Kontaktiranje pacientov s strani zdravstvenega doma zaradi sodelovanja v raziskavi

Pri Informacijskem pooblaščencu (IP) smo dne 12. 5. 2023 prejeli vaše zaprosilo za mnenje o tem, ali je bilo prav, da je zdravstveni dom kot pošiljatelj vabila za sodelovanje v raziskavi (anketa) prišel do vaših osebnih podatkov. Zanima vas tudi, kaj bodo z vašimi osebnimi podatki počeli.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Splošne uredbe (EU) o varstvu podatkov (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pri tem še pojasnjujemo, da se IP lahko dokončno opredeljuje do konkretnih obdelav osebnih podatkov le v nadzornih postopkih.

Kontaktiranje pacientov za sodelovanje v raziskavi (na primer pridobivanje privolitev ali izpolnjevanje ankete) na podlagi že zakonito vodenih osebnih podatkov je načeloma dopustno, kar velja tako v primeru, če pošiljatelj (npr. izvajalec zdravstvene dejavnosti) nastopa v vlogi raziskovalne organizacije (nosilca raziskave) kot tudi v primeru, če pošiljatelj (npr. izvajalec zdravstvene dejavnosti) nastopa kot »posrednik« za drugega nosilca raziskave. Izjemoma je dopustno tudi, da nosilec raziskave od izvajalca zdravstvene dejavnosti pridobi kontaktne podatke pacientov zato, da sam kontaktira paciente, če so za to v konkretnem primeru izpolnjeni pogoji iz 68. člena ter drugega, tretjega in četrtega odstavka 69. člena ZVOP-2.

Kdo je v vašem primeru nastopal kot nosilec raziskave, kdo kot pošiljatelj in kdo kot morebitni prejemnik kontaktnih podatkov, ter ali je bilo ravnanje teh udeležencev zakonito, IP ne more presojati brez poznavanja vseh relevantnih dejstev in okoliščin konkretnega primera oziroma tega ne more presoditi izven nadzornega postopka.

Informacije o obdelavi osebnih podatkov mora pacientom nuditi nosilec raziskave. V konkretnem primeru so na voljo v samem obvestilu za paciente ter na priloženih povezavah. IP ne more vnaprej ter izven nadzornega postopka presojati, ali so v konkretnem primeru nudene informacije ustrezne.

Za dodatne informacije (npr. v okviru pravice do seznanitve z lastnimi osebnimi podatki po 15. členu Splošne uredbe o varstvu podatkov) lahko zaprosite tudi neposredno nosilca raziskave ali pošiljatelja. Če bi ugotovili, da je šlo za domnevno kršitev varstva osebnih podatkov, bi lahko vložili tudi prijavo pri IP.

O b r a z l o ž i t e v:

Za primer, ko bi pošiljatelj (npr. izvajalec zdravstvene dejavnosti) uporabil kontaktne podatke v svojih zbirkah in na ta način kontaktiral paciente na zaprosilo druge (zunanje) raziskovalne organizacije, je pravna podlaga v 70. členu ZVOP-2. V nadaljevanju citiramo 70. člen ZVOP-2 – dodani so le pomembni poudarki:

»(1) V okviru obdelave osebnih podatkov za raziskovanje upravljavec izjemoma lahko obdeluje tudi osebne podatke ciljne skupine posameznikov zaradi pridobitve privolitev za obdelavo njihovih osebnih podatkov ali zaradi pridobitve dodatnih podatkov ali pojasnil za namene raziskovanja.

(2) Upravljavec (npr. zdravstveni dom) lahko na podlagi zbirk, s katerimi razpolaga v okviru zakonitega opravljanja dejavnosti (npr. interni informacijski sistem ali zdravstvena dokumentacija), proti plačilu stroškov obdelave osebnih podatkov kontaktira posameznike z namenom pridobivanja privolitev za izvrševanje namenov iz prejšnjega odstavka.

(3) Za namen kontaktiranja se lahko obdelujejo naslednji osebni podatki: osebno ime, naslov stalnega ali začasnega prebivališča, telefonska številka in naslov elektronske pošte.

(4) Upravljavec lahko zavrne obdelavo podatkov iz prvega in drugega odstavka tega člena, če s predlagano obdelavo ne soglaša.«.

Za primer, ko bi pošiljatelj uporabil kontaktne podatke v svojih zbirkah in na ta način kontaktiral paciente, pri čemer bi sam nastopal kot raziskovalna organizacija, je pravna podlaga lahko v (b) točki prvega odstavka 5. člena in 4. odstavku 6. člena Splošne uredbe o varstvu podatkov ter prvem odstavku 69. člena ZVOP-2.

Za primer, ko bi pošiljatelj kot raziskovalna organizacija, prejel kontaktne podatke od izvajalca zdravstvene dejavnosti, je pravna podlaga v 68. členu ter drugem, tretjem in četrtem odstavku 69. člena ZVOP-2.

Za potrebe tega mnenja se sklicujemo tudi na že izdano mnenje IP, ki je dostopno na naslednji povezavi:

https://www.ip-rs.si/mnenja-zvop-2/posredovanje-kontaktnih-podatkov-pacientov-za-potrebe-raziskave-1679477225. V tem mnenju je tudi sklic na predhodno mnenje glede raziskovalnega projekta PARIS.

Obveznost proaktivnega obveščanja pacientov, ki so udeleženi v raziskavi, izhaja iz 13. in 14. člena Splošne uredbe o varstvu podatkov, v zvezi s privolitvijo pa tudi iz 4. in 7. člena Splošne uredbe o varstvu podatkov – o tem je na spletni strani IP že na voljo več mnenj ter pojasnil. Pravica do seznanitve je urejena v 15. členu Splošne uredbe o varstvu podatkov. Glede uveljavljanja pravice do seznanitve so na voljo pojasnila na naslednji povezavi: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki. Če menite, da je v vašem primeru prišlo do kršitve varstva osebnih podatkov in imate o tem po možnosti konkretna dokazila, lahko pri nas vložite tudi prijavo na obrazcu »VOP Prijava«, ki je dostopen tukaj: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

Pripravil:

dr. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav. 

informacijska pooblaščenka