Posredovanje psevdonimiziranih osebnih podatkov zunanjemu izvajalcu raziskave

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo dne 21. 7. 2021 prejeli vaše vprašanje o tem, ali lahko ZZZS, na podlagi pozitivne ocene etičnosti predložene raziskave, ki jo je izdala Komisija Republike Slovenije za medicinsko etiko, z namenom izvedbe te raziskave posreduje določene psevdonimizirane zdravstvene podatke, ki sodijo med osebne podatke posebne vrste, izvajalcu te raziskave, ki je hkrati ponudnik zdravstvenih storitev in raziskovalna inštitucija, ki deluje na področju javnega zdravstva. Če je izvedba raziskave tudi v interesu dajalca podatkov in bi bili rezultati raziskave predstavljeni izključno v anonimizirani obliki, vas zanima, ali bi lahko ZZZS z izvajalcem te raziskave sklenil pogodbo o pogodbeni obdelavi osebnih podatkov, ki bi vključevala vsa potrebna pogodbena določila obdelave osebnih podatkov, ki jih določa Splošna uredba o varstvu podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. Zunanji izvajalec raziskave ne more od ZZZS pridobiti psevdonimiziranih osebnih podatkov zgolj na podlagi pozitivnega mnenja Komisije za medicinsko etiko, temveč mora biti za tako posredovanje podatkov na voljo ustrezna pravna podlaga, ki je odvisna od tipa upravljavca in uporabnika, vrste želenih podatkov in okoliščin konkretne raziskave (npr. namen, metodologija, želeni obseg podatkov) - na primer privolitev posameznikov ali izrecna podlaga v področnem zakonu.

2. Pogodbena obdelava podatkov za raziskovalni namen je sicer možna, vendar je treba upoštevati, da mora biti pravi raziskovalni namen podan na strani upravljavca, in da obdelovalec ne sme obdelovati podatkov za lastni namen (razen podatkov, ki so popolnoma anonimizirani).

O b r a z l o ž i t e v:

Komisija za medicinsko etiko se primarno opredeljuje do etičnih vidikov predlaganih raziskav in pozitivno mnenje komisije po nobenem predpisu ne predstavlja samostojne pravne podlage za obdelavo osebnih podatkov v smislu 6. ali 9. člena Splošne uredbe o varstvu podatkov. 

Če se izvajalcu znanstveno-raziskovalnega ali statističnega dela posredujejo psevdonimizirani osebni podatki, za tako posredovanje velja enako kot, če gre za posredovanje neobdelanih osebnih podatkov. Še vedno gre namreč za osebne podatke.

Če izvajalec znanstveno-raziskovalnega ali statističnega dela nima na voljo pravne podlage, se mu lahko posredujejo le popolnoma oziroma nepovratno anonimizirani podatki.

Pravnih podlag za posredovanje osebnih podatkov zunanjemu izvajalcu znanstveno-raziskovalnega ali statističnega dela je več in niso enotno urejene na enem mestu. Najpomembnejša je privolitev, poleg tega pa pridejo v poštev tudi izrecne zakonske podlage, na primer tretji odstavek 23. člena ZVOP-1, ZVDAGA, Letni program statističnih raziskovanj na podlagi Zakona o državni statistiki, priloga Zakona o zbirkah podatkov s področja zdravstvenega varstva, področna zakonodaja s področja šolstva in socialnega varstva.

Tudi na znanstveno-raziskovalnem in statističnem področju je možna pogodbena obdelava osebnih podatkov v smislu 28. člena Splošne uredbe o varstvu podatkov. V tem primeru je treba upoštevati, da mora biti resničen in pravi raziskovalni namen (potreba, razlog) podan na strani upravljavca podatkov, obdelovalec pa lahko osebne podatke obdeluje le za upravljavca (torej uresničuje upravljavčev namen) ter po njegovih navodilih.

V zvezi s pogodbeno obdelavo so na spletni strani IP na voljo smernice IP.

Lepo vas pozdravljamo,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka