Klinična preskušanja - več vprašanj - IPRS

(1)(b))«. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Uvodoma pojasnjujemo, da je mnenje splošno, načelno in pogojno, ker v zaprosilu niso bili predstavljeni konkretna dejstva in okoliščine določenega primera. Ob tem izpostavljamo, da je odločanje o posameznih vidikih zagotavljanja varstva osebnih podatkov, ki jih izpostavljate, primarna odgovornost upravljavca, ki mora upoštevati konkretne okoliščine primera in razmerij med vpletenimi subjekti. Mnenje se navezuje na že izdana mnenja s področja samostojnih in skupnih upravljavcev, pogodbene obdelave, obdelave osebnih podatkov za znanstveno-raziskovalni namen, privolitve, obdelave osebnih podatkov v zdravstvu ter splošnih podlag iz členov 6 in 9 Splošne uredbe in na zgoraj navedeno mnenje EDPB 3/2019. Ob tem še dodajamo, da je v letnem delovnem načrtu EDPB priprava podrobnejših smernic glede obdelave zdravstvenih podatkov za namene znanstvenih raziskav. V nadaljevanju podajamo odgovore na vaša vprašanja: 1. Kako so razporejene vloge po tolmačenju IP med sponzorjem in raziskovalnim centrom pri izvajanju klinične študije? Ne nacionalna zakonodaja, ki ureja klinična preskušanja, niti mnenje EDPB 3/2019 ne opredeljujeta vloge sponzorja in raziskovalca v luči pravil o varstvu podatkov. Sponzor in raziskovalna organizacija sta po mnenju IP lahko samostojna ali skupna upravljavca, lahko pa gre tudi za primer pogodbene obdelave. Ob tem je treba razlikovati vloge glede na Uredbo o kliničnem preizkušanju ter vloge z vidika obdelave osebnih podatkov. Drugi vidiki razmerja med udeleženci kliničnega preskušanja so odvisni od konkretnih dogovorov oziroma konkretne organizacije in vlog posameznih udeležencev pri obdelavi osebnih podatkov ter s tem povezanih namenov. IP ob tem poudarja, da vloga (skupnega) upravljavca oziroma obdelovalca ne izhaja iz same narave subjekta, ki obdeluje podatke, temveč iz njegovih konkretnih dejavnosti obdelave v določenem kontekstu. Isti subjekt lahko zato deluje kot (skupni) upravljavec za določene dejavnosti obdelave in kot obdelovalec za druge. Opredelitev vloge posameznega subjekta je torej odvisna od posameznih dejavnosti obdelave podatkov in ni nujno, da ima posamezen subjekt zgolj eno vlogo za vse faze določenega kliničnega preskušanja. Zato tudi ni izključeno, da bi bila sponzor in raziskovalec zaradi posebnih dogovorov v nekem konkretnem primeru (

1. le)glede določenih obdelav v razmerju skupnega upravljavstva ali pogodbene obdelave. 2. Ali in ob katerih pogojih lahko imata tako raziskovalni center kot sponzor vlogo samostojnega upravljavca podatkov in vsak svojo pravno podlago? Splošno merilo za skupno upravljavstvo je skupno sodelovanje dveh ali več subjektov pri določanju namenov in sredstev obdelave. Skupno upravljanje se lahko pojavi v obliki skupne odločitve teh subjektov ali kot posledica združenih odločitev na način, da se odločitve medsebojno dopolnjujejo in so potrebne, da se obdelava opravi tako, da ima občuten vpliv na določitev namenov in sredstev obdelave. Pomembno merilo pri tem je, da obdelava ne bi bila mogoča brez sodelovanja obeh strani v smislu, da je obdelava vsakega subjekta neločljivo povezana. Če take povezave ni, potem upravljavca nastopata kot samostojna. Raziskovalna organizacija je lahko pri kliničnem preskušanju samostojni upravljavec zlasti v delu, ko in če obdeluje klasično (redno) zdravstveno dokumentacijo in druge redne zbirke osebnih podatkov neodvisno od sodelovanja s sponzorjem. V tem primeru je podlaga v Zakonu o zbirkah podatkov s področja zdravstvenega varstva (ZZPPZ) in nekaterih drugih zakonih s področja zdravstva. Podobno je, če osebne podatke nadalje obdeluje za druge namene izven prvotnih (npr. za lasten raziskovalni namen). Smiselno podobno velja za sponzorja. 3. Ali je dovolj, da se raziskovalni center in sponzor v pogodbi o klinični študiji opredelita za samostojna upravljavca in ne sklepata posebne pogodbe o obdelavi osebnih podatkov, v kateri bi se morala opredeliti kot upravljavec in obdelovalec? Pojma upravljavca in obdelovalca sta funkcionalna pojma, pri čemer je namen razdeliti odgovornosti glede na dejanske vloge subjektov. To pomeni, da mora pravni status subjekta kot upravljavca ali obdelovalca načeloma temeljiti na dejanskih dejavnostih v določeni situaciji, ne pa na formalni določitvi takšnih vlog npr. v pogodbi. To z drugimi besedami pomeni, da opredelitev vloge določenega subjekta v pogodbi ni odločilna, temveč je bistveno, kakšne aktivnosti subjekt v konkretnem kliničnem preskušanju dejansko izvaja. Če sta sponzor in raziskovalec torej (
2. le)skupna upravljavca, ne gre za pogodbeno obdelavo osebnih podatkov, pač pa je treba skleniti poseben dogovor v smislu člena 26 Splošne uredbe. 4. Katere pravne podlage za obdelavo osebnih podatkov so po mnenju IP najprimernejše? V mnenju EDPB 3/2019 so opisane možne pravne podlage za obdelavo osebnih podatkov v okviru določenega kliničnega preskušanja. To so: naloga, ki se izvaja v javnem interesu, iz člena 6

(1)(e) v povezavi s členom 9

(2)(

1. i)ali (
2. j)Splošne uredbe ali zakoniti interesi upravljavca iz člena 6

(1)(f) v povezavi s členom 9

(2)(j) Splošne uredbe ali izrecna privolitev posameznika, na katerega se nanašajo osebni podatki (v posebnih okoliščinah, ko so izpolnjeni vsi pogoji), v skladu s členom 6

(1)(a) ali členom 9

(2)(

1. a)Splošne uredbe. Izbira ustrezne pravne podlage je odgovornost upravljavca in je odvisna od narave kliničnih preskušanj in konkretnih okoliščin, zato ni mogoče govoriti o tem, da pride v poštev zgolj ena od možnih pravnih podlag. Ob tem izpostavljamo, da je treba pravne podlage za obdelavo osebnih podatkov razlikovati od drugih pogojev in etičnih zahtev za zakonito izvedbo kliničnega preskušanja, kot izhajajo iz nacionalnih predpisov in Uredbe o kliničnem preskušanju (kot npr. privolitve po poučitvi kot pogoja za sodelovanje v preskušanju, ki ga ne gre enačiti z izrecno privolitvijo za obdelavo osebnih podatkov po Splošni uredbi). Dodajamo, da je za konkretno ugotavljanje pravne podlage vedno treba upoštevati tako Uredbo o kliničnem preskušanju, Splošno uredbo kot tudi nacionalne predpise. Tako naj za primer navedemo, da sklicevanje zgolj na točko (
2. i)ali (
3. j)člena 9

(2)Splošne uredbe ni možno brez ustrezne nacionalne ureditve. Glede na veljavno ureditev v Republiki Sloveniji znanstveno-raziskovalni namen sam po sebi ne ustvarja splošne in brezpogojne pravne podlage za obdelavo osebnih podatkov. Prav tako je pomembno, da se zgolj z dogovorom o skupnem upravljanju še ne ustvarja pravna podlaga za obdelavo osebnih podatkov pri kliničnem preskušanju, pač pa mora biti podlaga za oba subjekta že podana v nacionalni zakonodaji ali pravu EU oziroma v izrecni privolitvi ali v drugi pravni podlagi iz členov 6 ter 9 Splošne uredbe. 5. Ali je po mnenju IP za obdelavo (p)osebnih podatkov pacienta lahko primerna tudi izrecna privolitev? Kot že pojasnjeno, se prostovoljna privolitev po poučitvi, predvidena v Uredbi o kliničnem preskušanju, ne sme zamenjevati s pojmom privolitve kot pravne podlage za obdelavo osebnih podatkov na podlagi Splošne uredbe. V skladu s Splošno uredbo mora biti privolitev prostovoljna, izrecna, informirana in nedvoumna; izrecna privolitev pa se zahteva, kadar gre za obdelavo posebnih vrst podatkov, kot so zdravstveni podatki (člen 9

(2)(

1. a)Splošne uredbe). Iz mnenja EDPB 3/2019 izhaja, da bi morali biti upravljavci še posebej pozorni na pogoj prostovoljnosti privolitve, saj lahko glede na okoliščine kliničnega preskušanja nastane neravnotežje moči med sponzorjem/raziskovalcem in udeleženci (npr. če udeleženec ni v dobrem zdravstvenem stanju, če udeleženec pripada ekonomsko ali socialno prikrajšani skupini ali če je v kakršnem koli položaju institucionalne ali hierarhične odvisnosti), v takšnem primeru pa privolitev po Splošni uredbi ni prostovoljna in posledično ni veljavna. Glede na navedeno IP meni, da je lahko (zlasti ob odsotnosti izrecne zakonske podlage) izrecna privolitev ustrezna pravna podlaga za obdelavo (p)osebnih podatkov pacienta. Vendar pa, kot je opozoril že EDPB, mora upravljavec v vsakem konkretnem primeru opraviti posebej temeljito oceno okoliščin kliničnega preskušanja in na tej podlagi presoditi, ali konkretna privolitev izpolnjuje vse pogoje za veljavno privolitev po Splošni uredbi; tega namesto njega ne more opraviti IP. Lepo vas pozdravljamo, Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
2. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026