Obdelava osebnih podatkov za znanstveno raziskovalni namen po ZVOP-2

Datum

28.02.2023

Številka

07120-1/2023/85

Kategorije

Zdravstveni osebni podatki, Statistika in raziskovanje

Pri Informacijskem pooblaščencu (IP) smo dne 30. 1. 2023 prejeli vaše zaprosilo za mnenje o tem:

1.ali lahko zaposleni v bolnišnici – za predstavitve na kongresih ali za nadaljnje šolanje – obdelujejo osebne podatke pacientov v bolnišnici, med drugim tudi tistih pacientov, ki so jih sami obravnavali;

2.ali lahko bolnišnica posreduje podatke o pacientih medicinski fakulteti, ki s svojimi študenti medicine (ti naj ne bi bili zavezani poklicni molčečnosti) želi opravljati raziskave na točno določenih pacientih (npr. od drugod so pridobili podatek o posameznih rizičnih kategorijah pacientov, zanima pa jih izid); ali je medicinska fakulteta raziskovalna organizacija in ali lahko obdelavo izvajajo študenti;

3.kako ravnati, če bi Ginekološka klinika, ki je npr. zdravila neplodnost pacientk, želela pridobiti podatek, pri koliko in katerih njihovih pacientkah je prišlo do zapleta pri porodu.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Pojasnjujemo še, da se IP lahko dokončno opredeljuje do konkretnih primerov obdelav osebnih podatkov le v nadzornih postopkih, zato je spodnje mnenje le informativno. Prav tako je treba upoštevati, da v tem trenutku, zaradi zakona, ki je šele pred kratkim pričel veljati, še ni vzpostavljene ustaljene prakse na tem področju.

1.Če zaposleni v bolnišnici izvajajo znanstveno raziskovalno delo kot njegovi nosilci v lastnem interesu, zanje veljajo pravila, ki sicer veljajo za zunanje raziskovalne organizacije (za t.i. zunanje raziskave) iz 2. točke. Predstavitev konkretnih kliničnih primerov za znanstveno raziskovalne dogodke odprtega tipa je dopustna na podlagi privolitve pacienta ali na podlagi anonimizacije. Če gre pri tem za predstavitev rezultatov raziskave, so podatki lahko le izjemoma psevdonimizirani, če anonimizacija iz tehničnih razlogov ni mogoča ali če anonimizacija ni mogoča zaradi zasledovanja ciljev raziskave.

2.Medicinska fakulteta spada med raziskovalne organizacije, vendar mora za vsakokratno potrebo pridobivanja osebnih podatkov izkazati konkreten znanstveno raziskovalni namen. Osebne podatke pacientov lahko fakulteta, poleg tega, da mora izpolnjevati splošne pogoje iz 68. člena ZVOP-2, pridobi: - pod pogoji iz 9. člena ZVOP-2 ali - pod pogoji iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2 ali - na podlagi privolitve ali - na podlagi neke specialne zakonske podlage. Neposredni izvajalci raziskave v imenu fakultete so lahko tudi študenti, če je njihovo razmerje s fakulteto ustrezno pogodbeno urejeno in so sprejeti tudi ustrezni ukrepi za varnost podatkov.

3.Ker sklepamo, da gre pri »ginekološki kliniki« za zunanjo raziskovalno organizacijo (samostojno ali kot del druge organizacije), zanjo veljajo enaka pravila oziroma enake podlage kot za medicinsko fakulteto iz prejšnje točke tega mnenja.

Obrazložitev:

Zaposleni v bolnišnici lahko izvajajo znanstveno raziskovalno delo:

1.kot njegovi neposredni izvajalci - če je nosilec dela sama bolnišnica, zaposleni pa izvajajo delo v imenu in po navodilih bolnišnice (interna raziskava), ali

2.kot njegovi nosilci (zunanja raziskava) - če imajo za to pravno podlago v privolitvi, specialnem zakonu, 9. členu ZVOP-2 ali drugem in tretjem odstavku 69. člena ZVOP-2.

Zato je možno, tako kot sami navajate, da bolnišnica, ob izpolnjevanju splošnih pogojev iz 68. člena ZVOP-2 in specialnih pogojev iz drugega in tretjega odstavka 69. člena ZVOP-2, zaposlenim odobri dostop oziroma uporabo osebnih podatkov, ki so potrebni za izvedbo njihovega znanstveno raziskovalnega dela.

Brez pravne podlage lahko zaposleni ali raziskovalne organizacije pridobivajo in uporabljajo le popolnoma anonimizirane podatke, ki morajo biti za ta namen in v taki obliki pripravljeni še pred prevzemom.

Predstavitev kliničnih primerov na odprtih izobraževalnih (tudi znanstveno raziskovalnih) dogodkih je dopustna na podlagi popolne anonimizacije primerov ali na podlagi privolitve pacientov.

Sedmi odstavek 69. člena ZVOP-2 določa, da se rezultati raziskave (torej ne zgolj gola predstavitev kliničnega primera) objavijo (sem spada tudi javna predstavitev na dogodku, ki je manjši poseg v zasebnost) v anonimizirani obliki; rezultati raziskave se lahko objavijo tudi v psevdonimizirani obliki, če objava podatkov v anonimizirani obliki iz tehničnih razlogov ali zaradi zasledovanja ciljev raziskave ni mogoča; rezultati raziskave lahko vsebujejo tudi osebne podatke, če zakon to določa ali če je posameznik, na katerega se nanašajo osebni podatki, za objavo osebnih podatkov dal pisno privolitev ali če je za tako objavo v času po smrti posameznika dana pisna privolitev oseb v izključujočem vrstnem redu iz prvega stavka petega odstavka 9. člena tega zakona; osebni podatki iz raziskave se ne smejo objaviti, če je to v nasprotju z interesom varovanja tajnosti ali zaupnosti uradnih postopkov ali če ti postopki še niso zaključeni.

Medicinska fakulteta nedvomno spada med raziskovalne organizacije, vendar to ne pomeni, da lahko podatke pridobiva izven konkretne raziskave, za katero morajo biti izpolnjeni pogoji po 68. členu ZVOP-2 in hkrati pogoji po eni od relevantnih pravnih podlag (privolitev, specialni zakon ali posebne podlage v ZVOP-2). Neposredni izvajalci raziskave so lahko tudi študenti Medicinske fakultete, ki opravljajo delo v imenu in po navodilih fakultete, ki je nosilec raziskave. Pravno razmerje med fakulteto in sodelujočimi študenti mora biti ustrezno pogodbeno urejeno; če študenti niso formalni člani raziskovalnega projekta ali niso v drugem ustreznem razmerju s fakulteto, je potrebno s študenti skleniti vsaj pogodbo o obdelavi osebnih podatkov po 28. členu Splošne uredbe o varstvu podatkov.

Tudi študenti so po prvem odstavku 45. člena Zakona o pacientovih pravicah (ZPacP) zavezani k varovanju poklicne skrivnosti, prav pa je, da jih fakulteta k temu dodatno zaveže še s pisno izjavo.

Če je »ginekološka klinika« zunanja raziskovalna organizacija, veljajo enaka pravila in podlage za pridobitev osebnih podatkov za znanstveno-raziskovalni namen kot za medicinsko fakulteto.

Lepo vas pozdravljamo,

Pripravil:

mag. Urban Brulc, univ. dipl. prav., samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka