Podaci pacijenata za naučno istraživanje: svrha i zaštitne mjere

Podaci pacijenata mogu se dalje obrađivati za istraživački projekat kada su konkretna svrha, pravni osnov i zaštitne mjere međusobno usklađeni. Okvir za istraživanje iz člana 5 stav 1 tačka b i člana 89 GDPR-a ne zamjenjuje ostalu provjeru zakonitosti. Za zdravstvene podatke potrebna je i posebna provjera prema članu 9 GDPR-a.

Ovaj tekst objašnjava kako istraživačka organizacija može pripremiti dalju upotrebu zdravstvenih podataka. U središtu su razdvajanje liječenja i istraživanja, dvostruka provjera prema članovima 6 i 9 GDPR-a, anonimizacija i pseudonimizacija, uloge u istraživačkom konzorciju te analiza rizika i procjena uticaja na zaštitu podataka.

Zdravstveni podaci su posebna kategorija ličnih podataka prema članu 9 stav 1 GDPR-a. Član 4 tačka 15 GDPR-a obuhvata informacije o fizičkom ili psihičkom zdravlju koje otkrivaju zdravstveno stanje osobe. Zavisno od konteksta, to uključuje dijagnoze, nalaze, liječenje, genetske podatke, mjerenja i informacije iz kojih se može zaključiti o zdravstvenom stanju.

Za istraživanje je odlučujuće šta otkriva svako pojedinačno polje. Broj slučaja može sam izgledati kao tehnički identifikator. Ako se može povezati s odvojeno čuvanom listom, podaci ostaju lični. Rijetka bolest ili kombinacija dobi, mjesta liječenja i perioda takođe može omogućiti posrednu identifikaciju.

Počnite popisom podataka. Za svaki podatak navedite izvor, prvobitnu svrhu i naučnu vrijednost. Tekst o zdravstvenim podacima u programu prevencije na radnom mjestu dodatno pokazuje zašto se vrsta podataka i grupa primalaca moraju procjenjivati odvojeno.

Upotreba podataka pacijenata za naučno istraživanje obično je dalja obrada kada su podaci prvobitno prikupljeni radi liječenja, obračuna ili drugog zadatka. Protokol istraživanja zato treba opisati prvobitnu obradu i novi projekat jedno pored drugog. Istraživačko pitanje, populacija, polja podataka, metoda i planirani primaoci pripadaju istoj procjeni.

Član 5 stav 1 tačka b GDPR-a predviđa da se dalja obrada za naučnoistraživačke svrhe pod uslovima člana 89 GDPR-a u načelu smatra kompatibilnom s prvobitnom svrhom. To je važna olakšica. Ona ne zamjenjuje provjeru zakonitosti, izbor pravnog osnova ni izbor izuzetka prema članu 9 stav 2 GDPR-a.

Nacrt smjernica EDPB-a 1/2026 za javnu konsultaciju izričito razlikuje ova pitanja. U njemu se objašnjava da se pretpostavka kompatibilnosti i zakonitost dalje obrade procjenjuju odvojeno. Za zdravstvene podatke treba uključiti i dodatne uslove nacionalnog prava prema članu 9 stav 4 GDPR-a.

Svaka obrada u istraživačkom projektu treba pravni osnov prema članu 6 GDPR-a. To nije dovoljno za zdravstvene podatke. Član 9 stav 1 GDPR-a najprije zabranjuje obradu posebnih kategorija podataka. Za konkretnu obradu potreban je odgovarajući izuzetak prema članu 9 stav 2 GDPR-a.

Zavisno od projekta, posebno mogu biti važni izričita saglasnost prema članu 9 stav 2 tačka a ili zakonsko pravilo prema članu 9 stav 2 tačka j GDPR-a. Drugi osnovi dolaze u obzir samo kada su njihovi uslovi stvarno ispunjeni. Organizacija mora moći objasniti zašto izabrani izuzetak podržava baš ovaj projekat i koje zakonske zahtjeve donosi.

Saglasnost u dugoročnom istraživačkom programu zahtijeva pažljivo uređenje. Mora biti informisana, dobrovoljna i opoziva. Šira saglasnost može tražiti dodatne zaštitne mjere i jasan opis područja istraživanja. Dokumentacija treba objasniti i kako se postupa kod opoziva i već analiziranih rezultata.

Član 89 stav 1 GDPR-a zahtijeva odgovarajuće garancije za prava i slobode ispitanika. Mjere moraju odgovarati svrsi istraživanja i konkretnim rizicima. Zavisno od projekta, one uključuju smanjenje količine podataka, odvojene uloge, ograničenje pristupa, kontrolisane ključeve, sigurno radno okruženje, pravila brisanja i kontrolu objave.

Član 89 GDPR-a zato nije samostalan pravni osnov. On opisuje zaštitne mjere i, uz dodatne zakonske uslove, moguća ograničenja prava ispitanika. Organizacija najprije mora utvrditi da je obrada zakonita, a zatim pokazati kako garancije učinkovito smanjuju rizike.

Prema članu 89 stav 2 GDPR-a pravo Unije ili države članice može predvidjeti ograničenja prava iz članova 15, 16, 18 i 21 kada bi ta prava vjerovatno onemogućila ili ozbiljno ugrozila konkretno istraživanje i kada je ograničenje potrebno. Interna politika istraživanja sama ne stvara ovaj izuzetak. Uslovi i obim moraju proizlaziti iz odgovarajućeg pravnog osnova.

Član 89 stav 1 GDPR-a zahtijeva da se svrhe istraživanja ostvare podacima koji ne omogućavaju ili više ne omogućavaju identifikaciju kada je to moguće. Stvarno anonimni podaci tada više nisu u području primjene GDPR-a. Sama anonimizacija je obrada i mora biti zakonita i zaštićena dok se provodi.

Ako istraživanje mora porediti tok pojedinca ili povezivati podatke kroz vrijeme, može biti potrebna pseudonimizacija. Veza se štiti tako što se dodatne informacije čuvaju odvojeno. Pseudonimizirani podaci ostaju lični podaci. Ključ zato ne treba biti u istoj grupi pristupa kao istraživački podaci, a ponovna identifikacija mora biti ograničena na strogo opravdane situacije.

Učinkovitost provjeravajte tokom cijelog projekta. Rijetke bolesti, male grupe, vanjski skupovi podataka i objavljeni rezultati mogu učiniti osobu prepoznatljivom i nakon uklanjanja imena. Format podataka odredite u planu istraživanja i ponovo ga procijenite za svaki novi izvor i prije objave.

U istraživačkom projektu često učestvuju bolnice, univerziteti, sponzori, farmaceutske kompanije i IT pružaoci. Ko odlučuje o svrhama i bitnim sredstvima jeste rukovalac. Kada više subjekata zajedno donosi te odluke, može postojati zajednička odgovornost prema članu 26 GDPR-a. Dogovor treba praktično rasporediti odgovornosti za informacije, prava ispitanika i sigurnost.

IT pružalac može biti izvršitelj obrade prema članu 28 GDPR-a kada podatke obrađuje po uputama. Naslov ugovora ne odlučuje o ulozi. Odlučuju stvarne odluke o cilju istraživanja, pristupu, procjeni, podizvršiteljima i vlastitoj upotrebi podataka od strane pružaoca.

Prikažite tok podataka od bolničkog informacionog sistema do istraživačke baze, partnera i objava. Za svaku tačku navedite kategorije podataka, svrhu, pristup, mjesto čuvanja, prijenos i događaj brisanja. Evidencija aktivnosti obrade prema članu 30 GDPR-a može podržati trajnu dokumentaciju.

Zaštitne mjere prema članu 89 GDPR-a počinju analizom rizika. Član 35 GDPR-a zahtijeva procjenu uticaja na zaštitu podataka kada je obrada vjerovatno visokorizična. Kod zdravstvenih podataka treba posebno procijeniti obim, osjetljivost, povezivanje s drugim skupovima, trajanje čuvanja, primaoce, rizik ponovne identifikacije i planiranu objavu.

Procjena treba obuhvatiti i posljedice izvan zaštite podataka. Rezultat istraživanja može dovesti do stigmatizacije, štete, diskriminacije ili neočekivanog medicinskog nalaza. Kod rijetkih bolesti čak i pseudonimizirana objava može identifikovati osobu ili porodicu. Zaštitne mjere moraju odgovoriti na takve konkretne posljedice.

Prije početka odredite ko odobrava analizu rizika, kako se kontroliše pristup i kada se procjena ponavlja. Promjene protokola, novi izvori podataka, dodatni partneri ili planirana objava mogu učiniti prvobitnu procjenu zastarjelom. Procjena uticaja nije samo dokument za arhivu, već osnova za oblikovanje i kontrolu projekta.

Pacijentima su potrebne razumljive informacije o prvobitnoj obradi, svrsi istraživanja, kategorijama podataka, primaocima, čuvanju i njihovim pravima. Organizacija treba osigurati praktičan postupak za pristup, ispravku, brisanje, ograničenje i prigovor. Postupak treba funkcionisati i kada veza između istraživačkih podataka i izvornog sistema nije dokumentovana.

Član 89 stav 2 GDPR-a dopušta ograničenja određenih prava u istraživanju samo pod navedenim uslovima i na osnovu prava Unije ili države članice. Ograničenje mora biti potrebno za konkretnu svrhu istraživanja. Istraživački interes ili opće pozivanje na povjerljivost nisu dovoljni.

Projekat treba objasniti i kako će se postupati s nalazima koji se mogu odnositi na pojedinca. Da li se pojedinačni rezultat saopštava zavisi od dizajna studije, medicinske odgovornosti i primjenjivog prava. Odluka treba biti u protokolu i usklađena sa zaštitom ispitanika.

Počnite protokolom istraživanja i popisom podataka. Opišite prvobitnu svrhu, novi istraživački cilj, kategorije podataka, populaciju i planirane analize. Označite direktne identifikatore, posebne kategorije, ključeve i kombinacije koje mogu učiniti osobu prepoznatljivom.

Zatim provjerite pravne osnove i uloge. Dokumentujte osnov prema članu 6 GDPR-a, primjenjivi izuzetak iz člana 9 stav 2, posebna nacionalna pravila, rukovaoce, zajedničke rukovaoce i izvršitelje obrade. Zabilježite informacije date ispitanicima i postupak za ostvarivanje njihovih prava.

Na kraju pripremite analizu rizika ili procjenu uticaja kada je potrebna, koncept garancija prema članu 89 GDPR-a, pravila anonimizacije ili pseudonimizacije, upravljanje ključem, matricu pristupa, rokove čuvanja i brisanja te pravila za partnere i objave. Kod promjene projekta ponovite procjenu.

Provjeravamo protokol istraživanja, popis podataka, pravni osnov prema članu 6, izuzetak prema članu 9, nacionalno pravo, uloge, zaštitne mjere i pitanje procjene uticaja. Za prvu procjenu pomažu protokol studije, opis toka podataka, dogovor o ulogama, planirani dokumenti za informisanje i koncept anonimizacije ili pseudonimizacije. Tako se dalja upotreba ograničava na svrhu istraživanja i garancije koje ta svrha zahtijeva.