS, et overførselsgrundlag. Vores guider om aftaler om datadeling og aftaler om fælles dataansvar (på engelsk) dækker samarbejdspartnere.
En konsekvensanalyse, hvor risikoen er høj (det norske Datatilsynet kræver ifølge Universitetet i Bergen en konsekvensanalyse ved forskning med særlige kategorier af oplysninger, der ikke bygger på samtykke). Vores screeningsværktøj til konsekvensanalyser og skabelon til konsekvensanalyse (begge på engelsk) kan hjælpe.
Opbevaringsregler, der angiver, hvor længe identificerbare data gemmes; se vores guide til slettepolitik (på engelsk).

8. Hvilke af de registreredes rettigheder kan begrænses ved forskning?

GDPR begrænser selv nogle rettigheder ved forskning, og artikel 89, stk. 2, giver EU-retten eller national ret mulighed for at fravige retten til indsigt, berigtigelse, begrænsning og indsigelse (art. 15, 16, 18 og 21), men kun hvis rettighederne sandsynligvis vil gøre det umuligt eller i alvorlig grad hindre forskningen, og undtagelsen er nødvendig.

Sletning: Artikel 17, stk. 3, litra d, udelukker retten til sletning, hvis den vil gøre forskningen umulig eller i alvorlig grad hindre den, med garantier efter artikel 89, stk. 1.
Indsigelse: Artikel 21, stk. 6, giver ret til indsigelse mod behandling til forskning, medmindre behandlingen er nødvendig for at udføre en opgave i samfundets interesse.
Oplysningspligt: Når oplysningerne ikke indsamles hos personen selv, giver artikel 14, stk. 5, litra b, en undtagelse, hvis det er umuligt eller kræver en uforholdsmæssig indsats, men den dataansvarlige skal beskytte personernes interesser, herunder ved at gøre oplysningerne offentligt tilgængelige. Aarhus Universitet offentliggør for eksempel en liste over forskningsprojekter, der bruger denne undtagelse. Der er ingen tilsvarende undtagelse i artikel 13 for oplysninger, der indsamles direkte.
Nationale undtagelser: se landetabellen i afsnit 4.
Tilbagetrækning af samtykke: Ingen af disse undtagelser gælder. Trækkes samtykket tilbage, siger EDPB, at den dataansvarlige »must in principle delete the personal data straight away« (i princippet straks skal slette personoplysningerne), hvis forskningen skal fortsætte (05/2020, punkt 163).

Vores guide om indsigtsanmodninger på universiteter (på engelsk) beskriver, hvordan anmodninger håndteres i praksis.

9. Må forskningsdata genbruges? Viderebehandling og sekundær anvendelse

Ja, ofte. Efter artikel 5, stk. 1, litra b, anses viderebehandling til videnskabelige forskningsformål i overensstemmelse med artikel 89, stk. 1, ikke for uforenelig med de oprindelige formål. Betragtning 50 siger, at sådan behandling bør betragtes som forenelig og lovlig. Men foreneligheden er ikke hele svaret: Den dataansvarlige skal stadig have et behandlingsgrundlag og, for særlige kategorier af oplysninger, en undtagelse i artikel 9.

EDPB's udkast 1/2026 siger, at forenelighedstesten i artikel 6, stk. 4, ikke er nødvendig ved videre forskning (punkt 19), men kontrollen af lovligheden består, og det er ikke altid muligt at bygge på det oprindelige grundlag, især ikke hvis det var samtykke (punkt 21 og 22). EDPB's svar fra 2021 tilføjer, at et hospital, der bruger artikel 9, stk. 2, litra h, til behandling af patienter, kan have brug for en anden undtagelse i artikel 9 for at bruge journalerne til forskning.

