Behandlingsgrunnlag for forskning etter GDPR: samtykke, allmennhetens interesse og garantier etter artikkel 89

Valg av behandlingsgrunnlag er den første personvernbeslutningen i ethvert forskningsprosjekt, og den som oftest blandes sammen med forskningsetikk. Denne guiden forklarer hvordan samtykke etter GDPR skiller seg fra forskningsetisk informert samtykke, når universiteter og høyskoler bruker allmennhetens interesse (artikkel 6 nr. 1 bokstav e), hvordan artikkel 9 nr. 2 bokstav j og artikkel 89 virker for særlige kategorier personopplysninger, hvordan nasjonal rett i åtte europeiske land fyller hullene, og hva dette betyr for viderebruk, data fra sosiale medier, opptak og KI-verktøy. Guiden avsluttes med en beslutningstabell og en sjekkliste.

Publisert 9. oktober 2026 · Kilder kontrollert 9. oktober 2026

Finnes også på: English · Svenska · Nederlands · Suomi · Dansk · Français · Español · Português

1. Hvorfor er behandlingsgrunnlaget så viktig i forskning?

Behandlingsgrunnlaget avgjør hvilke rettigheter deltakerne har, hva som skjer når noen trekker seg, om opplysningene kan brukes i senere prosjekter, og hva personvernerklæringen må inneholde. Grunnlaget må velges før behandlingen starter, og kan ikke uten videre byttes ut senere. I forskning kompliseres valget av at forskningsetikken bruker ordet «samtykke» om noe annet.

GDPR artikkel 6 nr. 1 lister opp seks behandlingsgrunnlag; fire er relevante for forskning: samtykke (bokstav a), rettslig forpliktelse (bokstav c), allmennhetens interesse (bokstav e) og berettiget interesse (bokstav f). Særlige kategorier krever i tillegg et unntak i artikkel 9 nr. 2. Begge valgene inngår i forordningens regler for forskning: artikkel 5 nr. 1 bokstav b om videre behandling, artikkel 5 nr. 1 bokstav e om lagring og artikkel 89 om garantier og unntak.

Fortalepunkt 159 sier at behandling i forbindelse med vitenskapelig forskning «bør tolkes vidt». Personvernrådet er mer forsiktig. I retningslinjene om samtykke sier rådet at begrepet «may not be stretched beyond its common meaning» (ikke kan strekkes ut over sin vanlige betydning), og viser til forskning som er innrettet etter sektorens metodiske og etiske standarder (retningslinjer 05/2020, avsnitt 153). Utkastet til forskningsretningslinjer fra 2026 legger til seks veiledende momenter, med en «methodical and systematic approach» (metodisk og systematisk tilnærming) og «adherence to ethical standards» (etterlevelse av etiske standarder) som de første.

2. Hva er forskjellen på samtykke etter GDPR og forskningsetisk informert samtykke?

Forskningsetisk informert samtykke verner om personens verdighet og integritet: ingen skal inkluderes i forskning uten å vite om det og si ja. Samtykke etter GDPR er ett av seks rettslige grunnlag for å behandle personopplysninger, med strenge vilkår: frivillig, spesifikt, informert, utvetydig og mulig å trekke tilbake. En studie kan kreve det første uten å bruke det andre som behandlingsgrunnlag.

De europeiske organene har vært konsekvente på dette punktet:

• Personvernrådets uttalelse 3/2019 om kliniske utprøvinger: informert samtykke etter forordningen om kliniske utprøvinger «must not be confused with the notion of consent as a legal ground» (må ikke forveksles med samtykke som rettslig grunnlag) etter GDPR (avsnitt 15). En klar maktubalanse betyr at samtykket ikke er frivillig.
• Personvernrådets retningslinjer 05/2020 om samtykke: samtykke til bruk av personopplysninger «should be distinguished from other consent requirements that serve as an ethical standard or procedural obligation» (bør holdes atskilt fra andre krav om samtykke som er en etisk standard eller en prosessuell plikt) (avsnitt 154). Etisk samtykke «could be considered as an additional safeguard» (kan anses som en ekstra garanti).
• Personvernrådets svar til Kommisjonen om helseforskning (2. februar 2021): informert samtykke til deltakelse «can and must be distinguished from explicit consent» (kan og må holdes atskilt fra uttrykkelig samtykke) som behandlingsgrunnlag (avsnitt 5).
• EDPS' foreløpige uttalelse om vitenskapelig forskning (2020): samtykke etter GDPR «differs conceptually and operationally from 'informed consent' of human participants in research» (skiller seg begrepsmessig og praktisk fra informert samtykke fra forskningsdeltakere) (sammendrag).
• Personvernrådets utkast til retningslinjer 1/2026: etisk samtykke «is not required by the GDPR, but may be considered as an additional safeguard according to Article 89 GDPR» (kreves ikke av GDPR, men kan anses som en ekstra garanti etter artikkel 89) (avsnitt 53). Spør man om begge deler samtidig, må forespørselen etter GDPR være tydelig atskilt (avsnitt 55).

Nasjonale myndigheter sier det samme. Den franske tilsynsmyndigheten CNIL anbefaler at skjemaet, der samtykke etter GDPR brukes, har to atskilte avkrysningsbokser, «l'une pour recueillir le consentement RGPD, l'autre pour participer à la recherche» (én for samtykke etter GDPR, den andre for deltakelse i forskningen), og påpeker at forskning som bygger på allmennhetens interesse, likevel kan kreve at deltakerne sier ja til å delta (CNIL). Det britiske Health Research Authority sier det i én setning: «Consent to participation in research is not the same as consent as the legal basis for processing under data protection legislation» (samtykke til å delta i forskning er ikke det samme som samtykke som rettslig grunnlag for behandling etter personvernlovgivningen) (HRA).

Én kilde trekker i motsatt retning. Kommisjonens notat «Ethics and data protection» for Horisont Europa (5. juli 2021) ber om en samtykkeprosedyre som oppfyller kravene i GDPR når opplysningene samles inn direkte. Notatet er skrevet av et ekspertpanel og sier selv at det «does not constitute official EU guidance» (ikke er offisiell veiledning fra EU) (Kommisjonen).

Validemics analyse Etikkomiteer og personvernombud snakker ofte forbi hverandre fordi begge sier «samtykke». En enkel løsning er å bruke ulike ord i malene: «samtykke til å delta» eller «aksept av deltakelse» for det etiske kravet, og «samtykke til behandling av personopplysninger» bare der artikkel 6 nr. 1 bokstav a faktisk er grunnlaget.

3. Hvilke behandlingsgrunnlag i artikkel 6 kan forskning bruke?

Forskning kan bygge på samtykke, allmennhetens interesse, berettiget interesse og, for avgrensede deler, rettslig forpliktelse. Valget avhenger først og fremst av hvem som er behandlingsansvarlig. I veiledningene vi har lest, bruker offentlige universiteter for det meste allmennhetens interesse; private aktører uten et lovfestet forskningsoppdrag bruker berettiget interesse eller samtykke.

Utkastet til retningslinjer 1/2026 påpeker også at allmennhetens interesse «is not limited to public entities» (ikke er begrenset til offentlige organer): private aktører kan bruke grunnlaget «if the legal act covers their activities» (hvis rettsakten omfatter virksomheten deres) (avsnitt 58). Om et bestemt universitet er en «offentlig myndighet», avhenger også av nasjonal rett, noe som har betydning for private institusjoner i enkelte land.

4. Hvordan støtter nasjonal rett forskning i allmennhetens interesse? Eksempler fra åtte land

Artikkel 6 nr. 3 krever at oppgaven i allmennhetens interesse er fastsatt i unionsretten eller nasjonal rett. Loven trenger ikke å beskrive hvert prosjekt. Personvernrådets utkast sier at den kan gi adgang til forskning «without necessarily specifying how the research is to be undertaken» (uten nødvendigvis å angi hvordan forskningen skal gjennomføres) (avsnitt 57). I praksis viser institusjonene til loven om høyere utdanning, og flere land har forskningsbestemmelser i lovene som gjennomfører GDPR. Tabellen oppsummerer bestemmelsene vi leste 9. oktober 2026.

To naboer utenfor tabellen: I Irland sier Trinity College Dublin til forskerne at «explicit consent is required for any health research in Ireland» (uttrykkelig samtykke kreves for all helseforskning i Irland), i tråd med nasjonale regler for helseforskning. I Storbritannia har UK GDPR samme oppbygning, og HRA sier at offentlige myndigheter som driver forskning, «will use 'task in the public interest' as their legal basis» (vil bruke oppgave i allmennhetens interesse som behandlingsgrunnlag).

Disse sammendragene er et utvalg. Nasjonal rett har flere vilkår og sektorregler (helse, registre, biobanker), og noe endres ofte: den finske loven ble endret i mai 2026 (380/2026). Les hele bestemmelsen og rådfør dere med personvernombudet før dere bygger på den.

5. Hvilket behandlingsgrunnlag bruker europeiske universiteter i praksis?

De fleste veiledningene fra universiteter vi har lest, gjør allmennhetens interesse til hovedregelen for forskning og beholder samtykke som det etiske kravet. Detaljene varierer fra land til land, særlig for særlige kategorier. Med deres egne ord:

Edinburghs personvernerklæring for deltakere gjør også skillet synlig for deltakerne: samtykke til å bruke personopplysninger «(which we rarely request) is separate from your ethical consent to participate» (som vi sjelden ber om, er atskilt fra ditt etiske samtykke til å delta) (Edinburgh).

Validemics analyse Mønsteret er tydelig i Norden, Belgia, Irland og Storbritannia. Nederland er det viktigste unntaket for særlige kategorier, fordi UAVG artikkel 24 gjør uttrykkelig samtykke til utgangspunktet. Spanske og danske universiteter oppgir ofte begge grunnlagene og lar prosjektet avgjøre. Felles for alle er instruksen om å bestemme grunnlaget per prosjekt og informere deltakerne.

Vurderer du en leverandør akkurat nå? Validemic går gjennom leverandørens dokumenter opp mot GDPR og KI-forordningen og oppgir kilde for hver vurdering. Prøv demomiljøet

6. Hvilket unntak i artikkel 9 gjelder for særlige kategorier i forskning?

Særlige kategorier krever et unntak i artikkel 9 nr. 2 i tillegg til grunnlaget i artikkel 6. For forskning er de realistiske alternativene uttrykkelig samtykke (9 nr. 2 bokstav a), forskningsunntaket (9 nr. 2 bokstav j), opplysninger som personen åpenbart selv har offentliggjort (9 nr. 2 bokstav e), og viktige allmenne interesser eller folkehelse (9 nr. 2 bokstav g og i) der nasjonal rett eller EU-rett gir grunnlag for det.

Artikkel 9 nr. 2 bokstav j omfatter behandling som er «nødvendig for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 på grunnlag av unionsretten eller medlemsstatenes nasjonale rett». Loven må stå i et rimelig forhold til målet, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og «sikre egnede og særlige tiltak» for å verne den registrertes grunnleggende rettigheter og interesser. Personvernrådets utkast legger til at den behandlingsansvarlige bør kunne vise at loven gjelder for behandlingen, og at vilkårene er oppfylt (avsnitt 74). Utkastet nevner blant annet den danske § 10, den finske § 6 første ledd nr. 7, den franske art. 44 nr. 6, den tyske BDSG § 27 første ledd og den svenske etikprövningslagen som eksempler, men påpeker at «The EDPB has not reviewed nor analysed the laws referred to» (Personvernrådet har verken gjennomgått eller analysert lovene det vises til).

Artikkel 9 nr. 4 lar medlemsstatene innføre ytterligere vilkår for genetiske opplysninger, biometriske opplysninger og helseopplysninger, så en studie i flere land kan kreve uttrykkelig samtykke i ett land og ikke i et annet. For kliniske utprøvinger nevner Personvernrådets uttalelse 3/2019 allmennhetens interesse med artikkel 9 nr. 2 bokstav i eller j, eller berettiget interesse med artikkel 9 nr. 2 bokstav j, som alternativer til samtykke.

