Retningslinjer for søknad om utlevering av personopplysninger fra IMDis registre til forskning

Slik går du fram for å få utlevert personopplysninger fra IMDis registre i forbindelse med forskning.

Sist oppdatert: 1. november 2022

1. Innledning

Disse retningslinjene gir veiledning til hvordan man går frem dersom man ønsker å innhente personopplysninger fra IMDis registre, opprettet i medhold av integreringsloven og introduksjonsloven, til bruk i forskning. Dette inkluderer Nasjonalt introduksjonsregister (NIR) og system for bosetting (Bosetting). Retningslinjene inneholder også informasjon om hvordan søknader om utlevering av personopplysninger fra NIR og Bosetting blir behandlet av IMDi.

Retningslinjene gjelder for søknad om personopplysninger som er registrert i blant annet:

NIR om

opplæring i norsk og samfunnskunnskap for asylsøkere i mottak
kvalifisering i mottak for personer med innvilget oppholdstillatelse
opplæring i norsk og samfunnskunnskap
introduksjonsprogram
tilskudd for de ulike typene opplæring

Bosetting om

bosetting av flyktninger
kompetansekartlegging
karriereveiledning

2. Rettslig grunnlag for behandling av personopplysninger i IMDis registre

Det rettslige grunnlaget for behandling av personopplysninger i IMDis registre følger av lov om integrering gjennom opplæring, utdanning og arbeid (integreringsloven) og lov om introduksjonsordning og norskopplæring for nyankomne innvandrere (introduksjonsloven).

IMDis registre NIR og Bosetting er opprettet med hjemmel i integreringsloven § 43 første ledd og introduksjonsloven § 25a.

Hovedformålet med opprettelsen av NIR er å dokumentere hvem som deltar i:

opplæring i norsk og samfunnskunnskap for asylsøkere i mottak
kvalifisering i mottak for personer med innvilget oppholdstillatelse
opplæring i norsk og samfunnskunnskap og
introduksjonsprogrammet

Hovedformålet med opprettelsen av Bosetting er å ha et nasjonalt saksbehandlingsverktøy for bosetting av flyktninger.

3. Rettslig grunnlag for utlevering og innhenting av personopplysninger til forskning

Behandlingsgrunnlag i GDPR artikkel 6, 9 og 10
All behandling av personopplysninger krever et rettslig grunnlag, et såkalt behandlingsgrunnlag. Dette følger av EUs personvernforordning (GDPR). Utlevering og innhenting av personopplysninger er å anse som «behandling» etter GDPR art 4 nr. 2). Dette innebærer at IMDi må ha et rettslig grunnlag for utlevering av opplysninger til forskning og at den som ønsker å innhente opplysninger for forskning må ha et rettslig grunnlag for sin innhenting og videre behandling av opplysningene.

Reglene om rettslig grunnlag finner vi i GDPR artikkel 6, 9 og 10. All behandling av personopplysninger må ha grunnlag i GDPR artikkel 6, mens behandling av særlige kategorier personopplysninger må ha grunnlag i GDPR artikkel 9, i tillegg til artikkel 6.

GDPR artikkel 6 nr. 1 lister opp seks alternative grunnlag for behandling av personopplysninger. For utlevering av personopplysninger fra IMDis registre til forskning er GDPR artikkel 6 nr. 1 bokstav e det mest aktuelle behandlingsgrunnlaget. Bestemmelsen åpner for behandling av personopplysninger når det er nødvendig for å utføre en oppgave i allmennhetens interesse. IMDi legger til grunn at allmennheten har en interesse i at det vinnes ny kunnskap på IMDis forvaltningsområde. Samtykke, jf. GDPR artikkel 6 nr. 1 bokstav a, kan også være et aktuelt behandlingsgrunnlag for innhenting av personopplysninger til bruk i forskning. Se mer om samtykke som behandlingsgrunnlag i kapittel 4.

GDPR artikkel 6 nr. 1 bokstav e) er derfor behandlingsgrunnlag både for IMDis utlevering av personopplysninger og som hovedregel for søkers innhenting av personopplysninger til bruk i forskning.

Supplerende rettsgrunnlag i nasjonal rett
I tillegg til behandlingsgrunnlag i GDPR artikkel 6 nr. 1 må det foreligge en hjemmel i nasjonal rett, det vil si et supplerende rettsgrunnlag for IMDis utlevering og forskers innhenting av personopplysninger til bruk i forskning, jf. GDPR artikkel 6 nr. 3.

Supplerende rettsgrunnlag for IMDis utlevering
For IMDis utlevering av personopplysninger utgjør integreringsforskriften § 62 et slikt supplerende rettsgrunnlag. Tilsvarende bestemmelse finner vi i § 18 i forskrift om behandling av personopplysninger etter introduksjonsloven. Av bestemmelsen følger at viderebehandling av personopplysninger til forskning og analyse er forenlig med formålene i integreringsloven § 41 første ledd, jf. personvernforordningen artikkel 5 nr. 1 bokstav b.

GDPR artikkel 5 nr.1 bokstav b) oppstiller et forbud mot viderebehandling av innsamlede personopplysninger som er uforenlig med de opprinnelige formålene («formålsbegrensningen»), men sier at viderebehandling for formål knyttet til vitenskapelig forskning ikke skal anses som uforenlig med de opprinnelige formålene.

Supplerende rettsgrunnlag for forskers innhenting
Når det gjelder forskeres innhenting av personopplysninger vil personopplysningsloven § 8 utgjøre det supplerende rettsgrunnlaget i nasjonal rett. Bestemmelsen fastslår at personopplysninger kan behandles på grunnlag av personvernforordningen GDPR artikkel 6 nr. 1 bokstav e) dersom det er nødvendig for formål knyttet til vitenskapelig forskning. Det er et vilkår at behandlingen er omfattet av nødvendige garantier i samsvar med GDPR artikkel 89 nr. 1.

Særlige kategorier personopplysninger

Dersom forsker ønsker utlevert særlige kategorier personopplysninger, må behandlingen ha hjemmel i artikkel 9, i tillegg til artikkel 6. Med «særlige kategorier personopplysninger» menes opplysninger om

rasemessig eller etnisk opprinnelse
politisk oppfatning
religion
filosofisk overbevisning eller fagforeningsmedlemskap
helseopplysninger
en fysisk persons seksuelle forhold eller seksuelle orientering
behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person

GDPR artikkel 9 nr. 2 bokstav j) åpner for behandling av særlige kategorier opplysninger for formål knyttet til blant annet vitenskapelig forskning, så sant behandlingen også har hjemmel i nasjonal rett (supplerende rettsgrunnlag) og denne står i et rimelig forhold til det mål som søkes oppnådd, er forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikrer egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

Supplerende rettsgrunnlag for IMDis utlevering og forskers innhenting av særlige kategorier personopplysninger
I personopplysningsloven § 9 finner vi supplerende rettsgrunnlag for IMDis utlevering og forskers innhenting av særlige kategorier personopplysninger. Bestemmelsen slår fast at særlige kategorier personopplysninger kan behandles dersom behandlingen er nødvendig for formål blant annet knyttet til vitenskapelig forskning, og samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte. Behandlingen skal være omfattet av nødvendige garantier i samsvar med GDPR artikkel 89 nr. 1.

Personopplysninger om asylsøkere er ikke å anse som særlige kategorier personopplysninger. Uavhengig av dette, skal utlevering og innhenting av personopplysninger knyttet til denne gruppen ha særskilt beskyttelse. Bakgrunnen for dette er at asylsøkere er å anse som en «sårbar gruppe» (sårbare fysiske personer), jf. GDPR fortalepunkt 75 og The Working Party on the protection of individuals with regard to the processing of personal data (WP29 248) side 9 punkt 7.

Hva må være oppfylt for at IMDi skal kunne levere ut personopplysningene

«Vitenskapelig forskning»
Det er et krav både etter personopplysningsloven §§ 8 og 9 og integreringsforskriften § 62 at formålet med behandlingen er knyttet til «vitenskapelig forskning».

For at IMDi skal kunne levere ut personopplysningene må du derfor dokumentere at opplysningene skal benyttes til forskningsformål, for eksempel gjennom en prosjektbeskrivelse og beskrivelse av forskningsinstitusjonen du er tilknyttet m.m.

Personopplysningene må være «nødvendige»

Det er et krav både etter personopplysningsloven §§ 8 og 9 at personopplysningene som innhentes er nødvendige for formålet (formålsbegrensningen).

For at IMDi skal kunne levere ut personopplysningene må du derfor gjøre grundig rede for hvorfor du har behov for nettopp disse opplysningene, at du trenger alle opplysningene du etterspør og behovet må være forankret i formålet med forskningsprosjektet. Dersom du ønsker utlevert særlige kategorier opplysninger, må du kunne begrunne, ut fra formålet med forskningsprosjektet ditt, hvorfor det er helt nødvendig å få utlevert denne typen opplysninger også.

Samfunnets interesse i at forskningen finner sted, må klart overstige ulempene for den enkelte
Dersom du ønsker utlevert særlige kategorier personopplysninger, krever personopplysningsloven at samfunnets interesse i at forskningen finner sted klart overstiger ulempene for den enkelte. Her vil forskningsinteressene måtte veies opp mot eventuelle ulemper for andre interesser. Vurderingen av ulemper for den enkelte vil være knyttet til det å ivareta interessene til de personene som opplysningene gjelder. Det er først og fremst IMDi som må foreta en skjønnsmessig avveining her, men for at IMDi skal kunne gjøre dette er det viktig at søknaden inneholder en grundig begrunnelse for hvorfor det er nødvendig å få utlevert personopplysningene.

Å utlevere opplysninger om enkeltpersoner til andre enn de som har samlet dem inn, uten samtykke, vil per definisjon representere en ulempe for den enkelte. Dette fordi den enkeltes personopplysninger er en del av vedkommendes personlige integritet og omfattes av den enkeltes rett til privatliv.

I Prop. 89 L (2019–2020) Lov om integrering gjennom opplæring, utdanning og arbeid (integreringsloven), punkt 11.4.4, uttaler departementet følgende om behovet for forskning på integreringsfeltet: Forskning er helt sentralt i videreutviklingen av integreringslovens ordninger. Statistikk, evalueringer og kunnskapsoppsummeringer gir kunnskap om hva som fungerer og ikke fungerer, og hvilke forbedringspunkter som finnes. Dette gir et sterkere grunnlag for å videreutvikle ordningene og sette i gang nye tiltak som forbedrer tilbudet for de som allerede er her, og nye innvandrere som kommer til Norge.

Med utgangspunkt i momentene som er nevnt over vil IMDi foreta en konkret vurdering av om samfunnets interesse i at forskningen finner sted klart overstiger ulempene for den enkelte.

Foreligger det nødvendige garantier etter GDPR artikkel 89
Av personvernforordningen artikkel 5 nr. 1 bokstav b, som integreringsforskriften § 62 henviser til, fremgår at dersom personopplysninger viderebehandles for forskningsformål, skal dette skje i samsvar med personvernforordningen artikkel 89 nr. 1. Tilsvarende krav følger av personopplysningsloven §§ 8 og 9. Kravene i personvernforordningen artikkel 89 nr. 1 gjelder derfor både for IMDis utlevering og forskers innhenting av personopplysninger.

Krav om vurdering av den behandlingsansvarliges personvernombud
For behandling av særlige kategorier personopplysninger, jf. personopplysningsloven § 9, gjelder i tillegg at behandlingen skal være vurdert av den behandlingsansvarliges personvernombud, eventuelt at det er gjennomført en personkonsekvensvurdering i tråd med GDPR artikkel 35.

Tekniske og organisatoriske tiltak for å sikre den registrertes rettigheter
GDPR artikkel 89 nr.1 stiller krav om «nødvendige garantier» for å sikre den registrertes rettigheter når personopplysninger skal benyttes til vitenskapelig forskning.

Garantiene skal sikre at det er innført tekniske og organisatoriske tiltak for særlig å sikre at prinsippet om dataminimering overholdes, jf. personvernforordningen artikkel 5 nr.1 bokstav c. Typiske tiltak vil være anonymisering og pseudonymisering. IMDis utgangspunkt er derfor at personopplysningene utleveres anonymisert eller pseudonymisert.

Anonymisering

Anonymisering innebærer at man fjerner muligheten for å identifisere enkeltpersoner i et datasett. Anonymisering er et viktig virkemiddel for å kunne hente ut verdifull innsikt ved dataanalyse, samtidig som risikoen reduseres for berørte personer. Når personopplysninger anonymiseres, regnes de ikke lenger som personopplysninger. Behandlingen av opplysningene faller da utenfor personopplysningsloven.

Pseudonymisering

Anonymisering eller pseudonymisering er imidlertid ikke den eneste måten å oppfylle kravet om «nødvendige garantier» i personvernforordningen artikkel 89 nr.1 på. At anonymisering ikke er et absolutt krav understøttes også av forbeholdet i integreringsloven § 42 andre ledd, siste setning; Dersom det er tilstrekkelig for å oppnå formålet, skal opplysningene kun utleveres i statistisk form eller ved at individualiserende kjennetegn utelates på annen måte.

Direkte og indirekte identifisering

Mange personopplysninger som søkes utlevert fra IMDis registre vil ikke være direkte personidentifiserende, for eksempel kjønn og statsborgerskap. Men ved en sammenstilling av opplysningene vil personer indirekte kunne identifiseres, for eksempel ved sammenstilling av kjønn, statsborgerskap og bosettingskommune. I slike tilfeller vil IMDi søke å gjøre personidentifikasjonen så lite direkte og tydelig som mulig ved blant annet å erstatte personindikator med et løpenummer (avidentifisert identifikator).

Dataminimeringsprinsippet

Dataminimeringsprinsippet innebærer ellers at personopplysninger skal være «adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for», jf. GDPR artikkel 5 nr. 1 bokstav c.

I forbindelse med søknad om utlevering av personopplysninger vil IMDi derfor vanligvis be om et møte for konkret gjennomgang av opplysningene som ønskes ulevert. Formålet med møtet er å komme fram til hvilke personopplysninger som kan utleveres på bakgrunn av formålet med forskningen og kravene til formålsbegrensning og kravene til relevante og adekvate opplysninger. Resultatet av en slik gjennomgang vil kunne føre til at søknaden justeres, for eksempel at enkelte opplysninger tas ut av søknaden fordi datakvaliteten på opplysningene som ønskes utlevert ikke har høy nok standard, eller at opplysningene ikke er nødvendige for forskningsformålet.

Øvrige prinsipper for behandling av personopplysninger

Når det gjelder de øvrige prinsippene for behandling av personopplysninger i personvernforordningen, det vil si kravene til riktighet, lagringsbegrensning, integritet og konfidensialitet i artikkel 5 nr. 1 bokstav d), e) og f) vil IMDi vurdere dette ut fra hva som er oppgitt i søknadsskjemaet. Det er derfor viktig at søker beskriver grundig hvordan disse prinsippene vil bli ivaretatt, gjerne i form av en utfyllende personvernkonsekvensvurdering, i tillegg til det som opplyses i søknadsskjemaet. IMDi vil etterspørre ytterligere informasjon dersom søker ikke har beskrevet godt nok hvordan disse prinsippene vil bli ivaretatt.

4. Samtykke som behandlingsgrunnlag

Et alternativt behandlingsgrunnlag for utlevering og innhenting av personopplysninger til forskningsformål er samtykke fra den registrerte. Dette følger av GDPR artikkel 6 første ledd bokstav a). Dersom prosjektet involverer feltarbeid i kommuner eller intervju av personer i målgruppen, må forskerne selv informere deltakerne om prosjektet og innhente samtykke. Samtykket som innhentes må være gyldig. Dette innebærer at samtykket må være

frivillig
spesifikt
informert
utvetydig
gitt gjennom en aktiv handling
dokumentert
mulig å trekke tilbake underveis

Informasjonen bør gis på deltakerens morsmål eller et annet språk som personen forstår godt. Det bør videre tas hensyn til at asylsøkere regnes som en sårbar gruppe (sårbare fysiske personer), jf. GDPR fortalepunkt 75 og The Working Party on the Protection of Individuals with Regard to the Processing of Personal Data (WP29 248) side 9 punkt 7. Dette gjelder særlig når personen informeres om forskningen og det innhentes samtykke. Informasjonen kan gis muntlig eller skriftlig. Skriftlig informasjon sikrer i større grad at de registrerte har nødvendig informasjon, og kan kontakte ansvarlig forsker ved eventuelle spørsmål eller dersom vedkommende ønsker å trekke seg.

Det bør tydelig fremkomme hvor lenge samtykket gjelder.

Den som samtykker, må ha fått informasjon om at valget ikke har betydning for utfallet av en eventuell søknadsbehandling og rettigheter vedkommende måtte ha i kommunen.

5. Godkjenninger fra andre instanser

Det finnes en rekke andre instanser som det kan være aktuelt å involvere i planleggingen og gjennomføring av et forskningsprosjekt som skal behandle personopplysninger. Det forutsettes at søker innretter seg etter eventuelle forskningsetiske retningslinjer og innhenter uttalelser og vurderinger der det er nødvendig.

Sikt – Kunnskapssektorens tjenesteleverandør (tidligere NSD (Norsk senter for forskningsdata AS)) drifter et system som gir oversikt over behandling av personopplysninger og vurdering av bruk av personopplysninger i innmeldte forskningsprosjekt, både i forkant, underveis og ved avslutning av forskningsprosjekt.

De nasjonale forskningsetiske komiteene (FEK) er det viktigste nasjonale fagorganet for forskningsetikk. De har flere faglig uavhengig komiteer og utvalg i organisasjonen. Regionale komiteer for medisinsk og helsefaglig forskningsetikk (REK) skal forhåndsgodkjenne medisinske og helsefaglige forskningsprosjekter, se helseforskningsloven kapittel 3. Tilrådning fra REK skal sendes IMDi som vedlegg til søknaden.

6. Forskernes taushetsplikt

Alle som utfører tjeneste eller arbeid i forbindelse med en forskningsoppgave som et forvaltningsorgan har støttet, godkjent eller gitt opplysninger undergitt taushetsplikt til, plikter å hindre at andre får adgang eller kjennskap til disse opplysningene, se forvaltningsloven § 13 e.

Forskerne har ikke bare taushetsplikt om opplysninger vedkommende får fra IMDi eller under intervjuer, men har også taushetsplikt overfor IMDi om opplysninger fra personer det er formidlet kontakt med, se forvaltningsloven § 13 e første ledd nummer 3. Bruk av opplysninger fra registeret til forskning forutsetter som hovedregel at identifiserbare opplysninger ikke fremgår av publikasjoner.

7. Slik søker du, behandlingen av søknaden og annen praktisk informasjon

Slik søker du

For å søke om data fra IMDinett må du laste ned søknadsskjema, fylle det inn og sende det til IMDi på post@imdi.no.

Søknadsskjema for utlevering av personopplysninger fra IMDis registre.docx (Word, 49 KB)

Ved spørsmål om utforming av søknad, tilgjengelige opplysninger el. er det mulig å kontakte IMDi med spørsmål i forkant av innsendelsen av søknaden.

Behandling av søknaden

En forespørsel om utlevering av opplysninger må sendes til IMDi i god tid før planlagt start av prosjektet. Den som søker utlevering, må normalt påberegne minimum 8 uker på søknadsbehandlingen i IMDi. For å få til en effektiv behandling av søknaden må IMDi ha mottatt utfylt søknadsskjema og nødvendige vedlegg.

I noen tilfeller vil IMDi invitere til et møte for å gå gjennom søknaden og avklare eventuelle uklarheter.

Hvis søknaden ikke er tilstrekkelig opplyst, skal søkeren gis anledning til å sende inn manglende dokumentasjon eller utfyllende informasjon.

Betaling ved utlevering av opplysninger

IMDi kan kreve kompensasjon for kostnader knyttet til leveranse av opplysninger. Kostnadene beregnes ut fra omfanget av arbeidet og antatt tidsbruk. Kostnadene må avtales på forhånd.

Kapasitet og sammenstilling av opplysninger

IMDi har for tiden kapasitetsutfordringer knyttet til behandling og utlevering av opplysninger grunnet pågående utviklingsarbeid. Det må derfor tas høyde for at det vil kunne gå relativt lang tid fra innsending av søknad til faktisk utlevering av opplysningene. Ta kontakt med IMDi for nærmere opplysninger om gjeldende saksbehandlingstider for utlevering av opplysninger.

Enkelte sammenstillinger av opplysninger vil kunne være svært arbeidskrevende å fremskaffe. IMDi vil ikke alltid ha mulighet til å lage slike kompliserte sammenstillinger.

8. Klagebehandling

Avslag på søknad om utlevering av opplysninger, og eventuelt dispensasjon fra taushetsplikten, er et enkeltvedtak og kan påklages, se forvaltningsloven § 28 første ledd, jf. § 2. Arbeids- og inkluderingsdepartementet er klageorgan i slike saker.

Fristen for å klage er 3 uker fra det tidspunkt underretning om vedtaket er kommet frem, se forvaltningsloven § 29. Klagen skal fremsettes for IMDi og bør blant annet inneholde de grunner klagen bygger på, jf. forvaltningsloven § 32.

Klagen skal avvises dersom vilkårene for å behandle den ikke foreligger, se forvaltningsloven § 33 annet ledd siste punktum.

IMDi skal vurdere klageanførslene og kan omgjøre vedtaket dersom klagen anses begrunnet, jf. forvaltningsloven § 33 annet ledd. Dersom IMDi ikke finner grunnlag for å omgjøre vedtaket skal sakens dokumenter oversendes departementet så snart som mulig, jf. § 33 fjerde ledd.

9. Opplysninger som registreres i IMDis registre

Datakatalog NIR

Datakatalogen for NIR inneholder beskrivelse av datasettene som inngår i NIR, samt lenke til tilgjengeliggjort statistikk om innvandring og integrering. For datasettet som inneholder informasjon om deltakelse i norskopplæringen og introduksjonsprogram for personer som omfattes av integreringsloven, er det mulig å laste ned et detaljert innholdsregister.

Datakatalogen for NIR

Opplysninger som kan registreres i IMDis registre

Følgende opplysninger kan registreres i IMDis registre, jf bestemmelsene under. Se gjerne «Dette skal kommunen registrere i NIR» for mer informasjon om hvilke opplysninger kommunene registrere i NIR.

Forskrift til integreringsloven (integreringsforskriften)

Forskrift til introduksjonsloven (forskrift om behandling av personopplysninger etter introduksjonsloven)

Kontakt

Har du spørsmål? Ta kontakt med IMDi på post@imdi.no