Obdelava osebnih podatkov pri genetskih testih

Pri Informacijskem pooblaščencu (IP) smo dne 9. 10. 2020 prejeli vaša vprašanja v zvezi z dejavnostjo podjetij, ki izvajajo genetske teste. Zanima vas:

1.  Ali je slina osebni ali mogoče celo poseben osebni podatek.

2.  Ali so kakšna posebna priporočila ali časovne omejitve glede hrambe vzorca sline po izvedbi genetskega testa.

3.  Ali so kakšne omejitve glede uporabe vzorca sline v raziskovalne namene.

4.  Če je lastnik sline dal privolitev za raziskave, ali je potrebno pridobiti še kaj.

5.  Če izhajamo iz primera, da lastnik sline ni bil zaprošen za privolitev, ampak se je vzorec anonimiziralo, se lahko raziskave izvaja brez težav ali je potrebno še kaj pridobiti.

6.  Ali je treba imeti kakšen plan raziskav.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Odgovori na vprašanja so splošni in načelni, ker se vaša vprašanja ne navezujejo na konkretne okoliščine nekega primera.

1. Slina oziroma v njej vsebovani biološki material sam po sebi ni osebni podatek in tudi ne zbirka osebnih podatkov ali dokument.

2. Pravila o hrambi osebnih podatkov se praviloma ne nanašajo oziroma ne uporabljajo za hrambo vzorcev. Osnovno pravilo glede hrambe osebnih podatkov je, da se ti hranijo omejeno dolgo (točka (e) prvega odstavka člena 5 Splošne uredbe o varstvu podatkov).

3. Če gre pri raziskovalni uporabi biološkega materiala oziroma vzorcev za obdelavo osebnih podatkov, veljajo vsa splošna pravila glede obdelave osebnih podatkov v raziskovalne namene – obdelava za ta namen je dopustna, če tako določa zakon (ali uredba) ali če je posameznik za to podal privolitev ali če so podatki že v prvi fazi popolnoma anonimizirani. 

4. Če je privolitev ustrezna, je z vidika pravnih podlag za obdelavo osebnih podatkov to dovolj, mora pa izvajalec poskrbeti še za zagotavljanje varnosti podatkov ter druge splošne obveznosti, ki jih ima vsak upravljavec (npr. informiranje, zagotavljanje pravic posameznikov, točnost in ažurnost, vodenje evidence dejavnosti obdelave).

5. Če gre za absolutno anonimizirane podatke, za raziskavo ni treba izpolnjevati dodatnih pogojev.

6. Izdelan načrt raziskav ni pogoj z vidika varstva osebnih podatkov. Je pa treba posamezniku predstaviti predpisane informacije o obdelavi osebnih podatkov in pod določenimi pogoji izdelati oceno učinkov, kar vključuje pripravo natančnejšega opisa poteka, metodologije, sredstev in drugih vidikov raziskave.

O b r a z l o ž i t e v:

1. Slina vsebuje biološki material, ki je primeren za izvajanje genetskih testov. Biološki material kot tak ni osebni podatek ali zbirka osebnih podatkov in tudi ne dokument ali nosilec podatkov. O osebnih podatkih je moč govoriti šele, ko se na podlagi izolacije in izvedenih analiz ustvarijo in na nekem nosilcu podatkov dokumentirajo surovi (npr. sekvenca) ali interpretirani podatki (npr. identificirana vrsta mutacije), ki se nanašajo na vsaj določljivega posameznika. 

2. Sistem pravil o varstvu osebnih podatkov vsebuje tudi nekatera pravila o njihovi hrambi - o roku in načinu. Vendar se ta pravila, če tega ne določa poseben predpis, ne nanašajo na biološki material oziroma na vzorce. V praksi je možno, da se – kadar se vzorci nahajajo skupaj z osebnimi podatki npr. razliv krvi na dokumentu z osebnimi podatki –  tudi vzorci hranijo enako kot sami podatki.

3. IP se ni pristojen opredeljevati do pogojev in omejitev glede nadaljnje rabe biološkega materiala oziroma vzorcev za raziskovalni namen. Treba pa je upoštevati, da je treba takoj, ko zaradi uporabe biološkega materiala v raziskovalni namen pride do obdelave osebnih podatkov (npr. pri analizi nastanejo nove informacije, ki se navezujejo na vsaj določljivega posameznika), upoštevati vsa pravila o varstvu osebnih podatkov s tega področja, na primer, da je obdelava za ta namen dopustna, če tako določa zakon (v zakonodaji je urejenih nekaj takih podlag) ali če je podana privolitev posameznika.

4. Privolitev je lahko popolna in samostojna pravna podlaga za določeno obdelavo osebnih podatkov v raziskovalni namen, vendar mora privolitev izpolnjevati vse zahteve iz Splošne uredbe o varstvu podatkov – ti standardi so dokazljivost, prostovoljnost, specifičnost (konkretnost, določenost), nedvoumnost, izjava ali jasno pritrdilno ravnanje, granularnost, razlikovalnost, preklicljivost, razumljivost, jasnost, dostopnost ter informiranost. Glede privolitve je treba upoštevati zlasti naslednje dele Splošne uredbe o varstvu podatkov:

• 11. točka člena 4,
• člen 7,
• (a) točka prvega odstavka člena 6,
• (a) točka  drugega odstavka člena 9,
• člen 13 ter
• uvodni recitali 32, 42 in 43.

5. Ob popolni aninomizaciji se podatki lahko prosto obdelujejo tudi za raziskovalni namen. Toda ne gre za anonimizirano raziskavo, če zunanja raziskovalna organizacija prejme osebne podatke (ali biološko gradivo skupaj z osebnimi podatki) in jih šele v nadaljnih fazah anonimizira. V takem primeru že za samo pridobitev osebnih podatkov potrebuje pravno podlago.

V zvezi z anonimizacijo si lahko ogledate tudi posebno mnenje na naslednji povezavi:  

https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_sl.pdf.

6. Obveznost informiranja posameznikov je določena v členu 13 in 14 Splošne uredbe o varstvu podatkov. Da je tako informiranje uspešno in učinkovito, je dobro, če raziskovalna organizacija pripravi podroben protokol raziskave (z opisom poteka, poti podatkov, metodologije, sredstev, namenov ipd.). Ocena učinkov, ki jo je upravljavec v določenih primerih dolžan pripraviti je urejena v členu 35 in 36 Splošne uredbe o varstvu podatkov. Tudi ocena učinkov ni možna brez podrobnega opisa raziskave.

Lepo vas pozdravljamo,

Pripravil:
mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka