FAQ AVG en onderzoek

Toelichting:
Studenten doen soms in het kader van hun afstudeeronderzoek een survey, zonder daarvoor methodologie onderwijs te hebben gevolgd.

De begeleider is verantwoordelijk dat de student zich houdt aan het privacybeleid.
Meer informatie hierover is te vinden op de Cybersafety website onder Privacy, onder meer de Leidraad privacyregels.

In sommige afstudeeropdrachten werkt de student met persoonsgegevens.
Als de student gaat meedraaien in een bestaand project, dan is als het goed is de verwerking al aangemeld door de verantwoordelijk medewerker bij het FG-team (Functionaris Gegevensbescherming). In dat geval hoeft de student geen actie te ondernemen.
Als het onderzoek echter leidt tot een nieuwe verwerking, moet de student deze via vastleggen in het register, waarbij de begeleider wordt vastgelegd als contactpersoon. Aanmelden kan via de aanmeldknop verwerkingen, hier vind je ook de begeleidende handleiding.

In elk afstudeeronderzoek waarin met persoonsgegevens wordt gewerkt, moet de begeleider de student op de hoogte brengen van interne afspraken en veilige werkwijzen en wijzen op de AVG (Algemene Verordening Gegevensbescherming). De begeleider maakt duidelijk wat van de student verwacht wordt bij het werken met persoonsgegevens. Meer informatie hierover, zoals de leidraad privacyregels en de poster AVG en onderzoek, vind je op de Cybersafety-website.

Voor statistisch en wetenschappelijk onderzoek bepaalt de AVG dat dit altijd verenigbaar is met het oorspronkelijk doel van de verwerking, maar we moeten wel de juiste maatregelen nemen. We moeten de gegevens zo veel mogelijk anonimiseren en we mogen niet meer gegevens inzetten dan nodig is voor het onderzoek. Gegevens moeten ook zo snel mogelijk verwijderd worden. Het is dus belangrijk dat we deze verwerking vastleggen in het register van verwerkingen. Wellicht is ook een DPIA (Data Protection Impact Assessment) nodig. Ook moeten we betrokkenen informeren dat we dit onderzoek uitvoeren.

Wanneer de verwerking is gebaseerd op de grondslag toestemming, heeft de betrokkene (in dit geval de deelnemer aan het wetenschappelijk onderzoek) het recht deze toestemming in te trekken. Dit moet kunnen worden gedaan op een manier die net zo makkelijk is als het geven van toestemming.

Het hangt af van het moment waarop de intrekking van toestemming wordt gedaan hoe hiermee moet worden omgegaan. Intrekking van toestemming heeft geen terugwerkende kracht; de verwerking die op basis van de toestemming is gedaan vóór de intrekking, blijft rechtmatig.

Voor aanvang van het wetenschappelijk onderzoek:

Alle persoonsgegevens van de betrokkene moeten worden verwijderd. Deze mogen niet worden gebruikt in het onderzoek.

Tijdens het wetenschappelijk onderzoek:

In beginsel moeten de persoonsgegevens van de betrokkene worden verwijderd, tenzij dit het bereiken van het doel van het wetenschappelijk onderzoek onmogelijk maakt of dreigt te maken of ernstig belemmert. In dergelijke gevallen dienen de gegevens geanonimiseerd te worden.

Na afloop van het wetenschappelijk onderzoek:

De persoonsgegevens dienen te worden geanonimiseerd. De onderzoeksdata van personen die hun toestemming hebben ingetrokken mogen ook niet worden gebruikt voor toekomstig onderzoek.