Privolitveni obrazec za namen raziskav

Datum

26.04.2024

Številka

07120-1/2024/166

Kategorije

Informiranje posameznika, Občutljivi OP, Posebne vrste OP, Statistika in raziskovanje, Privolitev, Zdravstveni osebni podatki

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Navajate, da želite v bolnišnici prenoviti privolitveni obrazec za operativne posege, med ostalim tudi del, ki se nanaša na uporabo zdravstvenih osebnih podatkov za namen raziskav. Zanima vas, ali je naslednja generalna izjava za retrospektivne raziskave dovolj konkretizirana oziroma kaj bi bilo treba še dodati:

»Dovoljujem/ ne dovoljujem, da se moji osebni oziroma zdravstveni podatki, ki so nastali v zvezi oz. med zdravstveno obravnavo v bolnišnici …, uporabijo v retrospektivnih znanstvenoraziskovalnih študijah, v katerih sodeluje bolnišnica oz. raziskovalci, na področju medicine, zdravstvenih in drugih ved s področja delovanja bolnišnice, z namenom izobraževanja, analize in spremljanja kakovosti in varnosti zdravstvene obravnave ter izboljšanja metod zdravljenja. Seznanjen sem, da imam v primeru kršitve varstva osebnih podatkov pravico prijaviti kršitev Informacijskem pooblaščencu.«

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Veljavna privolitev mora biti aktivna in vnaprej prostovoljno podana, konkretna, informirana in nedvoumna. Za obdelavo zdravstvenih podatkov mora biti privolitev vedno izrecna.

Pomembno je razlikovati med privolitvijo v operativni poseg in privolitvijo za obdelavo osebnih podatkov; slednja mora biti ločena od drugih zadev.

Zahteva po konkretni privolitvi pomeni, da mora biti podana za jasno in konkretno opredeljen namen.

Čeprav uvodna določba 33 Splošne uredbe dopušča nekaj prilagodljivosti pri opisu namenov raziskave, za katere se pridobiva privolitev posameznika, morajo biti temeljni pogoji za zakonito obdelavo podatkov izpolnjeni. To med drugim pomeni, da morajo biti nameni obdelave osebnih podatkov kar se da jasno opredeljeni, omejeni na specifična področja raziskave in v skladu z razumnimi pričakovanji posameznikov glede uporabe njihovih podatkov.

Obrazložitev

Uvodoma IP poudarja, da izven nadzornega postopka konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da IP v mnenju ne more potrjevati ustreznosti konkretnih obrazcev ali izjav, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava osebnih podatkov zakonita. Zato IP na vaše vprašanje v tem mnenju ne more dokončno odgovoriti, temveč v nadaljevanju podaja splošna pojasnila in pravna izhodišča.

ZVOP-2 v prvem odstavku 69. člena določa, da lahko upravljavec ne glede na prvotni namen obdelave osebne podatke, ki pomenijo poklicno skrivnost (to so tudi zdravstveni podatki; glej na primer mnenji IP št. 07120-1/2024/136 in št. 07120-1/2023/42; dostopni na https://www.ip-rs.si/mnenja-zvop-2/) nadalje obdeluje za namen raziskovanja, če tako obdelavo dovoljuje drug zakon ali če je posameznik, na katerega se nanašajo osebni podatki, za obdelavo dal pisno soglasje. Poleg pisne oblike pa podrobneje ne opredeljuje, kakšno mora to soglasje biti. Zato je treba upoštevati splošne pogoje za veljavnost privolitve, kot jih določa Splošne uredba.

IP pojasnjuje, da se kot veljavna privolitev šteje le aktivna in prostovoljno podana, konkretna, informirana in nedvoumna vnaprejšnja privolitev posameznika (11. točka 4. člena Splošne uredbe). Za obdelavo zdravstvenih podatkov mora biti privolitev vedno izrecna (točka a drugega odstavka 9. člena Splošne uredbe). Ta pogoj bi bil v konkretnem primeru zaradi pisne oblike obrazca izpolnjen.

Ob tem pa IP opozarja, da je treba ločevati med privolitvijo v operativni poseg in privolitvijo za obdelavo osebnih podatkov. Zato v zvezi s »privolitvenim obrazcem« poudarja, da morajo biti informacije, potrebne za pridobitev privolitve v obdelavo osebnih podatkov, jasno ločene od drugih informacij. Drugi odstavek 7. člena Splošne uredbe namreč določa, da če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana v pisni izjavi, ki se nanaša tudi na druge zadeve (na primer privolitev v operativni poseg), se zahteva za privolitev predloži na način, ki se jasno razlikuje od drugih zadev, v razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku. Deli take izjave, ki predstavljajo kršitev te uredbe, niso zavezujoči.

Privolitev mora biti glede na zahteve iz Splošne uredbe tudi konkretna. To pomeni, da je podana za jasno in konkretno opredeljen namen. Uvodna določba 33 Splošne uredbe pa navaja: »V fazi zbiranja podatkov pogosto ni mogoče v celoti opredeliti namena obdelave osebnih podatkov v znanstvenoraziskovalne namene. Posamezniki, na katere se nanašajo osebni podatki, bi zato morali imeti možnost, da dajo privolitev za nekatera znanstvenoraziskovalna področja, ob upoštevanju priznanih etičnih standardov znanstvenega raziskovanja. Posamezniki, na katere se nanašajo osebni podatki, bi morali imeti možnost, da dajo privolitev le za nekatera raziskovalna področja ali dele raziskovalnih projektov v obsegu, ki ga dovoljuje predvideni namen.« Gre za t.i. široko privolitev (ang. broad consent), ki ni podana za točno določeno raziskavo. V teoriji in praksi obstajajo različna stališča, ali je takšna privolitev glede na pomanjkanje konkretnega namena veljavna.

Evropski odbor za varstvo podatkov je že pojasnil (https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/edpb-document-response-request-european-commission_en), da čeprav uvodna določba 33 dopušča nekaj prilagodljivosti pri opisu namenov raziskave, za katere se pridobiva privolitev posameznika, morajo biti temeljni pogoji za zakonito obdelavo podatkov še vedno izpolnjeni. To med drugim pomeni, da morajo biti nameni obdelave osebnih podatkov jasno opredeljeni, omejeni na specifična področja raziskave in v skladu z razumnimi pričakovanji posameznikov glede uporabe njihovih podatkov. Široka privolitev ne bi smela biti uporabljena za poljubne, neopredeljene prihodnje namene raziskave, lahko pa bi se uporabila za različne raziskovalne projekte, na katere se privolitev nanaša. Vendar je treba zagotoviti, da so izpolnjeni dodatni varnostni ukrepi, ki bodo natančneje opredeljeni v smernicah Evropskega odbora za varstvo podatkov o obdelavi osebnih podatkov za znanstvene raziskovalne namene, ki so trenutno v pripravi.

Zelo pomembno je, da posamezniki prejmejo vse relevantne informacije in razumejo namen ter obseg njihove privolitve za prihodnjo uporabo podatkov. Kot že pojasnjeno, vam IP v mnenju ne more odgovoriti, ali je predlagana izjava dovolj konkretizirana oziroma ali bi bilo treba še kaj dodati, da bi izpolnjevala pogoje za veljavnost privolitve. Priporoča pa vam, da upoštevate zgoraj opisane usmeritve ter čimbolj natančno opredelite raziskovani namen, ob tem pa posameznike razumljivo obvestite o tem, kaj to zanje pomeni.

Več o tem, katere pogoje mora izpolnjevati privolitev, si lahko preberete tudi na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/privolitev. Prav tako je IP v zvezi s privolitvijo kot pravno podlago za obdelavo osebnih podatkov izdal že številna mnenja, ki so na voljo na povezavi: https://www.ip-rs.si/mnenja-zvop-2/ (kategorija »Privolitev«).

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka