Översiktsguide

Rättslig grund för forskning enligt GDPR: samtycke, allmänt intresse och skyddsåtgärder enligt artikel 89

Valet av rättslig grund är det första dataskyddsbeslutet i varje forskningsprojekt, och det som oftast blandas ihop med forskningsetik. Guiden förklarar hur samtycke enligt GDPR skiljer sig från forskningsetiskt informerat samtycke, när lärosäten använder uppgift av allmänt intresse (artikel 6.1 e), hur artikel 9.2 j och artikel 89 fungerar för känsliga personuppgifter, hur nationell rätt i åtta europeiska länder fyller ut reglerna och vad detta betyder för sekundär användning, data från sociala medier, inspelningar och AI-verktyg. Den avslutas med en beslutstabell och en checklista.

Publicerad 9 oktober 2026 · Källor kontrollerade 9 oktober 2026

Finns även på: English · Nederlands · Norsk · Suomi · Dansk · Français · Español · Português

Det viktigaste i korthet

Forskningsetiskt informerat samtycke och samtycke enligt GDPR är två olika saker. EDPB har sagt det sedan 2019, och en underskriven samtyckesblankett gör inte i sig samtycke till rättslig grund.
Många statliga lärosäten använder uppgift av allmänt intresse, artikel 6.1 e, för forskning. Grunden måste fastställas i unionsrätten eller nationell rätt (art. 6.3), oftast den lag som ger lärosätet dess forskningsuppdrag. Myndigheter kan inte använda berättigat intresse när de fullgör sina uppgifter.
Känsliga personuppgifter (hälsa, etniskt ursprung, politiska åsikter med flera) kräver dessutom ett undantag enligt artikel 9. För forskning är det oftast artikel 9.2 j, som bara fungerar via nationell rätt eller unionsrätt, eller uttryckligt samtycke enligt artikel 9.2 a.
Varje rättslig grund för forskning kräver skyddsåtgärder enligt artikel 89.1: uppgiftsminimering, pseudonymisering när det är möjligt och avidentifierade uppgifter när forskningen kan genomföras utan identifiering.
Den nationella rätten skiljer sig mycket. Nederländerna utgår från uttryckligt samtycke för forskning med känsliga personuppgifter om det inte är omöjligt eller oproportionerligt att fråga, Irland kräver uttryckligt samtycke för hälsoforskning, och Danmark och Norge tillåter forskning utan samtycke under vissa villkor.
EDPB:s riktlinjer 1/2026 om vetenskaplig forskning är fortfarande ett samrådsutkast den 9 oktober 2026. Vi använder dem som den bästa tillgängliga vägledningen på EU-nivå och anger var de kan komma att ändras.

Innehåll

Varför den rättsliga grunden är viktig i forskning
Samtycke enligt GDPR är inte forskningsetiskt samtycke
Rättsliga grunder enligt artikel 6 för forskning
Allmänt intresse och nationell rätt: åtta länder
Vad lärosätena faktiskt gör
Känsliga personuppgifter och artikel 9.2 j
Skyddsåtgärder enligt artikel 89.1
Undantag från de registrerades rättigheter
Ytterligare behandling och sekundär användning
Brett och dynamiskt samtycke
Sociala medier, inspelningar, transkriptioner och AI-verktyg
Vad informationen till forskningspersonerna ska innehålla
Beslutstabell
Kommande ändringar att bevaka
Checklista
Källor
Om den här sidan

1. Varför är den rättsliga grunden så viktig i forskning?

Den rättsliga grunden avgör vilka rättigheter forskningspersonerna har, vad som händer när någon drar sig ur, om uppgifterna får återanvändas i senare projekt och vad informationen till forskningspersonerna måste innehålla. Grunden måste väljas innan behandlingen börjar och kan inte bara bytas ut i efterhand. I forskning kompliceras valet av att de forskningsetiska reglerna också använder ordet "samtycke", men för något annat.

Artikel 6.1 GDPR räknar upp sex rättsliga grunder, och fyra av dem är relevanta för forskning: samtycke (a), rättslig förpliktelse (c), uppgift av allmänt intresse (e) och berättigat intresse (f). Känsliga personuppgifter kräver dessutom ett undantag enligt artikel 9.2. Båda valen görs inom GDPR:s särskilda regler för forskning: artikel 5.1 b om ytterligare behandling, artikel 5.1 e om lagring och artikel 89 om skyddsåtgärder och undantag.

Enligt skäl 159 bör behandling för vetenskapliga forskningsändamål ”ges en vid tolkning”. EDPB är mer försiktig. I sina riktlinjer om samtycke skriver EDPB att begreppet ”may not be stretched beyond its common meaning” (inte får tänjas ut utöver sin vanliga betydelse) och hänvisar till forskning som bedrivs enligt sektorns metodologiska och etiska standarder (riktlinjer 05/2020, punkt 153). Utkastet till forskningsriktlinjer från 2026 lägger till sex vägledande faktorer, med början i ett ”methodical and systematic approach” (metodiskt och systematiskt tillvägagångssätt) och ”adherence to ethical standards” (efterlevnad av etiska standarder).

2. Vad är skillnaden mellan samtycke enligt GDPR och forskningsetiskt informerat samtycke?

Forskningsetiskt informerat samtycke skyddar personens värdighet och integritet: ingen ska ingå i forskning utan att känna till det och ha godtagit det. Samtycke enligt GDPR är en av sex rättsliga grunder för behandling av personuppgifter, med strikta villkor: det ska vara frivilligt, specifikt, informerat, otvetydigt och möjligt att återkalla. En studie kan kräva det första utan att använda det andra som rättslig grund.

De europeiska organen har varit konsekventa på den här punkten:

EDPB:s yttrande 3/2019 om kliniska prövningar: informerat samtycke enligt förordningen om kliniska prövningar ”must not be confused with the notion of consent as a legal ground” (får inte förväxlas med samtycke som rättslig grund) enligt GDPR (punkt 15). Vid en tydlig maktobalans är samtycket inte frivilligt.
EDPB:s riktlinjer 05/2020 om samtycke: samtycke till användning av personuppgifter ”should be distinguished from other consent requirements that serve as an ethical standard or procedural obligation” (bör skiljas från andra samtyckeskrav som utgör en etisk standard eller en processuell skyldighet) (punkt 154). Det etiska samtycket ”could be considered as an additional safeguard” (kan betraktas som en ytterligare skyddsåtgärd).
EDPB:s svar till kommissionen om hälsoforskning (2 februari 2021): informerat samtycke till deltagande ”can and must be distinguished from explicit consent” (kan och måste skiljas från uttryckligt samtycke) som grund för behandling (punkt 5).
Europeiska datatillsynsmannens (EDPS) preliminära yttrande om vetenskaplig forskning (2020): samtycke enligt GDPR ”differs conceptually and operationally from 'informed consent' of human participants in research” (skiljer sig begreppsmässigt och praktiskt från forskningspersoners informerade samtycke) (sammanfattning).
EDPB:s utkast till riktlinjer 1/2026: etiskt samtycke ”is not required by the GDPR, but may be considered as an additional safeguard according to Article 89 GDPR” (krävs inte av GDPR, men kan betraktas som en ytterligare skyddsåtgärd enligt artikel 89) (punkt 53). Om båda inhämtas samtidigt måste begäran om samtycke enligt GDPR gå att tydligt skilja från det andra (punkt 55).

Nationella myndigheter säger samma sak. Den franska tillsynsmyndigheten CNIL rekommenderar att blanketten, när samtycke enligt GDPR används, har två separata rutor, ”l'une pour recueillir le consentement RGPD, l'autre pour participer à la recherche” (en för samtycke enligt GDPR, den andra för att delta i forskningen), och påpekar att forskning som bygger på allmänt intresse ändå kan kräva att forskningspersonerna godtar att delta (CNIL). Brittiska Health Research Authority sammanfattar det i en mening: ”Consent to participation in research is not the same as consent as the legal basis for processing under data protection legislation” (samtycke till att delta i forskning är inte detsamma som samtycke som rättslig grund för behandling enligt dataskyddslagstiftningen) (HRA).

En källa lutar åt andra hållet. Kommissionens vägledning ”Ethics and data protection” för Horisont Europa (5 juli 2021) efterfrågar ett samtyckesförfarande som uppfyller GDPR:s krav när uppgifter samlas in direkt från personerna. Den är skriven av en expertpanel och anger att den ”does not constitute official EU guidance” (inte utgör officiell vägledning från EU) (kommissionen).

Validemics analys Etiknämnder och dataskyddsombud pratar ofta förbi varandra eftersom båda säger "samtycke". En enkel lösning är att använda olika ord i mallarna: "medgivande att delta" för det forskningsetiska kravet, och "samtycke till behandling av personuppgifter" bara där artikel 6.1 a verkligen är grunden.

3. Vilka rättsliga grunder enligt artikel 6 kan forskning använda?

Forskning kan stödja sig på samtycke, uppgift av allmänt intresse, berättigat intresse och, för avgränsade delar, rättslig förpliktelse. Valet beror främst på vem som är personuppgiftsansvarig. I den vägledning vi har läst använder statliga lärosäten oftast allmänt intresse, medan privata aktörer utan lagstadgat forskningsuppdrag använder berättigat intresse eller samtycke.

Rättslig grund	När den passar för forskning	Viktigaste konsekvenserna
Samtycke, art. 6.1 a	Väldefinierade studier där personerna kontaktas direkt och fritt kan säga nej, vissa biobanks- och kohortstudier (brett samtycke).	Måste vara specifikt och dokumenterat. Samtycket kan alltid återkallas, och EDPB anger att det finns ”no exemption to this requirement for scientific research” (inget undantag från detta krav för vetenskaplig forskning) (05/2020, punkt 163). Rätten till dataportabilitet gäller.
Uppgift av allmänt intresse, art. 6.1 e	Forskning vid statliga lärosäten och andra organ vars forskningsuppgift är fastställd i lag. EDPB kallar grunden ”a legal basis of particular importance for scientific research” (en rättslig grund av särskild betydelse för vetenskaplig forskning) (utkast 1/2026, punkt 56).	Grunden måste fastställas i unionsrätten eller nationell rätt (art. 6.3). Rätten att göra invändningar gäller, men art. 21.6 begränsar den för forskning av allmänt intresse. Forskningsetiskt medgivande att delta kan fortfarande inhämtas.
Berättigat intresse, art. 6.1 f	Privata forskningsinstitut, företag och stiftelser. Gäller inte för behandling som myndigheter utför ”när de fullgör sina uppgifter” (art. 6.1 andra stycket).	Kräver en dokumenterad intresseavvägning. Se vår mall för intresseavvägning (på engelska).
Rättslig förpliktelse, art. 6.1 c	Avgränsade delar av behandlingen som krävs enligt lag, till exempel säkerhetsrapportering i kliniska prövningar.	Täcker bara det som lagen kräver.

Utkastet till riktlinjer 1/2026 påpekar också att allmänt intresse ”is not limited to public entities” (inte är begränsat till offentliga organ): privata aktörer kan använda grunden ”if the legal act covers their activities” (om rättsakten omfattar deras verksamhet) (punkt 58). Om ett visst lärosäte är en ”offentlig myndighet” avgörs också av nationell rätt, vilket har betydelse för enskilda lärosäten i vissa länder.

4. Hur stödjer nationell rätt forskning som en uppgift av allmänt intresse? Exempel från åtta länder

Enligt artikel 6.3 ska uppgiften av allmänt intresse vara fastställd i unionsrätten eller nationell rätt. Lagen behöver inte beskriva varje projekt. Enligt EDPB:s utkast kan den ge stöd för forskning ”without necessarily specifying how the research is to be undertaken” (utan att nödvändigtvis ange hur forskningen ska bedrivas) (punkt 57). I praktiken hänvisar lärosätena till sin högskolelag, och flera länder har forskningsbestämmelser i sina kompletterande dataskyddslagar. Tabellen sammanfattar de bestämmelser vi läste den 9 oktober 2026.

Land	Bestämmelse	Vad den innebär för forskning
Sverige	Högskolelagen (1992:1434) 1 kap. 2 §, dataskyddslagen (2018:218) 2 kap. 2 §, etikprövningslagen (2003:460) 6 §	Högskolelagen ger lärosätena en forskningsuppgift (EDPB:s utkast anger den som exempel på art. 6.1 e). Dataskyddslagen tillåter behandling enligt art. 6.1 e för uppgifter av allmänt intresse som följer av lag. Forskning som omfattar känsliga personuppgifter kräver ett etikgodkännande som omfattar behandlingen (anges som exempel på art. 9.2 j).
Norge	Personopplysningsloven 8, 9 och 10 §§	8 § tillåter behandling enligt art. 6.1 e när den är nödvändig för forskning, med garantier enligt art. 89.1. 9 § tillåter känsliga personuppgifter utan samtycke när ”samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte” (samhällets intresse av att behandlingen sker klart överväger nackdelarna för den enskilde), efter samråd med dataskyddsombudet om inte en konsekvensbedömning har gjorts. 10 § gör skyldigheten att samråda med dataskyddsombudet tillämplig även på forskning med känsliga personuppgifter som bygger på samtycke.
Finland	Tietosuojalaki (1050/2018) 4, 6 och 31 §§	4 § 3 punkten tillåter behandling enligt art. 6.1 e när den är ”tarpeen tieteellistä tai historiallista tutkimusta taikka tilastointia varten” (nödvändig för vetenskaplig eller historisk forskning eller statistikföring) och står i proportion till det eftersträvade allmänintresset. 6 § 1 mom. 7 punkten häver förbudet i art. 9.1 för forskning, med åtgärder enligt 6 § 2 mom. som pseudonymisering. 31 § tillåter undantag från art. 15, 16, 18 och 21 om det finns en forskningsplan och en utsedd ansvarig person eller grupp och uppgifterna bara används för forskning.
Danmark	Databeskyttelsesloven (LBK 289/2024) 10 § och 22 § 5 st.	10 § 1 st. tillåter behandling av känsliga personuppgifter och uppgifter om lagöverträdelser om den sker enbart för att genomföra ”statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning” (statistiska eller vetenskapliga undersökningar av väsentlig samhällelig betydelse) och är nödvändig för dem. Uppgifterna får senare bara användas för forskning eller statistik (10 § 2 st.). Vissa utlämnanden kräver förhandstillstånd från Datatilsynet (10 § 3 st.). 22 § 5 st. undantar art. 15, 16, 18 och 21 när uppgifterna behandlas uteslutande för forskning eller statistik.
Nederländerna	Uitvoeringswet AVG art. 24 och 44	Artikel 24 häver förbudet mot behandling av känsliga personuppgifter för forskning bara om forskningen tjänar ett allmänt intresse, behandlingen är nödvändig, ”het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning kost” (det visar sig omöjligt eller kräver en oproportionerlig ansträngning att be om uttryckligt samtycke) och integritetsskyddande åtgärder finns. Artikel 44 gör att forskningsinstitutioner kan undanta art. 15, 16 och 18 om uppgifterna bara kan användas för forskning eller statistik.
Frankrike	Loi Informatique et Libertés art. 44.6, Code de la recherche art. R322-2	CNIL anger att allmänt intresse ”en premier lieu” (i första hand) gäller för offentliga myndigheter och organ, och förväntar sig att andra använder berättigat intresse. Känsliga personuppgifter i offentlig forskning utanför hälsoområdet får behandlas, efter ett yttrande från CNIL enligt art. 44.6, när det behövs för offentlig forskning och motiveras av ett viktigt allmänintresse (CNIL, 4 februari 2026). Hälsoforskning följer egna regler. EDPB:s utkast anger Code de la recherche art. R322-2 som exempel på art. 6.1 e.
Spanien	LOPDGDD (LO 3/2018), sjuttonde tilläggsbestämmelsen	För hälsoforskning kan samtycket omfatta ”áreas generales vinculadas a una especialidad médica o investigadora” (allmänna områden med anknytning till en medicinsk specialitet eller ett forskningsområde). Återanvändning för närliggande områden är tillåten om information publiceras och en etikkommitté har lämnat ett positivt yttrande. Pseudonymiserade uppgifter får användas om det finns en teknisk och funktionell åtskillnad från dem som har nycklarna för återidentifiering.
Portugal	Lei 58/2019, art. 31	Behandling för forskning ska respektera uppgiftsminimering och använda anonymisering eller pseudonymisering när syftet medger det. Rättigheterna i art. 15, 16, 18 och 21 begränsas i den mån det är nödvändigt. Samtycke till forskning ”pode abranger diversas áreas de investigação” (kan omfatta flera forskningsområden), alltid med respekt för vedertagna etiska standarder.

Två grannländer utanför tabellen: på Irland upplyser Trinity College Dublin forskarna om att ”explicit consent is required for any health research in Ireland” (uttryckligt samtycke krävs för all hälsoforskning på Irland), vilket speglar de nationella reglerna för hälsoforskning. I Storbritannien har UK GDPR samma struktur, och HRA anger att offentliga myndigheter som bedriver forskning ”will use 'task in the public interest' as their legal basis” (kommer att använda uppgift av allmänt intresse som rättslig grund).

Sammanfattningarna är selektiva. De nationella lagarna har ytterligare villkor och sektorsregler (hälsa, register, biobanker), och vissa ändras ofta: den finska lagen ändrades i maj 2026 (380/2026). Läs hela bestämmelsen och rådgör med ert dataskyddsombud innan ni stödjer er på den.

5. Vilken rättslig grund använder europeiska lärosäten i praktiken?

I den vägledning från lärosäten som vi har läst är allmänt intresse oftast standardvalet för forskning, medan samtycke behålls som forskningsetiskt krav. Detaljerna skiljer sig mellan länderna, främst för känsliga personuppgifter. Med deras egna ord:

Institution	Vad de säger	Hållning
Sikt (Norge, nationell tjänst för forskningsdata)	”There has been a tradition in Norway for using consent as the legal basis when processing personal data in research.” (I Norge har det funnits en tradition att använda samtycke som rättslig grund vid behandling av personuppgifter i forskning.) Och: ”In many projects, public interest will be a more appropriate basis for processing.” (I många projekt är allmänt intresse en lämpligare grund för behandlingen.)	Samtycke eller allmänt intresse, register-, internet- och dokumentstudier i regel allmänt intresse.
Universitetet i Bergen (Norge)	”Consent to participation, however, is not the same as consent constituting the legal basis for processing personal data” (samtycke till deltagande är dock inte detsamma som samtycke som utgör den rättsliga grunden för behandling av personuppgifter)	Art. 6.1 e som huvudregel, med 8 § personopplysningsloven, och 9 § för känsliga personuppgifter.
Stockholms universitet (Sverige)	Allmänt intresse enligt art. 6.1 e är ”den vanligaste rättsliga grunden”, med stöd av det lagstadgade uppdraget i högskolelagen.	Art. 6.1 e.
Lunds universitet (Sverige), mall för information till forskningspersoner	”Personal data are processed on the lawful ground of public interest.” (Personuppgifterna behandlas med allmänt intresse som rättslig grund.)	Art. 6.1 e i standardmallen.
Helsingfors universitet (Finland), vanliga frågor från forskningsdatastödet	Om den rättsliga grunden och om att be om samtycke till att delta i en studie: ”These are two independent issues and typically confused with each other.” (Det är två oberoende frågor som ofta blandas ihop.)	Allmänt intresse används ofta, projektens dataskyddsbeskrivningar kryssar för ”uppgift av allmänt intresse”.
Aarhus universitet (Danmark)	”As the data controller, AU must decide which basis for processing to apply in the individual project.” (Som personuppgiftsansvarig måste AU bestämma vilken grund för behandlingen som ska tillämpas i det enskilda projektet.)	Art. 6.1 e, eller 9.2 j med 10 § 1 st. dataskyddslagen, samtycke (6.1 a, 9.2 a) som alternativ.
Universiteit Utrecht (Nederländerna), samhällsvetenskapliga och beteendevetenskapliga fakulteten	Fakulteten ”uses “public interest” as the primary legal basis for processing personal data in research” (använder allmänt intresse som primär rättslig grund för behandling av personuppgifter i forskning). För känsliga personuppgifter: ”Processing these variables as personal data still requires explicit consent.” (Att behandla dessa variabler som personuppgifter kräver fortfarande uttryckligt samtycke.)	Allmänt intresse, med uttryckligt samtycke för känsliga personuppgifter (i linje med UAVG art. 24).
KU Leuven (Belgien), etiskt fallmaterial	”KU Leuven neemt als uitgangspunt dat universitair onderzoek doorgaans wordt gevoerd in het algemeen belang.” (KU Leuven utgår från att universitetsforskning i regel bedrivs i allmänhetens intresse.)	Allmänt intresse, det räcker att informera forskningspersonerna för GDPR-delen, forskningsetiskt samtycke krävs fortfarande.
Trinity College Dublin (Irland)	”In advance of any data collection, Researchers must inform participants of the legal basis under GDPR.” (Innan någon datainsamling sker måste forskarna informera deltagarna om den rättsliga grunden enligt GDPR.)	Art. 6.1 e enligt Universities Act 1997, art. 9.2 j, uttryckligt samtycke för hälsoforskning.
University of Edinburgh (Storbritannien)	Forskare behöver etiskt samtycke, men ”you will not need to obtain consent for processing, sharing or storing the research data” (ni behöver inte inhämta samtycke för att behandla, dela eller lagra forskningsdata).	”Public task” (allmänt intresse) i de flesta fall, art. 9.2 j med skyddsåtgärder enligt art. 89.1 för känsliga personuppgifter.
University of Essex (Storbritannien)	”'research ethics consent' does not translate to 'consent' as a legal basis for processing personal data.” (forskningsetiskt samtycke motsvarar inte samtycke som rättslig grund för behandling av personuppgifter.)	Allmänt intresse, art. 9.2 j för känsliga personuppgifter.
Universidad de Granada (Spanien), registerförteckning	Anger art. 6.1 e, ”misión realizada en interés público” (uppgift av allmänt intresse), tillsammans med art. 6.1 a och art. 9.2 j.	Allmänt intresse eller samtycke per studie, 9.2 j för känsliga personuppgifter.

Edinburghs information till forskningspersoner gör också uppdelningen synlig för deltagarna: samtycke till att använda personuppgifter ”(which we rarely request) is separate from your ethical consent to participate” (som vi sällan ber om, är skilt från ditt etiska samtycke till att delta) (Edinburgh).

Validemics analys Mönstret är tydligt i Norden, Belgien, Irland och Storbritannien. Nederländerna är det viktigaste undantaget för känsliga personuppgifter, eftersom artikel 24 i UAVG gör uttryckligt samtycke till utgångspunkt. Spanska och danska lärosäten anger ofta båda grunderna och låter projektet avgöra. Gemensamt för alla är instruktionen att bestämma grunden per projekt och informera forskningspersonerna.

Granskar ni en leverantör just nu? Validemic stämmer av leverantörens dokument mot GDPR och AI-förordningen och anger källa för varje bedömning. Testa demomiljön

6. Vilket undantag i artikel 9 gäller för känsliga personuppgifter i forskning?

Känsliga personuppgifter kräver ett undantag enligt artikel 9.2 utöver den rättsliga grunden i artikel 6. För forskning är de realistiska alternativen uttryckligt samtycke (9.2 a), forskningsundantaget (9.2 j), uppgifter som på ett tydligt sätt har offentliggjorts av personen själv (9.2 e) och undantagen för viktigt allmänintresse eller folkhälsa (9.2 g och i) där nationell rätt eller unionsrätten ger stöd för dem.

Artikel 9.2 j omfattar behandling som ”är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt”. Den rätten ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och ”innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen”. EDPB:s utkast tillägger att den personuppgiftsansvarige bör kunna visa att lagen är tillämplig på behandlingen och att villkoren i den är uppfyllda (punkt 74). Utkastet nämner bland annat 10 § i den danska lagen, 6 § 1 mom. 7 punkten i den finska lagen, art. 44.6 i den franska lagen, 27 § 1 st. i tyska BDSG och den svenska etikprövningslagen som exempel, men påpekar att ”The EDPB has not reviewed nor analysed the laws referred to” (EDPB har inte granskat eller analyserat de lagar som hänvisas till).

Artikel 9.4 tillåter medlemsstaterna att införa ytterligare villkor för genetiska uppgifter, biometriska uppgifter och uppgifter om hälsa, så en studie i flera länder kan behöva uttryckligt samtycke i ett land och inget samtycke i ett annat. För kliniska prövningar anger EDPB:s yttrande 3/2019 allmänt intresse med artikel 9.2 i eller j, eller berättigat intresse med artikel 9.2 j, som alternativ till samtycke.

7. Vilka skyddsåtgärder kräver artikel 89.1?

Artikel 89.1 kräver lämpliga skyddsåtgärder för behandling för forskningsändamål, med tekniska och organisatoriska åtgärder ”för att se till att särskilt principen om uppgiftsminimering iakttas”. Pseudonymisering nämns som en möjlig åtgärd. När forskningen kan genomföras med uppgifter som inte längre identifierar personer ”ska dessa ändamål uppfyllas på det sättet”.

EDPB:s riktlinjer om samtycke anger att ”Anonymisation is the preferred solution as soon as the purpose of the research can be achieved without the processing of personal data” (anonymisering är den föredragna lösningen så snart forskningens syfte kan uppnås utan behandling av personuppgifter) (punkt 160). Utkastet från 2026 lägger till en lista med ytterligare skyddsåtgärder: oberoende eller etisk tillsyn, säkra miljöer för behandling, integritetsförstärkande teknik, skyddsåtgärder vid publicering och villkor för vidare användning. EDPB:s svar från 2021 kopplar också ihop de två: presumtionen att ytterligare forskning är förenlig ”can only be used” (kan bara användas) om skyddsåtgärderna enligt artikel 89.1 följs (punkt 20).

I praktiken är det dessa skyddsåtgärder som dataskyddsombud och etiknämnder letar efter:

En datahanteringsplan som motiverar varje uppgift som samlas in.
Pseudonymisering så tidigt det är praktiskt möjligt, med nyckeln förvarad separat och begränsad åtkomst.
Avidentifiering inför delning och publicering när det är möjligt.
Säker lagring i tjänster som lärosätet har godkänt, se vår guide om forskningsdata i molnlagring (på engelska).
Ett avtal enligt artikel 28 med varje leverantör och, utanför EES, en överföringsmekanism. Våra guider om avtal om datadelning och avtal mellan gemensamt personuppgiftsansvariga (på engelska) behandlar samarbetspartner.
En konsekvensbedömning när risken är hög (enligt Universitetet i Bergen kräver den norska tillsynsmyndigheten en sådan för forskning med känsliga personuppgifter som inte bygger på samtycke). Vårt verktyg för förhandsbedömning och vår mall för konsekvensbedömning kan hjälpa till.
Gallringsregler som anger hur länge identifierbara uppgifter sparas, se vår guide om gallringsplaner (på engelska).

8. Vilka av de registrerades rättigheter kan begränsas för forskning?

GDPR begränsar själv vissa rättigheter för forskning, och enligt artikel 89.2 får unionsrätten eller nationell rätt föreskriva undantag från rätten till tillgång, rättelse, begränsning och invändning (art. 15, 16, 18 och 21), men bara i den utsträckning rättigheterna ”sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen” och undantagen krävs för att uppnå ändamålen.

Radering: artikel 17.3 d undantar rätten till radering när den sannolikt skulle omöjliggöra eller avsevärt försvåra forskningen, med skyddsåtgärder enligt artikel 89.1.
Invändning: artikel 21.6 ger rätt att göra invändningar mot behandling för forskningsändamål, ”om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse”.
Information: när uppgifterna inte samlas in från personen själv tillåter artikel 14.5 b ett undantag om det är omöjligt eller skulle medföra en oproportionell ansträngning, men den personuppgiftsansvarige ska skydda personens intressen, ”inbegripet göra uppgifterna tillgängliga för allmänheten”. Aarhus universitet publicerar till exempel en lista över forskningsprojekt som använder detta undantag. Det finns inget motsvarande undantag i artikel 13 för uppgifter som samlas in direkt från personen.
Nationella undantag: se landstabellen i avsnitt 4.
Återkallat samtycke: inget av dessa undantag gäller. Om samtycket återkallas anger EDPB att den personuppgiftsansvarige ”must in principle delete the personal data straight away” (i princip måste radera personuppgifterna omedelbart) om forskningen ska fortsätta (05/2020, punkt 163).

Vår guide om begäran om registerutdrag vid lärosäten (på engelska) visar hur begäranden hanteras i praktiken.

9. Får forskningsdata återanvändas? Ytterligare behandling och sekundär användning

Ja, ofta. Enligt artikel 5.1 b ska ytterligare behandling för vetenskapliga forskningsändamål i enlighet med artikel 89.1 ”inte anses vara oförenlig med de ursprungliga ändamålen”. Enligt skäl 50 bör sådan behandling ”betraktas som förenlig och laglig behandling av uppgifter”. Men förenligheten är inte hela svaret: den personuppgiftsansvarige behöver fortfarande en rättslig grund och, för känsliga personuppgifter, ett undantag enligt artikel 9.

Enligt EDPB:s utkast 1/2026 behövs inte förenlighetsbedömningen enligt artikel 6.4 för ytterligare forskning (punkt 19), men lagligheten måste fortfarande prövas, och det är inte alltid möjligt att stödja sig på den ursprungliga grunden, särskilt om den var samtycke (punkterna 21 och 22). EDPB:s svar från 2021 tillägger att ett sjukhus som stödjer sig på artikel 9.2 h för vården kan behöva ett annat undantag enligt artikel 9 för att använda journalerna i forskning.

Vanliga situationer med sekundär användning vid lärosäten:

Återanvändning av data från ett eget tidigare projekt. Kontrollera vilken information forskningspersonerna fick och om den ursprungliga grunden, särskilt samtycke, omfattar den nya användningen. Trinity College Dublin upplyser forskarna om att sekundär användning presumeras vara förenlig ”if the research is in the public interest” (om forskningen är av allmänt intresse), med skyddsåtgärder enligt artikel 89.1.
Användning av en annan forskares eller ett arkivs datamängd. Ni blir en ny personuppgiftsansvarig eller gemensamt personuppgiftsansvarig. Ni behöver en egen rättslig grund, ett avtal om datadelning och i regel information enligt artikel 14.
Register- och administrativa data. Nationella registerlagar och tillståndsmyndigheter sätter ofta villkoren. Danmark kräver tillstånd från Datatilsynet för vissa utlämnanden (10 § 3 st.).
Uppgifter om studenter och anställda från lärosätets system. Forskning om lärosätets egna studenter kräver försiktighet på grund av maktobalansen, se vår guide om lärandeanalys (på engelska).

Från 2029 tillför förordningen (EU) 2025/327 om ett europeiskt hälsodataområde en separat väg för sekundär användning av elektroniska hälsodata via organ för tillgång till hälsodata. Dess kapitel IV om sekundär användning tillämpas från och med den 26 mars 2029 (förordningen om ett europeiskt hälsodataområde).

10. Är brett samtycke tillåtet enligt GDPR?

Ja, inom vissa gränser. Enligt skäl 33 bör registrerade ”kunna ge sitt samtycke till vissa områden för vetenskaplig forskning, när vedertagna etiska standarder för vetenskaplig forskning iakttas”. EDPB tolkar detta snävt: skälet ”does not disapply the obligations with regard to the requirement of specific consent” (sätter inte skyldigheterna i fråga om kravet på specifikt samtycke ur spel), och GDPR ”cannot be interpreted to allow for a controller to navigate around the key principle of specifying purposes” (kan inte tolkas så att den personuppgiftsansvarige kan kringgå den centrala principen om att ange ändamål) (05/2020, punkterna 156 och 158). För känsliga personuppgifter ska flexibiliteten granskas med ”a high degree of scrutiny” (en hög grad av noggrannhet) (punkt 157).

Utkastet från 2026 beskriver två modeller. Brett samtycke omfattar framtida projekt inom ett avgränsat forskningsområde, och ”it is not sufficient to only state that personal data will be used for scientific research purposes” (det räcker inte att bara ange att personuppgifterna kommer att användas för vetenskapliga forskningsändamål) (punkt 44). Dynamiskt samtycke innebär att personerna tillfrågas på nytt när varje projekt blir känt, vilket EDPB kallar ”often the appropriate way” (ofta det lämpliga sättet) i långsiktiga studier med regelbunden kontakt (punkt 52). Skyddsåtgärder som EDPB föreslår för brett samtycke är bland annat en oberoende dataförvaltare, tidsbegränsat samtycke och oberoende tillsyn (punkterna 48 och 49).

Spanien (för hälsoforskning) och Portugal har skrivit in brett samtycke i nationell lag. Validemics analys Där nationell rätt tillåter det undviker man problemen med återkallande och specificitet vid brett samtycke genom att kombinera medgivande att delta med allmänt intresse som rättslig grund enligt GDPR.

11. Data från sociala medier, inspelningar, transkriptioner och AI-verktyg

Offentliga inlägg är fortfarande personuppgifter. Ett lärosäte behöver en rättslig grund (för ett statligt lärosäte oftast allmänt intresse), och känsligt innehåll i inlägg omfattas bara av artikel 9.2 e om uppgifterna ”på ett tydligt sätt har offentliggjorts av den registrerade”. Enligt EDPB:s utkast bör den personuppgiftsansvarige kontrollera att innehållet publicerades ”following an active choice by the data subject” (efter ett aktivt val av den registrerade) och se över plattformens inställningar (punkt 70). Ett foto som en vän har lagt upp räknas inte (punkt 71). Utkastets exempel pseudonymiserar de insamlade inläggen och informerar användarna enligt artikel 14.

Kommissionens etikvägledning tillägger att ”It is not enough that the data be accessible” (det räcker inte att uppgifterna är tillgängliga) och uppmanar forskarna att kontrollera plattformens villkor. Sikt nämner internetstudier som ett typiskt fall för allmänt intresse.

Intervjuinspelningar och transkriptioner

En ljud- eller videoinspelning identifierar den som talar, och intervjuinnehåll innehåller ofta känsliga personuppgifter (hälsa, religion, politiska åsikter) om forskningspersonen eller tredje personer. Den rättsliga grunden är densamma som för studien, men kommissionens etikvägledning efterfrågar ett särskilt samtyckesförfarande för ”intrusive methods such as behavioural profiling, audio/video recording or geo-location tracking” (integritetskänsliga metoder som beteendeprofilering, ljud- och videoinspelning eller positionsspårning). Sikt påpekar att samtycke kan dokumenteras ”on a sound recording” (på en ljudinspelning).

Validemics analys Praktiska punkter:

Radera eller pseudonymisera inspelningarna när transkriptionen är kontrollerad, om det inte finns ett dokumenterat skäl att spara dem.
Ta bort namn och identifierande detaljer om tredje personer från transkriptionerna.
Behandla varje transkriberingstjänst som ett personuppgiftsbiträde som kräver personuppgiftsbiträdesavtal och en granskning av överföringar. Jämför Otter.ai, Amberscript, Trint och möjligheten till lokal transkribering med Whisper.
Använd godkända verktyg för kvalitativ analys, se våra faktablad om NVivo och ATLAS.ti.

AI-verktyg i forskningen

Att ladda upp intervjudata till ett generativt AI-verktyg är behandling. Det kräver studiens rättsliga grund, måste stämma med den information forskningspersonerna har fått, och leverantören blir personuppgiftsbiträde (eller personuppgiftsansvarig, om den använder uppgifterna för egna ändamål). Kontrollera om uppgifterna används för träning, var behandlingen sker och om lärosätets licens har ett personuppgiftsbiträdesavtal. Vår guide om GDPR och AI-verktyg i forskningen går igenom detta i detalj, och AI-verktyg som godkänts vid europeiska lärosäten visar vad andra institutioner tillåter (båda på engelska).

12. Vad ska informationen till forskningspersonerna säga om den rättsliga grunden?

Enligt artiklarna 13.1 c och 14.1 c ska informationen ange ändamålen och den rättsliga grunden. För forskning innebär det att ange grunden i artikel 6, undantaget i artikel 9 för känsliga personuppgifter och den nationella rätt som grunden vilar på. Trinity College Dublin uttrycker det kort: informera deltagarna om den rättsliga grunden ”In advance of any data collection” (innan någon datainsamling sker).

Ange grunden tydligt, till exempel: ”Vi behandlar dina personuppgifter eftersom forskning är en uppgift av allmänt intresse (artikel 6.1 e i dataskyddsförordningen, med stöd av [nationell högskolelag]). Ditt medgivande att delta är ett forskningsetiskt krav och är inte den rättsliga grunden.”
Om samtycke är grunden: förklara hur samtycket återkallas och vad som händer med uppgifter som redan har samlats in.
Om allmänt intresse är grunden: förklara rätten att göra invändningar och dess begränsningar vid forskning.
Ange de nationella undantag från rättigheterna som ni stödjer er på.
Om uppgifterna kan återanvändas i senare forskning: säg det och beskriv skyddsåtgärderna.

Vår guide om information till forskningspersoner har en kostnadsfri Word-mall (på engelska) med den här formuleringen, och en finsk version finns som tietosuojaseloste-malli.

13. Beslutstabell: vilken rättslig grund i vilken situation?

Validemics analys Tabellen visar typiska val vid ett statligt lärosäte i EU/EES. Den är en utgångspunkt för ett samtal med dataskyddsombudet, inte en regel. Nationell rätt och det enskilda projektet kan ändra svaret.

Situation	Typisk grund enligt art. 6	Undantag för känsliga personuppgifter	Kommentarer
Intervjuer eller enkät med vuxna, vanliga personuppgifter	6.1 e allmänt intresse	Behövs inte	Inhämta forskningsetiskt medgivande att delta, information enligt art. 13, minimera och pseudonymisera.
Intervjuer eller enkät som omfattar hälsa, etniskt ursprung, religion eller politiska åsikter	6.1 e	9.2 j via nationell rätt, eller 9.2 a uttryckligt samtycke	Nederländerna: uttryckligt samtycke om det inte är omöjligt eller oproportionerligt (UAVG art. 24). Norge: samråd med dataskyddsombudet eller konsekvensbedömning. Sverige: etikgodkännande som omfattar behandlingen.
Hälsoforskning på Irland	6.1 e	9.2 a uttryckligt samtycke som nationellt krav	Kontrollera de nationella reglerna för hälsoforskning och eventuella vägar till undantag.
Klinisk prövning	6.1 e eller 6.1 f, 6.1 c för säkerhetsrapportering	9.2 i eller 9.2 j	Informerat samtycke enligt förordningen om kliniska prövningar är inte samtycke enligt GDPR (EDPB:s yttrande 3/2019).
Register- eller administrativa data, ingen kontakt med individerna	6.1 e	9.2 j	Art. 14.5 b kan tillämpas med offentlig information, tillstånd och avtal om datadelning behövs.
Biobank eller kohort för framtida forskning	6.1 e, eller 6.1 a brett samtycke	9.2 j eller 9.2 a	Brett samtycke kräver avgränsade områden och extra skyddsåtgärder, Spanien och Portugal reglerar det i lag.
Återanvändning av data från ett eget tidigare projekt	Samma grund som tidigare, om den omfattar den nya användningen	Kontrollera att det ursprungliga undantaget fortfarande passar	Presumtionen i art. 5.1 b med skyddsåtgärder enligt art. 89.1, kontrollera samtyckets omfattning.
Offentliga inlägg i sociala medier	6.1 e (6.1 f för privata aktörer)	9.2 e bara om personen själv på ett tydligt sätt har offentliggjort uppgifterna, annars 9.2 j	Kontrollera inställningar och plattformens villkor, information enligt art. 14 eller dokumenterat undantag.
Forskning vid ett privat institut eller företag	6.1 f eller 6.1 a	9.2 j om nationell rätt omfattar privata aktörer, eller 9.2 a	Dokumentera intresseavvägningen, allmänt intresse bara om en lag omfattar verksamheten.
Forskning om lärosätets egna studenter eller anställda	6.1 e	Som ovan	Maktobalansen gör det svårt att stödja sig på samtycke, Sikt nämner elever och deras lärare som exempel.

14. Vad håller på att ändras? Kommande utveckling i EU och nationellt

EDPB:s riktlinjer 1/2026 om vetenskaplig forskning. Antagna den 15 april 2026 för offentligt samråd, som pågick till den 25 juni 2026 (samrådssidan, pressmeddelande). Den 9 oktober 2026 hittade vi ingen slutlig version på EDPB:s webbplats, och dagordningen för plenarmötet den 17 september 2026 tog inte upp den. Utkastet kan ändras.
Förslaget till digital omnibus. Kommissionens förslag av den 19 november 2025 skulle föra in en definition av vetenskaplig forskning i GDPR och skriva om artikel 5.1 b. Europaparlamentets ärendeakt visar att förslaget väntar på beslut i utskottet (förfarande 2025/0360(COD)). Det är inte gällande rätt.
Europeiskt hälsodataområde. Förordning (EU) 2025/327 tillämpas från och med den 26 mars 2027, och kapitlet om sekundär användning från och med den 26 mars 2029.
Sverige. En ändring i etikprövningslagen (SFS 2026:1229), som enligt riksdagen.se träder i kraft den 1 juli 2027, inför en ny 6 a § som gör att viss forskning med känsliga personuppgifter får bedrivas utan etikprövning, till exempel med samtycke från en vuxen forskningsperson.

15. Checklista: välja och dokumentera den rättsliga grunden

Bekräfta att verksamheten är vetenskaplig forskning (metodiskt tillvägagångssätt, etiska standarder) och vem som är personuppgiftsansvarig.
Välj grund enligt artikel 6 innan några uppgifter samlas in, och dokumentera den nationella rätt som grunden vilar på.
Om känsliga personuppgifter ingår: välj undantag enligt artikel 9 och kontrollera nationella villkor (etikgodkännande, samråd med dataskyddsombudet, konsekvensbedömning, uttryckligt samtycke).
Håll isär forskningsetiskt medgivande att delta och samtycke enligt GDPR i blanketter och formuleringar.
Om samtycke är grunden: se till att det är specifikt, dokumenterat och möjligt att återkalla, och planera vad som händer vid återkallande.
Dokumentera skyddsåtgärderna enligt artikel 89.1: minimering, pseudonymisering, behörighetsstyrning, gallring.
Gör en förhandsbedömning och en konsekvensbedömning där det behövs.
Kontrollera att varje verktyg och leverantör (enkät, transkribering, lagring, AI) har personuppgiftsbiträdesavtal och skyddsåtgärder för överföringar.
Skriv informationen till forskningspersonerna med grund, undantag, rättigheter och eventuella begränsningar av rättigheterna.
Vid återanvändning: dokumentera resonemanget om förenlighet och den rättsliga grunden för det nya projektet.
För in behandlingen i registerförteckningen (mall för registerförteckning, på engelska).

För helhetsbilden av GDPR i utbildning, forskning och administration, se vår guide GDPR för universitet och högskolor och sidan GDPR förklarad.

Källor

Alla källor hämtades den 9 oktober 2026.

Förordning (EU) 2016/679 (dataskyddsförordningen), texten i EUT, artiklarna 5, 6, 9, 13, 14, 17, 21 och 89 samt skälen 33, 50, 156, 157 och 159 (läst via Europeiska unionens publikationsbyrå).
Europeiska dataskyddsstyrelsen (EDPB), Guidelines 05/2020 on consent under Regulation 2016/679, version 1.1, avsnitt 7.2, punkterna 153–165.
Europeiska dataskyddsstyrelsen (EDPB), Guidelines 1/2026 on processing of personal data for scientific research purposes, antagna den 15 april 2026, version för offentligt samråd, och samrådssidan.
Europeiska dataskyddsstyrelsen (EDPB), Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research, 2 februari 2021.
Europeiska dataskyddsstyrelsen (EDPB), Opinion 3/2019 on the interplay between the Clinical Trials Regulation and the GDPR, 23 januari 2019.
Europeiska dataskyddsstyrelsen (EDPB), nyhetslistan (kontrollerad för slutligt antagande av riktlinjer 1/2026) och dagordningen för plenarmötet den 17 september 2026.
Europeiska datatillsynsmannen (EDPS), A Preliminary Opinion on data protection and scientific research, 6 januari 2020.
Europeiska kommissionen (expertpanel), Ethics and data protection, 5 juli 2021.
Europaparlamentets lagstiftningsobservatorium, förfarande 2025/0360(COD), digital omnibus.
Förordning (EU) 2025/327 om ett europeiskt hälsodataområde, slutbestämmelserna om tillämpningsdatum.
Sverige: Högskolelag (1992:1434), Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och Lag (2003:460) om etikprövning av forskning som avser människor, riksdagen.se.
Norge: Personopplysningsloven (LOV-2018-06-15-38), 8–10 §§, lovdata.no.
Finland: Tietosuojalaki (1050/2018), konsoliderad version inklusive ändring 380/2026, finlex.fi.
Danmark: Databeskyttelsesloven, LBK nr. 289 af 08/03/2024, retsinformation.dk.
Nederländerna: Uitvoeringswet Algemene verordening gegevensbescherming, artiklarna 24 och 44, wetten.overheid.nl.
Frankrike: CNIL, Recherche scientifique (hors santé) : quelle base légale pour un traitement de recherche ? (6 januari 2022) och Traitements de données à des fins de recherche scientifique (hors santé) : quand saisir la CNIL ? (4 februari 2026).
Spanien: Ley Orgánica 3/2018 (LOPDGDD), disposición adicional decimoséptima, boe.es.
Portugal: Lei n.º 58/2019, de 8 de agosto, artikel 31, konsoliderad text på pgdlisboa.pt.
UK Health Research Authority, Legal basis for processing data.
Sikt, Legal bases for personal data processing in research.
Universitetet i Bergen, General principles for processing personal data in research.
Stockholms universitet, Personuppgiftsbehandling vid Stockholms universitet.
Lunds universitet, Template B: information on processing of personal data in research (Word, april 2026).
Helsingfors universitet, RDM Advanced webinar series FAQ och Emplacing Heritage data protection notice.
Aarhus universitet, Personal data in research at Aarhus University when we are the data controller och Research projects exempt from the duty to inform.
Universiteit Utrecht, samhällsvetenskapliga och beteendevetenskapliga fakulteten, Dealing with Consent in Scientific Research, 3 februari 2025.
KU Leuven / UZ Leuven, Onderzoek met minderjarigen: enkele cases.
Trinity College Dublin, Legal Basis for Research.
University of Edinburgh, Research and Data Protection Legislation (guidance for researchers) och Privacy notice for research participants.
University of Essex, Data Protection and research activity.
Universidad de Granada, Secretaría General, Producción investigadora (registerförteckning).

Om den här sidan

Källorna kontrollerades den 9 oktober 2026. Vi har läst GDPR i den version som publiceras i EUT, de dokument från EDPB, EDPS och kommissionen som anges ovan, de nationella lagarna på deras officiella eller konsoliderade publiceringsplatser och varje sida från lärosäten som vi citerar. Citat från förordningstexten återges i den officiella svenska lydelsen. Övriga citat är korta, återges på originalspråket så som de var publicerade vid kontrolldatumet och har en svensk översättning inom parentes när originalet inte är på svenska. Vår egen tolkning är märkt som Validemics analys. EDPB:s forskningsriktlinjer är ett samrådsutkast och den digitala omnibusen är ett förslag, och vi uppdaterar sidan när något av dem ändras. Sidan är allmän information, inte juridisk rådgivning. Nationell rätt, sektorsregler och lärosätets egna riktlinjer kan innebära ytterligare krav, så bekräfta den rättsliga grunden för varje projekt med ert dataskyddsombud. Om du hittar ett fel eller en inaktuell uppgift, kontakta oss så rättar vi det.

Vanliga frågor

Är samtycke den rättsliga grunden om forskningspersonerna skriver under en samtyckesblankett?

Inte automatiskt. EDPB anser att samtycke som krävs av forskningsetiska skäl eller enligt förordningen om kliniska prövningar ska skiljas från samtycke som rättslig grund enligt GDPR. Många statliga lärosäten behandlar forskningsdata som en uppgift av allmänt intresse (artikel 6.1 e) och ser den underskrivna blanketten som en etisk skyddsåtgärd. Informationen till forskningspersonerna måste ange vilken grund som faktiskt används.

Vilken rättslig grund är vanligast för forskning vid statliga lärosäten?

I Norden, Nederländerna, Belgien, Irland, Storbritannien och Spanien använder många statliga lärosäten uppgift av allmänt intresse, artikel 6.1 e, med stöd av den lag som ger dem ett forskningsuppdrag. Samtycke används fortfarande, till exempel i vissa studier med känsliga personuppgifter eller där nationell rätt kräver det. Varje personuppgiftsansvarig måste bestämma grunden per projekt och dokumentera valet.

Vad är artikel 9.2 j GDPR?

Det är det undantag som tillåter behandling av känsliga personuppgifter, till exempel om hälsa eller etniskt ursprung, när behandlingen är nödvändig för vetenskapliga forskningsändamål i enlighet med artikel 89.1. Undantaget fungerar bara tillsammans med unionsrätt eller nationell rätt som är proportionerlig och innehåller lämpliga skyddsåtgärder. Exempel är 10 § i den danska dataskyddslagen, 6 § i den finska dataskyddslagen och artikel 24 i den nederländska UAVG.

Vilka skyddsåtgärder kräver artikel 89.1 GDPR för forskning?

Lämpliga tekniska och organisatoriska åtgärder, särskilt för att principen om uppgiftsminimering ska iakttas. Pseudonymisering nämns som en möjlig åtgärd, och om forskningen kan genomföras med uppgifter som inte längre identifierar personer ska den genomföras så. I praktiken innebär det en datahanteringsplan, pseudonymiseringsnycklar som förvaras separat, behörighetsstyrning, säker lagring och begränsningar vid publicering.

Får forskare återanvända personuppgifter från ett tidigare projekt?

Ofta ja. Enligt artikel 5.1 b ska ytterligare behandling för vetenskapliga forskningsändamål inte anses vara oförenlig med det ursprungliga ändamålet, förutsatt att skyddsåtgärder enligt artikel 89.1 finns. Den personuppgiftsansvarige måste ändå säkerställa en rättslig grund och, för känsliga personuppgifter, ett undantag enligt artikel 9. Om den ursprungliga grunden var samtycke måste man kontrollera att samtycket omfattar den nya användningen.

Kan en forskningsperson dra sig ur en studie som bygger på allmänt intresse?

Personen kan avbryta sitt deltagande, och forskningsetiska regler kräver i regel att det är möjligt. Enligt GDPR gäller rätten att göra invändningar vid behandling som grundar sig på allmänt intresse, men artikel 21.6 gör att den personuppgiftsansvarige kan avslå invändningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Vid samtycke innebär ett återkallande att uppgifterna i princip måste raderas om forskningen ska fortsätta.

Har EDPB antagit slutliga riktlinjer om vetenskaplig forskning?

Inte den 9 oktober 2026. EDPB antog riktlinjer 1/2026 om behandling av personuppgifter för vetenskapliga forskningsändamål den 15 april 2026 i en version för offentligt samråd. Samrådet avslutades den 25 juni 2026. Vi hittade ingen slutlig version på EDPB:s webbplats vid kontrolldatumet, så texten kan fortfarande ändras.

Får forskare använda offentliga inlägg i sociala medier utan samtycke?

Ibland, men offentligt betyder inte fritt att använda. En rättslig grund krävs fortfarande, och känsliga uppgifter i inlägg omfattas bara av artikel 9.2 e om personen själv på ett tydligt sätt har offentliggjort dem. Forskaren måste i regel informera de berörda enligt artikel 14 eller dokumentera varför ett undantag gäller, och kontrollera plattformens villkor.