7. Hvilke garantier krever artikkel 89 nr. 1?

Artikkel 89 nr. 1 krever nødvendige garantier for behandling i forskning, med tekniske og organisatoriske tiltak «for særlig å sikre at prinsippet om dataminimering overholdes». Pseudonymisering nevnes som ett mulig tiltak. Der forskningen kan gjennomføres med opplysninger som ikke lenger identifiserer personer, «skal formålene oppfylles på denne måten».

Personvernrådets retningslinjer om samtykke sier: «Anonymisation is the preferred solution as soon as the purpose of the research can be achieved without the processing of personal data» (anonymisering er den foretrukne løsningen så snart forskningsformålet kan oppnås uten behandling av personopplysninger) (avsnitt 160). Utkastet fra 2026 legger til en liste over flere garantier: uavhengig eller etisk tilsyn, sikre behandlingsmiljøer, personvernfremmende teknologier, beskyttelsestiltak ved publisering og vilkår for videre bruk. Personvernrådets svar fra 2021 kobler også de to sammen: formodningen om forenlighet ved videre forskning «can only be used» (kan bare brukes) hvis garantiene i artikkel 89 nr. 1 er oppfylt (avsnitt 20).

I praksis ser personvernombud og etikkomiteer etter disse garantiene:

1. En datahåndteringsplan som begrunner hver opplysning.
2. Pseudonymisering så tidlig som praktisk mulig, med koblingsnøkkelen oppbevart atskilt og begrenset tilgang.
3. Anonymisering ved deling og publisering der det er mulig.
4. Sikker lagring i godkjente tjenester ved institusjonen; se vår guide om forskningsdata i skylagring (på engelsk).
5. En avtale etter artikkel 28 med hver leverandør og, utenfor EØS, et overføringsgrunnlag. Våre guider om avtaler om deling av data og avtaler om felles behandlingsansvar (på engelsk) dekker samarbeidspartnere.
6. En DPIA der risikoen er høy (Datatilsynet krever en DPIA for forskning på særlige kategorier som ikke bygger på samtykke, ifølge Universitetet i Bergen). Vårt verktøy for DPIA-screening og vår DPIA-mal hjelper, og vi har også en DPIA-mal på norsk.
7. Regler for lagringstid som angir hvor lenge identifiserbare opplysninger oppbevares; se vår guide om bevaringsplaner (på engelsk).

8. Hvilke rettigheter for de registrerte kan begrenses ved forskning?

GDPR begrenser selv noen rettigheter ved forskning, og artikkel 89 nr. 2 lar EU-retten eller nasjonal rett gi unntak fra retten til innsyn, retting, begrensning og protest (art. 15, 16, 18 og 21), men bare i den grad det er sannsynlig at rettighetene «vil gjøre det umulig eller i alvorlig grad vil hindre» oppfyllelsen av formålene med forskningen, og unntaket er nødvendig.

• Sletting: Artikkel 17 nr. 3 bokstav d gjør unntak fra retten til sletting der den ville gjøre forskningen umulig eller i alvorlig grad hindre den, med garantier etter artikkel 89 nr. 1.
• Protest: Artikkel 21 nr. 6 gir rett til å protestere mot behandling for forskning, «med mindre behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse».
• Informasjon: Der opplysningene ikke er samlet inn fra personen selv, gir artikkel 14 nr. 5 bokstav b et unntak når det er umulig eller vil kreve uforholdsmessig stor innsats, men den behandlingsansvarlige må verne personenes interesser, «herunder gjøre informasjonen offentlig tilgjengelig». Aarhus Universitet publiserer for eksempel en liste over forskningsprosjekter som bruker dette unntaket. Artikkel 13 har ikke noe tilsvarende unntak for opplysninger som samles inn direkte.
• Nasjonale unntak: se landtabellen i del 4.
• Tilbaketrekking av samtykke: ingen av disse unntakene gjelder. Trekkes samtykket tilbake, sier Personvernrådet at den behandlingsansvarlige «must in principle delete the personal data straight away» (i prinsippet må slette personopplysningene straks) hvis forskningen skal fortsette (05/2020, avsnitt 163).

Vår guide til innsynsbegjæringer ved universiteter (på engelsk) viser hvordan forespørsler håndteres i praksis.

9. Kan forskningsdata brukes på nytt? Videre behandling og viderebruk

Ja, ofte. Artikkel 5 nr. 1 bokstav b sier at viderebehandling for formål knyttet til vitenskapelig forskning «skal, i samsvar med artikkel 89 nr. 1, ikke anses som uforenlig med de opprinnelige formålene». Fortalepunkt 50 sier at slik viderebehandling «bør anses som forenlige og lovlige behandlingsaktiviteter». Men forenlighet er ikke hele svaret: den behandlingsansvarlige trenger fortsatt et behandlingsgrunnlag og, for særlige kategorier, et unntak i artikkel 9.

Personvernrådets utkast 1/2026 sier at forenlighetsvurderingen i artikkel 6 nr. 4 ikke er nødvendig ved videre forskning (avsnitt 19), men kravet om behandlingsgrunnlag gjelder fortsatt, og det er ikke alltid mulig å bygge på det opprinnelige grunnlaget, særlig ikke hvis det var samtykke (avsnitt 21 og 22). Personvernrådets svar fra 2021 legger til at et sykehus som bygger på artikkel 9 nr. 2 bokstav h for behandling av pasienter, kan trenge et annet unntak i artikkel 9 for å bruke journalene i forskning.

Vanlige situasjoner med viderebruk ved universiteter og høyskoler:

• Viderebruk av opplysninger fra eget tidligere prosjekt. Sjekk hva deltakerne fikk vite, og om det opprinnelige grunnlaget, særlig samtykke, dekker den nye bruken. Trinity College Dublin sier til forskerne at viderebruk antas å være forenlig «if the research is in the public interest» (hvis forskningen er i allmennhetens interesse), med garantier etter artikkel 89 nr. 1.
• Bruk av et datasett fra en annen forsker eller et arkiv. Dere blir en ny behandlingsansvarlig eller felles behandlingsansvarlig. Dere trenger eget behandlingsgrunnlag, en avtale om deling av data og som regel informasjon etter artikkel 14.
• Registerdata og administrative data. Nasjonale registerlover og tillatelsesmyndigheter fastsetter ofte vilkårene. Danmark krever tillatelse fra Datatilsynet for enkelte utleveringer (§ 10 stk. 3).
• Opplysninger om studenter og ansatte fra institusjonens egne systemer. Forskning på egne studenter krever varsomhet på grunn av maktubalansen; se vår guide om læringsanalyse (på engelsk).

Fra 2029 vil forordningen om det europeiske helsedataområdet (EHDS), forordning (EU) 2025/327, gi en egen vei for viderebruk av elektroniske helseopplysninger gjennom tilgangsorganer for helsedata. Kapittel IV om viderebruk gjelder fra 26. mars 2029 (EHDS-forordningen).

10. Er bredt samtykke tillatt etter GDPR?

Ja, innenfor visse grenser. Fortalepunkt 33 sier at de registrerte «bør derfor kunne gi sitt samtykke til visse områder innen vitenskapelig forskning når dette er i samsvar med anerkjente etiske standarder for vitenskapelig forskning». Personvernrådet tolker dette snevert: det «does not disapply the obligations with regard to the requirement of specific consent» (opphever ikke kravet om spesifikt samtykke), og GDPR «cannot be interpreted to allow for a controller to navigate around the key principle of specifying purposes» (kan ikke tolkes slik at den behandlingsansvarlige kan omgå det sentrale prinsippet om å angi formål) (05/2020, avsnitt 156 og 158). For særlige kategorier møtes fleksibiliteten med «a high degree of scrutiny» (en streng kontroll) (avsnitt 157).

Utkastet fra 2026 beskriver to modeller. Bredt samtykke omfatter fremtidige prosjekter innenfor et avgrenset forskningsområde, og «it is not sufficient to only state that personal data will be used for scientific research purposes» (det er ikke tilstrekkelig bare å si at personopplysningene skal brukes til vitenskapelig forskning) (avsnitt 44). Dynamisk samtykke innebærer at personene spørres på nytt etter hvert som hvert prosjekt blir kjent, noe Personvernrådet kaller «often the appropriate way» (ofte den riktige fremgangsmåten) i langvarige studier med jevnlig kontakt (avsnitt 52). Garantier rådet foreslår for bredt samtykke, er blant annet en uavhengig dataforvalter, tidsbegrenset samtykke og uavhengig tilsyn (avsnitt 48 og 49).

Spania (for helseforskning) og Portugal har tatt bredt samtykke inn i nasjonal lov. Validemics analyse Der nasjonal rett tillater det, unngår man problemene med tilbaketrekking og spesifisitet ved bredt samtykke ved å kombinere samtykke til å delta med allmennhetens interesse som behandlingsgrunnlag etter GDPR.

11. Data fra sosiale medier, opptak, transkripsjoner og KI-verktøy

Data fra sosiale medier

Offentlige innlegg er fortsatt personopplysninger. Institusjonen trenger et behandlingsgrunnlag (som regel allmennhetens interesse for et offentlig universitet), og særlige kategorier i innlegg dekkes bare av artikkel 9 nr. 2 bokstav e når «det er åpenbart at den registrerte har offentliggjort» dem. Personvernrådets utkast sier at den behandlingsansvarlige bør kontrollere at innholdet er publisert «following an active choice by the data subject» (etter et aktivt valg fra den registrerte), og se på innstillingene på plattformen (avsnitt 70). Et bilde som en venn har lagt ut, teller ikke (avsnitt 71). I rådets gjennomarbeidede eksempel blir de innsamlede innleggene pseudonymisert, og brukerne informeres etter artikkel 14.

Kommisjonens etikknotat legger til at «It is not enough that the data be accessible» (det er ikke nok at opplysningene er tilgjengelige), og ber forskerne sjekke plattformens vilkår. Sikt nevner internettstudier som et typisk tilfelle for allmennhetens interesse.

Intervjuopptak og transkripsjoner

Et lyd- eller videoopptak identifiserer den som snakker, og intervjuinnhold omfatter ofte særlige kategorier (helse, religion, politisk oppfatning) om deltakeren eller tredjepersoner. Behandlingsgrunnlaget er det samme som for studien, men Kommisjonens etikknotat ber om en egen samtykkeprosess for «intrusive methods such as behavioural profiling, audio/video recording or geo-location tracking» (inngripende metoder som atferdsprofilering, lyd- og videoopptak eller sporing av geografisk posisjon). Sikt påpeker at samtykke kan dokumenteres «on a sound recording» (på et lydopptak).

Validemics analyse Praktiske råd:

• Slett eller pseudonymiser opptak når transkripsjonen er kontrollert, med mindre det finnes en dokumentert grunn til å beholde dem.
• Fjern navn og identifiserende detaljer om tredjepersoner fra transkripsjonene.
• Behandle enhver transkripsjonstjeneste som en databehandler som trenger databehandleravtale og vurdering av overføringer. Sammenlign Otter.ai, Amberscript, Trint og muligheten for lokal transkripsjon med Whisper (på engelsk).
• Bruk godkjente verktøy for kvalitativ analyse; se faktaarkene våre om NVivo og ATLAS.ti.

KI-verktøy i forskning

Å laste opp intervjudata til et generativt KI-verktøy er behandling. Det krever studiens behandlingsgrunnlag, må stemme med det deltakerne har fått vite, og leverandøren blir databehandler (eller behandlingsansvarlig, hvis den bruker opplysningene til egne formål). Sjekk om data brukes til trening, hvor behandlingen skjer, og om institusjonsavtalen har en databehandleravtale. Vår guide om GDPR og KI-verktøy i forskning går i dybden på dette, og KI-verktøy godkjent ved europeiske universiteter viser hva andre institusjoner tillater (begge på engelsk).

12. Hva skal personvernerklæringen si om behandlingsgrunnlaget?

Artikkel 13 nr. 1 bokstav c og artikkel 14 nr. 1 bokstav c krever at erklæringen oppgir formålene og behandlingsgrunnlaget. For forskning betyr det å angi grunnlaget i artikkel 6, unntaket i artikkel 9 for særlige kategorier og den nasjonale loven det bygger på. Instruksen fra Trinity College Dublin er kort: informer deltakerne om behandlingsgrunnlaget «In advance of any data collection» (før datainnsamlingen starter).

• Oppgi grunnlaget klart, for eksempel: «Vi behandler opplysningene dine fordi forskning er en oppgave i allmennhetens interesse (GDPR artikkel 6 nr. 1 bokstav e, med grunnlag i [nasjonal lov om universiteter og høyskoler]). Ditt samtykke til å delta er et forskningsetisk krav og er ikke behandlingsgrunnlaget.»
• Er samtykke grunnlaget, forklar hvordan samtykket trekkes tilbake, og hva som skjer med opplysninger som allerede er samlet inn.
• Er allmennhetens interesse grunnlaget, forklar retten til å protestere og begrensningene for forskning.
• Nevn eventuelle nasjonale unntak fra rettighetene som dere bygger på.
• Kan opplysningene bli brukt i senere forskning, si det, og beskriv garantiene.

Vår guide til personvernerklæring for forskningsdeltakere har en gratis Word-mal med slike formuleringer (på engelsk), og en finsk versjon finnes som tietosuojaseloste-malli.

13. Beslutningstabell: hvilket behandlingsgrunnlag i hvilken situasjon?

Validemics analyse Tabellen viser typiske valg ved et offentlig universitet i EU/EØS. Den er et utgangspunkt for en samtale med personvernombudet, ikke en regel. Nasjonal rett og det konkrete prosjektet kan gi et annet svar.

14. Hva er i endring? Kommende utvikling i EU og nasjonalt

• Personvernrådets retningslinjer 1/2026 om vitenskapelig forskning. Vedtatt 15. april 2026 for offentlig høring, som varte til 25. juni 2026 (høringsside, pressemelding). Per 9. oktober 2026 fant vi ingen endelig versjon på Personvernrådets nettsted, og dagsordenen for plenumsmøtet 17. september 2026 omfattet dem ikke. Utkastet kan bli endret.
• Forslaget til Digital Omnibus. Kommisjonens forslag av 19. november 2025 vil ta inn en definisjon av vitenskapelig forskning i GDPR og omskrive artikkel 5 nr. 1 bokstav b. Europaparlamentets saksmappe viser at saken venter på behandling i komité (prosedyre 2025/0360(COD)). Det er ikke vedtatt lov.
• Det europeiske helsedataområdet. Forordning (EU) 2025/327 gjelder fra 26. mars 2027, og kapitlet om viderebruk fra 26. mars 2029.
• Sverige. En endring i etikprövningslagen (SFS 2026:1229), som etter riksdagen.se trer i kraft 1. juli 2027, tilføyer en § 6 a som lar noe forskning på sensitive opplysninger gjennomføres uten etisk godkjenning, for eksempel med samtykke fra en voksen deltaker.

15. Sjekkliste: valg og dokumentasjon av behandlingsgrunnlaget

For helheten i GDPR på tvers av undervisning, forskning og administrasjon, se guiden vår GDPR for universiteter og høyskoler og siden GDPR forklart.

Kilder

Alle kilder er hentet 9. oktober 2026.

