Pridobitev kontaktnih podatkov določenih pacientov zaradi izvedbe raziskave

Datum

24.07.2025

Številka

07120-1/2025/335

Kategorije

Zdravstveni osebni podatki, Statistika in raziskovanje

pri Informacijskem pooblaščencu (IP) smo dne 8. 7. 2025 prejeli vaše zaprosilo za mnenje o tem, ali lahko zaposleni v bolnišnici, ki bi v okviru doktorskega študija rad izvedel lastno raziskavo, od bolnišnice pridobi kontaktne podatke staršev otrok (pacientov), ki so bili v tej bolnišnici rojeni kot nedonošenčki ter staršev otrok, ki so bili v preteklosti testirani v razvojni ambulanti. Dostop do kontaktnih podatkov staršev otrok potrebuje zato, da bi starše povprašal, ali dovolijo, da uporabi nekatere zdravstvene podatke njihovih otrok v svoji raziskavi, ki jo opravlja v okviru doktorske disertacije. Interna Komisija za medicinsko etična vprašanja je podala pozitivno mnenje glede raziskave.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Splošne uredbe (EU) o varstvu podatkov (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pojasnjujemo še, da se IP lahko dokončno opredeljuje do obdelav osebnih podatkov le v nadzornih postopkih.

Po mnenju IP je na podlagi drugega odstavka 70. člena ZVOP-2 dopustno, da bolnišnica za nosilca raziskave oziroma v njegovem imenu kontaktira ciljno skupino pacientov oziroma njihovih zakonitih zastopnikov z namenom pridobitve privolitve za uporabo osebnih podatkov v raziskovalni namen.

Na podlagi izpolnjevanja zahtevnejših pogojev iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2 je dopustno tudi, da nosilec raziskave od bolnišnice pridobi kontaktne podatke ciljne skupine pacientov in jih potem sam neposredno zaprosi za privolitev.

Obrazložitev

Za tiste primere znanstveno-raziskovalnega dela, ki temelji na privolitvi pacientov, je ZVOP-2 v 70. členu (prvi odstavek) predvidel rešitev, da lahko upravljavec raziskovalnih podatkov uporabi kontaktne podatke posameznikov, jih ima v lastnih zbirkah osebnih podatkov, tudi za kontaktiranje v zvezi z lastnim znanstveno-raziskovalnim delom – tj. za pridobitev privolitev ali za pridobitev dodatnih informacij v zvezi z raziskavo.

Poleg tega je ZVOP-2 v 70. členu (drugi odstavek) omogočil zunanjemu nosilcu znanstveno-raziskovalnega dela (npr. pri upravljavcu zaposleni doktorski študent, ki želi v lastnem interesu izvesti raziskavo), ki nima na voljo kontaktnih podatkov posameznikov, da upravljavec osebnih podatkov za nosilca (upravljavec torej nastopa kot posrednik) izvede kontaktiranje posameznikov na podlagi kontaktnih podatkov, ki jih ima v lastnih zbirkah. Pogoj je, da nosilec izkaže, da pri svojem delovanju uporablja etična načela in metodologijo s področja raziskovanja. V primeru iz drugega odstavka 70. člena ZVOP-2 nosilcu raziskave pred pridobitvijo privolitve niso dostopni kontaktni podatki posameznikov, ki bodo oziroma, ki so bili kontaktirani. Upravljavec ima v drugem odstavku le pravno podlago za dopustnost posredovanja, ni pa to dolžnost upravljavca. Poleg tega lahko upravljavec to posredovanje nosilcu raziskave zaračuna, ni pa to nujno. V zvezi s 70. členom ZVOP-2 si lahko ogledate tudi mnenje IP št. 07121-1/2023/666.

Če bi zunanji nosilec znanstveno-raziskovalnega dela želel pridobiti kontaktne podatke posameznikov, katere bi potem sam zaprosil za privolitev, bi moral za pridobitev izpolnjevati bolj zahtevne pogoje po drugem, tretjem in četrtem odstavku 69. člena ZVOP-2. V zvezi s tem si lahko ogledate na primer mnenja IP št. 07120-1/2023/145, št. 07121-1/2023/1547 in št. 07121-1/2024/1257. Pod strogimi pogoji iz omenjenega drugega, tretjega in četrtega odstavka 69. člena ZVOP-2 bi lahko nosilec pridobil tudi zdravstvene podatke (torej same raziskovalne podatke) brez privolitve posameznikov, torej tudi brez kontaktiranja posameznikov.

Ker omenjate, da bi v bolnišnici zaposlenemu nosilcu raziskave – v primeru dopustnosti pridobitve kontaktnih naslovov pod zgoraj opisanimi pogoji – omogočili dostop do informacijskega sistema, še pojasnjujemo, da je naloga upravljavca, da upoštevajoč vsa tveganja nezakonite obdelave zagotovi, da do podatkov dostopajo zgolj pooblaščene osebe. Glede na to je odgovornost upravljavca, kako bo zagotovil izvedbo iskanja, izločanja, filtriranja in drugo pripravo podatkov in kateremu zaposlenemu bo dodelil izvedbo teh nalog. Bistveno je, da se z organizacijo dopustitve dostopa do vseh osebnih podatkov v sistemu ustrezno prepreči nesorazmerna in nezakonita obdelava osebnih podatkov. Nosilec raziskave, ki je hkrati zaposleni pri upravljavcu namreč ne sme nezakonito mešati teh vlog in obdelovati osebnih podatkov, s katerimi se seznani kot zaposleni, za druge namene. Nosilec raziskave je pod obravnavanimi pogoji iz ZVOP-2 lahko upravičen le do končnega seznama, ne pa do celotne zbirke, iz katere je šele treba v več fazah izločiti končne kontaktne podatke.

Prijazen pozdrav.

Pripravil

dr. Urban Brulc, univ. dipl. prav. samostojni svetovalec IP

dr. Jelena Virant Burnik informacijska pooblaščenka