Utlevering av individdata til forskning og dispensasjon fra taushetsplikten
Informasjon om regelverk og hvordan søke om utlevering av individdata og annen data som er underlagt lovbestemt taushetsplikt.
Hvilke opplysninger krever at du må søke om dispensasjon?
Når er det nødvendig å søke om dispensasjon fra taushetsplikten?
NAV har fullmakt til å dispensere fra taushetsplikten for opplysninger til bruk for forskning i saker innenfor Arbeids- og velferdsdirektoratets ansvarsområde, som for eksempel folketrygdloven, arbeidsmarkedsloven, barnetrygdloven og kontantstøtteloven. For å kunne få tilgang til individdata eller andre data som er underlagt lovbestemt taushetsplikt, må forskeren søke om dispensasjon fra taushetsplikten etter forvaltningsloven (§ 13 d).
Du må sende søknaden til Arbeids- og velferdsdirektoratet, hvis det gjelder tilgang til
- direkte eller indirekte identifiserbare personopplysninger eller andre statistiske enheter
- saksdokumenter i enkeltsaker
- diagnosedata
Ønsker du hjelp fra NAV til å komme i kontakt med ulike brukergrupper?
Vi kan ikke utlevere brukernes kontaktopplysninger direkte til forskningsprosjekter.
For å komme i kontakt med NAVs brukere for å be om samtykke til å delta i intervjuer og spørre- eller brukerundersøkelser, er det en forutsetning at forskningen støtter NAVs samfunnsoppdrag og målsettinger. Om NAV kan bistå med en slik førstegangskontakt, vil også avhenge av tilgjengelige ressurser internt i NAV.
Du som forsker har selv ansvar for å ta kontakt med den enheten i NAV som du ønsker å jobbe sammen med om prosjektet, og avklare mulighetene for å få hjelp til å sende opplysninger om prosjektet til aktuelle brukere.
Selv om opplysningene som prosjektet ønsker vil være basert på samtykke, må du be oss om å vurdere om prosjektet oppfyller kriteriene om å støtte NAVs samfunnsoppdrag og målsettinger. Da kan vi legge til rette for at den NAV-enheten, som du skal samarbeide med, kan hjelpe med å innhente samtykkene fra brukerne.
Hvilke opplysninger er underlagt lovbestemt taushetsplikt i NAV?
- Opplysninger om noens personlige forhold er taushetsbelagte. - Dette gjelder også opplysninger som røper et klientforhold, og opplysninger som i kombinasjon kan identifisere en enkeltperson. - Taushetsplikten gjelder også opplysninger om fødested, fødselsdato, personnummer, statsborgerforhold, sivilstand, yrke, bopel og arbeidssted.
- Opplysninger om tekniske innretninger og fremgangsmåter, samt drifts- eller forretningsforhold som har konkurransemessig betydning er taushetsbelagte.
Når trenger du ikke å søke om dispensasjon fra taushetsplikten?
Det er ikke nødvendig å søke om dispensasjon fra taushetsplikten etter forvaltningsloven, hvis:
- personen som har krav på taushet samtykker - Du kan be oss om å vurdere samtykkeskjemaet før du starter å innhente samtykkene, slik at samtykkene fyller vilkårene som gyldig grunnlag for å utlevere opplysninger.
- utleveringen av opplysningene skjer i statistisk form.
- opplysningene gis i anonymisert form ved å utelate individualiserende kjennetegn. Se også begrepsavklaringen nedenfor.
- opplysningene ikke inneholder individdata eller virksomhetsdata som er underlagt lovbestemt taushetsplikt
Du kan søke SSB direkte om opplysninger som NAV utleverer til SSB via forskningsdatabasen FD-trygd.
NAV utleverer data til Statistisk sentralbyrå (SSB) etter statistikkloven. Det gjelder blant annet data om sysselsetting, arbeidssøking, ulike statlige trygdeytelser, økonomisk sosialhjelp og demografi. For en oversikt over hva FD-trygd inneholder, gå til SSB.
SSB kan selv gi tillatelse til bruk av slike registerdata fra NAV. I disse sakene er det tilstrekkelig med én søknad til SSB, istedenfor flere til ulike registereiere. Se veiledning om søknad til SSB. Dersom SSB likevel finner at en søknad må behandles av NAV, vil SSB henvise hit.
Forskningsinstitusjoner og forskningsmiljøer som ikke står på SSBs liste over godkjente forskningsinstitusjoner, må alltid sende søknad om dispensasjon fra taushetsplikt til forskning direkte til Arbeids- og velferdsdirektoratet. Dette gjelder blant annet enkelte utdanningsinstitusjoner.
Om søknadsprosessen
Hva du må gjøre før du søker om dispensasjon fra taushetsplikten
Du skal i forkant ha vurdert om du kan innhente opplysningene på andre måter, uten at det kreves dispensasjon fra taushetsplikten, for eksempel ved å innhente samtykke fra de berørte eller ved å benytte anonymiserte data og statistikk.
Du må ha en prosjektbeskrivelse som beskriver hvilke konkrete opplysninger prosjektet skal behandle og på hvilken måte opplysningene skal behandles.
Behandling av søknaden
Du kan ikke få tilgang til opplysninger som er underlagt taushetsplikt før vi har fattet et vedtak om dispensasjon fra taushetsplikten etter forvaltningsloven. Du må regne med noe saksbehandlingstid.
I dispensasjonsvedtaket kan vi stille vilkår for behandling av opplysningene i forskningsprosjektet.
Etter at vi har fattet vedtaket om dispensasjon, vil en annen enhet i NAV forberede utlevering av opplysningene. Når det er bedt om tilgang til registerdata er det normalt Statistikkseksjonen i direktoratet som utleverer dataene basert på det vedtaket som er gitt. For veiledning om dette kan du ta kontakt med Statistikkseksjonen direkte: nav.statistikk@nav.no.
Hva skal søknaden om dispensasjon fra taushetsplikten til forskning inneholde?
Du skal benytte dette søknadsskjemaet. Sammen med skjemaet må du legge ved:
- Prosjektbeskrivelse
- Variabelliste
- Se her for et eksempel på hvordan en variabelliste skal se ut.
- Du finner detaljert variabeloversikt over individdata, samt oversikt over kjente statistikkfordelinger på saksdata på denne siden.
- Personvernkonsekvensvurdering (PVK/DPIA)
- Eventuelle godkjenninger og dispensasjoner som er gitt fra andre forvaltningsorganer eller Regionale komiteer for medisinsk og helsefaglig forskningsetikk (REK)
Opplysningene i søknadsskjemaet er ikke underlagt taushetsplikt, med mindre du ber om unntak etter offentleglova.
Du kan sende søknaden med vedlegg til arbeids.og.velferdsdirektoratet@nav.no, med emne «Dispensasjon – forskerdata». Ved veiledning til søknad kan du ta direkte kontakt på nav.juridisk.avdeling@nav.no.
Vi oppfordrer deg til ikke å sende taushetsbelagte eller særlige kategorier personopplysninger via e-post. Vi gjør oppmerksom på at vanlig e-post er usikret og ukryptert.
Vår adresse for vanlig post er:
Arbeids- og velferdsdirektoratet, Juridisk avdeling v/ Rettsseksjonen, Postboks 5 St. Olavs plass, 0130 Oslo
Datasikkerhet og personvern
Ansvar for behandlingen av opplysningene
I henhold til personvernforordningen er det forskningsinstitusjonen tilknyttet forskningsprosjektet som er behandlingsansvarlig for opplysningene som utleveres etter at det er gitt dispensasjon fra taushetsplikten.
Behandlingsansvarlig må selv sørge for at behandlingen av opplysningene har dekning i et gyldig behandlingsgrunnlag, at personvernprinsippene følges, og at det blir inngått eventuelle nødvendige databehandleravtaler. For veiledning kan du kontakte forskningsinstitusjonens personvernombud eller for eksempel Norsk senter for forskningsdata (NSD).
Alle opplysninger som blir utlevert fra NAV må lagres slik at uvedkommende ikke får tilgang. Alt materiale som ikke er fullstendig anonymisert og der identifikasjon kan være mulig, må oppbevares innelåst eller tilsvarende elektronisk sikret.
Her kan du lese mer om personvern i NAV.
Begrepsavklaringer
Personopplysninger er enhver opplysning om en identifisert eller identifiserbar fysisk person.
Behandling er enhver operasjon eller rekke av operasjoner som blir gjort med personopplysninger, for eksempel innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring.
Identifiserbare fysiske personer er personer som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet.
Direkte identifiserbare opplysninger er opplysninger som viser direkte til et bestemt individ, f.eks. navn eller personnummer.
Indirekte identifiserbare opplysninger er opplysninger som når de kombineres kan avsløre et bestemt individs identitet. For eksempel kan kombinasjonen av opplysninger om kjønn, alder og en bestemt diagnose i en bedrift med få ansatte kunne gjøre det mulig for personer med kjennskap til bedriften å forstå hvem det er. Også opplysninger som er erstattet med løpenummer eller kode som fortsatt kan tilbakeføres til de opprinnelige opplysningene, f.eks. gjennom en liste eller koblingsnøkkel, er indirekte identifiserbare opplysninger. Slike opplysninger er omfattet av taushetsplikten.
Anonyme opplysninger er informasjon som ikke på noe vis kan identifisere enkeltpersoner i et datamateriale, hverken direkte gjennom navn eller personnummer, indirekte gjennom en kombinasjon av flere bakgrunnsopplysninger, eller gjennom en koblingsnøkkel eller en krypteringsformel. Slike opplysninger er ikke underlagt taushetsplikt.
Pseudonymisering er en behandling av personopplysninger på en slik måte at personopplysningene ikke lenger kan knyttes til et bestemt individ uten bruk av tilleggsopplysninger, forutsatt at tilleggsopplysningene lagres atskilt og er sikret av tekniske og organisatoriske tiltak, som hindrer at personopplysningene ikke uten videre kan knyttes til en identifisert eller identifiserbar fysisk person. Etter tidligere personopplysningslov ble en slik behandling omtalt som avidentifisering.
Personopplysninger er avidentifiserte eller pseudonymiserte dersom navn, personnummer eller andre personentydige kjennetegn er erstattet med et løpenummer, en kode, fiktive navn eller lignende, ved at det er opprettet en koblingsnøkkel. Avidentifiserte eller pseudonymiserte personopplysninger er underlagt taushetsplikt så lenge koblingsnøkkelen eksisterer, og identifikasjon er teoretisk mulig. Ofte vil avidentifiserte/pseudonymiserte opplysninger ha en restrisiko for indirekte identifikasjon og er derfor taushetsbelagte.
Koblingsnøkkel er en atskilt liste som knytter de opprinnelige direkte identifiserende personopplysningene til løpenummeret, koden, det fiktive navnet eller lignende, som erstatter disse i det avidentifiserte/pseudomyniserte datasettet.
Behandlingsansvarlig er en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes.
Databehandler er en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige, og som er underlagt instruks om behandlingen av opplysningene fra den behandlingsansvarlige.
Samtykke er enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den som opplysningene gjelder, hvor vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av dens personopplysninger.
Kontakt- og søknadsinformasjon:
Vennligst presiser i emnefeltet temaet for henvendelsen.
- Henvendelser om å forske på NAV: fou@nav.no
- Bestilling av data: nav.statistikk@nav.no
- Analysespørsmål og bestilling av analysepublikasjoner: arbeid.og.velferd@nav.no
- Pressehenvendelser: presse@nav.no
- Søknad om dispensasjon fra taushetsplikten: send søknadsskjema med vedlegg til arbeids.og.velferdsdirektoratet@nav.no, med emne «Dispensasjon – forskerdata».