PULU - stödresurs

Ett behandlingsregister är enligt dataskyddsförordningen (GDPR) en förteckning över de behandlingar av personuppgifter en organisation ansvarar för. PULU är universitetets särskilda förteckning över de personuppgiftsbehandlingar som sker inom forskning. 

Ett korrekt och uppdaterat behandlingsregister är ett lagkrav och nödvändigt för att de individer vars personuppgifter behandlas ska kunna utöva sina rättigheter. 

Föra register över behandling - Integritetsskyddsmyndighetens webbplats 

Forskningsledare (PI)

Forskningsledaren (PI) är den som ansvarar för forskningsstudien. Mer än en person kan ha ansvar, men ange här den forskare som står som huvudsökande för projektet eller motsvarande. Om det gäller ett samarbetsprojekt med andra lärosäten ska enbart forskningsledaren vid Lunds universitet anges. 

Personuppgiftsansvar

Universitetet är personuppgiftsansvarigt om vi själva bestämmer varför och hur ett forskningsprojekt bedrivs och därmed en viss behandling av personuppgifter ska utföras. I annat fall kan universitet ha ett gemensamt ansvar, till exempel tillsammans med ett annat lärosäte. I sällsynta fall kan universitetet även vara personuppgiftsbiträde åt någon annan organisation. 

Personuppgiftsansvarig och personuppgiftsbiträde

Ändamål - syftet med behandlingen 

Ändamålet är det grundläggande syftet till varför personuppgifter behandlas. Enligt principen om ändamålsbegränsning bestämmer syftet med behandlingen av personuppgifter vilka åtgärder som får vidtas, till exempel vilka personuppgifter som får behandlas och hur de får användas. Dessa syften måste vara specifika och konkreta, och alla måste kunna förstå vad behandlingen av personuppgifter innebär. Personuppgifter får inte behandlas för andra ändamål som är oförenliga med dessa. I enlighet med principen om lagringsminimering måste syftet med behandlingen vanligtvis vara tidsbegränsat.

Exempel: Vi samlar in svar från individer på frågor om frukostvanor för att avgöra om det är hälsosammare att äta frukt än korv på morgonen.

 Grundläggande principer om personuppgiftsbehandling - Integritetsskyddsmyndighetens webbplats

Kategorier av registrerade

De personer vars personuppgifter du behandlar i din forskningsstudie kallas för registrerade. 

I många fall kommer kategorin Övrigt att vara den vanligaste kategorin, det är hit man räknar vad man kan kalla ”vanliga privatpersoner”. Exempel är personer som slumpmässigt valts ut för att besvara en enkät, sådana som rekryterats via annonser i dagspress eller personer som råkar befinna sig på en viss plats.

Kategorier av personuppgifter

Alternativen av personuppgifterna har i frågan grupperats i olika kategorier. Flera kategorier av personuppgifter kan vara relevanta, så markera alla som passar. 

Exempel: Om du ska spela in intervjuer med namngivna sjuksköterskor och prata om deras fysiska och psykiska mående så ska du kryssa i 3 kategorier: 

• Namn
• Andra identifierande uppgifter (röstinspelningen)
• Uppgifter om hälsa 

Planerar du att lämna ut personuppgifter till andra mottagare, såsom personer eller organisationer utanför Lunds universitet?

Ange här om du planerar att lämna ut personuppgifterna till någon mottagare utanför universitetet som kommer att behandla uppgifterna för något annat ändamål än din studies.

I vilka länder kommer du att hantera personuppgifter?

Hanteringen omfattar alla steg i din forskning - från insamling och analys till lagring, delning och publicering. Dataskyddsförordningen gäller oavsett var behandlingen av personuppgifter äger rum om Lunds universitet är ansvarig för forskningen. 

Det är viktigt att ta reda på i vilka länder data samlas in och lagras, både av PI och andra projektdeltagare. Om behandling av personuppgifter sker utanför EU/EES i så kallat i tredje land kan det betyda att du måste vidta särskilda säkerhetsåtgärder. 

Notera att användning av digitala verktyg som hanterar data i molntjänster innebär en överföring av personuppgifter. Det är därför viktigt att från början ta reda på vilka verktyg och digitala tjänster som är lämpliga att använda i alla delar av arbetsprocessen.

Säkerhet 

Pseudonymisering av personuppgifter räknas som en säkerhetsåtgärd, men uppgifterna är fortfarande personuppgifter och måste behandlas i enlighet med dataskyddslagstiftningen. Observera att anonymiserade uppgifter är uppgifter som aldrig eller inte längre kan härledas till någon levande person. Vid anonymisering har alla möjligheter till identifiering tagits bort och hanteringen av data räknas inte längre som en behandling av personuppgifter. 

Etikprövning räknas också som en av flera skyddsåtgärder vid behandling av känsliga personuppgifter inom forskning.

Pseudonymisering - Integritetsskyddsmyndighetens webbplats 

Etikprövning

Digitala tjänster och verktyg

Frågan syftar till att ta reda på vilka säkerhetsåtgärder de verktyg eller digitala tjänster du använder i din forskning har för att skydda personuppgifterna.

Interna verktyg:
Universitetet tillhandahåller en mängd verktyg för exempelvis analys, bearbetning och lagring av data. Om du använder interna verktyg förvaltas dessa av universitetet, och det förutsätts att de uppfyller kraven på adekvata skyddsåtgärder. Kontrollera gärna med servicedesk [at] lu [dot] se (servicedesk[at]lu[dot]se) om ett visst verktyg är lämpligt för den personuppgiftsbehandling du planerar att genomföra i din forskning.

Externa verktyg:
Om du däremot använder verktyg som INTE tillhandahålls av universitetet behöver du själv bedöma om verktyget är lämpligt för den behandling av personuppgifter som ingår i din studie. Vilka verktyg som kan användas beror på vilken typ av personuppgifter som hanteras. För vissa uppgifter krävs särskilt säkra lösningar. Ange vilka externa verktyg du använder, så att dessa finns dokumenterade. Kontakta också gärna din data steward vid fakulteten för råd kring bedömningen.

Lagra och organisera forskningsdata - forskningsstöd