EDPB sendte retningslinjer om behandling av personopplysninger i vitenskapelig forskning på høring. Formålet var å gi mer klarhet i hvordan GDPR skal forstås når forskningsprosjekter bruker personopplysninger over tid, på tvers av institusjoner eller i teknologisk krevende miljøer. Retningslinjene var fortsatt under konsultasjon.

Et grunnspørsmål var hva som kvalifiserer som vitenskapelig forskning. Klassifiseringen har betydning fordi forskningsrammen kan påvirke vurderingen av formål, behandlingsgrunnlag, viderebruk og enkelte rettigheter. Prosjektets reelle formål og metode måtte derfor dokumenteres, ikke bare beskrives med en forskningsetikett.

EDPB behandlet også behandlingsgrunnlag og formålsbegrensning. Virksomheten må kunne forklare hvorfor behandlingen er lovlig, hvordan formålet er spesifisert, og om senere bruk er forenlig med det opprinnelige formålet. Dette krever sammenheng mellom prosjektbeskrivelse, datakilder, tilgangsmodell og planlagt analyse.

Særlige kategorier personopplysninger fikk særskilt oppmerksomhet. Forskere og behandlingsansvarlige må identifisere hvilke opplysninger som omfattes, hvilket ekstra grunnlag som kreves, og hvilke tekniske og organisatoriske tiltak som reduserer risikoen. Tilgang bør begrenses etter rolle og faktisk behov.

Retningslinjene tok videre opp åpenhet og de registrertes rettigheter. Informasjon til berørte personer må tilpasses forskningens situasjon uten at praktiske vanskeligheter automatisk opphever kravene. Der rettigheter begrenses eller utsettes, må grunnlaget og sikkerhetsgarantiene kunne forklares og dokumenteres.

AI-støttet forskning kan øke nytten av datasett, men også gjøre formål, modellbruk og risiko vanskeligere å avgrense. Prosjekter bør derfor vurdere treningsdata, modelltilgang, gjenidentifisering, lekkasje og kontroll med viderebruk. Sikkerhet må bygges inn i hele forskningsløpet, ikke bare i lagringen.

For Norge var dette veiledning om eksisterende GDPR, som er relevant gjennom EØS. Høringen endret ikke GDPR og erstattet ikke nasjonale forskningsregler, sektorregler eller etiske krav. Norske miljøer kunne bruke utkastet i vurderinger, men måtte vente på endelig versjon og fortsatt følge gjeldende rett.

Prosjektgodkjenningen bør knytte forskningsprotokollen til behandlingsgrunnlag, artikkel 9-vilkår, tilgangsroller, oppbevaring og planlagt publisering. Ved KI-bruk bør den også beskrive modelltilgang, faren for memorering eller reidentifisering og hvem som kan bruke dataene videre. Et generelt forskningsformål erstatter ikke denne sporbarheten.

Kilder

Det europeiske personvernrådet (EDPB): «Clarity on data processing for scientific research», 16. april 2026.

Det europeiske personvernrådet (EDPB): «Guidelines 1/2026 on scientific research», 15. april 2026.

Til diskusjon

Hvordan kan forskningsmiljøet dokumentere sammenhengen mellom prosjektets formål, behandlingsgrunnlag, AI-bruk, tilgangsstyring og sikkerhetsgarantier?