Vélemény a klinikai vizsgálatokról szóló rendelet adatvédelmi vonatkozásairól

Az Európai Adatvédelmi Testület (EDPB) 2019. január 23-án elfogadta az Európai Unió klinikai vizsgáltokról szóló rendelete (CTR) és a GDPR összefüggéseiről szóló véleményét. A dokumentum elsősorban a klinikai vizsgálatok keretében végzett adatkezelések jogszerűségével, a GDPR-ban foglalt egyes jogalapok alkalmazhatóságával kapcsolatos egységes álláspontot tartalmazza. Emiatt viszont nemcsak a klinikai vizsgálatok, hanem – adott esetben – az egészségügyi ágazat más területei által végzett adatkezelések vonatkozásában is fontos útmutatásul szolgál.

Az EDPB különbséget tett a klinikai vizsgálatok keretében felvett személyes adatok elsődleges és másodlagos felhasználása között. Az előbbi körbe minden olyan adatkezelés beletartozik, amely a vizsgálati tervben foglalt tevékenységekhez kapcsolódik. A személyes adatoknak vizsgálatok biztonsága és megbízhatósága céljából történő felhasználása főszabály szerint a GDPR 6. cikk (1) bekezdés c) pontjában foglalt jogszabályi kötelezettségen alapulhat, amely vonatkozásában a jogalkotó – a 9. cikk (2) bekezdés i) pontjára tekintettel – köteles további, az érintett jogait és szabadságait védő garanciákat tartalmazó intézkedéseket elfogadni.

A pusztán kutatási célból végzett adatkezelések jogalapjaként a GDPR több rendelkezése is szóba jöhet. Amennyiben teljesülnek a GDPR 7. cikkében foglalt feltételek, a személyes adatokat jogszerűen fel lehet használni az érintett kifejezett hozzájárulása alapján (GDPR 6. cikk (1) bekezdés a) pont és 9. cikk (2) bekezdés a) pont). E tekintetben az EDPB kiemeli, hogy a klinikai vizsgálatokhoz adott, az alanyok méltóságát és integritását biztosítani hivatott beleegyezés nem azonos az adatalany hozzájárulásával. Másrészt, bizonyos esetekben, az adatkezelés szükséges lehet közérdekű feladat végrehajtásához (GDPR 6. cikk (1) bekezdés e) pont) vagy az adatkezelő jogos érdekeinek érvényesítéséhez is (GDPR 6. cikk (1) bekezdés f) pont). E jogalapok azonban csak akkor alkalmazhatók, ha a jogalkotó megfelelő garanciális szabályokat is elfogadott.

Másodlagos felhasználásnak minősül a személyes adatoknak a vizsgálati terven kívüli, kizárólag tudományos célú felhasználása. A CTR 28. cikk (2) bekezdése ezzel kapcsolatban lehetővé teszi, hogy a klinikai vizsgálat kezdeményezéséért, irányításáért és finanszírozásának kialakításáért felelős személy a vizsgálati alany mint adatalany hozzájárulását kérje az adatkezeléshez. Az EDPB a véleményében ugyanakkor rámutat arra, hogy a CTR említett rendelkezése túlzottan megszorító azzal, hogy kizárja a GDPR 5. cikk (1) bekezdés b) pontjában foglalt vélelem alkalmazását. A GDPR szerint ugyanis az eredeti céllal összeegyeztethetőnek minősül az a további adatkezelés, amelyet közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból végeznek, ha a 89. cikk (1) bekezdésében foglalt követelmények is teljesülnek. A testület tehát nem zárta ki az összeférhetőségi vélelem alkalmazását az a személyes adatok másodlagos felhasználása esetén azzal, hogy az adatkezelőknek meg kell felelnie a GDPR-ban foglalt egyéb feltételeknek is.