Uttalelse om deling av forskningsdata fra Elevundersøkelsen (2019/61)

Last ned uttalelsen som pdf

NESH mottok en henvendelse 1. mars 2019 fra Thomas Dahl (heretter henvender), professor ved Institutt for lærerutdanning ved Norges teknisk-naturvitenskapelige universitet (NTNU). Henvendelsen handlet om Utdanningsdirektoratets (Udir) forvaltning av data fra Elevundersøkelsen, Lærerundersøkelsen og Foreldreundersøkelsen. Henvender mener at direktoratet bryter med det forskningsetiske prinsippet «om deling av data og muligheter for å etterprøve data», og at det er problematisk «at direktoratet bruker en privat aktør til innsamlinga av disse dataene og lar den private aktøren sitte på disse dataene og selv bruke dem i egen virksomhet». Det vises her til Udirs avtale med Conexus som databehandler.

NESH behandlet henvendelsen 13. juni 2019 på et selvstendig grunnlag. I forberedelsen av saken innhentet sekretariatet utfyllende kommentarer fra henvender. NESH har også etterspurt dokumentasjon fra både Udir og Conexus – Udir har gitt utfyllende dokumentasjon (20.05.2019), mens Conexus (15.05.2019) viser til svaret fra Udir. NESH har også innhentet opplysninger fra Norsk senter for forskningsdata (NSD) om to relevante forskningsprosjekter tilknyttet de nevnte undersøkelsene. I tillegg har NESH hentet inn dokumenter fra en tidligere sak om et liknende spørsmål (NESH 2007, ref. 07.3.126).

Bakgrunn

Udir har ansvaret for utforming og gjennomføring av Elevundersøkelsen, en nettbasert spørreundersøkelse som kartlegger elevers meninger om læring og trivsel på skolen.[1] Undersøkelsen er et viktig verktøy for videreutvikling og kvalitetssikring av læringsmiljøet på skolen. Det er lovpålagt for skolene å gjennomføre undersøkelsen på 7. og 10. trinn samt Vg1 hver høst. Samtidig er det frivillig for elevene å delta, og de kan krysse av for enten «Godta» eller «Avvis» etter å ha lest den innledende informasjonen. Undersøkelsen er imidlertid ikke samtykkebasert i juridisk forstand, og behandlingen av personopplysninger er hjemlet i personvernforordningen (GDPR) art. 6 nr. 1 bokstav e, jf. § 14-4 i opplæringslova og § 2-3 i forskrift til opplæringslova. Udir presiserer videre, i sitt svar til NESH, at det er fare for indirekte identifisering ved behandling av datasett, og undersøkelsen er derfor ikke anonym. Videre samles det inn særlig sensitiv informasjon, fra barn og unge, noe som innebærer et særskilt krav om varsomhet.

Aggregerte data fra Elevundersøkelsen gjøres tilgjengelig for ulike brukere av Udir på en egen nettportal med innlogging («skjermet»). Forskere kan også få tilgang til data på individnivå ved henvendelse til Udir («uskjermet»). Ved utlevering av grunnlagsdata til forskning, må forskerne ivareta Udirs regler for konfidensialitet, og forskerne må underskrive en taushetserklæring, jf. forvaltningsloven § 13 d og § 13 e.

Som bakgrunn viser henvender til en tidligere sak i NESH i 2007 om Læringslaben, forløperen til Conexus, med påfølgende debatt i Utdanningsnytt. NESH poengterte allerede den gang at all forskning og utvikling (FoU) bør inkludere forskningsetiske hensyn, og komiteen anbefalte å bruke Kunnskapsdepartementets (KD) standardavtale for å skille mellom FoU og konsulentoppdrag. NESH uttrykte også bekymring om manglende innsyn og etterrettelighet i rapporter fra konsulentselskap, og oppfordret KD til å se på saken (NESH 26.06.2007). KD henviste imidlertid til at «Læringslaben er et privat konsulentselskap», som lå utenfor KDs ansvarsområde. KD gikk heller ikke inn på grenseoppgangen mellom forskning og andre former for kunnskapsproduksjon utført av private konsulentselskap: «Departementet har ikke grunnlag for å ta stilling til om Læringslabens virksomhet kan karakteriseres som forskning.» (KD 29.10.2007). Disse spørsmålene er fremdeles aktuelle, også i denne saken om avtalen mellom Udir og Conexus.

NESHs vurdering

I behandlingen vil komiteen drøfte de forskningsetiske sidene av saken med henvisning til Forskningsetiske retningslinjer for samfunnsvitenskap, humaniora, juss og teologi (NESH 2016). NESH viser også til gjeldende lovverk, herunder forskningsetikkloven fra 2017, samt personvernforordningen og personopplysningsloven fra 2018, men gjør samtidig oppmerksom på at saken går lengre tilbake i tid og derfor også må ses i lys av tidligere lovverk.

a) Forskning og forskningsetikk

NESHs retningslinjer anerkjenner at det finnes ulike typer forskning, men understreker samtidig at forskningsetikken gjelder for alle typer forskning «Både forskerne og forskningsinstitusjonene skal sikre at forskningens finansiering og organisering ikke bryter med normene om åpen, etterrettelig og uavhengig forskning.» (NESH 2016, pkt. 34, Ulike typer forskning). Dette gjelder også for dem som finansierer forskningen: «Forskningsfinansierende aktører bør være kjent med etablerte standarder for organisering av forskning- og utredningsoppdrag.» (NESH 2016, pkt. 34, ulike typer forskning). Komiteen vil i fortsettelsen drøfte hva dette innebærer i denne saken.

For å avgrense forskningsetikkens virkeområde kan det være hensiktsmessig å skille mellom Udirs eget arbeid med kvalitetssikring og Udirs rolle knyttet til forskning, jf. tilsvarende skille i helseforskningen. NESH er primært opptatt av forskning, men fordi data innsamlet av Udir i forbindelse med egen kvalitetssikring også gjøres tilgjengelig for forskning, er det vanskelig å opprettholde dette skillet i praksis. NESH mener det er uklart hvilke vilkår og prinsipper Udir legger til grunn ved deling av data for forskningsformål (utover fritak fra taushetsplikt).

Videre kan det være hensiktsmessig å skille mellom Udirs ulike roller knyttet til forskning: Udir utfører ikke selv forskning, men er ansvarlig for innsamling av data, regulerer tilgangen til data, initierer og finansierer prosjekter, og leverer kunnskapsgrunnlag for politikkutforming. NESH mener det er viktig at Udir som forskningsfinansierende aktør skiller tydelig mellom de ulike rollene. Ellers kan det oppstå uklarhet om forskningens uavhengighet og etterrettelighet.

Det er også viktig å skille mellom forskning og andre typer oppdrag. Ved avtaler om FoU, skriver Udir i sitt svar til NESH, benytter de standardavtalen fra KD. Denne avtalen presiserer at begge parter – både Oppdragsgiver og Oppdragstaker – skal medvirke til at Oppdraget blir gjennomført i overensstemmelse med anerkjente vitenskapelige og etiske prinsipper (pkt. 3.1 Vitenskapelig redelighet). Her fremgår det for eksempel at resultatene «som hovedregel offentliggjøres etter overlevering til Oppdragsgiver» og at «Oppdragstaker skal stille relevant forskningsgrunnlag til rådighet i overensstemmelse med god skikk på området». NESH understreker at noe av formålet med denne avtalen handler om forskningsetikk og om å sikre tilliten til uavhengig oppdragsforskning, slik det er formulert av Difi:

«Forskningsavtalen utgjør et solid rammeverk for hvordan offentlige oppdragsgivere kan sikre at forsknings- og utredningsoppdrag gjennomføres innenfor anerkjente vitenskapelige og etiske prinsipper, at både oppdragsgiver og oppdragstaker har rettigheter til resultatene og at resultatene kommer ut i offentligheten. Avtalen er til bruk for alle som ønsker uavhengig oppdragsforsking med høy legitimitet. Grunnlaget for offentlige beslutninger må være utarbeidet på en faglig god måte, og ikke minst med åpenhet. Bare slik kan allmennhetens tillit til forskning og utredninger generelt og til kunnskapsbasert politikk opprettholdes.»[2]

KDs standardavtale, og viktigheten av å skille mellom forskning og andre typer oppdrag, blir også omtalt eksplisitt i forarbeidene til forskningsetikkloven:

«For institusjoner som også utfører ulike konsulentoppdrag, er det avgjørende, både for institusjonens gjennomføring av oppgavene og for blant annet legitimiteten utad, at det er stor bevissthet og åpenhet om hva slags oppdrag som utføres. Institusjonene må være tydelige på hva som er å anse som forskning og hva som er andre typer oppdrag. Konsulentoppdrag utført ved en forskningsinstitusjon må ikke bli framstilt av institusjon, av betaler eller av tredjepart som uavhengig forskning. Den enkelte forsker må ha en bevissthet om mulig rollekonflikt som forsker og som rådgiver/konsulent.»[3]

NESH presiserer i denne sammenheng at ansvaret for å tydeliggjøre skillet også påligger «betaler» eller forskningsfinansierende institusjon, i dette tilfellet Udir.

For eksempel har Udir en avtale med NTNU Samfunnsforskning om årlige analyser av Elevundersøkelsen, slik det fremgår av svaret til NESH: «Dette er utlyst som et analyseoppdrag». Her mener NESH det kunne være nyttig med en presisering: Er slike analyser «forskning», eller ikke? Hvordan er i så fall forskningsetikken ivaretatt?

Et annet eksempel, omtalt i Utdanningsnytt i 2017, er at Udir har inngått avtale med det private konsulentselskapet Rambøll, som har fått tilgang til rådata fra Elevundersøkelsen på individnivå for å utvikle dataverktøyet «Hjernen og hjertet».[4] Her har Datatilsynet gitt konsesjon, på strenge vilkår, men det er uklart for NESH hvorvidt det er snakk om «forskning», samt om Udir ved utlevering av data også sikrer at forskningsetikken er ivaretatt. NESH etterlyser derfor hvilket ansvar Udir har og tar for å sikre forskningsetikken i forskningsprosjekter.

NESH anbefaler at Udir skiller tydelig mellom sine ulike roller i forskning, og mellom uavhengig oppdragsforskning og konsulentoppdrag. Det er viktig for å sikre både forskningsetikken og tilliten til forskningen.

b) Informasjon og samtykke fra informantene som deltar i Elevundersøkelsen

Både forskere, forskningsfinansierende og forskningsutførende institusjoner har et ansvar for sikre at forskningsetikken er ivaretatt, uavhengig av om forskningen skjer i offentlig eller privat regi. Dette gjelder uansett, selv om behandlingen av personopplysninger har hjemmel i lov og forskrift. I retningslinjene presiserer NESH at det forskningsetiske samtykket må være fritt, informert og uttrykkelig, og dette stiller andre krav til personvernet enn det juridiske behandlingsgrunnlaget:

«Kravet om samtykke skal forebygge krenkelser av personlig integritet og sikre forskningsdeltakernes frihet og selvbestemmelse. Samtykket skal være basert på informasjon om prosjektets formål, metode, risiko, mulig ubehag og andre konsekvenser som kan ha betydning for deltakerne. Samtykke gjør det også mulig å gjennomføre forskning som innebærer en viss risiko for belastninger.» (NESH 2016, pkt. 8, Samtykke og informasjonsplikt)

Informasjonsplikt og innhenting av samtykke handler altså ikke bare om behandling av personopplysninger. Det handler også om forskningsetikk og vern av personene som deltar i forskningen, herunder deres integritet og menneskeverd (NESH 2016, pkt. 5, Menneskeverdet). Derfor understreker retningslinjene ansvaret for å informere informantene «om forskningsfeltet, forskningens formål, hvem som har finansiert prosjektet, hvem som får tilgang til informasjonen, hvordan resultatene er tenkt brukt, og om følgene av å delta i forskningsprosjektet.» (NESH 2016, pkt. 7, Ansvaret for å informere).

Elevundersøkelsen er ikke samtykkebasert, men hjemlet i lov og forskrift. Dermed har deltakerne, ved bruk av opplysningene i forskning, heller ikke mulighet til å samtykke i forskningsetisk forstand. Det er også klart at informasjonen som gis om den mulige bruken i forskning, ikke er tilstrekkelig. Følgelig, ved senere forskning på dette materialet, er heller ikke ansvaret for å informere deltakerne skikkelig ivaretatt.

Ettersom informasjonen er mangelfull og samtykke fraværende, mener NESH det er forskningsetisk problematisk å forske på dette materialet, spesielt på individnivå, gitt at opplysningene ikke er anonyme, det er fare for indirekte identifisering, og det inngår sensitive opplysninger, innsamlet fra barn og unge. Med bedre rutiner for innsamling fra Udirs side, er det mulig å begrense den forskningsetiske problematikken knyttet til informasjon og samtykke.

I tillegg til spørsmål om informasjon og samtykke, omhandler NESHs retningslinjer også ansvaret for å sikre forskningens frihet og uavhengighet (Del A), samt ansvaret overfor henholdsvis forskningsdeltakerne (Del B), ulike grupper og institusjoner (Del C), forskersamfunnet (Del D), oppdragsgivere (Del E), og offentligheten (Del F). Udir bør enda tydeligere presisere disse forskningsetiske forpliktelsene ved utlysing av oppdrag og utlevering av data til forskningsformål, for eksempel i kontrakten (pkt. 3.1 Vitenskapelig redelighet).

