Wiele motywów preambuły tego aktu prawnego deklaruje zrozumienie dla potrzeby prowadzenia badań w kontekście danych osobowych, które mogą być do tego niezbędne, choćby na wstępnym etapie, kiedy to materiał do badań zaczerpnięty zostaje z dokumentacji medycznej pacjentów.
Czytaj także: Po wprowadzeniu RODO konsumenci bardziej cenią swoją prywatność
Z jednej strony dokonuje się wprawdzie operacji na danych osobowych konkretnych pacjentów, z drugiej jednak uzyskany w ten sposób materiał badawczy ma szansę wpływać na rozwój medycyny, a zatem należy wspierać tego rodzaju działania, oczywiście z poszanowaniem ochrony danych. Poniższe wskazówki bazują jednocześnie na założeniu, że w związku z badaniami naukowymi zachodzi faktycznie konieczność przetwarzania, choćby na pewnym, początkowym ich etapie, danych osobowych zawartych w dokumentacji medycznej. Motyw 26 wskazuje bowiem, że RODO nie dotyczy przetwarzania do celów naukowych informacji o charakterze anonimowym. W przypadku prowadzenia badań naukowych z wykorzystaniem jednak danych osobowych, aby być zgodnym z przepisami RODO, należy wziąć pod uwagę następujące elementy:
1. Podstawa prawna. Zawsze, gdy decydujemy się na przetwarzanie jakichkolwiek danych osobowych, aby móc to legalnie robić musimy powołać się na którąś z wymienionych w przepisach prawa przesłanek, która na to zezwala. W omawianym przypadku prowadzenia badań naukowych mamy do czynienia z informacjami dotyczącymi zdrowia, które należą do szczególnej kategorii danych tzw. danych wrażliwych (inne dane wrażliwe to również m. in. dane biometryczne, o poglądach politycznych czy dane genetyczne). Co prawda RODO, co do zasady zakazuje przetwarzania tego typu danych, ale przewiduje od tej zasady wyjątki, o których mowa w art. 9 ust 2. m.in. lit. j). Zgodnie z brzmieniem tego przepisu dane wrażliwe, czyli dotyczące zdrowia można przetwarzać, o ile ich przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych. Przy czym muszą być one proporcjonalne do wyznaczonego celu (czyli wspomnianych badań naukowych, bo w tym celu są przetwarzane), nie mogą naruszać istoty prawa do ochrony danych i w związku z ich przetwarzaniem należy przewidzieć odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.
2. Obowiązek informacyjny. Jednym z obowiązków nałożonych przez RODO na podmioty przetwarzające dane osobowe (w tym podmioty realizujące badania naukowe) jest poinformowanie osób, których dane osobowe dotyczą m.in. o celu przetwarzania, prawach przysługujących osobie, której dane dotyczą i in. Zakres tego obowiązku określa albo art. 13 albo art. 14 RODO, w zależności od tego z jakiego źródła pozyskiwane są dane; odpowiednio bezpośrednio od osoby, której dane dotyczą – tak będzie w przypadku gdy szpital i jednostka badawcza to jedno, albo z innego źródła niż od tej osoby – tak będzie z kolei w sytuacji, gdy jednostka badawcza będzie uzyskiwać dane pacjentów np. od szpitala. W przypadku gdy dane wykorzystywane są do badań to dodatkowo ma miejsce zmiana celu przewarzania w stosunku do celu, dla jakiego dane zostały pozyskane (pierwotnym celem było bowiem leczenie pacjenta, cel w postaci badań naukowych pojawia się najczęściej później). Art. 14 ust. 4 co do zasady przewiduje, że jeśli administrator planuje dalej przetwarzać dane osobowe w innym celu, niż ten, w którym dane zostały pozyskane, przed takim dalszym przetwarzaniem informuje on osobę, której dane dotyczą, o tym innym celu oraz udziela jej wszelkich innych stosownych informacji, o których mowa w ust.2. Można jednak uznać, że taki obowiązek nie dotyczy w przypadku badań naukowych. RODO w art. 14 ust. 5 przewiduje bowiem sytuacje, w których obowiązku informacyjnego dopełnić nie trzeba. Przepis ten przewiduje mianowicie, że nie trzeba dopełniać wspomnianego obowiązku informacyjnego jeśli udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku (por. art. 14 ust. 5 lit. b RODO); W rozwinięciu tego przepisu wyjaśniono, że dotyczy to m.in. przetwarzania właśnie do celów badań naukowych. W takich przypadkach administrator zobowiązany jest podejmować odpowiednie środki, by chronić prawa i wolności oraz prawnie uzasadnione interesy osoby, której dane dotyczą, w tym udostępnić informacje publicznie. Oznacza to możliwość udostępnienia ogólnego, publicznego komunikatu np. na stronie internetowej podmiotu prowadzącego badania. Warto pamiętać, że decyzję co do sposobu dopełnienia obowiązku informacyjnego, czy to wobec konkretnych osób, czy w postaci komunikatu na stronie internetowej, podejmuje sam administrator (szpital/jednostka badawcza), po analizie wspomnianego art. 14 ust 5lit.b) RODO.