Typiske situationer med genbrug af data på universiteter:

Genbrug af data fra jeres eget tidligere projekt. Tjek, hvad forsøgspersonerne fik at vide, og om det oprindelige grundlag, især samtykke, dækker den nye anvendelse. Trinity College Dublin fortæller forskerne, at sekundær anvendelse formodes at være forenelig, »if the research is in the public interest« (hvis forskningen er i samfundets interesse), med garantier efter artikel 89, stk. 1.
Brug af en anden forskers eller et arkivs datasæt. I bliver ny dataansvarlig eller fælles dataansvarlig. I skal have jeres eget grundlag, en aftale om datadeling og som regel give oplysninger efter artikel 14.
Registerdata og administrative data. Nationale registerlove og de myndigheder, der giver tilladelser, fastsætter ofte vilkårene. I Danmark kræver visse videregivelser tilladelse fra Datatilsynet (§ 10, stk. 3).
Data om studerende og medarbejdere fra universitetets systemer. Forskning i universitetets egne studerende kræver omtanke på grund af det skæve magtforhold; se vores guide om læringsanalyse (på engelsk).

Fra 2029 tilføjer forordningen om det europæiske sundhedsdataområde, forordning (EU) 2025/327, en særskilt vej til sekundær anvendelse af elektroniske sundhedsdata gennem organer for adgang til sundhedsdata. Kapitel IV om sekundær anvendelse gælder fra 26. marts 2029 (EHDS-forordningen).

10. Er bredt samtykke tilladt efter GDPR?

Ja, inden for visse grænser. Ifølge betragtning 33 bør de registrerede kunne give samtykke til visse områder af videnskabelig forskning, når det er i overensstemmelse med anerkendte etiske standarder. EDPB læser det snævert: Det »does not disapply the obligations with regard to the requirement of specific consent« (ophæver ikke kravet om specifikt samtykke), og GDPR »cannot be interpreted to allow for a controller to navigate around the key principle of specifying purposes« (kan ikke fortolkes sådan, at en dataansvarlig kan omgå det grundlæggende princip om at angive formålene) (05/2020, punkt 156 og 158). For særlige kategorier af oplysninger får fleksibiliteten »a high degree of scrutiny« (en høj grad af kontrol) (punkt 157).

Udkastet fra 2026 beskriver to modeller. Bredt samtykke dækker fremtidige projekter inden for et afgrænset forskningsområde, og »it is not sufficient to only state that personal data will be used for scientific research purposes« (det er ikke tilstrækkeligt blot at angive, at personoplysninger vil blive brugt til videnskabelige forskningsformål) (punkt 44). Dynamisk samtykke spørger personerne igen, efterhånden som hvert projekt bliver kendt, hvilket EDPB kalder »often the appropriate way« (ofte den rette måde) i langvarige studier med jævnlig kontakt (punkt 52). Blandt de garantier, udkastet foreslår ved bredt samtykke, er en uafhængig dataforvalter, tidsbegrænset samtykke og uafhængigt tilsyn (punkt 48 og 49).

Spanien (for sundhedsforskning) og Portugal har skrevet bredt samtykke ind i deres nationale lovgivning. Validemics analyse Hvor national ret tillader det, undgår man problemerne med tilbagetrækning og specificitet ved bredt samtykke ved at kombinere accept af at deltage med opgave i samfundets interesse som behandlingsgrundlag efter GDPR.

11. Data fra sociale medier, optagelser, transskriptioner og AI-værktøjer

Offentlige opslag er stadig personoplysninger. Et universitet skal have et behandlingsgrundlag (for et offentligt universitet som regel opgave i samfundets interesse), og særlige kategorier af oplysninger i opslag er kun omfattet af artikel 9, stk. 2, litra e, hvis personen tydeligt selv har offentliggjort dem. EDPB's udkast siger, at de dataansvarlige skal kontrollere, at indholdet er lagt ud »following an active choice by the data subject« (efter et aktivt valg fra den registrerede), og se på platformens indstillinger (punkt 70). Et foto, som en ven har lagt ud, tæller ikke (punkt 71). I udkastets eksempel pseudonymiseres de indsamlede opslag, og brugerne oplyses efter artikel 14.

Kommissionens etiknotat tilføjer, at »It is not enough that the data be accessible« (det er ikke nok, at data er tilgængelige), og beder forskerne kontrollere platformens vilkår. Sikt nævner internetstudier som et typisk tilfælde for samfundets interesse.

Optagelser og transskriptioner af interview

En lyd- eller videooptagelse identificerer den, der taler, og interview indeholder ofte særlige kategorier af oplysninger (helbred, religion, politisk overbevisning) om deltageren eller tredjepersoner. Behandlingsgrundlaget er det samme som for studiet, men Kommissionens etiknotat beder om en særskilt samtykkeproces for »intrusive methods such as behavioural profiling, audio/video recording or geo-location tracking« (indgribende metoder som adfærdsprofilering, lyd- og videooptagelse eller sporing af geografisk placering). Sikt bemærker, at samtykke kan dokumenteres »on a sound recording« (på en lydoptagelse).

Validemics analyse Praktiske punkter:

Slet eller pseudonymisér optagelser, når transskriptionen er kontrolleret, medmindre der er en dokumenteret grund til at gemme dem.
Fjern navne og identificerende oplysninger om tredjepersoner fra transskriptionerne.
Behandl enhver transskriptionstjeneste som en databehandler, der kræver en databehandleraftale og en vurdering af overførsler. Sammenlign Otter.ai, Amberscript, Trint og muligheden for lokal transskription med Whisper.
Brug godkendte værktøjer til kvalitativ analyse; se vores faktaark om NVivo og ATLAS.ti.

AI-værktøjer i forskning

At uploade interviewdata til et generativt AI-værktøj er behandling. Det kræver studiets behandlingsgrundlag, skal passe med det, forsøgspersonerne har fået at vide, og udbyderen bliver databehandler (eller dataansvarlig, hvis den bruger oplysningerne til egne formål). Tjek brug til træning, hvor behandlingen sker, og om institutionens plan har en databehandleraftale. Vores guide om GDPR og AI-værktøjer i forskning gennemgår det i detaljer, og AI-værktøjer godkendt på europæiske universiteter (begge på engelsk) viser, hvad andre institutioner tillader.

12. Hvad skal oplysningerne til forsøgspersonerne sige om behandlingsgrundlaget?

Artikel 13, stk. 1, litra c, og artikel 14, stk. 1, litra c, kræver, at oplysningerne angiver formålene og behandlingsgrundlaget. Ved forskning betyder det, at grundlaget i artikel 6, undtagelsen i artikel 9 for særlige kategorier af oplysninger og den nationale lov, de bygger på, skal nævnes. Trinity College Dublins instruks er kort: Oplys deltagerne om behandlingsgrundlaget »In advance of any data collection« (før nogen dataindsamling).

Angiv grundlaget klart, fx: »Vi behandler dine oplysninger, fordi forskning er en opgave i samfundets interesse (GDPR artikel 6, stk. 1, litra e, jf. [national universitetslov]). Din accept af at deltage er et etisk krav og er ikke behandlingsgrundlaget.«
Er samtykke grundlaget, så forklar, hvordan man trækker det tilbage, og hvad der sker med de oplysninger, der allerede er indsamlet.
Er opgave i samfundets interesse grundlaget, så forklar retten til indsigelse og dens begrænsninger ved forskning.
Nævn de nationale undtagelser fra rettighederne, som I bruger.
Kan oplysningerne blive genbrugt i senere forskning, så skriv det, og beskriv garantierne.

Vores guide til oplysning af forsøgspersoner har en gratis Word-skabelon med denne formulering (på engelsk), og en finsk version findes som tietosuojaseloste-malli.

13. Beslutningstabel: hvilket behandlingsgrundlag i hvilken situation?

Validemics analyse Tabellen viser typiske valg på et offentligt universitet i EU/EØS. Den er et udgangspunkt for en samtale med databeskyttelsesrådgiveren, ikke en regel. National ret og det konkrete projekt kan ændre svaret.

Situation	Typisk grundlag i art. 6	Undtagelse for særlige kategorier	Bemærkninger
Interview eller spørgeskema med voksne, almindelige personoplysninger	Art. 6, stk. 1, litra e (opgave i samfundets interesse)	Ikke nødvendig	Indhent etisk accept af at deltage; oplysning efter art. 13; minimér og pseudonymisér.
Interview eller spørgeskema med helbred, etnisk oprindelse, religion eller politisk overbevisning	Art. 6, stk. 1, litra e	Art. 9, stk. 2, litra j, via national ret, eller art. 9, stk. 2, litra a (udtrykkeligt samtykke)	Nederlandene: udtrykkeligt samtykke, medmindre det er umuligt eller uforholdsmæssigt (UAVG art. 24). Norge: høring af databeskyttelsesrådgiveren eller konsekvensanalyse. Sverige: etisk godkendelse, der omfatter behandlingen.
Sundhedsforskning i Irland	Art. 6, stk. 1, litra e	Art. 9, stk. 2, litra a (udtrykkeligt samtykke) som nationalt krav	Tjek de nationale regler for sundhedsforskning og eventuelle muligheder for fritagelse.
Klinisk forsøg	Art. 6, stk. 1, litra e eller f; litra c for sikkerhedsindberetning	Art. 9, stk. 2, litra i eller j	Informeret samtykke efter forordningen om kliniske forsøg er ikke samtykke efter GDPR (EDPB's udtalelse 3/2019).
Registerdata eller administrative data uden kontakt med personerne	Art. 6, stk. 1, litra e	Art. 9, stk. 2, litra j	Art. 14, stk. 5, litra b, kan gælde, hvis oplysningerne gøres offentligt tilgængelige; der kræves tilladelser og aftaler om datadeling.
Biobank eller kohorte til fremtidig forskning	Art. 6, stk. 1, litra e, eller litra a (bredt samtykke)	Art. 9, stk. 2, litra j eller a	Bredt samtykke kræver afgrænsede områder og ekstra garantier; Spanien og Portugal regulerer det ved lov.
Genbrug af data fra jeres eget tidligere projekt	Samme grundlag som før, hvis det dækker den nye anvendelse	Tjek, at den oprindelige undtagelse stadig passer	Formodningen i art. 5, stk. 1, litra b, med garantier efter art. 89, stk. 1; tjek samtykkets rækkevidde.
Offentlige opslag på sociale medier	Art. 6, stk. 1, litra e (litra f for private organer)	Art. 9, stk. 2, litra e, kun hvis personen tydeligt selv har offentliggjort oplysningerne; ellers litra j	Tjek indstillinger og platformens vilkår; oplysning efter art. 14 eller dokumenteret undtagelse.
Forskning ved et privat institut eller en virksomhed	Art. 6, stk. 1, litra f eller a	Art. 9, stk. 2, litra j, hvis national ret omfatter private organer, eller litra a	Dokumentér interesseafvejningen; opgave i samfundets interesse kun hvis en lov omfatter aktiviteten.
Forskning i universitetets egne studerende eller medarbejdere	Art. 6, stk. 1, litra e	Som ovenfor	Det skæve magtforhold gør det svært at bygge på samtykke; Sikt nævner elever og deres lærere som eksempel.

14. Hvad er på vej? Kommende ændringer i EU og nationalt

EDPB's retningslinjer 1/2026 om videnskabelig forskning. Vedtaget den 15. april 2026 til offentlig høring, som løb til 25. juni 2026 (høringsside, pressemeddelelse). Den 9. oktober 2026 fandt vi ingen endelig version på EDPB's websted, og dagsordenen for plenarmødet den 17. september 2026 omfattede den ikke. Udkastet kan blive ændret.
Forslaget om en digital omnibus. Kommissionens forslag af 19. november 2025 vil indføre en definition af videnskabelig forskning i GDPR og omskrive artikel 5, stk. 1, litra b. Europa-Parlamentets sagsoversigt viser, at forslaget afventer udvalgsbehandling (procedure 2025/0360(COD)). Det er ikke gældende ret.
Det europæiske sundhedsdataområde. Forordning (EU) 2025/327 gælder fra 26. marts 2027, og kapitlet om sekundær anvendelse fra 26. marts 2029.
Sverige. En ændring af etikprøvningsloven (SFS 2026:1229), som ifølge riksdagen.se træder i kraft den 1. juli 2027, indfører en ny 6 a §, der lader visse former for forskning med følsomme oplysninger ske uden etisk prøvning, fx med samtykke fra en voksen deltager.

15. Tjekliste: valg og dokumentation af behandlingsgrundlaget

Bekræft, at aktiviteten er videnskabelig forskning (metodisk tilgang, etiske standarder), og hvem der er dataansvarlig.
Vælg grundlaget i artikel 6, før der indsamles data, og notér den nationale lov, det bygger på.
Indgår der særlige kategorier af oplysninger, så vælg undtagelsen i artikel 9, og tjek de nationale betingelser (etisk godkendelse, høring af databeskyttelsesrådgiveren, konsekvensanalyse, udtrykkeligt samtykke).
Hold den etiske accept af at deltage adskilt fra samtykke efter GDPR i erklæringer og formuleringer.
Er samtykke grundlaget: Gør det specifikt, dokumenteret og muligt at trække tilbage, og planlæg, hvad der sker ved tilbagetrækning.
Dokumentér garantierne efter artikel 89, stk. 1: minimering, pseudonymisering, adgangsstyring, opbevaring.
Gennemfør en screening for konsekvensanalyse, og lav en konsekvensanalyse, hvor det er nødvendigt.
Tjek hvert værktøj og hver leverandør (spørgeskema, transskription, lagring, AI) for databehandleraftale og garantier for overførsler.
Skriv oplysningerne til forsøgspersonerne med grundlag, undtagelse, rettigheder og eventuelle fravigelser.
Ved genbrug: Notér begrundelsen for foreneligheden og behandlingsgrundlaget for det nye projekt.
Tilføj behandlingen til fortegnelsen over behandlingsaktiviteter (skabelon til fortegnelse, på engelsk, eller vores danske skabelon til fortegnelse over behandlingsaktiviteter).

For det samlede billede af GDPR i undervisning, forskning og administration, se vores guide GDPR for universiteter og siden GDPR forklaret.

Kilder

Alle kilder er hentet 9. oktober 2026.

Forordning (EU) 2016/679 (databeskyttelsesforordningen), teksten i EU-Tidende, artikel 5, 6, 9, 13, 14, 17, 21 og 89 og betragtning 33, 50, 156, 157 og 159 (læst via Den Europæiske Unions Publikationskontor).
Det Europæiske Databeskyttelsesråd, Guidelines 05/2020 on consent under Regulation 2016/679, version 1.1, afsnit 7.2, punkt 153-165.
Det Europæiske Databeskyttelsesråd, Guidelines 1/2026 on processing of personal data for scientific research purposes, vedtaget 15. april 2026, version til offentlig høring, og høringssiden.
Det Europæiske Databeskyttelsesråd, Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research, 2. februar 2021.
Det Europæiske Databeskyttelsesråd, Opinion 3/2019 on the interplay between the Clinical Trials Regulation and the GDPR, 23. januar 2019.
Det Europæiske Databeskyttelsesråd, nyhedsoversigt (kontrolleret for endelig vedtagelse af retningslinjer 1/2026) og dagsorden for plenarmødet den 17. september 2026.
Den Europæiske Tilsynsførende for Databeskyttelse, A Preliminary Opinion on data protection and scientific research, 6. januar 2020.
Europa-Kommissionen (ekspertpanel), Ethics and data protection, 5. juli 2021.
Europa-Parlamentets lovgivningsobservatorium, procedure 2025/0360(COD), Digital Omnibus.
Forordning (EU) 2025/327 om det europæiske sundhedsdataområde, slutbestemmelserne om anvendelsesdatoer.
Sverige: Högskolelag (1992:1434), Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning og Lag (2003:460) om etikprövning av forskning som avser människor, riksdagen.se.
Norge: Personopplysningsloven (LOV-2018-06-15-38), §§ 8-10, lovdata.no.
Finland: Tietosuojalaki (1050/2018), konsolideret udgave inklusive ændring 380/2026, finlex.fi.
Danmark: Databeskyttelsesloven, LBK nr. 289 af 08/03/2024, retsinformation.dk.
Nederlandene: Uitvoeringswet Algemene verordening gegevensbescherming, artikel 24 og 44, wetten.overheid.nl.
Frankrig: CNIL, Recherche scientifique (hors santé) : quelle base légale pour un traitement de recherche ? (6. januar 2022) og Traitements de données à des fins de recherche scientifique (hors santé) : quand saisir la CNIL ? (4. februar 2026).
Spanien: Ley Orgánica 3/2018 (LOPDGDD), disposición adicional decimoséptima, boe.es.
Portugal: Lei n.º 58/2019, de 8 de agosto, artikel 31, konsolideret tekst på pgdlisboa.pt.
UK Health Research Authority, Legal basis for processing data.
Sikt, Legal bases for personal data processing in research.
Universitetet i Bergen, General principles for processing personal data in research.
Stockholms universitet, Personuppgiftsbehandling vid Stockholms universitet.
Lunds universitet, Template B: information on processing of personal data in research (Word, april 2026).
Helsingfors Universitet, RDM Advanced webinar series FAQ og Emplacing Heritage data protection notice.
Aarhus Universitet, Personal data in research at Aarhus University when we are the data controller og Research projects exempt from the duty to inform.
Universiteit Utrecht, Faculty of Social and Behavioural Sciences, Dealing with Consent in Scientific Research, 3. februar 2025.
KU Leuven / UZ Leuven, Onderzoek met minderjarigen: enkele cases.
Trinity College Dublin, Legal Basis for Research.
University of Edinburgh, Research and Data Protection Legislation (guidance for researchers) og Privacy notice for research participants.
University of Essex, Data Protection and research activity.
Universidad de Granada, Secretaría General, Producción investigadora (fortegnelse over behandlingsaktiviteter).

Om denne side

Kilderne er kontrolleret 9. oktober 2026. Vi har læst GDPR i udgaven i EU-Tidende, de dokumenter fra EDPB, EDPS og Kommissionen, der er nævnt ovenfor, de nationale love på deres officielle eller konsoliderede publiceringssteder og hver af de universitetssider, vi citerer. Citaterne er korte og gengivet, som siderne så ud på kontroldatoen. Citater på andre sprog end dansk gengives på originalsproget med en dansk oversættelse i parentes; oversættelserne er vores egne og ikke ordrette citater, og bestemmelser i forordningen er gengivet med egne ord. Vores egen fortolkning er markeret som Validemics analyse. EDPB's retningslinjer om forskning er et høringsudkast, og den digitale omnibus er et forslag; vi opdaterer siden, når et af dem ændrer sig. Siden er generel information og ikke juridisk rådgivning. National ret, sektorregler og jeres institutions egne retningslinjer kan stille yderligere krav, så bekræft behandlingsgrundlaget for hvert projekt med jeres databeskyttelsesrådgiver. Hvis du finder en fejl eller et forældet punkt, så kontakt os, så retter vi det.

Ofte stillede spørgsmål

Er samtykke behandlingsgrundlaget, når forsøgspersonerne underskriver en samtykkeerklæring?

Ikke automatisk. EDPB siger, at samtykke, der kræves af forskningsetikken eller forordningen om kliniske forsøg, skal holdes adskilt fra samtykke som behandlingsgrundlag efter GDPR. Mange offentlige universiteter behandler forskningsdata som en opgave i samfundets interesse (artikel 6, stk. 1, litra e) og ser den underskrevne erklæring som en etisk garanti. Oplysningerne til forsøgspersonerne skal angive, hvilket grundlag der faktisk bruges.

Hvilket behandlingsgrundlag er mest almindeligt for forskning på offentlige universiteter?

I de nordiske lande, Nederlandene, Belgien, Irland, Storbritannien og Spanien bruger mange offentlige universiteter opgave i samfundets interesse, artikel 6, stk. 1, litra e, med hjemmel i den lov, der giver dem en forskningsopgave. Samtykke bruges stadig, fx i nogle studier med særlige kategorier af oplysninger, eller hvor national ret kræver det. Den dataansvarlige skal vælge for hvert projekt og dokumentere valget.

Hvad er GDPR artikel 9, stk. 2, litra j?

Det er den undtagelse, der tillader behandling af særlige kategorier af oplysninger, fx helbredsoplysninger eller etnisk oprindelse, når det er nødvendigt til videnskabelig forskning i overensstemmelse med artikel 89, stk. 1. Den virker kun sammen med EU-ret eller national ret, der står i rimeligt forhold til formålet og sikrer passende garantier. Eksempler er databeskyttelseslovens § 10, den finske databeskyttelseslovs § 6 og den nederlandske UAVG artikel 24.

Hvilke garantier kræver GDPR artikel 89, stk. 1, ved forskning?

Passende tekniske og organisatoriske foranstaltninger, navnlig for at overholde princippet om dataminimering. Pseudonymisering nævnes som en mulig foranstaltning, og hvis forskningen kan gennemføres med data, der ikke længere identificerer personer, skal det ske på den måde. I praksis betyder det en datahåndteringsplan, pseudonymiseringsnøgler opbevaret separat, adgangsstyring, sikker opbevaring og begrænsninger ved offentliggørelse.

Må forskere genbruge personoplysninger fra et tidligere projekt?

Ofte ja. Artikel 5, stk. 1, litra b, fastslår, at viderebehandling til videnskabelige forskningsformål ikke anses for uforenelig med det oprindelige formål, når der er garantier efter artikel 89, stk. 1. Den dataansvarlige skal stadig have et lovligt behandlingsgrundlag og, for særlige kategorier af oplysninger, en undtagelse i artikel 9. Var det oprindelige grundlag samtykke, skal det kontrolleres, om samtykket dækker den nye anvendelse.

Kan en forsøgsperson trække sig fra et studie, der bygger på opgave i samfundets interesse?

Personen kan trække sig fra deltagelsen, og de forskningsetiske regler kræver normalt, at det er muligt. Efter GDPR gælder retten til indsigelse ved behandling som led i en opgave i samfundets interesse, men artikel 21, stk. 6, giver den dataansvarlige mulighed for at afvise indsigelsen, når forskningen er nødvendig for at udføre en opgave i samfundets interesse. Ved samtykke betyder tilbagetrækning, at oplysningerne i princippet skal slettes, hvis forskningen skal fortsætte.

Har EDPB vedtaget endelige retningslinjer om videnskabelig forskning?

Ikke pr. 9. oktober 2026. EDPB vedtog retningslinjer 1/2026 om behandling af personoplysninger til videnskabelige forskningsformål den 15. april 2026 som en version til offentlig høring. Høringen sluttede den 25. juni 2026. Vi fandt ingen endelig version på EDPB's websted på kontroldatoen, så teksten kan stadig blive ændret.

Må forskere bruge offentlige opslag på sociale medier uden samtykke?

Nogle gange, men offentligt tilgængeligt er ikke det samme som frit at bruge. Der kræves stadig et behandlingsgrundlag, og særlige kategorier af oplysninger i opslag er kun omfattet af artikel 9, stk. 2, litra e, hvis personen tydeligt selv har valgt at offentliggøre dem. Forskeren skal normalt oplyse personerne efter artikel 14 eller dokumentere, hvorfor en undtagelse gælder, og kontrollere platformens vilkår.