NESH anbefaler at Udir gjennomgår sine rutiner for innsamling, tilgjengeliggjøring og deling av data til forskningsformål slik at videre bruk i forskning skjer i tråd med anerkjente forskningsetiske normer og retningslinjer. 

c) Tilgjengeliggjøring og deling av data

Henvenders første spørsmål er knyttet til det forskningsetiske prinsippet om etterprøving og deling av data: «Jeg mener direktoratet bryter med prinsippet om deling av data og muligheter for å etterprøve data i måten det håndterer dataene til nasjonale undersøkelser som elevundersøkelsen, lærerundersøkelsen og foreldreundersøkelsen.»

Komiteen viser i denne sammenheng til retningslinjene hvor det står at «Forskningsmaterialet bør gjøres tilgjengelig for andre forskere for etterprøving og etterbruk» (NESH 2016, pkt. 29, Etterprøving og deling av data). Det er viktig for å ivareta åpenhet, men også kritisk etterprøving. Samtidig, presiserer retningslinjene, er det viktig å ivareta personvern og konfidensialitet: «Derfor bør normen om åpenhet og deling av data, spesielt i omfattende registerforskning, balanseres mot andre forskningsetiske hensyn og krav.»

Gitt at både informasjon og samtykke i denne saken er problematisk i forskningsetisk forstand, er det ikke opplagt at informasjon fra Elevundersøkelsen bør deles med forskere. Rolleblanding og samrøre kan bidra til at tilliten til forskningen blir svekket. Derfor er det viktig at opplysninger som skal benyttes i forskning, er samlet inn på en forsvarlig måte.

Det kan også være vanskelig for andre forskere å få tilgang til av data fra Conexus. Her har Udir en dobbeltrolle, fordi det både utlyser oppdrag og regulerer tilgang. Også dette kan svekke tilliten til forskningen. Hypotetisk: dersom Udir på oppdrag fra politisk ledelse utlyser et anbud eller finansierer et prosjekt, hvor forskere på oppdrag får tilgang til bestemte data, hvordan kan da andre forskere, som er kritiske enten til den resulterende rapporten eller den politiske bruken av kunnskapen, etterprøve konklusjonene og påstandene?

NESH understreker at åpenhet og deling av data er anerkjente forskningsetiske idealer. Også i forskningspolitikken er det sterke føringer i retning av tilgjengeliggjøring og deling av forskningsdata, både fra Kunnskapsdepartementet og Forskningsrådet.[5] Det er også et viktig premiss i KDs standardavtale at «Oppdragstaker skal stille relevant forskningsgrunnlag til rådighet i overensstemmelse med god skikk på fagområdet.» (pkt. 3.1).

NESH vektlegger viktigheten av at Udir som offentlig aktør legger til rette for større åpenhet og deling av data med forskere, innenfor lovlige og etisk forsvarlige rammer.

NESH anbefaler at Udir sikrer at data fra Elevundersøkelsen som allerede er brukt i FoU, automatisk og uten ekstra kostnader gjøres tilgjengelig for andre forskere for etterprøving og kritikk.

d) Kommersielle hensyn

Henvenders andre spørsmål en basert på en påstand om bruk av data fra Udirs undersøkelser i Conexus’ egen virksomhet: «I tillegg mener jeg at det er et problem at direktoratet bruker en privat aktør til innsamlinga av disse dataene og lar den private aktøren sitte på disse dataene og selv bruke dem i egen virksomhet.» 

I likhet med andre databehandlere som Norsk senter for forskningsdata (NSD) og Statistisk sentralbyrå (SSB), tar Conexus betalt for å tilgjengeliggjøre forskningsdata, slik det fremgår i svaret fra Udir: «Forskere som har fått dispensasjonsvedtak betaler ikke for selve dataene, men må betale Conexus for faktisk arbeid med å tilrettelegge/hente ut de data de har søkt om og fått tilgang til.» NESH har ikke kjennskap til priser for utlevering av data fra Conexus – hvorvidt det er snakk om et gebyr (uten profitt) eller en ekstra kostnad (for profitt). På spørsmål fra NESH bruk av data internt hos Conexus, svarer Udir tydelig: «Som databehandler kan Conexus ikke bruke data til egne formål. De kan kun behandle data på instruks fra Utdanningsdirektoratet.»

NESH har ikke fått oversikt over omfanget av oppdrag som blir utført av Conexus på instruks fra Udir. NESH har heller ikke fått innsyn i detaljene i selve avtalen mellom Conexus og Udir. NESH har derfor ikke mulighet til å vurdere de fremsatte påstandene om bruk av data i egen virksomhet.

NESH mener uansett at det, i tråd med prinsippet om åpen forskning, også bør være åpenhet om de økonomiske sidene av avtalen mellom Udir og Conexus, samt om hva det koster å få utlevert data til forskning. Det samme bør gjelde for andre databehandlere som forvalter data innsamlet med offentlige midler.

NESH anbefaler at Udir legger til rette for størst mulig åpenhet om de økonomiske sidene ved avtalen med Conexus, i tråd med forskningsetiske prinsipper og forskningspolitiske føringer om åpen forskning.

e) Rettslig grunnlag

NESHs oppgave er ikke å vurdere lovligheten ved innsamlingen og behandlingen av data fra Elevundersøkelsen. NESH er imidlertid bekymret for at uklarheter her i neste omgang kan skape utfordringer for forskere, som ønsker å bruke data fra undersøkelsen. NESH mener det er uklart hvorvidt Udir har et rettslig grunnlag for utlevering av personopplysninger til forskning.

NESH anbefaler at Udir innleder en dialog med Datatilsynet om gjennomføring av en DPIA for selve Elevundersøkelsen (gitt at det ikke allerede foreligger), samt om hvilke vilkår som skal gjelde ved deling av data til forskningsformål.[6]

Konklusjon

Det er altså ikke NESH sin oppgave å vurdere hvorvidt behandlingen av personopplysninger i Elevundersøkelsen er lovlig eller ikke. NESH er primært opptatt av forskning, og hvilke forskningsetiske prinsipper som er relevante i denne sammenheng. Drøftingen viser at grensene her er uklare, samtidig som Udir har flere ulike roller i forbindelse med forskning. NESH har derfor skissert fem anbefalinger og oppfordrer Udir, og andre relevante instanser, om å vurdere mulige tiltak for å sikre at forskningen på materialet er forsvarlig også i forskningsetisk forstand.

NESH bistår gjerne dersom det er behov for dialog om disse momentene.

• NESH anbefaler at Udir skiller tydeligere mellom sine ulike roller i forskning, og mellom uavhengig oppdragsforskning og konsulentoppdrag. Det er viktig for å sikre både forskningsetikken og tilliten til forskningen.
• NESH anbefaler at Udir gjennomgår sine rutiner for innsamling, tilgjengeliggjøring og deling av data til forskningsformål slik at videre bruk i forskning skjer i tråd med anerkjente forskningsetiske normer og retningslinjer.
• NESH vektlegger viktigheten av at Udir som offentlig aktør legger til rette for større åpenhet og deling av data med forskere, innenfor lovlige og etisk forsvarlige rammer.
• NESH anbefaler at Udir sikrer at data fra Elevundersøkelsen som allerede er brukt i FoU, automatisk og uten ekstra kostnader gjøres tilgjengelig for andre forskere for etterprøving og kritikk.
• NESH anbefaler at Udir legger til rette for størst mulig åpenhet om de økonomiske sidene ved avtalen med Conexus, i tråd med forskningsetiske prinsipper og forskningspolitiske føringer om åpen forskning.
• NESH anbefaler at Udir innleder en dialog med Datatilsynet om gjennomføring av en DPIA for selve Elevundersøkelsen (gitt at det ikke allerede foreligger), samt om hvilke vilkår som skal gjelde ved deling av data til forskningsformål

Noter

[1] For mer informasjon, se https://www.udir.no/tall-og-forskning/brukerundersokelser/elevundersokelsen/
I fortsettelsen omtales kun Elevundersøkelsen, men uttalelsen gjelder også de andre ovennevnte undersøkelsene.
[2] https://www.anskaffelser.no/verktoy/kontrakter-og-avtaler/standardavtale-forsknings-og-utredningsoppdrag-kd
[3] Prop. 158 L (2015–2016) Lov om organisering av forskningsetisk arbeid, Kunnskapsdepartementet, s. 21.
[4] https://www.utdanningsnytt.no/nyheter/2017/november/ramboll-far-gratis-innsyn-i-en-rekke-databaser-til-bruk-i-dataverktoyet-hjernen-og-hjertet/
[5] Kunnskapsdepartementet (2017). Nasjonal strategi for tilgjengeliggjøring av data; Forskningsrådet (2017). Åpen tilgang til forskningsdata.
[6] Datatilsynet (2018). Veileder for vurdering av personvernkonsekvenser (DPIA).