Obdelava osebnih podatkov v raziskovalne namene v zdravstvu

Datum

22.03.2023

Številka

07120-1/2023/155

Kategorije

Statistika in raziskovanje, Zdravstveni osebni podatki

Pri Informacijskem pooblaščencu (IP) smo dne 14. 3. 2023 prejeli vaše zaprosilo za mnenje glede obdelave podatkov v znanstveno raziskovalne namene. Zanima vas, ali lahko upravljavec poleg pogojev, ki jih za posredovanje osebnih podatkov določata 68. in 69. člen ZVOP-2, določi dodatne pogoje, ki jih morajo izpolnjevati raziskovalne organizacije ali raziskovalci, predvsem ali posredovanje podatkov lahko omeji le na raziskovalne organizacije, ki so vpisane v evidenco izvajalcev znanstvenoraziskovalne dejavnosti. Glede nadaljnje obdelave podatkov za raziskovalne namene v skladu s prvim odstavkom 69. člena sprašujete, ali morajo upravljavci posameznike, na katere se podatki nanašajo, izrecno obvestiti o tem, da lahko prepovedo nadaljnjo obdelavo osebnih podatkov za tovrstne namene. Dodatno prosite tudi za pojasnila glede interpretacije pojma osebnih podatkov, ki pomenijo poklicno skrivnost na splošno glede zdravstvenih podatkov ter posebej glede podatkov, ki jih vsebujejo zbirke, opredeljene v ZZPPZ.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. Vpis v evidenco izvajalcev znanstvenoraziskovalne dejavnosti predstavlja le enega izmed možnih načinov izkazovanja, da raziskovalna organizacija ali raziskovalec izpolnjuje pogoj glede uporabe etičnih načel in metodologije s področja raziskovanja, ki pa ga lahko raziskovalne organizacije dokazujejo tudi na druge načine glede na okoliščine konkretnega primera.

2. Niti Splošna uredba niti ZVOP-2 ne zahtevata, da upravljavci posameznike posebej obvestijo o možnosti prepovedi nadaljnje obdelave osebnih podatkov v raziskovalne namene.

3. Večina podatkov, ki jih opredeljuje ZZPPZ, in se nanašajo na pacienta, je varovanih kot poklicna skrivnost, ne sodijo pa vsi podatki v to kategorijo – tipičen primer podatka, ki ni varovan kot poklicna skrivnost je EMŠO.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. Obenem opozarjamo, da je področje obdelave osebnih podatkov v raziskovalne namene eno izmed redkih področij, ki jih Splošna uredba v podrobnejše urejanje prepušča državam članicam. V Sloveniji je to področje urejeno v 68. do 70. členu ZVOP-2, ki velja od 26. 1. 2023, zato ustaljena praksa na tem področju še ni vzpostavljena. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

V skladu z načelom odgovornosti je dolžnost upravljavca, ki odloča o posredovanju podatkov na podlagi drugega odstavka 69. člena ZVOP-2, da presodi:

a.ali raziskovalna organizacija ali raziskovalec izpolnjuje pogoj glede uporabe etičnih načel in metodologije s področja raziskovanja;

b.ali je raziskovalna organizacija prošnji za posredovanje osebnih podatkov predložila ustrezen opis raziskave in morebitne priloge (na primer oceno učinka) v skladu s drugim in tretjim odstavkom 69. člena ZVOP-2;

c.ali ni podan kateri izmed razlogov za zavrnitev posredovanja osebnih podatkov v skladu s četrtim odstavkom 69. člena ZVOP-2.

Vpis raziskovalne organizacije v evidenco izvajalcev znanstvenoraziskovalne dejavnosti v skladu z Zakonom o znanstvenoraziskovalni in inovacijski dejavnosti (Uradni list RS, št. 186/21) lahko upravljavec upošteva pri presoji izpolnjevanja pogojev iz točke a in c.

IP glede prvega izmed navedenih pogojev pod točko a. pojasnjuje, da se lahko na izjemo glede obdelave osebnih podatkov v raziskovalne namene sklicujejo le organizacije (na primer univerze in inštituti) in posamezniki (na primer doktorski študenti), ki pri svojem delu sledijo uveljavljenim metodološkim in etičnim standardom znanstvenega raziskovanja, kar lahko glede na okoliščine konkretnega primera dokazujejo na različne načine (glede konkretnih načinov izkazovanja izpolnjevanja tega pogoja glej Mnenje IP št. 07120-1/2023/42 z dne 3. 3. 2023 in Mnenje IP št. 07120/2023/80 z dne 27. 2. 2023). Vendar pa IP izpostavlja, da gre za izjemo glede dostopa do podatkov, zato jo je treba razlagati ozko.

Vpis v evidenco izvajalcev znanstvenoraziskovalne dejavnosti v skladu z Zakonom o znanstvenoraziskovalni in inovacijski dejavnosti[1] predstavlja le enega izmed možnih načinov izkazovanja, da raziskovalna organizacija ali raziskovalec izpolnjuje pogoj glede uporabe etičnih načel in metodologije s področja raziskovanja, ki pa ga lahko raziskovalne organizacije dokazujejo tudi na druge načine glede na okoliščine konkretnega primera.

IP dodatno meni, da lahko upravljavci vpis raziskovalne organizacije v evidenco izvajalcev znanstvenoraziskovalne dejavnosti upoštevajo tudi pri ocenjevanju zavrnitvenih razlogov iz četrtega odstavka 69. člena, predvsem v okviru presoje, ali nameni oziroma cilji raziskave upravičujejo poseg v pravice posameznikov, na katere se nanašajo osebni podatki (3. odstavek) in ustreznosti ukrepov za varnost osebnih podatkov (5. odstavek), ne morejo pa vpisa v evidenco predpisati kot dodatni pogoj za posredovanje podatkov oziroma nasprotno, posredovanja podatkov a priori zavrniti v primeru, da raziskovalna organizacija ali raziskovalec tega pogoja ne izpolnjuje.

Glede obveznosti informiranja posameznika, da lahko prepove nadaljnjo obdelavo osebnih podatkov v raziskovalne namene IP pojasnjuje, da niti Splošna uredba niti ZVOP-2 ne zahtevata, da upravljavci posameznike posebej obveščajo o tej možnosti prepovedi obdelave podatkov.

Glede opredelitve pojma osebnih podatkov, ki predstavljajo poklicno skrivnost, IP ponovno izpostavlja, da izven upravnih in inšpekcijskih postopkov ne more presojati zakonitosti konkretnih obdelav osebnih podatkov, zato tudi ne more podati dokončnega odgovora na vprašanje, ali podatki, zbrani v okviru zbirk, ki jih opredeljuje Zakon o zbirkah podatkov s področja zdravstvenega varstva (v nadaljevanju: ZZPPZ),[2] predstavljajo osebne podatke, ki so varovani kot poklicna skrivnost. V nadaljevanju zato podajamo zgolj splošne usmeritve glede interpretacije tega pojma v zvezi z obdelavo osebnih podatkov v zdravstvu.

V skladu s prvim odstavkom 45. člena Zakona o pacientovih pravicah je kot poklicna skrivnost varovan vsak podatek o pacientu, ki ga pri opravljanju svojega poklica ali dela zvedo zdravstveni delavci in zdravstveni sodelavci ter osebe, ki so jim zaradi narave njihovega dela ti podatki dosegljivi, zlasti informacije o njegovem zdravstvenem stanju, njegovih osebnih, družinskih in socialnih razmerah ter informacije v zvezi z ugotavljanjem, zdravljenjem in spremljanjem bolezni ali poškodb. Opredelitev varovanih podatkov je namenoma široka in odprta, zato da zaobjame najrazličnejše informacije, ki jih o pacientu izvedo vse osebe, vključene v njegovo zdravniško obravnavo. Glede na navedeno je najverjetneje velika večina podatkov, ki jih opredeljuje ZZPPZ, in se nanašajo na pacienta, ne pa tudi na zdravstvene delavce, izvajalce zdravstvene dejavnosti in podobno, varovanih kot poklicna skrivnost. Ne sodijo pa vsi podatki, ki se nanašajo na pacienta in so vključeni v ZZPPZ v to kategorijo – tipičen primer podatka, ki ni varovan kot poklicna skrivnost je EMŠO.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

---

[1]Uradni list RS, št. 186/21

[2]Uradni list RS, št. 65/00, 47/15, 31/18, 152/20 – ZZUOOP, 175/20 – ZIUOPDVE, 203/20 – ZIUPOPDVE, 112/21 – ZNUPZ, 196/21 – ZDOsk, 206/21 – ZDUPŠOP, 141/22 – ZNUNBZ in 18/23 – ZDU-1O.