Evropský sbor pro ochranu osobních údajů (EDPB) na svém posledním plenárním zasedání schválil pokyny týkající se zpracování osobních údajů pro účely vědeckého výzkumu. Sbor zároveň sestavil specializovaný tým, jehož úkolem je urychlit dokončení pokynů pro anonymizaci. EDPB také přijal dvě stanoviska ke dvěma souborům kritérií pro udělování certifikace Europrivacy s cílem jejich schválení jakožto evropských pečetí ochrany údajů, přičemž jedna z nich má sloužit jako nástroj pro předávání údajů.
Celá řada vědních oborů se při výzkumné činnosti opírá o zpracování osobních údajů fyzických osob, což v minulosti vedlo k zásadním vědeckým průlomům přínosným pro celou společnost. K vědeckému pokroku přispívá také rozmach nových technologií, jako je umělá inteligence, jež výzkumníkům umožňuje pracovat s daty inovativními způsoby a efektivně je analyzovat.
Hlavním záměrem pokynů EDPB k vědeckému výzkumu je poskytnout výzkumným pracovníkům větší míru jasnosti, usnadnit jim dodržování GDPR a zároveň zajistit ochranu základních práv jednotlivců.
„Vědecký výzkum může být hnací silou společenského pokroku a zlepšit náš každodenní život. Naše pokyny usnadňují inovativní výzkum tím, že výzkumným pracovníkům pomáhají orientovat se v obecném nařízení o ochraně osobních údajů. EDPB je odhodlán podporovat vědeckou obec a uvolnit plný potenciál vědeckého výzkumu v EU při současném dodržování práv na ochranu údajů,“ uvedla předsedkyně EDPB Anu Talus.
Sbor ve svých pokynech blíže vymezuje pojem „vědecký výzkum“. Aby bylo možné posoudit, zda zpracování probíhá skutečně pro účely vědeckého výzkumu ve smyslu GDPR, stanovuje sbor šest klíčových orientačních faktorů, které by měly být zohledněny vedle povahy, rozsahu, kontextu a účelů zpracování.
Těmito faktory jsou:
- Metodický a systematický přístup
- Dodržování etických norem
- Ověřitelnost a transparentnost
- Samostatnost a nezávislost
- Cíle výzkumu
Potenciál přispět ke stávajícím vědeckým poznatkům nebo uplatnit dosavadní poznatky novými způsoby
Splňují-li výzkumné činnosti všech šest uvedených faktorů, lze je považovat za vědecký výzkum. Pokud tomu tak není, je správce povinen zdůvodnit a být schopen doložit, proč by dané činnosti měly být za vědecký výzkum ve smyslu GDPR považovány.
Další zpracování pro účely vědeckého výzkumu je pokládáno za slučitelné s původním účelem, pro nějž byly osobní údaje shromážděny. Správci proto nemají povinnost provádět test slučitelnosti účelu podle GDPR, aby prokázali, že nové zpracování je v souladu s původním účelem sběru dat. Přesto musejí dbát na to, aby byl právní základ prvotního zpracování vhodný i pro navazující zpracování osobních údajů pro výzkumné účely.
Správci se mohou opřít o „obecný souhlas“ v situacích, kdy účely výzkumu nejsou v okamžiku shromažďování osobních údajů zcela definovány. V takovém případě jsou výzkumní pracovníci povinni dodržovat etické normy platné pro vědecký výzkum a zavést doplňující záruky kompenzující nedostatečnou specifikaci účelu. Správci mohou také žádat fyzické osoby o souhlas s jednotlivými výzkumnými projekty odděleně, jakmile jsou jejich účely dostatečně known – tento přístup se označuje jako dynamický souhlas. Přípustná je rovněž kombinace obecného a dynamického souhlasu.
EDPB dále upřesňuje práva fyzických osob v případech, kdy jsou jejich osobní údaje zpracovávány pro vědecké účely. Jde zejména o právo na výmaz a právo vznést námitku, která mohou být za určitých podmínek omezena, pokud dochází ke zpracování pro výzkumné účely. Sbor uvádí konkrétní příklady ilustrující, kdy lze mít za to, že výkon práva na výmaz by pravděpodobně znemožnil nebo vážně ohrozil dosažení cílů vědeckého výzkumu. EDPB rovněž vysvětluje, za jakých okolností mohou správci odmítnout námitku fyzické osoby proti zpracování jejích údajů pro výzkumné účely – například tehdy, když je zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu.
Sbor připomíná, že je-li do zpracování osobních údajů pro vědecké účely zapojeno více subjektů, je nutné posoudit a zdokumentovat, jakým způsobem jsou odpovědnosti mezi tyto subjekty rozděleny. Pokyny v tomto ohledu nabízejí praktické příklady objasňující, za jakých podmínek mohou být jednotlivé subjekty považovány za správce, společné správce nebo zpracovatele.
V neposlední řadě Sbor vysvětluje, jak mohou správci při zpracování osobních údajů pro vědecké účely posoudit vhodná technická a organizační opatření, jako je anonymizace nebo pseudonymizace. EDPB uvádí příklady dalších záruk, jejichž zavedení může být žádoucí v závislosti na rizicích spojených s konkrétními výzkumnými aktivitami. Patří mezi ně nezávislý či etický dohled, zabezpečené zpracovatelské prostředí, technologie posilující ochranu soukromí, ochranná opatření při zveřejňování výsledků výzkumu, dohody o zachování důvěrnosti a podmínky pro další využití dat.
Pokyny budou do 25. června předmětem veřejné konzultace, v rámci níž budou mít zainteresované strany příležitost vyjádřit svůj názor a poskytnout zpětnou vazbu.
Stanoviska k certifikaci Europrivacy
EDPB přijal stanovisko schvalující aktualizovaný soubor kritérií pro certifikaci Europrivacy jakožto evropskou pečeť ochrany údajů podle čl. 42 odst. 5 GDPR. Sbor poprvé schválil kritéria certifikace Europrivacy dne 10. října 2022 jako první evropskou pečeť ochrany údajů na základě stanoviska EDPB 28/2022. Působnost certifikačního systému Europrivacy byla rozšířena tak, aby zahrnovala správce a zpracovatele se sídlem mimo Evropu, na něž se vztahuje čl. 3 odst. 2 GDPR, ať již proto, že nabízejí zboží nebo služby osobám nacházejícím se v Evropě, nebo proto, že sledují jejich chování.
Sbor rovněž poprvé přijal stanovisko uznávající kritéria certifikace Europrivacy jako evropskou pečeť ochrany údajů určenou k využití jako nástroj pro předávání údajů v souladu s články 42 a 46 GDPR. Dovozci dat mimo Evropu, na které se GDPR nevztahuje, nyní mohou prostřednictvím certifikačního systému Europrivacy požádat o certifikaci pro předávání dat, která přijímají. Tato certifikace zjednoduší správcům a zpracovatelům v Evropě prokazování toho, že při předávání osobních údajů do třetích zemí nebo mezinárodním organizacím zajišťují odpovídající záruky.
Přijatá opatření dále upřesňují certifikační mechanismy podle GDPR a potvrzují jejich zásadní roli jakožto nástrojů pro zajištění souladu s tímto nařízením.
Evropská pečeť ochrany údajů představuje certifikační mechanismus podle GDPR platný v celé Evropské unii. Aby mohla být pečeť udělena, musí být splněna zvláštní kritéria schválená EDPB a certifikaci musí vydat subjekt akreditovaný podle článku 43 GDPR, jenž tím stvrzuje soulad s jeho standardy.
Kompletní pokyny pro zpracování osobních údajů pro účely vědeckého výzkumu jsou k dispozici ke stažení zde.
Zdroj: TZ/uoou.gov.cz
Zdroj: eGOVERNMENT.NEWS
