Personuppgiftsansvar för examens- och avhandlingsarbeten

Forskning

Fråga:

En fråga gällande vem som är att anse som personuppgiftsansvarig för studenters och doktoranders examens- respektive avhandlingsarbeten i de fall däri ingår en personuppgiftsbehandling. Med student avses enligt högskoleförordningen (HF) 4 § den som är antagen till och bedriver högskoleutbildning och med doktorand avses en student som är antagen till och bedriver forskarutbildning.

När det gäller studenter i grundutbildning är de utifrån universitets synvinkel att betrakta som "tredje" person. Dessa studenter kommer inte i något avseende att betraktas som företrädare för myndigheten i andra fall än där de i något annat avseende har blivit kontrakterade via ett uppdragsavtal e.dyl.

När det gäller doktorander kan de sägas vara "indelade" i tre kategorier. Frågan måste då ställas utifrån perspektivet om tillhörigheten till den ena kategorin i jämförelse med någon av de andra kategorierna förändrar svaret på den ursprungliga frågan. Vid universitetet finns det således dels doktorander med doktorandanställning och dels de med utbildningsbidrag samt en tredje kategori som är externt finansierade.

Blir svaret på frågorna annorlunda i något avseende om doktoranden är en doktorand med doktorandanställning, utbildningsbidrag eller med extern finansiering?

En inledande fråga kan med utgångspunkt från ovan anförda ställas ganska enkelt. Är universitetet personuppgiftsansvarig för studenters och doktoranders examens- respektive avhandlingsarbeten?

En annan fråga med anknytning till den inledande frågan utmynnar från följande situation. Vid universitetet finns en doktorand antagen som är externt finansierad det vill säga doktoranden är anställd inom sjukvården och vid sidan av sin anställning bedrivs doktorandstudier. För sitt avhandlingsarbete får doktoranden från sjukvården känsliga personuppgifter överförda, då dessa avser enskilda patienters hälsotillstånd. Forskningspersonerna har informerats och samtycke har inhämtats. Under det att doktoranden bedriver sina doktorandstudier baserade på personuppgifterna uppkommer en situation där doktoranden önskar byta lärosäte.

Frågan ställs här utifrån antagandet att om universitetet är att anse som personuppgiftsansvarig och i den egenskapen skall anses vara "ägare" av personuppgifterna, har då universitetet rätt att använda personuppgifterna för något annat ändamål än det ändamål som doktoranden ursprungligen samlade in dem för. Personuppgfiftslagen öppnar ju upp för att personuppgifter skall kunna användas för något annat ändamål än det för vilket de ursprungligen samlades in då ett vetenskapligt ändamål inte skall anses oförenligt med det ursprungliga ändamålet. Skulle en sådan situation innebära att doktorandens insamlade personuppgifter skulle kunna användas i något annat forskningsprojekt inom universitetets verksamhet?

Förändras svaret i något hänseende om doktoranden "byts" ut mot en medarbetare anställd som forskare vid universitetet?

Svar:

Datainspektionen beklagar att du har fått vänta så länge på detta svar. Du vill veta vem som är att anse som personuppgiftsansvarig när studenter eller doktorander behandlar personuppgifter inom ramen för sina examens- respektive avhandlingsarbeten. Du undrar om det är någon skillnad avseende personuppgiftsansvaret beroende på om det är fråga om doktorander med doktorandanställning, utbildningsbidrag eller extern finansiering. Slutligen vill du veta vad som händer om en doktorand vill byta lärosäte och ta med sig insamlade forskningsdata.

Datainspektionen utgår i sin praxis från att det är universitet och högskolor som är personuppgiftsansvariga när studenter behandlar personuppgifter inom ramen för sina studier.

Observera att Datainspektionen med detta samrådssvar inte på något sätt har tagit ställning till andra rättsliga frågor som ditt samråd kan aktualisera, till exempel immaterialrättsliga frågor. De svar som ges grundas enbart på personuppgiftslagens bestämmelser.

Allmänt om personuppgiftsansvar

Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamål och medel med behandlingen av personuppgifterna. Den som är anställd och inom ramen för arbetsgivarens verksamhet behandlar personuppgifter är normalt inte att anse som personuppgiftsansvarig. Arbetsgivaren är personuppgiftsansvarig och den anställde en medhjälpare. En medhjälpare i personuppgiftslagens mening är någon som behandlar personuppgifter under den personuppgiftsansvariges ansvar. Som huvudregel får en medhjälpare endast behandla personuppgifter enligt instruktion från den personuppgiftsansvarige. Det är bara fysiska personer som kan betraktas som medhjälpare och dessa personer måste ha en sådan osjälvständig ställning som utmärker arbetstagare.

Studenter i grundutbildning — examensarbete

Examensarbetet genomförs som ett led i studentens utbildning. Det är vanligtvis en obligatorisk uppgift och ett krav för att studenten skall få en viss examen vid en högskola eller ett universitet. Examensarbetet genomförs alltid vid en institution inom universitetet eller högskolan. Utöver de bestämmelser som finns i anslutning till högskoleförordningen (1993:100) om vilka krav som skall uppfyllas för respektive examen kan varje universitet och högskola fastställa egna mål och riktlinjer. Universiteten beslutar således om lokala krav för bland annat examensarbetets kvalitet och omfattning. Val av examensarbete sker ofta i samråd med examinator som ansvarar för att uppgiftens inriktning, omfattning och nivå uppfyller de krav som ställs vid respektive utbildningsprogram. Även om studenten själv tar initiativ till och föreslår ämne är det vanligt att ämnesvalet måste godkännas av någon representant för universitetet. Examinatorn som är knuten till universitetet avgör dessutom slutligt om kraven är uppfyllda och om examensarbetet kan godkännas. Det är slutligen universitetet som utfärdar examen.

Doktorander under forskarutbildning — avhandlingsarbete

Bestämmelser om forskarutbildningen finns bland annat i högskoleförordningen. Universiteten fastställer dessutom själva lokala riktlinjer för forskarutbildningen. Det är fakultetsnämnden som ansvarar för forskarutbildningen. Varje doktorand har en handledare som har ansvaret för den enskilde doktorandens arbete och forskning. En handledare är alltid knuten till universitetet. För varje doktorand skall det upprättas en individuell studieplan som fastställs av fakultetsnämnden efter samråd med doktoranden och hans eller hennes handledare. Den individuella studieplanen skall innehålla en tidsplan för doktorandens forskarutbildning, en beskrivning av de åtaganden som doktoranden och fakultetsnämnden har under utbildningstiden samt vad som i övrigt behövs för att utbildningen skall kunna bedrivas på ett effektivt sätt. Den individuella studieplanen skall följas upp av fakultetsnämnden minst en gång varje år. Fakultetsnämnden kan vid behov göra ändringar i den individuella studieplanen. Fakulteten har möjlighet att avskilja en doktorand som i väsentlig utsträckning åsidosätter sina förpliktelser. Universiteten skall således kontrollera hur arbetet fortskrider och har möjlighet att avskilja studenter som inte sköter sina åtaganden.

Finns det någon skillnad mellan doktorander med doktorandanställning, utbildningsbidrag och doktorander med extern finansiering?

Samtliga doktorander har, oavsett hur de finansierar sina studier, antagits till forskarutbildningen vid ett visst universitet eller högskola. Universitetet eller högskolan har sällan direkt fysisk kontroll över personuppgifterna. Studenten tar initiativ till och styr i viss mån själv hur avhandlingsarbetet skall bedrivas. Däremot har universiteten i samtliga fall ett avgörande inflytande över exempelvis ämnesvalet och därmed om personuppgifter skall hanteras inom ramen för det aktuella arbetet. Enligt Datainspektionens uppfattning befinner sig såväl studenter som doktorander i en sådan ställning i förhållande till universitet att de är att jämställa med arbetstagare. De kan således inte betraktas som personuppgiftsansvariga.

En annan fråga är om finansieringen har någon betydelse för personuppgiftsansvaret. Kan finansiärerna i något fall betraktas som personuppgiftsansvariga? Hur en doktorand ordnar finansieringen av sitt avhandlingsarbete saknar i normalfallet betydelse för frågan om vem som är personuppgiftsansvarig. Doktorandstudierna bedrivs vid ett visst universitet eller högskola, oavsett vilken finansiering som ordnas. Enbart det faktum att någon bidrar ekonomiskt till ett visst projekt innebär inte att bidragsgivaren blir personuppgiftsansvarig. Om finansiären däremot har ett bestämmande inflytande över ändamålet med ett visst forskningsprojekt, som vid uppdragsforskning, kan finansiären vara personuppgiftsansvarig ensam eller tillsammans med universitetet.

I samtliga beskrivna fall behandlar studenterna personuppgifter för att kunna fullgöra ett obligatoriskt kursmoment vid ett visst universitet eller en högskola. Examensarbetet eller doktorsavhandlingen är ett krav för att de skall kunna få sin examen vid det aktuella lärosätet. Universitetet har inflytande över bland annat ämnesvalet och kontrollerar fortlöpande att studenterna uppfyller kraven. Vare sig studenter i grundutbildning eller doktorander har en så självständig ställning i förhållande till universitetet att de är att betrakta som personuppgiftsansvariga. Även om det kan vara svårt för universitetet att fysiskt kontrollera hur enskilda studenter hanterar personuppgifter inom ramen för sina examensarbeten är det respektive universitet eller högskola som är personuppgiftsansvarig för behandlingen. Personuppgiftsansvaret avser den behandling av personuppgifter som utförs inom ramen för examens- eller avhandlingsarbetet. Det innebär att universitet och högskolor har ansvar för att se till att även studenter i grundutbildning har kunskaper i dataskyddsfrågor och hanterar personuppgifter i enlighet med gällande lagstiftning. I universitetens uppgifter ingår följaktligen att under skadeståndsansvar se till att studenter och doktorander hanterar personuppgifter på ett lagligt sätt.

Om en doktorand byter lärosäte

Datainspektionen har inga möjligheter att uttala sig om hur det förhåller sig med eventuella immateriella rättigheter till insamlade forskningsdata. Nedanstående uttalanden görs med utgångspunkt från de integritetsskyddsbestämmelser som finns.

Ett samtycke enligt personuppgiftslagen avser en eller flera specifika behandlingar av personuppgifter. Den behandling av personuppgifter som utförs inom ramen för ett visst forskningsprojekt genomförs med stöd av forskningspersonernas uttryckliga samtycke. Skall uppgifterna användas i ett annat projekt är det fråga om en ny behandling av personuppgifter. Avser någon att återanvända insamlade personuppgifter i ett nytt forskningsprojekt krävs således antingen ett nytt informerat samtycke eller att en etikprövningsnämnd har godkänt att känsliga personuppgifter behandlas utan samtycke. Om en annan forskare däremot behandlar uppgifter inom ramen för samma projekt krävs som regel inget nytt samtycke eftersom det inte är fråga om en ny behandling.

Om en forskare avser att fortsätta sitt avhandlingsarbete vid ett annat lärosäte uppkommer frågan om vad som inryms i det samtycke som forskningspersonerna lämnade när de accepterade att deras känsliga personuppgifter skulle användas inom ramen för en viss forskningsstudie. Innan forskningspersonerna lämnar sitt samtycke har de rätt att få information, bland annat om vem som är personuppgiftsansvarig för den behandling av personuppgifter som skall utföras inom ramen för forskningsstudien. Under förutsättning att ändamålet med att behandla personuppgifter i avhandlingsarbetet inte ändras på grund av forskarens byte av lärosäte krävs i normalfallet inte något nytt samtycke från forskningspersonerna. Av betydelse för bedömningen är dock vilken information forskningspersonerna ursprungligen har fått. Något generellt svar som är tillämpligt i alla tänkbara situationer är inte möjligt att ge utan frågan måste alltid avgöras med hänsyn till omständigheterna i det enskilda fallet. Forskningspersonerna måste i vart fall informeras om att det är en ny personuppgiftsansvarig och få möjlighet att återkalla sitt samtycke.

(februari 2005)

Personuppgiftsombudet


Samrådsyttranden
Ett personuppgiftsombud kan fråga Datainspektionen om råd när han eller hon är osäker på vilka regler som gäller för hur personuppgifter ska behandlas eller hur de ska användas. På de här sidorna har vi samlat en del av dessa samrådsfrågor och -svar som kan vara av allmänt intresse.

Till listan med samrådsyttranden

Frågor & svar

För dig som vill veta mer har Datainspektionen sammanställt en mängd vanliga frågor och svar om personuppgiftslagen och andra områden.