Obdelava osebnih podatkov v znanstvenoraziskovalne namene

Datum

27.02.2023

Številka

07120-1/2023/80

Kategorije

Privolitev, Zdravstveni osebni podatki

Pri Informacijskem pooblaščencu (IP) smo 3. 2. 2023 prejeli vaše zaprosilo za mnenje glede obdelave podatkov v znanstvenoraziskovalne namene. Navajate, da za potrebe izvajanja raziskave potrebujete kontaktne podatke pacientov iz ambulant družinske medicine iz cele Slovenije. Kontaktni podatki bodo uporabljeni le za namene pošiljanja vabil in pridobivanja soglasja za sodelovanje v raziskavi. Zanima vas, ali vam lahko ambulante posredujejo kontaktne podatke pacientov brez njihovega soglasja na podlagi 69. in 70. člena ZVOP-2.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1.ZVOP-2 v 69. in 70. členu ureja dve alternativni možnosti dostopa do podatkov v znanstvenoraziskovalne namene.

2.Dopustnost dostopa do osebnih podatkov za raziskovalne namene na podlagi 69. člena brez soglasja posameznika je odvisna od kumulativnega izpolnjevanja pogojev, določenih v drugem, tretjem in četrtem odstavku 69. člena ZVOP-2. Upravljavec lahko zavrne posredovanje osebnih podatkov, za katere ga je zaprosila raziskovalna organizacija, če je izpolnjen kateri izmed pogojev iz četrtega odstavka 69. člena.

3.Za kontaktiranje posameznikov s strani izvajalca raziskave, ki ni upravljavec podatkov, ki se zakonito obdelujejo na podlagi druge pravne podlage, v skladu s 70. členom ZVOP-2, mora posameznik, na katerega se podatki nanašajo, soglašati s posredovanjem kontaktnih podatkov izvajalcu raziskave.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. Obenem opozarjamo, da je področje obdelave osebnih podatkov v raziskovalne namene eno izmed redkih področij, ki jih Splošna uredba v podrobnejše urejanje prepušča državam članicam. V Sloveniji je to področje urejeno v 68. do 70. členu ZVOP-2, ki velja od 26. 1. 2023, zato ustaljena praksa na tem področju še ni vzpostavljena. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

Splošna uredba ne ureja natančno, katere vrste obdelav podatkov pomenijo obdelavo v raziskovalne namene. Uvodna opomba 159 Splošne uredbe določa, da bi bilo treba obdelavo osebnih podatkov v znanstvenoraziskovalne namene razlagati široko, tako da vključuje tudi tehnološki razvoj, predstavitvene dejavnosti, temeljne raziskave, uporabne raziskave in zasebno financirane raziskave, pa tudi študije, izvedene v javnem interesu na področju javnega zdravja. ZVOP-2 v prvem odstavku 68. člena uvaja dodatni pogoj glede dostopa do podatkov v raziskovalne namene, saj se ureditev iz 69. in 70. člena uporablja le za organizacije in posameznike, ki pri svojem delovanju uporabljajo etična načela in metodologijo s področja raziskovanja. Na izjemo glede obdelave osebnih podatkov v raziskovalne namene se tako lahko sklicujejo le organizacije (na primer univerze in inštituti) in posamezniki (na primer doktorski študenti), ki pri svojem delu sledijo uveljavljenim metodološkim in etičnim standardom znanstvenega raziskovanja, kar lahko glede na okoliščine konkretnega primera dokazujejo na različne načine, na primer s predložitvijo mnenja etične komisije, dokazilom o tem, da organizacijo zavezujejo določena zunanja ali notranja pravila na tem področju, s predložitvijo ustreznega protokola raziskave ali z zavezujočo enostransko izjavo. Vendar pa IP izpostavlja, da gre za izjemo glede dostopa do podatkov, zato jo je treba razlagati ozko.

ZVOP-2 v 69. in 70. členu ureja dve alternativni možnosti dostopa do podatkov v raziskovalne namene, pri čemer 69. člen ureja splošne primere zaprosil raziskovalnih organizacij in raziskovalcev za dostop do podatkov na podlagi predložitve opisa raziskave, medtem ko 70. člen predstavlja specialno ureditev dostopa do omejenega obsega osebnih podatkov z namenom kontaktiranja posameznikov.

a)Dostop do podatkov na podlagi 69. člena ZVOP-2

Raziskovalna organizacija ali raziskovalec lahko za namene raziskovanja na podlagi drugega odstavka 69. člena od upravljavca pridobita osebne podatke.

Zahtevi za dostop do podatkov mora raziskovalna organizacija predložiti opis raziskave, ki vključuje:

1.naslov raziskave in navedbo nosilcev raziskave (za fizične osebe osebno ime, naziv in prebivališče, za pravno osebo pa firmo, matično številko in sedež);

2.podatke o izvajalcih raziskave (osebno ime, naziv, prebivališče, morebitno razmerje do nosilca raziskave in morebitna šifra raziskovalca);

3.namene oziroma cilje raziskave;

4.predvidena sredstva in dejanja obdelave osebnih podatkov, vključno z navedbo etičnih načel in metodologije iz prvega odstavka prejšnjega člena in ukrepi za varnost osebnih podatkov;

5.vrste osebnih podatkov, ki bi jih želeli pridobiti od upravljavca, in kategorije posameznikov, na katere se nanašajo ti podatki;

6.obliko, v kateri želijo prejeti osebne podatke (izvorni osebni podatki, psevdonimizirani osebni podatki, osebni podatki v obliki, ki ne omogoča identifikacije, anonimizirani podatki), in navedbo razloga za določeno obliko podatkov;

7.način objave ali drugačne dostopnosti raziskave.

Ob tem opozarjamo na obveznost priprave ocene učinkov predvidenih dejanj obdelave na varstvo osebnih podatkov iz 35. člena Splošne uredbe, ki jo mora upravljavec pripraviti v primerih, v katerih obstaja možnost, da bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov. V tovrstnih primerih mora raziskovalna organizacija kot upravljavec podatkov pred obdelavo opraviti oceno učinka ter jo predložiti opisu raziskave, ki ga posreduje upravljavcu skupaj z zaprosilom za dostop do podatkov.

Posredovanje podatkov ni dolžnost upravljavca in jo lahko v določenih primerih tudi zavrne, na primer če raziskovalna organizacija zaprosilu za podatke ni priložila (ustreznega) opisa raziskave ali če oceni, da zahtevani osebni podatki niso primerni za izvedbo raziskave ali da nameni oziroma cilji raziskave ne upravičujejo posega v pravice posameznikov (vsi razlogi za zavrnitev so navedeni v četrtem odstavku 69. člena ZVOP-2). Presoja izpolnjenosti pogojev iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2 je v pristojnosti upravljavcev, ki so tudi odgovorni za zakonitost posredovanja osebnih podatkov. Raziskovalna organizacija ali raziskovalec, ki mu je bil zavrnjen dostop do osebnih podatkov iz uradnih evidenc ali javnih knjig, ima možnost pritožbe na IP. Zoper zavrnilno odločitev nadzornega organa ali zavrnjen dostop do zbirk, ki niso javne evidence ali javne knjige, je zagotovljeno sodno varstvo (četrti odstavek 41. člena).

IP ponovno izpostavlja, da izven inšpekcijskih in drugih upravnih postopkov nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov, na podlagi zgoraj navedenega pa lahko in abstracto zaključi, da je dopustnost dostopa do osebnih podatkov za znanstvenoraziskovalne namene brez soglasja posameznikov na podlagi 69. člena odvisna od kumulativnega izpolnjevanja naslednjih pogojev:

a.gre za obdelavo osebnih podatkov v raziskovalne namene;

b.obdelavo podatkov izvaja raziskovalna organizacija ali raziskovalec;

c.izvajanje raziskave sledi etičnim načelom in metodologiji na področju raziskovanja;

d.prošnji za podatke je priložen opis raziskave in glede na okoliščine konkretnega primera tudi ocene učinka in zaključkov posvetovanja z nadzornim organom;

e.ni podan noben izmed primerov iz četrtega odstavka 69. člena ZVOP-2 za zavrnitev posredovanja podatkov.

b)Dostop do podatkov na podlagi 70. člena ZVOP-2

ZVOP-2 v 70. členu določa pravno podlago za nadaljnjo obdelavo osebnih podatkov, ki jih določen upravljavec že zakonito obdeluje na neki drugi pravni podlagi, za namene kontaktiranja posameznikov. Ne gre torej za samostojno pravno podlago za dostop do podatkov upravljavcev, ki sicer do tovrstnih podatkov ne bi mogli dostopati, temveč omogoča zgolj obdelavo v raziskovalne namene ob upoštevanju dodatnega namena, tj. pridobitve privolitev za obdelavo osebnih podatkov ali zaradi pridobitve dodatnih podatkov ali pojasnil za namene raziskovanja, tistim upravljavcem, ki te podatke že zakonito obdelujejo.

Drugi odstavek 70. člena ZVOP-2 dopušča, da upravljavec v imenu izvajalca raziskave (raziskovalne organizacije ali raziskovalca) kontaktira posameznike z namenom pridobivanja njihovega soglasja za posredovanje podatkov izvajalcu raziskave, ta pa jih lahko uporabi zgolj za pridobivanje privolitev za obdelavo osebnih podatkov (na primer za sodelovanje v raziskavi) ali zaradi pridobitve dodatnih podatkov ali pojasnil za namene raziskovanja. Ureditev v skladu z 70. členom ZVOP-2 tako ne odstopa bistveno od prejšnje ureditve na podlagi ZVOP-1, ki je za nadaljnjo obdelavo osebnih podatkov za raziskovalne namene zahteval bodisi privolitev posameznika ali podlago v zakonu. Za kontaktiranje posameznikov v skladu s 70. členom ZVOP-2 mora posameznik, na katerega se podatki nanašajo (v tem primeru pacient, ki ga želite vključiti v raziskavo), soglašati s posredovanjem kontaktnih podatkov izvajalcu raziskave.

Tudi v primeru dostopa do podatkov na podlagi 70. člena ZVOP-2 ne gre za obveznost posredovanja osebnih podatkov – upravljavec lahko zavrne prošnjo izvajalca raziskave, če z njo ne soglaša, v vsakem primeru pa lahko zahteva tudi plačilo stroškov tovrstne obdelave osebnih podatkov.

IP dodatno opozarja, da se tudi v primeru obdelave podatkov v znanstvenoraziskovalne namene uporabljajo vse relevantne določbe Splošne uredbe in ZVOP-2, predvsem zahteva po omejitvi zbiranja osebnih podatkov na zgolj tiste podatke, ki so za uresničevanje določenega namena nujno potrebni (načelo najmanjšega obsega podatkov), omejitev obdobja hrambe, uporaba ustreznih zaščitnih ukrepov za varstvo pravic in svoboščin posameznikov, na katere se podatki nanašajo ter uresničevanje načel privzetega in vgrajenega varstva osebnih podatkov.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka