Nekatera vprašanja glede uporabe osebnih podatkov za znanstveno-raziskovalni namen po ZVOP-2

Datum

03.03.2023

Številka

07120-1/2023/42

Kategorije

Statistika in raziskovanje, Zdravstveni osebni podatki

Pri Informacijskem pooblaščencu (IP) smo dne 20. 1. 2023 prejeli vaše zaprosilo za mnenje o tem:

1.v katerih primerih se bo štelo, da organizacija uporablja etična načela in metodologijo s področja raziskovanja (68/1 ZVOP-2);

2.kaj so posebne vrste osebnih podatkov in kaj so podatki, ki pomenijo poklicno skrivnost oziroma, kakšna je razlika (69/1 ZVOP-2),

3.ali je dopustno zdravstvene osebne podatke, ki jih javni zdravstveni zavod obdeluje na podlagi zakona, uporabiti za namen raziskovanja, če pacient tega ni izrecno prepovedal (69/1/1.tč ZVOP-2).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1.Odločitev o tem, ali raziskovalna organizacija izpolnjuje pogoj »da pri svojem delu uporablja etična načela in metodologijo s področja raziskovanja« (prvi odstavek 68. člena ZVOP-2) je v rokah upravljavca, ki odloča o posredovanju podatkov po 69. členu ZVOP-2. Ker zakon ne določa nobenih konkretnih podrobnosti, lahko organizacija to izkaže na primer z ustreznimi kombinacijami predložitve: zavezujoče izjave, dokazila, da je članica organizacije, za katero veljajo taka notranja ali zunanja pravila, dokazila o pristopu k določenim pravilom drugih organizacij, lastnih oziroma internih pravil, ustreznega protokola konkretne raziskave, ustreznih referenc, dokazila o vpisu v evidenco o izvajalcih raziskovalne in razvojne dejavnosti po zakonu, ki ureja raziskovalno dejavnost in soglasja pristojne etične komisije ali podobnega telesa ipd. V primeru pridobivanja osebnih podatkov po drugem odstavku 69. člena ZVOP-2, mora raziskovalna organizacija v vlogi, med drugim, izrecno navesti relevantna etična načela in metodologijo glede na konkretno raziskavo, za katero zaproša za podatke, ter tudi ukrepe za varnost osebnih podatkov.

2.Podatki, ki so poklicna skrivnost so vsi tisti, za katere področna zakonodaja določa, da so predmet dolžnosti varovanja poklicne skrivnosti (na primer prvi odstavek 45. člena ZPacP, 93. člen ZSV, 6. člen ZOdv ipd.). Ni pa nujno, da podatki, ki so poklicna skrivnost spadajo med posebne kategorije podatkov po prvem odstavku 9. člena Splošne uredbe o varstvu podatkov.

3.Javni zdravstveni zavod lahko izvaja znanstveno-raziskovalno delo na osebnih podatkih živih posameznikov, ki jih ima kot upravljavec:

-le na podlagi pisnega soglasja, če gre za podatke, ki so predmet poklicne skrivnosti ali

-le če posameznik take uporabe podatkov ni prepovedal ali

-le če to določa področni zakon (npr. ZZPPZ za Register raka).

Obrazložitev

1.Če raziskovalna organizacija pridobiva osebne podatke od drugega upravljavca, je to možno pod pogoji iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2, če za pridobivanje ni na voljo druge pravne podlage. ZVOP-2 ne določa, kaj pomeni in kako raziskovalna organizacija ali raziskovalec izkaže »da pri svojem delu uporablja etična načela in metodologijo s področja raziskovanja«. Zakon tudi ne napotuje na posebna pravila ali standarde ter ne določa meril za presojo predpisanega pogoja. Zato je izkaz tega pogoja prepuščen raziskovalni organizaciji (če pridobiva in uporablja podatke na podlagi 69. člena ZVOP-2 ali če jih pridobiva in uporablja na kateri drugi podlagi), presojanje tega pogoja pa je prepuščeno tudi upravljavcu po drugem in tretjem odstavku 69. člena ZVOP-2. Zaradi relativne odprtosti tega pogoja, lahko po mnenju IP raziskovalna organizacija ali raziskovalec izkažeta, da ga izpolnjujeta na primer z različnimi kombinacijami dokazil (odvisno od okoliščin konkretnega primera):

-z zavezujočo enostransko izjavo,

-z izjavo o pristopu k določenim pravilom drugih organizacij,

-z dokazilom o tem, da je članica oziroma član organizacije, za katero veljajo določena notranja ali zunanja pravila (npr. univerza, raziskovalni konzorcij),

-s predložitvijo lastnih oziroma internih pravil,

-s predložitvijo ustreznega protokola raziskave,

-s predložitvijo ustreznih referenc,

-z dokazilom o vpisu v evidenco o izvajalcih raziskovalne in razvojne dejavnosti v skladu z Zakonom o znanstvenoraziskovalni in inovacijski dejavnosti (ZZrID),

-s predložitvijo soglasja Komisije za medicinsko etiko ali podobnega telesa.

ZVOP-2 v (4) točki drugega odstavka 69. člena določa, da mora raziskovalna organizacija v opisu raziskave navesti tudi predvidena sredstva in dejanja obdelave osebnih podatkov, vključno z navedbo etičnih načel in metodologije iz prvega odstavka 68. člena in ukrepi za varnost osebnih podatkov.

2.Posebne vrste osebnih podatkov iz prvega odstavka 9. člena Splošne uredbe o varstvu podatkov so predmet varovanja poklicne skrivnosti le, če tako določa zakon. Zakon lahko določi, da so predmet varovanja poklicne skrivnosti tudi drugi osebni podatki, torej podatki, izven prvega odstavka 9. člena omenjene uredbe. Poklicno skrivnost na primer poznamo v zdravstvu, socialnem varstvu, odvetništvu, psihologiji in podobnih dejavnostih. V primeru prvega odstavka 45. člena ZPacP se podatki o zdravstvenem stanju (»podatki v zvezi z zdravjem«) pokrivajo s poklicno skrivnostjo.

3.ZVOP-2 s tem v nacionalno ureditev prenaša določbe Splošne uredbe o varstvu podatkov, zlasti 5. in 89. člena v kombinaciji s 33. in 50. uvodno določbo. Iz (b) točke prvega odstavka 5. člena pa tudi iz četrtega odstavka 6. člena omenjene uredbe tako izhaja, da se lahko osebni podatki nadalje obdelujejo za namen, ki je drugačen od prvotnega, če je dodatni namen združljiv s prvotnim; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno ali zgodovinsko raziskovalne namene ali statistične namene v skladu s členom 89(1) (tu so urejeni zaščitni ukrepi) ne velja za nezdružljivo s prvotnimi nameni.

Po mnenju IP ZVOP-2 omogoča vsakemu upravljavcu osebnih podatkov, da te osebne podatke nadalje obdeluje tudi za lastni znanstveno-raziskovalni namen pod pogoji iz 68. člena ZVOP-2 (tj. da uporablja etična načela in metodologijo s področja raziskovanja) ter pod pogoji iz prvega odstavka 69. člena ZVOP-2. Po mnenju IP je za interne raziskave neobstoj prepovedi pogoj za zakonitost obdelave »navadnih« osebnih podatkov (torej tistih, ki niso predmet varstva poklicne skrivnosti) s strani upravljavca, razen če tako obdelavo dovoljuje drug zakon. Razlog za to je alternativno naštevanje pravnih podlag v prvem odstavku 69. člena ZVOP-2 – to so »drug zakon« ali »neobstoj prepovedi« ali »pisno soglasje« za podatke, ki so predmet poklicne skrivnosti. To posledično tudi pomeni, da lahko nadaljnjo uporabo podatkov o zdravstvenem stanju v najširšem pomenu besede (gl. definicijo iz 15. točke 4. člena Splošne uredbe in prvega odstavka 45. člena ZPacP) določa področni zakon s področja zdravstva, kot na primer ZZPPZ določa za Register raka v prilogi 1 pod št. NIJZ 25; druga možnost je pisno soglasje. Dano pisno soglasje po naravi stvari izključuje pogoj neobstoja prepovedi. Pisno soglasje velja do preklica ali prepovedi.

Lepo vas pozdravljamo,

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka