Retningslinjer for søknad om utlevering av personopplysninger fra IMDis registre, samt fritak fra taushetsplikt i forbindelse med forskning

1. Innledning

Disse retningslinjene gir veiledning til hvordan dere går frem dersom dere ønsker å innhente personopplysninger fra IMDis registre, opprettet i medhold av integreringsloven og introduksjonsloven, til bruk i forskning og statistikk. Dette inkluderer Nasjonalt introduksjonsregister (NIR), systemene for bosetting (Bosetting), IMDi Tilskudd og Jobbsjanseregisteret. Retningslinjene inneholder også informasjon om hvordan søknader om utlevering av personopplysninger blir behandlet av IMDi. 

Nasjonalt introduksjonsregister (NIR) 

• opplæring i norsk og samfunnskunnskap for asylsøkere i mottak 
• kvalifisering i mottak for personer med innvilget opphold  
• opplæring i norsk og samfunnskunnskap 
• introduksjonsprogram 

>Datakatalogen for NIR inneholder en detaljert beskrivelse av datasettene som inngår i NIR for personer omfattet av integreringsloven, samt lenke til tilgjengeliggjort statistikk om innvandring og integrering

Datakatalog NIR

Se gjerne også «Dette skal kommunen registrere i NIR» for ytterligere informasjon

Bosettingsløsningene 

• bosetting av flyktninger
• kompetansekartlegging
• karriereveiledning
  
  

Jobbsjanseregisteret 

• deltakelse i Jobbsjansen 

Datakatalogen for Jobbsjanseregisteret inneholder en oversikt over hvilke typer opplysninger som registreres på deltakere i Jobbsjansen. 

Datakatalog for Jobbsjanseregisteret 

IMDi Tilskudd  

• Personrelaterte tilskudd som er utbetalt til kommune eller fylkeskommune 

Hvilke type opplysninger som kan registreres i IMDis registre er beskrevet i forskrift til integreringsloven (integreringsforskriften) §§ 46 - 55 (med unntak av § 48 og § 54) og i forskrift om behandling av personopplysninger etter introduksjonsloven) §§ 4 - 12 (med unntak av § 6 og § 11). 

2. Rettslig grunnlag for behandling av personopplysninger i IMDis registre

Det rettslige grunnlaget for behandling av personopplysninger i IMDis registre følger av personvernforordningen, personopplysningsloven, lov om integrering gjennom opplæring, utdanning og arbeid (integreringsloven) og lov om introduksjonsordning og norskopplæring for nyankomne innvandrere (introduksjonsloven). 

Behandlingsgrunnlag i GDPR artikkel 6, 9 og 10 
All behandling av personopplysninger krever et rettslig grunnlag, et såkalt behandlingsgrunnlag. Dette følger av EUs personvernforordning (heretter GDPR).  

Utlevering og innhenting av personopplysninger regnes som «behandling» etter GDPR art 4 nr. 2).  Dette betyr at IMDi må ha et rettslig grunnlag for utlevering av opplysninger til forskning og statistiske formål, og at den som ønsker å innhente opplysninger må også ha et rettslig grunnlag for sin innhenting og videre behandling av opplysningene. 

Behandling av alminnelige personopplysninger må ha hjemmel i GDPR artikkel 6, mens behandling av særlige kategorier av personopplysninger må ha hjemmel i artikkel 9.  

Behandling av alminnelige opplysninger og supplerende rettsgrunnlag 
Eksempler på alminnelige opplysninger er navn, DUF-nummer, fødselsnummer, arbeidssted, skole og telefonnummer. 

GDPR artikkel 6 nr. 1 lister opp seks alternative grunnlag for behandling av personopplysninger. Det mest aktuelle behandlingsgrunnlaget for utlevering av personopplysninger fra IMDis registre til forskning og statistiske formål er GDPR artikkel 6 nr. 1 bokstav e). Bestemmelsen åpner for behandling av personopplysninger når det er nødvendig for å utføre en oppgave i allmennhetens interesse. IMDi legger til grunn at allmennheten har en interesse i at det vinnes ny kunnskap på IMDis forvaltningsområde.  

GDPR artikkel 6 nr. 1 bokstav e) er som hovedregel også aktuell for forskerens innhenting av personopplysninger til bruk i forskning og statistikk. 

Samtykke etter GDPR artikkel 6 nr. 1 bokstav a) kan også være et aktuelt behandlingsgrunnlag for innhenting av personopplysninger til bruk i forskning og statistikk. Se mer om samtykke som behandlingsgrunnlag i kapittel 4.     

Det må i tillegg til behandlingsgrunnlag i GDPR artikkel 6 nr. 1 også finnes et supplerende rettsgrunnlag i nasjonal rett. Dette betyr at både IMDis utlevering og forskerens innhenting av personopplysninger til forskning og statistikk må være hjemlet i norsk rett (se GDPR artikkel 6 nr. 3).  

For IMDis utlevering av personopplysninger er integreringsloven § 41 første ledd og integreringsforskriften § 62 et slikt supplerende rettsgrunnlag. Integreringsloven § 41 er integreringslovens hovedregel om behandling av opplysninger til utvalgte formål på integreringsfeltet. Behandlingen av opplysninger må være nødvendig og må være knyttet til formålene angitt i bokstav a til e. Behandling av opplysninger til forskningsformål og statistiske formål reguleres i en separat bestemmelse, i integreringsforskriften § 62. Denne sier at viderebehandling av personopplysninger til forskning og analyse er forenlig med formålene i integreringsloven § 41 første ledd, jf. GDPR artikkel 5 nr. 1 bokstav b). Det finnes en tilsvarende bestemmelse i forskrift om behandling av personopplysninger etter introduksjonsloven § 18. 

Det supplerende rettsgrunnlaget for forskerens innhenting av opplysninger er personopplysningsloven § 8. Bestemmelsen sier at personopplysninger kan behandles på grunnlag av GDPR artikkel 6 nr. 1 bokstav e) dersom det er nødvendig for formål knyttet til vitenskapelig forskning og statistiske formål. Behandlingen må være omfattet av nødvendige garantier i samsvar med GDPR artikkel 89 nr. 1.  

Behandling av særlige kategorier av personopplysninger og supplerende rettsgrunnlag 

Det mest relevante behandlingsgrunnlaget for IMDis og forskerens behandling av særlige kategorier personopplysninger er GDPR artikkel 9 nr. 2 bokstav j) om at behandlingen må være nødvendig for formål knyttet til vitenskapelig forskning eller statistiske formål. Bestemmelsen stiller tilleggskrav til behandling av særlige kategorier av opplysninger ved at disse skal beskyttes ekstra. Med «særlige kategorier av personopplysninger» menes opplysninger om 

• rasemessig eller etnisk opprinnelse 
• politisk oppfatning 
• religion 
• filosofisk overbevisning eller fagforeningsmedlemskap 
• helseopplysninger 
• en fysisk persons seksuelle forhold eller seksuelle orientering 
• behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person 

I personopplysningsloven § 9 finner vi supplerende rettsgrunnlag for IMDis utlevering og forskerens innhenting av særlige kategorier av personopplysninger. Bestemmelsen slår fast at særlige kategorier av personopplysninger kan behandles dersom:  

1. behandlingen er nødvendig for formål blant annet knyttet til vitenskapelig forskning eller statistiske formål,  
2. og samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte.  
3. Behandlingen skal være omfattet av nødvendige garantier i samsvar med GDPR artikkel 89 nr. 1. 

Personopplysninger om asylsøkere regnes ikke som særlige kategorier av personopplysninger. Likevel skal behandling av personopplysninger knyttet til denne gruppen ha særskilt beskyttelse. Det er fordi asylsøkere regnes som en «sårbar gruppe» (sårbare fysiske personer), jf. GDPR fortalepunkt 75 og The Working Party on the protection of individuals with regard to the processing of personal data (WP29 248) side 9 punkt 7.  

3. Hvilke vilkår må være oppfylt for at IMDi skal kunne levere ut personopplysningene?

1. «Vitenskapelig forskning og statistiske formål» 
   Det er et krav både etter personopplysningsloven §§ 8 og 9 at formålet med behandlingen er knyttet til «vitenskapelig forskning» eller «statistiske formål».  
   
   For at IMDi skal kunne levere ut personopplysningene må du derfor dokumentere at opplysningene skal benyttes til forskning eller statistikk, for eksempel gjennom en prosjektbeskrivelse og beskrivelse av forskningsinstitusjonen du er tilknyttet m.m.
2. Personopplysningene må være «nødvendige» 
   Det er et krav både etter personopplysningsloven §§ 8 og 9 at personopplysningene som innhentes er nødvendige for formålet (formålsbegrensningen). 
   
   For at IMDi skal kunne levere ut personopplysningene må du derfor gjøre grundig rede for hvorfor du har behov for nettopp disse opplysningene, at du trenger alle opplysningene du etterspør og behovet må være forankret i formålet med forskningsprosjektet. Dersom du ønsker utlevert særlige kategorier av opplysninger, må du kunne begrunne - ut fra formålet med forskningsprosjektet ditt - hvorfor det er helt nødvendig å få utlevert denne typen opplysninger også.
3. Vurdering av ulemper for den enkelte 
   Personopplysningsloven § 9 om behandling av særlige kategorier av opplysninger stiller krav om at samfunnets interesse i at forskningen finner sted, må klart overstige ulempene for den enkelte. Her vil forskningsinteressene måtte veies opp mot eventuelle ulemper for andre interesser. Vurderingen av ulemper for den enkelte vil være knyttet til det å ivareta interessene til de personene som opplysningene gjelder. Det er først og fremst IMDi som må foreta en skjønnsmessig avveining her, men for at IMDi skal kunne gjøre dette er det viktig at søknaden inneholder en grundig begrunnelse for hvorfor det er nødvendig å få utlevert personopplysningene. 
   
   Å utlevere opplysninger om enkeltpersoner til andre enn de som har samlet dem inn, uten samtykke, vil per definisjon representere en ulempe for den enkelte. Dette fordi den enkeltes personopplysninger er en del av vedkommendes personlige integritet og omfattes av den enkeltes rett til privatliv. 
   
   I Prop. 89 L (2019–2020) Lov om integrering gjennom opplæring, utdanning og arbeid (integreringsloven), punkt 11.4.4, uttaler departementet følgende om behovet for forskning på integreringsfeltet: Forskning er helt sentralt i videreutviklingen av integreringslovens ordninger. Statistikk, evalueringer og kunnskapsoppsummeringer gir kunnskap om hva som fungerer og ikke fungerer, og hvilke forbedringspunkter som finnes. Dette gir et sterkere grunnlag for å videreutvikle ordningene og sette i gang nye tiltak som forbedrer tilbudet for de som allerede er her, og nye innvandrere som kommer til Norge.  
   
   Med utgangspunkt i momentene som er nevnt over vil IMDi foreta en konkret vurdering av om samfunnets interesse i at forskningen finner sted klart overstiger ulempene for den enkelte.   
4. Foreligger det nødvendige garantier etter GDPR artikkel 89 
   Hvis personopplysninger viderebehandles til forskning og statistikk, skal dette skje i samsvar med GDPR artikkel 89 nr. 1 (se integreringsforskriften § 62, jf. GDPR artikkel 5 nr. 1 bokstav b). Tilsvarende krav følger av personopplysningsloven §§ 8 og 9. Kravene i GDPR artikkel 89 nr. 1 gjelder derfor både for IMDis utlevering og forskerens innhenting av personopplysninger.  
   
   Garantiene skal sikre at det er innført tekniske og organisatoriske tiltak for særlig å sikre at prinsippet om blant annet integritet og konfidensialitet overholdes, se GDPR artikkel 5 nr.1 bokstav f. Typiske tiltak vil være anonymisering og pseudonymisering. IMDis utgangspunkt er derfor at personopplysningene utleveres anonymisert eller pseudonymisert. 
   
   Anonymisering betyr at identifiserbare og indirekte identifiserbare opplysninger fjernes slik at, enkeltpersoner ikke lenger kan identifiseres.  Prosessen kan ikke reverseres, og det er derfor ikke lenger mulig å vite hvem dataene handler om. Når data er anonymisert, regnes de ikke lenger som personopplysninger etter personopplysningsloven og GDPR. Anonymisering gjør det mulig å bruke data til analyse med mindre risiko for berørte personer. Ved pseudonymisering vil IMDi søke å gjøre personidentifikasjonen så lite direkte og tydelig som mulig ved blant annet å erstatte personindikator med et løpenummer (avidentifisert identifikator). Pseudonymisering kan være særlig aktuelt i de tilfeller en sammenstilling av opplysninger vil kunne være indirekte identifiserende, for eksempel ved sammenstilling av kjønn, statsborgerskap og bosettingskommune.
5. Krav om vurdering av den behandlingsansvarliges personvernombud 
   For behandling av særlige kategorier personopplysninger etter personopplysningsloven § 9 gjelder i tillegg at behandlingen skal være vurdert av den behandlingsansvarliges personvernombud. Rådføringsplikten gjelder likevel ikke hvis det er gjennomført en personvernkonsekvensvurdering etter GDPR artikkel 35. 
   
   Taushetsbelagte opplysninger etter forvaltningsloven 
   
   I tillegg til personvernregelverket, gjelder forvaltningslovens regler om taushetsplikt. Dersom opplysninger det søkes tilgang til i IMDis registre samtidig omfattes av taushetsplikt etter forvaltningsloven § 13, skal det søkes om fritak fra taushetsplikten, se forvaltningsloven § 13 d. Typiske eksempler på noens personlige forhold er familie- og hjemforhold, boligforhold, økonomi, helse og religiøs og politisk oppfatning. IMDi er delegert myndighet til å treffe et slikt vedtak om fritak fra taushetsplikt. 
   
   Hvis søknaden om utlevering av opplysninger er knyttet til et oppdrag for IMDi, er det ikke nødvendig å søke om fritak fra taushetsplikten. En slik behandling vil kunne omfattes av integreringsloven § 42 andre ledd, som gir hjemmel for å utveksle opplysninger mellom offentlige organer. Dette gjelder også taushetsbelagte opplysninger etter forvaltningsloven. Private som utfører oppgaver for stat/fylkeskommune/kommune regnes som et offentlig organ, jf. integreringsloven § 42 tredje ledd. 
   
   Hvis det blir aktuelt å gi et fritak fra taushetsplikten i tråd med forvaltningsloven § 13 d, vil denne bestemmelsen kunne utgjøre et supplerende rettsgrunnlag for IMDis utlevering av opplysninger og forskerens innhenting av opplysninger. 

4. Prinsipper for behandling av personopplysninger 

Dataminimeringsprinsippet innebærer at personopplysninger skal være «adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for» se (GDPR artikkel 5 nr. 1 bokstav c). 

For å ivareta dataminimeringsprinsippet, vil IMDi derfor vanligvis be om et møte for konkret gjennomgang av opplysningene som ønskes ulevert. Formålet med møtet er å avklare hvilke personopplysninger som kan utleveres på bakgrunn av formålet med forskningen/statistikken og gjennomgå kravene til formålsbegrensning og kravene til relevante og adekvate opplysninger. Resultatet av en slik gjennomgang vil kunne føre til at søknaden må justeres, for eksempel at enkelte opplysninger/variabler tas ut av søknaden fordi datakvaliteten på opplysningene som ønskes utlevert ikke er tilstrekkelig god nok, eller at opplysningene ikke er nødvendige for formålet med forskningen eller statistikken. 

Når det gjelder de øvrige prinsippene for behandling av personopplysninger i personvernforordningen, det vil si kravene til riktighet og lagringsbegrensning i artikkel 5 nr. 1 bokstav d) og e) vil IMDi vurdere dette ut fra hva som er oppgitt i søknadsskjemaet. Det er derfor viktig at søker beskriver grundig hvordan disse prinsippene vil bli ivaretatt, i form av en utfyllende personvernkonsekvensvurdering, i tillegg til det som opplyses i søknadsskjemaet. IMDi vil etterspørre ytterligere informasjon dersom søker ikke har beskrevet godt nok hvordan disse prinsippene vil bli ivaretatt. 

5. Samtykke som behandlingsgrunnlag 

Et alternativt behandlingsgrunnlag for utlevering og innhenting av personopplysninger til forskningsformål og statistiske formål er samtykke fra den registrerte (se GDPR artikkel 6 første ledd bokstav a). Dersom prosjektet involverer feltarbeid i kommuner eller intervju av personer i målgruppen, må forskerne selv informere deltakerne om prosjektet og innhente samtykke. Samtykket som innhentes må være gyldig (jf. GDPR art. 4 nr. 11 og art. 7). Dette innebærer at samtykket må være 

• frivillig 
• spesifikt 
• informert 
• utvetydig 
• gitt gjennom en aktiv handling 
• dokumentert 
• mulig å trekke tilbake underveis 

Informasjonen bør gis på deltakerens morsmål eller et annet språk som personen forstår godt. Det bør videre tas hensyn til at asylsøkere regnes som en sårbar gruppe.  Dette gjelder særlig når personen informeres om forskningen/statistikken og det innhentes samtykke. Informasjonen kan gis muntlig eller skriftlig. Skriftlig informasjon sikrer i større grad at de registrerte har nødvendig informasjon, og kan kontakte ansvarlig forsker ved eventuelle spørsmål eller dersom vedkommende ønsker å trekke seg. 

Det bør tydelig fremkomme hvor lenge samtykket gjelder. 

Den som samtykker, må ha fått informasjon om at valget ikke har betydning for utfallet av en eventuell søknadsbehandling og rettigheter vedkommende måtte ha i kommunen. 

Les mer om samtykke hos Datatilsynet (Behandlingsgrunnlag | Datatilsynet)

6. Godkjenninger fra andre instanser

Det finnes en rekke andre instanser som det kan være aktuelt å involvere i planleggingen og gjennomføring av et forskningsprosjekt som skal behandle personopplysninger. Det forutsettes at søker innretter seg etter eventuelle forskningsetiske retningslinjer og innhenter uttalelser og vurderinger der det er nødvendig. 

Sikt – Kunnskapssektorens tjenesteleverandør (tidligere NSD (Norsk senter for forskningsdata AS)) drifter et system som gir oversikt over behandling av personopplysninger og vurdering av bruk av personopplysninger i innmeldte forskningsprosjekt, både i forkant, underveis og ved avslutning av forskningsprosjekt. 

De nasjonale forskningsetiske komiteene (FEK) er det viktigste nasjonale fagorganet for forskningsetikk. De har flere faglig uavhengig komiteer og utvalg i organisasjonen. Regionale komiteer for medisinsk og helsefaglig forskningsetikk (REK) skal forhåndsgodkjenne medisinske og helsefaglige forskningsprosjekter, se helseforskningsloven kapittel 3. Tilrådning fra REK skal sendes IMDi som vedlegg til søknaden. 

7. Forskernes taushetsplikt

Alle som utfører tjeneste eller arbeid i forbindelse med en forskningsoppgave som et forvaltningsorgan har støttet, godkjent eller gitt opplysninger undergitt taushetsplikt til, plikter å hindre at andre får adgang eller kjennskap til disse opplysningene, se forvaltningsloven § 13 e. 

Forskerne har ikke bare taushetsplikt om opplysninger vedkommende får fra IMDi eller under intervjuer, men har også taushetsplikt overfor IMDi om opplysninger fra personer det er formidlet kontakt med, se forvaltningsloven § 13 e første ledd nummer 3. Bruk av opplysninger fra registeret til forskning forutsetter at identifiserbare opplysninger ikke fremgår av publikasjoner. 

8. Slik søker du, saksbehandling og praktisk informasjon 

For å søke om data fra IMDi sine registre må du laste ned søknadsskjema, fylle det ut og sende det til IMDi på post@imdi.no. 

Har du spørsmål om søknaden eller hvilke opplysninger IMDi kan gjøre tilgjengelige, anbefaler vi at du tar kontakt før du sender inn søknaden. 

Behandling av søknaden 

En søknad om utlevering av opplysninger må sendes til IMDi i god tid før planlagt start av prosjektet. Du må normalt påberegne minimum 8 uker saksbehandlingstid. Dersom søknaden innvilges, må du beregne ytterligere tid til opplysningene kan utleveres. For at IMDi skal kunne behandle søknaden så raskt og effektivt som mulig, må søknadsskjema være fullstendig utfylt og nødvendige vedlegg være lagt ved. 

Etter at IMDi har mottatt søknaden, vil vi som regel invitere til et møte for å gå gjennom søknaden og avklare eventuelle spørsmål. Dersom vi trenger mer informasjon for å behandle søknaden, ber vi deg sende inn manglende dokumentasjon eller utfyllende opplysninger.

9. Klagebehandling

Avslag på søknad om utlevering av opplysninger, og eventuelt dispensasjon fra taushetsplikten, er et enkeltvedtak og kan påklages, se forvaltningsloven § 28 første ledd, jf. § 2. Arbeids- og inkluderingsdepartementet er klageorgan i slike saker. 

Fristen for å klage er 3 uker fra det tidspunkt underretning om vedtaket er kommet frem, se forvaltningsloven § 29. Klagen skal fremsettes for IMDi og bør blant annet inneholde de grunner klagen bygger på, jf. forvaltningsloven § 32. 

Klagen skal avvises dersom vilkårene for å behandle den ikke foreligger, se forvaltningsloven § 33 annet ledd siste punktum. 

IMDi skal vurdere klageanførslene og kan omgjøre vedtaket dersom klagen anses begrunnet, jf. forvaltningsloven § 33 annet ledd. Dersom IMDi ikke finner grunnlag for å omgjøre vedtaket skal sakens dokumenter oversendes departementet så snart som mulig, jf. § 33 fjerde ledd. 

Kontakt

Har du spørsmål? Ta kontakt med IMDi på post@imdi.no