Posredovanje kontaktnih podatkov pacientov za potrebe raziskave

Pri Informacijskem pooblaščencu (IP) smo dne 6. 3. 2023 prejeli vaše zaprosilo za mnenje o tem, ali je z vidika novega Zakona o varstvu osebnih podatkov (ZVOP-2) dopustno, da vaš zdravstveni dom zunanji raziskovalni organizaciji posreduje kontaktne podatke pacientov, ki so stari 45 let ali več in so imeli kakršen koli stik z ambulanto izbranega družinskega zdravnika, in sicer ime, priimek, naslov, naslov e-pošte, številke mobilnega telefona. V dopisu se sklicujejo na 70. člen ZVOP-2. Dopis ste priložili.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Pojasnjujemo še, da se IP lahko dokončno opredeljuje do konkretnih primerov uveljavljanja pravic posameznikov le v nadzornih postopkih, zato je spodnje mnenje le informativno in načelno.

ZVOP-2 v 70. členu ne omogoča, da raziskovalna organizacija od upravljavca (v tem primeru je to vaš zdravstveni dom) pridobi kontaktne podatke ciljne skupine pacientov. Omenjeni člen omogoča le, da upravljavec sam kontaktira paciente z namenom pridobitve privolitve za sodelovanje v raziskavi, ki jo sicer izvaja druga, torej zunanja raziskovalna organizacija ali raziskovalec.

Ni sicer izključeno, da raziskovalna organizacija od upravljavca lahko pridobi kontaktne podatke ciljne skupine pacientov, vendar je to možno le na podlagi izpolnjevanja posebnih oziroma zahtevnejših pogojev iz drugega odstavka 69. člena ZVOP-2.

O b r a z l o ž i t e v:

V nadaljevanju citiramo 70. člen ZVOP-2 – dodani so le pomembni poudarki:

»(1) V okviru obdelave osebnih podatkov za raziskovanje upravljavec izjemoma lahko obdeluje tudi osebne podatke ciljne skupine posameznikov zaradi pridobitve privolitev za obdelavo njihovih osebnih podatkov ali zaradi pridobitve dodatnih podatkov ali pojasnil za namene raziskovanja.

(2) Upravljavec (tj. vaš zdravstveni dom) lahko na podlagi zbirk, s katerimi razpolaga v okviru zakonitega opravljanja dejavnosti (npr. vaš interni informacijski sistem ali zdavstvena dokumentacija), proti plačilu stroškov obdelave osebnih podatkov kontaktira posameznike z namenom pridobivanja privolitev za izvrševanje namenov iz prejšnjega odstavka.

(3) Za namen kontaktiranja se lahko obdelujejo naslednji osebni podatki: osebno ime, naslov stalnega ali začasnega prebivališča, telefonska številka in naslov elektronske pošte.

(4) Upravljavec lahko zavrne obdelavo podatkov iz prvega in drugega odstavka tega člena, če s predlagano obdelavo ne soglaša.«.

Vaš zdravstveni dom torej lahko uporabi interne kontaktne podatke pacientov za neposredno vabljenje k raziskavi (tj. k dajanju privolitev ali k anketiranju), ki je lahko vaš raziskovalni projekt, lahko pa to stori tudi za (oziroma v imenu) drugo, torej zunanjo raziskovalno organizacijo ali raziskovalca. ZVOP-2 v 70. členu ne govori o tem, da lahko upravljavec posreduje kontaktne podatke raziskovalni organizaciji zato, da bi ta potem sama stopila v kontakt s pacienti.

V vašem primeru se raziskovalna organizacija sklicuje na predhodno odobritev IP glede projekta PARIS.

IP je res izdal mnenje št. 07120-1/2021/551 o raziskovalnem projektu PARIS, toda omenjeno mnenje ni v nasprotju z zgornjim mnenjem. Poleg tega je treba upoštevati, da je mnenje izdano pred začetkom veljavnosti ZVOP-2 in glede na dejstva in okolišline, ki so bile predstavljene takrat s strani Ministrstva za zdravje. Mnenje je dostopno na tej povezavi:

https://www.ip-rs.si/mnenja-gdpr/raziskovalni-projekt-paris-1636533169.

Izjemoma lahko raziskovalna organizacija pridobi kontaktne podatke pacientov (ki jih tudi lahko štejemo kot raziskovalne podatke, poleg zdravstvenih podatkov), toda za to mora izpolnjevati bolj zahtevne pogoje iz drugega odstavka 69. člena ZVOP-2. V vašem primeru se raziskovalna organizacija ne sklicuje na drugi odstavek 69. člena ZVOP-2 in njeno zaprosilo (tega ste priložili) tudi ne vsebuje nobenih pojasnil, ki bi jih moralo vsebovati zaprosilo po omenjenih določbah ZVOP-2. Za to, da bi vaš zdravstveni dom lahko sprejel odločitev po drugem odstavku 69. člena ZVOP-2, torej ni na voljo dovolj informacij. Pogojev po omenjeni zakonski podlagi v tem mnenju posebej ne navajamo in pojasnjujemo, ker to ni predmet vašega zaprosila.

Lepo vas pozdravljamo,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka