Sikt meldeskjema: slik melder du studentprosjektet ditt

Sikts meldeskjema er det nettbaserte skjemaet du bruker for å melde et forsknings- eller studentprosjekt til Sikt når prosjektet skal behandle personopplysninger. I skjemaet beskriver du hvilke personopplysninger du skal behandle, hvorfor og hvordan, og Sikt vurderer om planen er i tråd med personvernregelverket. Som student møter du skjemaet gjerne i bacheloroppgaven eller masteroppgaven, og noen ganger i en semesteroppgave, når du skal intervjue, observere eller sende ut et spørreskjema.

Hva er Sikt, og hva var NSD?

Sikt (Kunnskapssektorens tjenesteleverandør) ble etablert 1. januar 2022, da NSD (Norsk senter for forskningsdata), Uninett og Unit ble slått sammen. Personverntjenestene for forskning kommer fra NSD. Derfor snakker mange veiledere, lærebøker og eldre oppgaver fortsatt om å «melde til NSD» eller fylle ut «NSD-skjemaet». De mener det samme som meldeskjemaet til Sikt.

Meldeskjemaet brukes når institusjonen din har avtale med Sikt om personverntjenester og er behandlingsansvarlig. Sikt har en oversikt over institusjonene med slik avtale. Noen institusjoner har egne tilpasninger for hvilke prosjekter som skal meldes. Står ikke lærestedet ditt på listen, gjelder personvernreglene likevel, og lærestedet har egne rutiner. Spør personvernombudet hvis du er i tvil.

Når må du melde prosjektet?

Har lærestedet ditt avtale med Sikt, må du melde prosjektet når du skal behandle personopplysninger, altså opplysninger om personer som kan identifiseres direkte eller indirekte. Behandling er alt du gjør med dataene: samle inn, registrere, lagre, overføre, analysere, anonymisere og så videre. Ifølge Sikt skal du fylle ut meldeskjema hvis noen av dataene ikke er anonyme i en eller flere faser av prosjektet. Tre ting overrasker mange studenter:

• Opptak av folk som snakker, er personopplysninger. Sikt skriver at stemmen på et opptak i seg selv er en personopplysning, og at dette gjelder alle lydopptak av personer som prater. Sikt nevner også bilder og video av ansikter. Datatilsynet skriver i sin veiledning om lydopptak av samtaler at slike opptak innebærer registrering og lagring av personopplysninger.
• Anonymisering i oppgaven er ikke nok. Prosjektet skal meldes selv om alle deltakerne blir anonymisert i den ferdige oppgaven, og selv om du fjerner navnene når du skriver ut intervjuene. Det avgjørende er om du behandler personopplysninger underveis.
• Indirekte opplysninger teller. En kombinasjon av alder, kjønn, arbeidssted og nasjonalitet kan være nok til å identifisere noen. I nettbaserte spørreskjema kan IP- eller e-postadresser knytte svarene til personer.

Tabellen viser noen typiske situasjoner. Svarene er generelle. Det er rutinene ved ditt lærested og vurderingen av ditt prosjekt som avgjør.

Er du usikker på om du behandler personopplysninger, anbefaler Sikt at du spør veilederen eller personvernkontakten ved institusjonen din.

Helseforskning og REK

Skal prosjektet skaffe ny kunnskap om helse og sykdom, er det medisinsk og helsefaglig forskning. Da gjelder helseforskningsloven i tillegg til personvernregelverket, og prosjektet skal forhåndsgodkjennes av en regional komité for medisinsk og helsefaglig forskningsetikk (REK). Det er REK som avgjør om et prosjekt faller inn under loven.

Ifølge Sikts side om helseforskning er det formålet som avgjør, ikke om forskningen gjøres av helsepersonell, på pasienter eller med helseopplysninger. Sikt nevner helsetjenesteforskning og intern kvalitetssikring som eksempler på andre formål. Er du i tvil, anbefaler Sikt at du sender en fremleggingsvurdering til REK. Merk også at et helseforskningsprosjekt kan måtte meldes til REK selv om det regnes som anonymt og ikke skal meldes til Sikt. Hvordan REK-søknaden og personvernvurderingen henger sammen, varierer mellom læresteder, så spør veilederen tidlig.

Hvem melder, og hvem har ansvaret?

Som student fyller du som regel ut meldeskjemaet selv, men du gjør det ikke alene. Tre roller er viktige:

• Du som student beskriver prosjektet, fyller ut skjemaet og svarer på spørsmål fra Sikt. Sikt anbefaler at du hører med veilederen før du begynner.
• Veilederen står som prosjektansvarlig. Ifølge Sikt skal veileder, eventuelt biveileder eller fagansvarlig, være prosjektansvarlig i bachelor- og masterprosjekter. Studenten kan ikke selv være det. Prosjektansvarlig får automatisk en invitasjon til skjemaet.
• Lærestedet er behandlingsansvarlig, altså institusjonen som bestemmer formålet med behandlingen og hvordan den skal skje. For bachelor- og masteroppgaver er det institusjonen som skriver ut graden din. Lærestedet har også et personvernombud du kan spørre.

Rutinene varierer mellom læresteder, for eksempel for hvilke prosjekter som skal meldes, hvor data skal lagres og hvilke verktøy du kan bruke. Sikt ber deg sette deg inn i institusjonens retningslinjer for informasjonssikkerhet og datahåndtering før du sender inn.

Slik fyller du ut meldeskjemaet steg for steg

Skjemaet og veiledningen endres fra tid til annen, så sjekk Sikts gjeldende veiledning om meldeskjema og rutinene ved lærestedet ditt før du begynner. I grove trekk ser prosessen slik ut:

1. 1

   Avklar om du behandler personopplysninger

   Gå gjennom hva du skal samle inn i hver fase av prosjektet. Skal du ta lyd- eller videoopptak, er svaret ja.
2. 2

   Les lærestedets retningslinjer

   Sjekk hvor data skal lagres, hvilke verktøy for opptak og spørreskjema som er godkjent, og om lærestedet har egne rutiner for meldeskjema.
3. 3

   Forbered vedleggene

   Sikt trenger intervjuguide, spørreskjema eller variabelliste for å forstå hvilke opplysninger du samler inn. Lag også informasjonsskrivet, gjerne med Sikts mal.
4. 4

   Opprett skjemaet og fyll det ut

   Du oppretter et nytt meldeskjema fra Sikts nettsider. Oppgi veilederen som prosjektansvarlig, og bruk hjelpetekstene underveis. Skjemaet lagres automatisk, så du kan fortsette senere.
5. 5

   Kryss av for alle opplysningene

   Sikt advarer om at mange glemmer særlige kategorier. Intervjuer du for eksempel ansatte om stress på jobb, må du krysse av for helseopplysninger. Velg ett lovlig grunnlag, og sørg for at skjemaet og informasjonsskrivet sier det samme.
6. 6

   Send inn i god tid

   Skjemaet skal være sendt inn senest 30 dager før datainnsamlingen starter.
7. 7

   Vent på vurderingen

   Ikke sett i gang før Sikt har vurdert prosjektet. Også rekruttering der du registrerer navn og kontaktopplysninger, er behandling av personopplysninger. Får du skjemaet i retur med spørsmål, retter du og sender det inn på nytt.

Ifølge Sikt gir en rådgiver en første tilbakemelding senest innen 30 dager etter at skjemaet er sendt inn, og ofte går det raskere. Tiden avhenger blant annet av hvor fullstendig skjemaet er, og hvor mange skjemaer som kommer inn. Det er typisk mest pågang fra november til februar. Mer står på Sikts side om vurdering og svartid.

Vurderingen og meldingene fra Sikt finner du på Min forskning. Endrer du prosjektet slik at det påvirker behandlingen av personopplysninger, for eksempel med nye utvalgsgrupper, nye metoder eller en senere prosjektslutt, må du melde endringen. Ved prosjektslutt får du en e-post der du bekrefter at behandlingen av personopplysninger er avsluttet.

Samtykkeskjema og informasjonsskriv

Deltakerne skal som hovedregel få skriftlig informasjon om prosjektet før du samler inn opplysninger om dem, og den skal være kortfattet og skrevet på hverdagsspråk. Sikt har maler for informasjonsskriv, blant annet på bokmål og nynorsk. Informasjonen skal blant annet omfatte:

• formålet med prosjektet og hva opplysningene skal brukes til
• hvilken institusjon som er ansvarlig for behandlingen
• hvilke metoder du bruker, og hvilke opplysninger du samler inn
• det lovlige grunnlaget, for eksempel samtykke
• at det er frivillig å delta, og at deltakerne kan trekke seg uten å oppgi grunn
• når prosjektet slutter, og hva som da skjer med opplysningene
• om deltakerne vil kunne kjennes igjen i oppgaven
• deltakernes rettigheter, også retten til å klage til Datatilsynet
• kontaktopplysninger til prosjektansvarlig og personvernombudet

Skal opplysninger overføres ut av EU/EØS, må informasjonen ifølge Sikt få tydelig fram det lovlige grunnlaget for overføringen. Det er aktuelt hvis du bruker en tjeneste som lagrer filer i et land utenfor EU/EØS.

Samtykkeskjemaet er erklæringen der deltakeren bekrefter å ha fått informasjonen og sier ja til å delta. Sikts mal har en slik samtykkeerklæring nederst, til bruk når det lovlige grunnlaget er samtykke, eller når du vil ha skriftlig samtykke. Sikt skriver at samtykke er vanlig i studentprosjekter som samler inn data direkte fra deltakerne, for eksempel med intervjuer. Samtykket må være frivillig, spesifikt, informert, utvetydig, dokumenterbart og like lett å trekke tilbake som å gi. Det kan for eksempel gis med signatur, muntlig på lydopptak eller på e-post.

De forskningsetiske retningslinjene fra NESH (2021, redigert 2023) skiller mellom dette juridiske samtykket og det etiske samtykket til å delta i forskning. Forskere skal som hovedregel få et etisk samtykke fra dem som deltar, uavhengig av hvilket lovlig grunnlag som er valgt, og NESH skriver at dette vanligvis ivaretas med et samtykkeskjema.

Lagring, anonymisering og sletting

I meldeskjemaet beskriver du hvordan du skal samle inn, registrere og oppbevare opplysningene, og Sikt vurderer blant annet om du samler inn mer enn formålet krever. Lærestedets retningslinjer for informasjonssikkerhet sier hvor data skal lagres, og hvilke sikringstiltak som kreves.

• Samle inn bare det du trenger. Hvilke opplysninger trenger du faktisk for å svare på problemstillingen? Prinsippet kalles dataminimering.
• Bruk koblingsnøkkel. Erstatt navn med koder i transkripsjonene, og oppbevar listen som kobler koder til navn, atskilt fra resten av materialet.
• Pseudonymisert (ofte kalt avidentifisert) er ikke anonymt. Så lenge koblingsnøkkelen eller opptakene finnes, er transkripsjonene fortsatt personopplysninger, selv om navnene er fjernet.
• Anonymiser eller slett ved prosjektslutt. Prosjektslutt er når formålet med behandlingen er oppfylt. Da skal materialet anonymiseres, slettes eller arkiveres, slik du har skrevet i meldeskjemaet og informasjonsskrivet.

Anonyme data kan ikke knyttes til enkeltpersoner på noen måte, verken direkte, indirekte eller via en koblingsnøkkel. Før du kaller materialet anonymt, må du derfor også fjerne eller grovinndele indirekte opplysninger, som presis alder, arbeidssted og bosted.

Opptak og transkribering: verktøy og personvern

Verktøyene du bruker, endrer ikke om prosjektet skal meldes, men meldeskjemaet skal vise hvordan du tar opp, transkriberer og lagrer. Mange læresteder bestemmer hvilke apper og hvilket utstyr du kan bruke til intervjuer med personopplysninger, og noen godkjenner verken mobilens innebygde opptaker eller andre opptaksapper. Noen tilbyr egne løsninger, for eksempel Nettskjema-diktafon, der opptak levert til Nettskjema også kan transkriberes automatisk. Sjekk reglene ved ditt lærested først.

Ifølge Sikt kan en ekstern leverandør av transkribering eller skytjenester være en databehandler, og loven krever at forholdet da reguleres i en avtale. Det er lærestedet som inngår en slik avtale, og Spirelight tilbyr ingen databehandleravtale. I Spirelight skjer transkriberingen på servere i EU, filene lagres hos Google Firebase i USA, og AI-funksjonene kjører hos OpenAI i USA. Spør derfor personvernombudet før du laster opp intervjuopptak, også når ingen navn nevnes, fordi stemmen identifiserer deltakerne. Får du lov, skal meldeskjemaet og informasjonsskrivet si at opplysningene lagres og kan behandles i USA, og på hvilket grunnlag de overføres dit. Da kan du ta opp intervjuet i nettleseren og gjøre opptaket om til tekst med talere og tidsstempler.

Spirelight kan også sende digitale samtykkeskjemaer før en innspilt samtale, men malene finnes foreløpig bare på engelsk og dansk. Også da behandles opplysninger om deltakerne i Spirelight, så avklar det med lærestedet på samme måte. Teksten må stemme med informasjonsskrivet.

Oppdiktet eksempel: prosjektbeskrivelse til meldeskjemaet

Eksemplet er oppdiktet og bygger på intervjustudien i guiden om kvalitativ metode. Det viser hva en kort prosjektbeskrivelse bør få fram. Feltene i skjemaet kan se annerledes ut, så bruk det som en sjekkliste, ikke som en mal.

Beskrivelsen sier hva, hvem, hvordan og hvor lenge. Bruker du et verktøy til transkribering, skal det også stå her, sammen med hvor opplysningene behandles og lagres.