Samtliga data i SLOSH omfattas av statistiksekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen (OSL). Nästan alla uppgifter i SLOSH är personuppgifter och en stor del dessutom så kallade känsliga personuppgifter enligt Dataskyddsförordningen (GDPR). Forskning regleras i Sverige vidare av etikprövningslagen och eftersom det är fråga om personuppgifter omfattas uppgifterna även av sekretess enligt 21 kap. 7 § OSL. Vi har laglig skyldighet att pröva alla utlämnanden mot dessa lagars krav.

Statistiksekretess (24:8 OSL) innebär i normalfallet att data inte kan lämnas ut alls. Undantag görs för ett fåtal specialfall, där forsknings- och statistikändamål är de viktigaste. Utöver detta får uppgifter enligt paragrafen bara lämnas ut ”om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men”, vilket är ett mycket strängt rekvisit.

Sekretess för personuppgifter (21:7 OSL) innebär att uppgifterna inte heller får lämnas ut om de efter utlämnandet kan antas behandlas i strid med GDPR eller etikprövningslagen. Enligt GDPR ska det bl.a. finnas ett definierat ändamål, antalet uppgifter som används ska minimeras och det ska finnas en rättslig grund för behandlingen. Detta innebär att vi inför ett utlämnande behöver säkerställa att hanteringen kommer att vara i enlighet med dessa principer. Utlämnande för forskningsändamål kan därför endast ske om det finns ett specifikt tillstånd enligt lagen om etikprövning av forskning. För forskning som bedrivs utomlands krävs motsvarande tillstånd/säkerhetsåtgärder från det berörda landet. Detta innebär även att vi i normalfallet inte kan lämna ut data till studentarbeten, såvida de inte är del av ett etikprövat forskningsprojekt.

Så som framgår ovan är vi skyldiga att tillämpa uppgiftsminimering enligt GDPR, bland annat för att i största möjliga mån begränsa riskerna för röjande, liksom skada vid eventuellt röjande, av känsliga personuppgifter. Vår utlämnandepolicy är därför att endast lämna ut de data som behövs för en specifik forskningsstudie, definierad som det som normalt publiceras i en artikel i en vetenskaplig tidskrift. Samtidigt som detta tillfredsställer kraven på att minimera mängden utlämnade data, så innebär det även att risken för att flera forskare samtidigt gör samma eller överlappande analyser minskar. Dessutom uppmuntrar det till god forskningspraktik genom att designen specificeras innan analyser görs, vilket minimerar risken för t.ex. så kallad p-hacking och lämnar mer orörd data till andra forskares hypotesprövningar.*

Alla utlämnade variabler, liksom urvalet av individer, måste därför vara motiverade av den aktuella frågeställningen samt täckas av etiktillstånd. Det är bättre att begära en mindre mängd variabler till att börja med, och komplettera senare om det visar sig att man behöver någon eller några ytterligare variabler. För enklare kompletteringar tas ingen avgift ut.

Om man har ett forskningsprojekt med flera frågeställningar där resultaten kommer att redovisas i separata artiklar, bokkapitel etc. så ska man alltså ansöka om flera separata dataset. Dessa kommer, återigen av sekretess- och riskminimeringsskäl, att ha olika id-nummerserier för att det inte ska vara möjligt att koppla samman flera dataset till en större, mer integritetskänslig databas. Om man däremot kompletterar ett dataset med variabler som behövs till samma publikation så levereras de kompletterande variablerna med samma id-nummer så att man kan sammankoppla dem med de data man tidigare fått.

Data lämnas alltid ut i pseudonymiserad form, d.v.s. utan några variabler som direkt kan identifiera enskilda personer. De är dock inte avidentifierade, då det existerar kodnycklar hos oss och Statistiska centralbyrån som möjliggör att data kan knytas till enskilda personer i syfte att genomföra framtida datainsamlingar och registeruppdateringar. Vänligen observera att varje försök att identifiera enskilda personer, så kallad bakåtidentifiering, i materialet är olaglig enligt 6 § lagen (2001:99) om den officiella statistiken och innebär straffansvar enligt 26 §. Denna bestämmelse gäller generellt och inte bara vid framställning av statistik hos statistikansvariga myndigheter. Inga data eller resultat får någonsin redovisas där det är möjligt att få kännedom om enskilda personers svar eller personliga förhållanden.

Utöver ovanstående måste vi även tillse att det skydd som statistiksekretessen enligt 24 kap. 8 § OSL innebär kvarstår hos mottagaren av data eftersom det annars inte står klart att uppgiften kan röjas utan risk för skada eller men. I skyddet ligger också att tjänstemän vid myndigheter vid straffansvar är ansvariga för att inte obehörigt röja uppgifter. Att skyddet kvarstår hos mottagaren är i princip alltid uppfyllt om mottagaren är en statlig svensk myndighet, t.ex. ett statligt lärosäte. Samma sekretesskydd som gäller vid Stockholms universitet kommer då överföras till att gälla även hos mottagande lärosäte. Samma straffansvar finns också hos den mottagande myndighetens anställda.

Om mottagaren är utanför den svenska staten kan sekretessen inte överföras, vilket gör att det anses finnas risk för skada och men. I sådana fall behöver vi därför i regel upprätta ett förbehåll som bl.a. innebär att utlämnande av data sker till en namngiven person, inte till hela organisationen. På detta sätt konstrueras ett straffansvar till mottagaren i likhet med det som ovan nämnts för statsanställda tjänstemän. Vidare krävs en säker teknisk lösning, där det enklaste är att mottagaren gör analyserna på SLOSH-gruppens datorer på plats på Stockholms universitet eftersom det eliminerar risken att data hamnar på otillåtna servrar eller på okrypterade datamedier. Utlämnande utanför den statliga sektorn kräver beslut av Stockholm universitets chefsjurist.

Utlämnande av persondata från SLOSH till mottagare utanför Sverige är mycket komplicerat eftersom relevant sekretess då inte kan överföras. Det är då inte heller möjligt att konstruera ett giltigt förbehåll som garanterar sekretess. Detta innebär att för uppgifter som är skyddade av statistiksekretess, för vilka enbart förlusten av det skyddet innebär risk för skada, så kan enbart uppgifter som i sig är harmlösa och alltid kan spridas fritt lämnas ut till utlandet. Dataminimering i syfte att förhindra röjande är i sådana fall särskilt kritisk. För utlämnande av personuppgifter krävs vidare att mottagaren omfattas av EU:s dataskyddsförordning eller av motsvarande skydd.

Till skillnad från rådata är det emellertid oftast möjligt att leverera analysresultat på beställning av utländska (såväl som inhemska) forskare, även om vi även i de fallen givetvis måste säkerställa att utlämnandet inte innebär risk för röjande av personuppgifter. Det senare innebär bland annat att vi inte kan lämna ut statistik som rör små grupper personer (vilken dock väldigt sällan är aktuellt i den typ av forskning som bedrivs på SLOSH). Under vissa förutsättningar är det dessutom ofta möjligt att låta även affilierade utländska forskare själva utföra analyserna på plats i våra lokaler efter att ha undertecknat en sekretessförbindelse.

Här följer en beskrivning av de villkor som gäller samtliga användare av SLOSH. Till dessa kommer särskilda villkor som är olika beroende på om användaren är del av SU eller inte.

Data och/eller resultat från SLOSH måste användas i enlighet med god forskningssed, i enlighet med gällande lagstiftning samt med respekt för forskningspersonernas integritet. Vi rekommenderar att användarna tar del av Vetenskapsrådets rapport om God forskningssed (ISBN 978-91-7307-352-3).

I alla publicerade studier baserade på SLOSH ska det framgå att de är baserade på SLOSH, bland annat genom att i Acknowledgement eller motsvarande sektion inkludera följande text.

På svenska: "I detta arbete användes data från SLOSH som ingår i REWHARD-konsortiet, vilket stöds av Vetenskapsrådet (dnr 2021-00154)."

På engelska: "This work utilised data from SLOSH which is part of the REWHARD consortium supported by the Swedish Research Council (VR #2021-00154)."

Vi rekommenderar att någon som är väl insatt i SLOSH finns med i forskningsprojektet för att kunna redogöra för hur data har samlats in och hur de bäst kan användas. Om ni inte redan har en sådan kontakt kan ni få råd via data@slosh.se

Det är också viktigt att SLOSH får information om vilka publikationer som resultaten publiceras i eftersom vi ska redovisa vilka forskningsresultat som SLOSH och REWHARD har bidragit till. Nya publikationer ska meddelas data@slosh.se senast i januari året efter publicering.

För att vi ska kunna överblicka vilka studier som är pågående och för att minska risken för att flera forskare samtidigt gör överlappande analyser, till ömsesidig skada, behöver vi veta hur länge och till vilka ändamål SLOSH-data används av mottagarna.

Data och resultat som lämnats ut bör därför användas och publiceras inom 3 år från tillgängliggörandet, varefter eventuella datafiler och kopior därav bör raderas från mottagarens datorer och servrar, vilket dock inte ska hindra eventuell arkivering enligt arkivlagen. Detta är i linje med principen om lagringsminimering enligt GDPR enligt vilken personuppgifter ska gallras när de inte längre behövs för sitt ändamål.

Den forskare som önskar använda data eller resultat efter 3 år kan begära förlängning av tidsfristen hos data@slosh.se. Användning för andra syften än de som specificerats i den ursprungliga dataansökan bör inte förekomma – om en forskare önskar använda SLOSH-data för ett nytt syfte ska istället en ny dataansökan lämnas till SU.

SLOSH-gruppen behåller och arkiverar kopior av utlämnade data och resultat enligt arkivlagen, vilket säkerställer att lagliga och forskningsetiska krav på bevarande av data uppfylls för bland annat replikering och kontroll vid misstanke om forskningsfusk.

Vid utlämnande till andra statliga svenska myndigheter, inklusive lärosäten, så övergår personuppgiftsanvaret för de utlämnande uppgifterna till mottagaren och uppgifterna blir allmänna handlingar hos mottagande myndighet med det ansvar för sekretessuppgifter som följer av detta. Vi erinrar om att den mottagande myndighetens rutiner för skydd av känsliga personuppgifter och uppgifter som skyddas av sekretess ska följas noga, vilket bland annat bör innebära att tillgängliggjorda data, liksom arbetsfiler och deriverade filer som innehåller personuppgifter, lagras på ett sådant sätt att de är skyddade från obehörigt intrång. Data ska under inga omständigheter skickas med e-post eller över öppna nät. För att kunna tillvarata de registrerades (forskningspersonernas) rättigheter enligt Dataskyddsförordningen (art. 15-21) är det dessutom viktigt att myndigheten har kontroll över var data finns.

Vid utlämnande till andra användare än statliga svenska myndigheter kan ytterligare förbehåll meddelas i samband med utlämnandet i syfte att säkerställa sekretess och laglig personuppgiftshantering.

Om forskaren eller tidskriften önskar tillgängliggöra de data som använts rekommenderar vi att detta görs genom att den slutliga datafilen, med exakt de variabler (original eller bearbetade) som använts deponeras och arkiveras hos Stockholms universitet med hjälp av SLOSH-gruppen. Den som sedan önskar tillgång till dessa data får detta av SU under förutsättning att det är juridiskt möjligt. Vi rekommenderar i så fall att följande text publiceras i den aktuella artikeln, där xxxx ersätts med det nummer som projektets godkända ansökan fått av oss:

"Given restrictions from the ethical review board and considering that sensitive personal data are involved, it is not possible to make the data freely available. Access to the data may be provided to other researchers in line with Swedish law and after consultation with the Stockholm University legal department. Requests for data, stored at the Stress Research Institute, Department of Psychology, should be sent to registrator@su.se with reference to the SLOSH substudy # xxxx or directly to the corresponding author."

För att kunna tillvarata de registrerades (forskningspersonernas) rättigheter enligt Dataskyddsförordningen (art. 15-21) är det nödvändigt att vi har kännedom om var data från SLOSH finns inom universitetet och vem som är kontaktperson där. Vi har dessutom behov av att kunna överblicka vilka studier som är pågående för att minska risken för att flera forskare samtidigt gör överlappande analyser, till ömsesidig skada.

Data och resultat som tillgängliggjorts för forskare inom SU ska därför användas och publiceras inom 3 år från tillgängliggörandet, varefter eventuella datafiler och kopior därav ska raderas från mottagarens datorer och servrar. Detta är i linje med principen om lagringsminimering enligt GDPR enligt vilken personuppgifter ska gallras när de inte längre behövs för sitt ändamål.

Den forskare som önskar använda data eller resultat efter 3 år kan begära förlängning av tidsfristen hos data@slosh.se som meddelar tillstånd via e-post. Användning för andra syften än de som specificerats i den ursprungliga dataansökan är inte tillåten – om en forskare önskar använda SLOSH-data för ett nytt syfte ska istället en ny dataansökan lämnas in.

SLOSH-gruppen behåller och arkiverar kopior av utlämnade/tillgängliggjorda data och resultat enligt arkivlagen, vilket säkerställer att lagliga och forskningsetiska krav på bevarande av data uppfylls för bland annat replikering och kontroll vid misstanke om forskningsfusk.

Mottagaren förbinder sig att tillse att tillgängliggjorda data, liksom arbetsfiler och deriverade filer som innehåller personuppgifter, lagras på ett sådant sätt att de är spårbara och skyddade från obehörigt intrång. Konkret innebär detta att antalet kopior ska begränsas och att de enbart får förvaras på servrar, datorer eller datamedia som tillhör eller är godkända av SU samt är krypterade och lösenordskyddade på ett sådant sätt att endast behöriga forskare kan få tillgång till dem. Data får under inga omständigheter skickas med e-post eller över öppna nät. Som behöriga räknas endast SU-anställda som behöver ha tillgång till data för att utföra analyser på dem inom ramen för projektet. Medarbetarna bör informeras om sina skyldigheter på ett likande sätt som de som påbörjar en anställning inom SLOSH-gruppen.

Om forskaren eller tidskriften önskar tillgängliggöra de data som använts ska detta ske genom att den slutliga datafilen, med exakt de variabler (original eller bearbetade) som använts deponeras och arkiveras hos Stockholms universitet med hjälp av SLOSH-gruppen. Den som sedan önskar tillgång till dessa data får detta av SU under förutsättning att det är juridiskt möjligt. Vi rekommenderar i så fall att följande text publiceras i den aktuella artikeln, där xxxx ersätts med det nummer som projektets godkända ansökan fått av oss:

"Given restrictions from the ethical review board and considering that sensitive personal data are involved, it is not possible to make the data freely available. Access to the data may be provided to other researchers in line with Swedish law and after consultation with the Stockholm University legal department. Requests for data, stored at the Stress Research Institute, Department of Psychology, should be sent to registrator@su.se with reference to the SLOSH substudy # xxxx or directly to the corresponding author."