1. Forordning (EU) 2016/679 (GDPR), teksten i Den europeiske unions tidende, artikkel 5, 6, 9, 13, 14, 17, 21 og 89 og fortalepunkt 33, 50, 156, 157 og 159 (lest via EUs publikasjonskontor).
2. Personvernrådet (EDPB), Guidelines 05/2020 on consent under Regulation 2016/679, versjon 1.1, del 7.2, avsnitt 153 til 165.
3. Personvernrådet (EDPB), Guidelines 1/2026 on processing of personal data for scientific research purposes, vedtatt 15. april 2026, høringsversjon, og høringssiden.
4. Personvernrådet (EDPB), Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research, 2. februar 2021.
5. Personvernrådet (EDPB), Opinion 3/2019 on the interplay between the Clinical Trials Regulation and the GDPR, 23. januar 2019.
6. Personvernrådet (EDPB), nyhetsliste (kontrollert for endelig vedtak av retningslinjer 1/2026) og dagsorden for plenumsmøtet 17. september 2026.
7. Den europeiske datatilsynsmannen (EDPS), A Preliminary Opinion on data protection and scientific research, 6. januar 2020.
8. Europakommisjonen (ekspertpanel), Ethics and data protection, 5. juli 2021.
9. Europaparlamentets Legislative Observatory, prosedyre 2025/0360(COD), Digital Omnibus.
10. Forordning (EU) 2025/327 om det europeiske helsedataområdet, sluttbestemmelser om anvendelsesdatoer.
11. Sverige: Högskolelag (1992:1434), Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning og Lag (2003:460) om etikprövning av forskning som avser människor, riksdagen.se.
12. Norge: Personopplysningsloven (LOV-2018-06-15-38), §§ 8 til 10, lovdata.no.
13. Finland: Tietosuojalaki (1050/2018), konsolidert versjon med endring 380/2026, finlex.fi.
14. Danmark: Databeskyttelsesloven, LBK nr. 289 af 08/03/2024, retsinformation.dk.
15. Nederland: Uitvoeringswet Algemene verordening gegevensbescherming, artikkel 24 og 44, wetten.overheid.nl.
16. Frankrike: CNIL, Recherche scientifique (hors santé) : quelle base légale pour un traitement de recherche ? (6. januar 2022) og Traitements de données à des fins de recherche scientifique (hors santé) : quand saisir la CNIL ? (4. februar 2026).
17. Spania: Ley Orgánica 3/2018 (LOPDGDD), disposición adicional decimoséptima, boe.es.
18. Portugal: Lei n.º 58/2019, de 8 de agosto, artikkel 31, konsolidert tekst på pgdlisboa.pt.
19. UK Health Research Authority, Legal basis for processing data.
20. Sikt, Legal bases for personal data processing in research.
21. Universitetet i Bergen, General principles for processing personal data in research.
22. Stockholms universitet, Personuppgiftsbehandling vid Stockholms universitet.
23. Lunds universitet, Template B: information on processing of personal data in research (Word, april 2026).
24. Helsingfors universitet, RDM Advanced webinar series FAQ og personvernerklæring for prosjektet Emplacing Heritage.
25. Aarhus Universitet, Personal data in research at Aarhus University when we are the data controller og forskningsprosjekter unntatt fra informasjonsplikten.
26. Universiteit Utrecht, Fakultet for samfunns- og atferdsvitenskap, Dealing with Consent in Scientific Research, 3. februar 2025.
27. KU Leuven / UZ Leuven, Onderzoek met minderjarigen: enkele cases.
28. Trinity College Dublin, Legal Basis for Research.
29. University of Edinburgh, Research and Data Protection Legislation (veiledning for forskere) og Privacy notice for research participants.
30. University of Essex, Data Protection and research activity.
31. Universidad de Granada, Secretaría General, Producción investigadora (oppføring i behandlingsprotokollen).

Om denne siden

Kildene er kontrollert 9. oktober 2026. Vi har lest GDPR i versjonen som er kunngjort i Den europeiske unions tidende, dokumentene fra Personvernrådet, EDPS og Kommisjonen som er oppført ovenfor, de nasjonale lovene på deres offisielle eller konsoliderte publiseringssider, og hver universitetsside vi siterer. Sitatene er korte og gjengitt slik de var publisert på kontrolldatoen. Sitater på andre språk enn norsk gjengis på originalspråket med en norsk forklaring i parentes; forklaringene er våre oversettelser, ikke ordrette sitater. Vår egen tolkning er merket som Validemics analyse. Personvernrådets forskningsretningslinjer er et høringsutkast, og Digital Omnibus er et forslag; vi oppdaterer siden når noe av dette endres. Siden er generell informasjon, ikke juridisk rådgivning. Nasjonal rett, sektorregler og institusjonens egne retningslinjer kan stille flere krav, så bekreft behandlingsgrunnlaget for hvert prosjekt med personvernombudet. Ser du en feil eller noe som er utdatert, ta kontakt med oss, så retter vi det.