SL Uradni list Evropske unije C 192/6

Mnenje Evropskega nadzornika za varstvo podatkov o predlogu direktive Evropskega parlamenta in Sveta o standardih kakovosti in varnosti človeških organov, namenjenih za presaditev

2009/C 192/02

EVROPSKI NADZORNIK ZA VARSTVO PODATKOV JE –

ob upoštevanju Pogodbe o ustanovitvi Evropske skupnosti in zlasti člena 286 Pogodbe,

ob upoštevanju Listine Evropske unije o temeljnih pravicah in zlasti člena 8 Listine,

ob upoštevanju Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov,

ob upoštevanju Uredbe (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov ter zlasti člena 41 Uredbe,

ob upoštevanju prošnje za mnenje v skladu s členom 28(2) Uredbe (ES) št. 45/2001, ki mu je bila poslana 8. decembra 2008 –

SPREJEL NASLEDNJE MNENJE:

I. UVOD

Predlog direktive o standardih kakovosti in varnosti človeških organov, namenjenih za presaditev

1. Komisija je 8. decembra 2008 sprejela predlog direktive Evropskega parlamenta in Sveta o standardih kakovosti in varnosti človeških organov, namenjenih za presaditev (v nadaljnjem besedilu: predlog) (1). Komisija je v skladu s členom 28(2) Uredbe (ES) št. 45/2001 predlog poslala ENVP in ga zaprosila za mnenje.

2. Namen predloga je zagotoviti visoke standard kakovosti in varnosti človeških organov, namenjenih za presaditev, in visoko stopnjo varovanja zdravja ljudi. Predlog zlasti: — Določa osnovne zahteve za kakovost in varnost, ki so potrebne za sisteme za presajanje organov v državah članicah, in določa ustanovitev oziroma imenovanje pristojnega nacionalnega organa za zagotavljanje skladnosti s temi zahtevami. V ta namen bodo v vseh državah oblikovani nacionalni programi za kakovost za pridobivanje in prenos človeških organov, med drugim tudi sistem za poročanje o hudih neželenih dogodkih in reakcijah ter mehanizem sledljivosti, da bi se zagotovila sledljivost vseh organov od darovalca do prejemnika in obratno. — Zagotavlja zaščito darovalcev in prejemnikov. Zlasti kar zadeva žive darovalce, predlog vključuje ukrepe za vrednotenje zdravja darovalca in izčrpne podatke o tveganju pri darovanju, uvedbo evidence živih darovalcev ter ukrepe za zagotovitev, da živi darovalci organe darujejo prostovoljno in iz altruističnih razlogov. — Olajšuje sodelovanje med državami članicami in čezmejno izmenjavo organov (tudi med državami članicami in tretjimi državami), in sicer s standardizacijo zbiranja ustreznih podatkov o značilnostih organov, namenjenih za presaditev, in vzpostavitvijo mehanizma za posredovanje podatkov.

3. Pooblaščeni zavodi in zdravstveni strokovnjaki posameznih držav članic, ki izvajajo predlagani načrt darovanja organov in presaditev, morajo obdelati tiste osebne podatke darovalcev in prejemnikov organov, ki se nanašajo na zdravje („zdravstveni podatki“). Ti podatki so občutljivi in zanje veljajo strožja pravila o varstvu podatkov, kakor so določena v členu 8 Direktive 95/46/ES o posebnih vrstah podatkov.

4. Natančneje, podatki darovalcev se obdelajo v zavodih za pridobivanje, ki popisujejo značilnosti darovalcev in organov in tako določajo, ali je zadevni organ primeren za presaditev (seznam teh podatkov je priložem temu predlogu). Podatki prejemnikov (pacientov) se obdelujejo v transplantacijskih centrih, v katerih dejansko poteka presaditev. Čeprav prejemniki nimajo vpogleda v podatke darovalca (in obratno), morajo pristojni nacionalni organi v celoti ohraniti sledljivost podatkov o organih, namenjenih za presaditev, od darovalca do prejemnika (in obratno), to pa bi moralo biti omogočeno tudi pri čezmejnih izmenjavah organov.

Posvetovanje z ENVP

5. ENVP pozdravlja dejstvo, da je bil v okviru posvetovanja zaprošen za mnenje in da je v preambuli predloga naveden sklic na to posvetovanje, v skladu s členom 28 Uredbe (ES) št. 45/2001.

6. Predlog bo pospešil postopke darovanja in presajanja organov, njegov cilj pa je povečanje razpoložljivosti organov in zmanjšanje smrtnosti pacientov, ki so na čakalnem seznamu za organe. Predlog dopolnjuje obstoječi zakonodajni okvir, kar zadeva uporabo bioloških materialov človeškega izvora (2). Poleg tega bi lahko veljal za del splošnega pristopa ES k vzpostavitvi različnih vrst skupnih standardov za zagotavljanje zdravstvenih storitev v državah članicah, z osnovnim ciljem spodbujanja čezmejne razpoložljivosti teh storitev po vsej Evropi (3). ENVP tak pristop podpira, kar je navedel že v svojem mnenju o pravicah pacientov na področju čezmejnega zdravstvenega varstva. Vendar pa ponovno poudarja, da je treba omogočiti dobro usklajeno in enotno varstvo podatkov, in sicer prek različnih pobud, povezanih z zdravstvenim varstvom (4).

7. V predlogu so že upoštevane potrebe po varstvu podatkov, tako za darovalcev organov kot njihovih prejemnikov. Najpomembnejši dejavnik je zahteva po zaščiti identitete darovalcev in prejemnikov (uvodni izjavi 11 in 16 ter člena 10 in 17). Poleg tega je v nekaterih delih predloga več splošnih navedb varstva podatkov (uvodna izjava 17, členi 16, 4(3)(a), 15(3) in 19(1)(a), priloga), kot tudi konkretnejših navedb, ki določajo sodelovanje z nacionalnimi organi za varstvo podatkov (člena 18(f) in 20(2)).

8. ENVP pozitivno ocenjuje navedeno vsebino. Kljub temu pa želi izraziti zaskrbljenost nad nekaterimi določbami, ki niso natančno opredeljene ali pojasnjene in so zato dvoumne, kar bi lahko povzročilo, da države članice predloga ne bi izvajale enotno.

9. Konkretneje, dodatno je treba pojasniti in natančno opredeliti rabo pojmov „sledljivost organov“ ter „anonimnost darovalcev in prejemnikov“, ki je včasih navzkrižna. V povezavi s tem je treba dodatno poudariti, da je treba sprejeti boljše varnostne ukrepe za zaščito podatkov darovalcev in prejemnikov na ravni držav članic, da bi v različnih evropskih državah zagotovili višjo raven varstva podatkov ter varstvo podatkov pri čezmejni izmenjavi organov (znotraj ali zunaj Evrope).

10. To mnenje bo dodatno pojasnilo navedena vprašanja, s tem pa se bo izboljšala trenutna vsebina predloga v zvezi z varstvom podatkov, tako z vidika jasnosti kot doslednosti.

II. POJASNITEV POJMOV „SLEDLJIVOST“ IN „ANONIMNOST“

Uporabnost Direktive 95/46/ES

11. V skladu s členom 2(a) Direktive 95/46/ES o varstvu osebnih podatkov pojem „osebni podatki“ pomeni: „katero koli informacijo v zvezi z osebo, na katero se nanašajo podatki, ki je določena ali določljiva; določljiva oseba je tista, ki se lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali socialno identiteto“.

12. Biološke materiale človeškega izvora, kot so organi, tkiva, celice ali kri, lahko opredelimo kot material, ki ga lahko pridobimo iz človeškega telesa. Vprašanje je, ali podatki o teh materialih lahko štejejo za osebne podatke. Vendar pa se lahko nedvomno uporabljajo kot viri osebnih podatkov o imetniku. Namen obdelave bioloških materialov je pogosto pridobivanje takšnih podatkov. Biološke materiale tudi brez tega namena pogosto spremljajo tako pridobljeni podatki. V teh primerih veljajo pravila iz Direktive 95/45/ES (5). Z drugimi besedami, ta pravila se uporabljajo, dokler je imetnik biološkega materiala določena ali določljiva (fizična) oseba.

13. V uvodni izjavi 26 Direktive 95/45/ES je pojasnjeno, kako se lahko ugotovi, ali je oseba določljiva: „upoštevati vsa sredstva, za katera se pričakuje, da jih bo uporabil bodisi upravljavec ali katera koli druga oseba za določitev take osebe“. V isti uvodni izjavi je navedeno tudi, da se pravila Direktive 95/46/EC ne uporabljajo, če se podatki nanašajo na osebo, ki ni ali ni več določljiva: takšni podatki štejejo za anonimne.

14. Svet Evrope je v priporočilu (2006) 4 posebej obravnaval vprašanje določljivosti bioloških materialov in postavil ločnico med določljivimi in nedoločljivimi biološkimi materiali (6).

15. V tem priporočilu so določljivi biološki materiali opredeljeni kot „tisti biološki materiali, ki samostojno ali skupaj s sorodnimi podatki omogočajo določitev zadevnih oseb neposredno ali z uporabo kode“ (7) V tem drugem primeru ima lahko uporabnik bioloških materialov dostop do kode („kodirani materiali“) ali pa tega dostopa nima, ker s kodo razpolaga tretja stran („povezani anonimizirani materiali“). Delovna skupina iz člena 29 (v nadaljnjem besedilu: DP29) v Mnenju 4/2007 o pojmu osebnih podatkov uporablja izraz sledljivost psevdonimnih podatkov, in sicer za opis posredno določljivih podatkov o posameznikih, ki se lahko še vedno uporabijo za izsleditev posameznikov po vnaprej določenih pogojih (8). Podatki, opremljeni s kodo in ključem, so omenjeni kot primer, pri katerem so osebni podatki opremljeni s kodo, ključ za ujemanje med kodo in skupnimi identifikatorji posameznikov pa je spravljen na drugem mestu. Če so uporabljene kode za vsako posamezno osebo enotne, je določitev možna s ključem, ki se uporablja pri kodiranju.

16. Priporočilo se nanaša tudi na nedoločljive biološke materiale (oziroma „nepovezane anonimizirane materiale“) kot tiste biološke materiale, ki samostojno ali skupaj s sorodnimi podatki na podlagi razumnih prizadevanj ne omogočajo določitve zadevnih oseb (9). Ti podatki dejansko štejejo za anonimne, kakor so opredeljeni v Direktivi 95/46/ES.

17. Iz navedenega sledi, da se Direktiva 95/46/ES uporablja za zbiranje, shranjevanje in obdelavo določljivih organov in nato na podlagi obdelave teh organov, karseda dolgo, ob ustreznem upoštevanju vseh sredstev, ki bi bila lahko uporabljena za določitev zadevne osebe. Kot bo prikazano, bo stalna sledljivost organov, kot je predvidena v predlagani direktivi, omogočala določljivost oseb skozi celotni proces.

Sljedljivost ali anonimnost človeških organov?

18. Sledljivost biološkega materiala pomeni možnost za izsleditev imetnika materiala in s tem njegovo določitev. Z drugimi besedami, kadar koli je sledljivost imetnikov bioloških materialov možna, posredno ali neposredno, ti materiali lahko štejejo za določljive, in obratno. Pojma sledljivost in določljivost se zato načelno tesno prepletata. Nasprotno pa se pojma sledljivost in anonimnost podatkov ne moreta pojavljati hkrati, saj sta nasprotna. Če so določeni podatki dejansko anonimni, posameznika ni možno določiti ali izslediti.

19. Glede na sedanji predlog je sledljivost zahteva, ki jo je treba določiti v okviru nacionalnih programov držav članic za kakovost, in sicer tako za darovalce kot za prejemnike. To pomeni, da so podatki v zvezi z organi določljivi, čeprav so informacije o darovalcih in prejemnikih zaupne. To je vključeno tudi v opredelitev sledljivosti v členu 3 predloga: „možnost, da pristojni organ najde in identificira organ na vseh stopnjah postopka od darovanja do presaditve ali odstranitve, ter je v okoliščinah, ki so navedene v tej direktivi, pooblaščen da identificira darovalca in zavod za pridobivanje, prejemnike in center za transplantacijo, ter locira in identificira vse pomembne neosebne podatke v zvezi s proizvodi in materiali v stiku z organom“.

20. Poleg tega je glede sledljivosti v prvem odstavku člena 10 predloga navedeno, da „države članice zagotovijo sledljivost organov, pridobljenih in dodeljenih na njihovem ozemlju, od darovalca do prejemnika in obratno, da se zavaruje zdravje darovalcev in prejemnikov“. V odstavku 3 istega člena je navedeno, da „države članice zagotovijo, da: a) pristojni organ ali drugi organi, vključeni v postopek od darovanja do presaditve ali odstranitve, shranijo potrebne podatke, da se zagotovi sledljivost na vseh stopnjah postopka od darovanja do presaditve ali odstranitve v skladu z nacionalnimi programi za kakovost; b) se podatki, potrebni za popolno sledljivost, hranijo najmanj 30 let po darovanju. Ti podatki so lahko shranjeni v elektronski obliki“.

21. Čeprav za proces sledljivosti veljajo izvedbeni ukrepi (glej člen 25 predloga), se zdi najverjetnejša rešitev uvedba posrednega sistema za identifikacijo darovalcev in prejemnikov, na podlagi ali vsaj v medsebojnem delovanju z Direktivo 2004/23/ES (10) o tkivih in celicah in evropskim kodnim sistemom, ki je določen v tej direktivi (11). V takem primeru obdelava podatkov v zvezi z darovalci in prejemniki v okviru predloga zadeva povezane anonimizirane biološke materiale ali, ki se v terminologiji o varstvu podatkov obravnavajo kot sledljivi psevdonimni (glej točko 15 zgoraj), za katere veljajo določbe Direktive 95/46/ES.

22. Vendar pa je treba navesti, da je v nekaterih delih predloga kljub jasnim zahtevam glede sledljivosti in določljivosti uporabljen izraz „anonimnost“ ali „anonimni podatki“, ki se nanaša na podatke darovalcev in prejemnikov. Kot sledi iz prejšnjih točk, je to protislovno in povzroča veliko zmedo (12).

23. Konkretneje, v odstavku 2 člena 10 predloga, ki predpisuje sistem identifikacije darovalcev, je navedeno, da [d]ržave članice zagotovijo uporabo sistema za identifikacijo darovalcev, s katerim se lahko identificira vsako darovanje in vsak z njim povezan organ. Države članice zagotovijo, da je ta sistem za identifikacijo darovalcev zasnovan in izbran tako, da zbiranje, obdelava in uporaba osebnih podatkov ni potrebna, oziroma v čim manjši meri. Zlasti je treba uporabljati psevdonime ali posameznike spremeniti v anonimne (13). ENVP meni, da so podčrtani izrazi v tem odstavku v nasprotju s pojmom sledljivosti, saj v primerih, ko je darovalcem in prejemnikom zagotovljena anonimnost, ni mogoče imeti sledljivih in določljivih podatkov. Poleg tega je nenavadno, da se ta odstavek nanaša na identifikacijo darovalcev, medtem ko identifikacija prejemnikov (ki prav tako sodi v ta proces) sploh ni omenjena.

24. To nasprotje je še bolj očitno v členu 17 o anonimizaciji darovalcev in prejemnikov, v katerem je navedeno: „Države članice sprejmejo potrebne ukrepe za zagotovitev, da se vsi osebni podatki darovalcev in prejemnikov, katerih obdelavo zajema ta direktiva, spremenijo v anonimne, tako da niti darovalcev niti prejemnikov ni več možno identificirati“. Ta člen je v celoti v nasprotju s predlaganimi členi o sledljivosti.

Zaupnost namesto anonimnosti

25. Po mnenju ENVP se izraz anonimnost dejansko uporablja zato, da bi poudarili potrebo po zagotovitvi večje zaupnosti (14) podatkov o darovalcih in prejemnikih, kar pomeni, da so te informacije dostopne samo pooblaščenim osebam. ENVP domneva, da se izraz anonimizacija uporablja zlasti zato, ker vključuje posredni sistem za identifikacijo darovalcev in prejemnikov (15), kar je mogoče sklepati tudi na podlagi načina uporabe tega izraza v Direktivi 2004/23/ES o človeških tkivih in celicah. Kot že rečeno, pa anonimnost v tej zvezi ni pravi izraz.

26. Primer obravnave varstva podatkov in sledljivosti pri presaditvah najdemo v Dodatnem protokolu o presaditvi človeških organov in tkiv h Konvenciji o človekovih pravicah v zvezi z biomedicino (16). V tem besedilu je uporabljen izraz zaupnost in ne anonimnost. Natančneje, v členu 23(1) protokola je določeno, da „vsi osebni podatki, ki se nanašajo na osebo, ki so ji bili odvzeti organi ali tkiva in tisti, ki se nanašajo na prejemnika, veljajo za zaupne. Takšni podatki se lahko zbirajo, obdelujejo in sporočajo samo v skladu s pravili, ki se nanašajo na poklicno zaupnost in na varstvo osebnih podatkov.“ V drugem odstavku istega člena pa je navedeno, da „se določb 1. odstavka ne razume na škodo določb, ki ob primernih jamstvih omogočajo zbiranje, obdelavo in sporočanje potrebnih podatkov o osebi, ki so ji bili odvzeti organi ali tkiva ali o prejemniku oziroma prejemnikih organov in tkiv, če je to potrebno iz medicinskih razlogov, vključno zaradi sledljivosti, kot je predvideno v 3. členu tega protokola.“

27. Glede na navedeno ENVP priporoča spremembo nekaterih delov predloga, da bi preprečili dvoumnost in jasno poudarili dejstvo, da podatki sicer niso anonimni, vendar pa je treba njihovo obdelavo obravnavati kot strogo zaupno in v skladu s predpisi o varstvu podatkov. ENVP priporoča zlasti naslednje spremembe: — Uvodna izjava 16, zadnji stavek V skladu z navedeno listino in da se ustrezno upošteva Konvencija o človekovih pravicah in biomedicini, morajo programi presajanja organov temeljiti na načelih prostovoljnega in brezplačnega darovanja, nesebičnosti darovalca in solidarnosti med darovalcem in prejemnikom; hkrati je treba zagotoviti stroge predpise o zaupnosti in zaščitne ukrepe za varstvo podatkov darovalcev in prejemnikov. — Drugi in tretji stavek člena 10(2): Države članice zagotovijo uporabo sistema za identifikacijo darovalcev in prejemnikov, s katerim se lahko identificira vsako darovanje in vsak z njim povezan organ. Države članice zagotovijo, zlasti z uporabo psevdonimov, da je ta sistem za identifikacijo darovalcev zasnovan in izbran tako, da zbiranje, obdelava in uporaba osebnih podatkov ni potrebna oziroma se izvaja v čim manjši meri, in po potrebi sprejmejo tehnične in organizacijske ukrepe za varstvo teh podatkov. — Člen 17 bi lahko črtali in ga glede na vsebino (zagotavljanje zaupnosti) vključili kot novi odstavek v člen 16, ki se nanaša na varovanje osebnih podatkov, zaupnost in varnost obdelave (glej točko 36).

28. Poleg tega ENVP predlaga, kot je natančneje obrazloženo v nadaljnjem besedilu, naj se močneje poudari, da je treba zagotoviti posebno varstvo podatkov o darovalcih in prejemnikih z uporabo strogih zaščitnih ukrepov na nacionalni in čezmejni ravni.

III. POMEN NACIONALNIH UKREPOV ZA VARSTVO PODATKOV

Osnovne potrebe in zahteve za varnost podatkov

29. Iz predloga je razvidno, da se obdelava posebnih podatkov darovalcev in prejemnikov izvaja večinoma na nacionalni ravni, tj. v centrih za pridobivanje organov in transplantacijskih centrih. Na tej ravni se hrani tudi evidenca živih darovalcev. Čeprav mehanizem sledljivosti še ni bil določen, je mogoče pričakovati, da bodo vse dejavnosti kodificiranja potekale tudi na nacionalni ravni, saj lahko identifikacijo darovalcev in prejemnikov izvajajo samo pristojni nacionalni organi; to bo veljalo celo v primeru, če se bo uporabljal enotni evropski kodni sistem.

30. Zato je izredno pomembno izvajanje politike za varnost informacij, ki temelji na strogih in učinkovitih zaščitnih ukrepih pristojnih nacionalnih služb, in zlasti izpolnjevanje zahtev glede zaupnosti podatkov darovalcev in prejemnikov, ki so določene v predlogu, da bi zavarovali celovitost (17) in razpoložljivost (18) podatkov ter odgovornost (19) v zvezi z njimi. V tej zvezi bi morala politika za varnost informacij vključevati tudi fizično in logično zaščito, med drugim nadzor vnosa podatkov in dostopa do njih, njihovega zapisovanja, prenosa in sporočanja ter nadzor nosilcev podatkov in njihove hrambe.

31. V zvezi z zaupnostjo podatkov je treba povedati, da podatki o zdravstvenem stanju prejemnikov (20) ter podatki, ki se uporabljajo za ugotavljanje in spremljanje darovalcev (tudi v zvezi z „razširjenim krogom darovalcev“ (21)) lahko razkrijejo občutljive osebne podatke, ki lahko vplivajo na socialno, poklicno in/ali zasebno življenje prejemnikov in darovalcev. Še zlasti pomembno je varstvo identifikacijskih podatkov darovalcev, ker bi v primeru razkritja teh informacij živeči darovalci ali osebe, ki so soglašale, da po smrti darujejo organ ali več organov, lahko postale žrtve trgovine s človeškimi organi in tkivi. Bistveno je tudi zagotoviti celovitost podatkov o organih, saj bi že ena sama napaka pri prenosu informacij lahko ogrozila življenje prejemnika. Enako velja za točnost podatkov o zdravstvenem stanju darovalca pred presaditvijo; ti podatki se namreč uporabljajo pri preverjanju ustreznosti določenega organa. Ker je v celoten sistem darovanja in presaditev vključenih toliko različnih organizacij, je treba v zvezi z odgovornostjo poudariti, da bi bilo treba zagotoviti, da se vse udeležene strani zavedajo svojih dejanj in prevzamejo odgovornost zanje, npr. v primerih, ko so identifikacijski podatki darovalcev razkriti nepooblaščenim osebam ali zdravstveni podatki o organih niso točni. Ker celoten sistem temelji na prenosu podatkov v zvezi z organi in mehanizmu njihove sledljivosti od darovalca do prejemnika, bi morali biti ti podatki po potrebi nemudoma na voljo pooblaščenim osebam (če niso razpoložljivi, bi to lahko ogrozilo nemoteno delovanje sistema).

32. V tej zvezi bi bilo treba vzpostaviti ustrezne mehanizme za odobritve, v skladu s posebnimi politikami za nadzor dostopa, za nacionalne podatkovne zbirke in čezmejno izmenjavo organov. Te politike bi bilo treba najprej določiti na organizacijski ravni, zlasti v zvezi s postopki za identifikacijo darovalcev in prejemnikov (npr. kdo ima dostop do informacij, do katerih informacij se omogoči dostop in pod kakšnimi pogoji). Na ta način bodo določeni pravica do dostopa in možni scenariji za izvajanje te pravice (npr. okoliščine in postopki, ki jih mora upoštevati organizacija za pridobivanje organov pri razkritju podatkov pristojnemu organu, morda določeni primeri, ko je treba prejemniku razkriti identiteto darovalca, in postopki za takšno razkritje itd.) Za zagotovitev učinkovitosti teh politik mora oseba, ki obdeluje podatke, ravnati v skladu s predpisi o zaupnosti.

33. Ko so politike določene, jih je mogoče izvajati na tehnični ravni, tj. z izvajanjem nadzora nad dostopom uporabnikov sistema in aplikacij v skladu s predhodno določenimi pravicami do dostopa. V ta namen je mogoče uporabiti uveljavljene tehnologije, kot so šifriranje in digitalni certifikati (22) (npr. na osnovi infrastrukture javnih ključev (23). Za omejitev pravice dostopa na določene uporabnike na podlagi njihove funkcije (npr. pravico do spreminjanja podatkov o zdravstvenem stanju darovalcev in prejemnikov v nacionalnih podatkovnih zbirkah naj bi imeli samo zdravniki) se lahko uporabijo mehanizmi za overjanje pravice do dostopa na podlagi funkcij.

34. Nadzor dostopa je treba dopolniti, zlasti v elektronskih sistemih, z možnostjo zapisovanja dejanj uporabnikov (bralni in pisni dostop do podatkov o zdravstvenem stanju). Prav tako bi bilo treba uvesti fizične in logične zaščitne ukrepe, da se zagotovi popolna operativnost podatkovnih zbirk s podatki o darovalcih in organih, ki so osrednji element predlaganega sistema za darovanje in presaditve. Razpoložljivost podatkov bi morala biti temelj sistema. V tej zvezi bi morala biti politika za varnost informacij osnovana na temeljiti analizi in oceni tveganj ter vključevati tudi elemente, kot so zapleti in upravljanje neprekinjenega poslovanja. Vse te elemente bi bilo treba obdržati in izboljšati v rednih postopkih spremljanja in pregledovanja. Večjo učinkovitost in boljše delovanje sistema je mogoče zagotoviti tudi z neodvisnimi revizijami, pri čemer je treba posebno pozornost nameniti praksam pri uporabi psevdonimov, sledljivosti in prenosu podatkov.

35. ENVP meni, da bi bilo treba v predlagani direktivi bolj poudariti, da so takšni ukrepi potrebni.

Strožje določbe o varnosti

36. V členu 16 predloga, ki se nanaša na varstvo osebnih podatkov, zaupnost in varnost obdelave, je določeno: „Države članice zagotovijo, da se temeljna pravica do varovanja osebnih podatkov v celoti in učinkovito spoštuje pri vseh dejavnostih presajanja organov v skladu z določbami Skupnosti o varovanju osebnih podatkov, kot je Direktiva 95/46/ES in zlasti člen 8(3), člena 16 in 17 ter člen 28(2) navedene direktive.“ ENVP priporoča, da se v ta člen doda drugi odstavek, v katerem se navedejo osnovna načela za zagotavljanje varnosti na ravni držav članic, med njimi vsaj naslednje točke: — Treba je določiti politiko za varnost informacij in na tej podlagi tehnične in organizacijske ukrepe, da se zagotovi zaupnost, celovitost, zanesljivost in razpoložljivost osebnih podatkov darovalcev in prejemnikov. — Določiti je treba posebno politiko za nadzor spoštovanja zaupnosti in dostopa, ki naj bi se uporabljala v vseh državah članicah; pri tem je treba določiti pravice do dostopa ter funkcije in odgovornosti vseh vključenih strani (darovalcev, organizacij za pridobivanje, transplantacijskih centrov, prejemnikov, pristojnih nacionalnih organov, pristojnih čezmejnih organov) vzdolž celotne verige sledljivosti. Zagotoviti je treba jamstva o zaupnosti podatkov za osebe, ki sodelujejo pri obdelavi, še zlasti za tiste, ki jih ne zavezujejo pravila zdravniške poklicne molčečnosti (npr. pravila ravnanja v zvezi z zaupnostjo in ukrepi, ki temeljijo na ozaveščenosti). — Treba je poudariti, da so v nacionalnih podatkovnih zbirkah potrebni varnostni mehanizmi (kot npr. šifriranje in digitalni certifikati). Zlasti v zvezi z registrom darovalcev je treba uporabljati načelo spoštovanja zasebnosti pri načrtovanju sistemov, da bi vključili vse potrebne varnostne zahteve že v začetnih fazah takšnih projektov. — Treba je tudi določiti postopke za zaščito pravic do varstva podatkov darovalcev in prejemnikov, še zlasti pravico do dostopa in popravljanja ter pravico do obveščenosti. Posebno pozornost je treba nameniti tudi darovalcem, ki želijo umakniti soglasje o darovanju ali niso sprejemljivi (po popisu značilnosti darovalca in organa) kot darovalci. V tem primeru je treba določiti poseben postopek in rok za hranjenje njihovih podatkov. — V okviru politike za varnost informacij je treba zagotoviti tudi ukrepe za zagotavljanje celovitosti in neprekinjene razpoložljivosti podatkov. Oceno tveganja glede varnosti informacij je treba dopolniti z predpostavko o morebitnih zapletih in upravljanjem neprekinjenega poslovanja. — Politike za varnost informacij je treba redno spremljati in pregledovati, med drugim tudi z neodvisnimi revizijami.

37. ENVP priporoča, da se navedeni elementi vključijo v člen 16 in nato podrobneje opredelijo kot del izvedbenih ukrepov v členu 25, zlasti v odstavkih 1(a), (b) in (c).

IV. VARSTVO PODATKOV PRI ČEZMEJNI IZMENJAVI ORGANOV

Usklajevanje varnostnih ukrepov v državah članicah

38. Čezmejna izmenjava organov bo v praksi zmeraj vključevala obdelavo osebnih podatkov, ker je organe zmeraj, tj. tudi v primeru, če so podatki kodirani, mogoče (posredno) določiti preko podatkovnih zbirk pristojnih nacionalnih organov.

39. ENVP je v mnenju že zapisal, da je treba zavarovati osebne podatke v okviru čezmejnega zdravstvenega varstva po vsej Evropi, in pri tem med drugim poudaril, da morajo države članice uskladiti politike za varnost informacij, da bi lahko dosegli visoko raven varstva podatkov (24). Priporoča, da se ta element navede tudi v tem predlogu, in sicer v uvodni izjavi (17), kjer je navedena določba o varnosti obdelave iz Direktive 95/46/ES.

Vzpostavitev sistema sledljivosti

40. V tem posebnem primeru je za varnost čezmejne izmenjave podatkov pomembno, da se vzpostavi mehanizem sledljivosti. Zato bi bilo ob zaščitnih ukrepih, ki se uporabljajo na ravni držav članic, treba nameniti posebno pozornost možnosti uporabe psevdonimov za identifikacijo darovalcev in prejemnikov (npr. vrsta kodiranja, možnost dvojnega kodiranja itd) ter ohranitvi interoperabilnosti z identifikacijskim sistemom za tkiva in celice.

41. ENVP priporoča, da se to posebej navede v členu 25 predlagane direktive, v katerem so določeni izvedbeni ukrepi, in sicer s spremembo odstavka 1(b), ki naj bi se glasil: „postopke za zagotavljanje popolne sledljivosti organov, vključno z zahtevami o označevanju; pri tem je treba zavarovati zaupnost podatkov o darovalcih in prejemnikih v celotnem procesu sledljivosti in ohraniti interoperabilnost s sistemom za identifikacijo tkiv in celic.“

Izmenjava organov s tretjimi državami

42. Izpolnjevanje zahtev za varnost je še pomembnejše pri izmenjavi podatkov s tretjimi državami, kjer ni mogoče zmeraj zagotoviti ustrezne ravni varstva podatkov. V členih 25 in 26 Direktive 95/46/ES je določena posebna ureditev za prenos osebnih podatkov tretjim državam. ENVP se zaveda, da izpolnjevanje zahtev za varstvo podatkov ne bi smelo ovirati hitrega in učinkovitega prenosa organov, ki je v sistemu darovanja organov nujno in je lahko celo odločilno, kadar gre za vprašanje življenja ali smrti. Zato bi bilo treba raziskati možnosti odobritve prenosa tudi v primeru, če ni zagotovljena ustrezna splošna raven varstva podatkov v tretji državi. Pri tem bi bilo treba upoštevati, da je identifikacija posameznikov na čezmejni ravni posredna, pa tudi dejstvo, da imajo pristojni nacionalni organi splošen nadzor nad sistemom in da so zato tveganja verjetno manjša kot na nacionalni ravni (25).

43. Zato ENVP meni, da se mora pristojni organ, ki je pristojen za odobravanje takšnih prenosov, posvetovati z nacionalnim organom za varstvo podatkov, da bi razvili, glede na možna odstopanja, navedena v členu 26 Direktive 95/46/ES, potreben okvir za zagotovitev varnosti, pa tudi hiter in učinkovit prenos podatkov o organih, namenjenih za presaditev, v tretje države in iz njih. ENVP priporoča, da se to navede v členu 21 o izmenjavi organov s tretjimi državami ali v uvodni ustrezni uvodni izjavi (15).

Izvedbeni ukrepi

44. Nazadnje ENVP poziva zakonodajalca, naj v zvezi s členom 25 zagotovi, da se za vse primere, v katerih izvedbeni ukrepi vplivajo na varstvo in varnost podatkov, izvedejo posvetovanja z vsemi udeleženimi stranmi, vključno z ENVP in Delovno skupino iz člena 29.

V. ZAKLJUČNE UGOTOVITVE

45. ENVP se je seznanil s pobudo za zagotovitev visokih standardov kakovosti in varnosti za človeške organe, namenjene za presaditev, ki je del celotnega pristopa, s katerim si ES prizadeva zagotoviti skupne standarde za spodbujanje čezmejne razpoložljivosti zdravstvenih storitev po vsej Evropi.

46. V predlogu je že upoštevano, da je treba zavarovati podatke o darovalcih in prejemnikih organov ter zlasti upoštevati zahtevo po zaščiti identitete darovalcev in prejemnikov. Kljub temu pa ENVP z obžalovanjem ugotavlja, da so nekatere določbe nenatančne, dvoumne ali splošne, in zato priporoča številne spremembe, da bi zagotovili strožje določbe glede varstva podatkov.

47. ENVP najprej ugotavlja, da se v predlogu pojavlja protislovje glede rabe pojmov „sledljivost“ in „anonimnost“. V tej zvezi predlaga posebne spremembe določenih delov besedila predloga (zlasti v uvodni izjavi 16, členu 10 (2) in členu 17), da bi preprečili dvoumnost in jasno opredelili, da podatki niso anonimni, vendar pa je treba njihovo obdelavo obravnavati kot strogo zaupno in v skladu s predpisi o varstvu podatkov.

48. Poleg tega bi bilo po njegovem mnenju treba bolj poudariti dejstvo, da je treba sprejeti stroge zaščitne ukrepe na nacionalni ravni. To bi lahko dosegli z dodanim drugim odstavkom v členu 16, v katerem bi določili načela za zagotavljanje varnosti na ravni držav članic, hkrati pa bi ta načela dodatno opredelili kot del izvedbenih ukrepov v členu 25(1). Predlagana načela za zagotovitev varnosti vključujejo: (a) določitev politike za varnost informacij, da se zagotovi zaupnost, celovitost in razpoložljivost podatkov osebnih podatkov darovalcev in prejemnikov ter odgovornost v zvezi z njimi; (b) določitev posebne politike za nadzor spoštovanja zaupnosti in dostopa, hkrati z jamstvi o zaupnosti podatkov za osebe, ki sodelujejo pri obdelavi; (c) vključitev varnostnih mehanizmov v nacionalnih podatkovnih zbirkah, ki temelji na načelu spoštovanja zasebnosti pri načrtovanju sistemov; (d) določitev postopkov za zaščito pravic do varstva podatkov darovalcev in prejemnikov, še zlasti pravice do dostopa in popravljanja ter pravice do obveščenosti; pri tem je treba posebno pozornost nameniti darovalcem, ki želijo preklicati soglasje o darovanju, ali niso bili sprejeti kot darovalci; (e) sprejetje ukrepov za zagotovitev celovitosti in neprekinjene razpoložljivosti podatkov; (f) zagotovitev rednega spremljanja in neodvisnih revizij veljavnih varnostnih politik.

49. V zvezi z čezmejno izmenjavo organov bi bilo po mnenju ENVP treba navesti v uvodni izjavi 17, da je treba uskladiti politike za varnost informacij med državami članicami. Poleg tega bi bilo treba posebno pozornost nameniti možnosti, da se za identifikacijo darovalcev in prejemnikov ter vzdrževanje interoperabilnosti z identifikacijskim sistemom za tkiva in celice uporabljajo psevdonimi. ENVP priporoča, da se to posebej navede v členu 25(1)(b) predloga.

50. V zvezi z izmenjavo organov s tretjimi državami ENVP priporoča, da se v členu 21 ali v uvodni izjavi 15 predloga navede, da se pristojni organ posvetuje z nacionalnim organom za varstvo podatkov, da bi razvili potreben okvir za zagotovitev varnosti, pa tudi hiter in učinkovit prenos podatkov o organih, namenjenih za presaditev, v tretje države in iz njih.

51. Nazadnje ENVP priporoča, da se za vse primere, v katerih izvedbeni ukrepi vplivajo na varstvo in varnost podatkov, opravijo posvetovanja z vsemi udeleženimi stranmi, vključno z ENVP in Delovno skupino iz člena 29.

V Bruslju, 5. marca 2009 Peter HUSTINX Evropski nadzornik za varstvo podatkov

(1) COM(2008) 818 konč.

(2) Ta okvir zajema direktive 2002/98/ES, 2004/33/ES, 2005/61/ES in 2005/62/ES za kri in krvne proizvode ter direktive 2004/23/ES, 2006/17/ES in 2006/86/ES za človeška tkiva in celice.

(3) Glej tudi predlog direktive Evropskega parlamenta in Sveta o uveljavljanju pravic pacientov na področju čezmejnega zdravstvenega varstva, COM(2008) 414 konč.

(4) Mnenje ENVP z dne 2. decembra 2008 o predlogu direktive o uveljavljanju pravic pacientov na področju čezmejnega zdravstvenega varstva.

(5) Delovna skupina za varstvo podatkov iz člena 29, mnenje 4/2007 o pojmu osebnih podatkov, str. 9.

(6) Priporočilo Rec(2006) 4 Odbora ministrov državam članicam o raziskavi bioloških materialov človeškega izvora.

(7) Člen 3 Priporočila Rec(2006) 4.

(8) Delovna skupina za varstvo podatkov iz člena 29, Mnenje 4/2007, str. 18.

(9) Člen 3 Priporočila Rec(2006) 4.

(10) Ker so darovalci organov zelo pogosto darovalci tkiv, je treba izslediti in sporočiti vsako nepričakovano neželeno reakcijo tudi v sistem za nadzor tkiv; zato je obvezna interoperabilnost z metodo posredne identifikacije, ki se uporablja v okviru tega sistema. Glej: Direktiva 2004/23/ES Evropskega parlamenta in Sveta z dne 31. marca 2004 o določitvi standardov kakovosti in varnosti, darovanja, pridobivanja, testiranja, predelave, konzerviranja, shranjevanja in razdeljevanja človeških tkiv in celic, UL L 102/48, 7.4.2004, in Direktiva Komisije 2006/86/ES z dne 24. oktobra 2006 o izvajanju Direktive 2004/23/ES Evropskega parlamenta in Sveta o zahtevah po sledljivosti, obveščanju o hudih in neželenih reakcijah in pojavih ter nekaterih tehničnih zahtevah za kodiranje, predelavo, konzerviranje, shranjevanje in razdeljevanje človeških tkiv in celic, UL L 294/32, 25.10.2006.

(11) Ta koda vključuje enotno identifikacijsko številko za vsako darovanje organa, ki lahko skupaj z banko tkiv in identifikacijo proizvoda izsledi darovalce in prejemnike. Konkretneje, v skladu s členom 10 Direktive 2006/86/ES: „enoten evropski kodni sistem se uporabi za celoten darovan material v banki tkiv, da se zagotovijo pravilna identifikacija darovalca in sledljivost celotnega darovanega materiala ter informacije o glavnih značilnostih in lastnostih tkiv in celic“. Kot je opisano v prilogi VII k tej direktivi, je koda sestavljena iz dveh delov: a) identifikacijo darovanega organa, vključno z enotno številko za darovanje organa, in identifikacijo banke tkiv, ter b) identifikacijo proizvoda, vključno s kodo proizvoda, številko podskupine lotov in datumom izteka.

(12) To ugotovitev je ENVP izrazil v svojem komentarju z dne 19.9.2006 o javnem posvetovanju o ukrepanju EU v prihodnje na področju darovanja organov in transplantacije.

(13) Podčrtano naknadno.

(14) Zagotovitev, da imajo dostop do teh informacij samo pooblaščene osebe (opredelitev ISO: http://www.wikipedia.org).

(15) Opredelitev izraza „anonimizacija“ je odvisna od tega, v kakšnem okviru se uporablja; v določenih primerih, npr. pri statističnih podatkih, vključuje posredno določljive podatke Z vidika varstva podatkov to ni prav; ENVP je to že pojasnil v mnenju o predlogu Uredbe Evropskega parlamenta in Sveta o statističnih podatkih Skupnosti v zvezi z javnim zdravjem ter zdravjem in varnostjo pri delu (COM(2007) 46 konč.) in mnenju o predlogu uredbe Evropskega parlamenta in Sveta o evropski statistiki (COM(2007) 625 konč.).

(16) Svet Evrope, Dodatni protokol o presaditvi človeških organov in tkiv h Konvenciji o človekovih pravicah v zvezi z biomedicino, Strasbourg, 24. 1. 2002; v zvezi z ratifikacijo glej http://conventions.coe.int/Treaty/Commun/QueVoulezVous.asp?NT=186&CM=8&DF=2/13/2009&CL=ENG Glej tudi: Svet Evrope: Konvencija o varovanju človekovih pravic in človeškega dostojanstva v zvezi z uporabo biologije in medicine: Konvencija o človekovih pravicah v zvezi z biomedicino, Oviedo, 4. 4. 1997, v zvezi z ratifikacijo glej http://conventions.coe.int/Treaty/Commun/QueVoulezVous.asp?NT=164&CM=8&DF=2/13/2009&CL=ENG

(17) Zagotavljanje „celovitosti“ ali popolnosti podatkov, ustvarjanje takšnih pogojev, da podatkov med katerimi koli operacijami (kot so prenos, hramba ali pridobivanje) ni mogoče kakor koli spreminjati, ohranjanje podatkov glede na njihovo namembnost ali, v zvezi z določenimi postopki, zagotavljanje pričakovane kakovosti podatkov. Če poenostavimo: celovitost je zagotovilo, da so podatki usklajeni in točni (vir: http://www.wikipedia.org); zagotoviti, da imajo dostop do podatkov in da jih lahko spreminjajo samo pooblaščene osebe (vir: http://searchdatacenter.techtarget.com).

(18) Stopnja takojšnje dostopnosti podatkov (vir: http://www.pcmag.com).

(19) Obveznost utemeljitve posameznih dejanj; nezatajljivost: zagotoviti, da so bili podatki poslani in da jih je tretja stran sprejela, tj. potrditi, da so bili poslani in prejeti: gre za zagotovitev, da stranka v sporu ne more spodbijati ali ovreči veljavnosti izjave (vir: http://www.wikipedia.org).

(20) Treba je opozoriti, da je že sama informacija o presaditvi organa prejemniku občutljiv osebni podatek o zdravstvenem stanju te osebe.

(21) Potencialni darovalci, ki sicer niso idealni kandidati, lahko pa to postanejo v določenih okoliščinah, npr. za starejše prejemnike. Glej: delovni dokument Komisije, priložen predlogu direktive Evropskega parlamenta in Sveta o standardih kakovosti in varnosti človeških organov, namenjenih za presaditev in sporočilo Komisije Akcijski načrt o darovanju in presajanju organov (2009–2015): okrepljeno sodelovanje med državami članicami, ocena vpliva; 8.12.2008.

(22) Elektronska različica osebne izkaznice, s katero se izkazuje identiteta izdajatelja digitalnega podpisa (vir: http://www.ffiec.gov/ffiecinfobase/booklets/e_banking/ebanking_04_appx_b_glossary.html).

(23) Infrastruktura javnih ključev je kombinacija strojne in programske opreme, ljudi ter politik in postopkov, ki so potrebni za pripravo, upravljanje, hrambo, razdeljevanje in preklic digitalnih certifikatov (vir: http://www.wikipedia.org).

(24) Mnenje ENVP z dne 2. decembra 2008 o predlogu direktive o uveljavljanju pravic pacientov na področju čezmejnega zdravstvenega varstva.

(25) Glej mnenje Delovne skupine iz člena 29 št. 4/2007, str. 18 o psevdonimih in podatkih, opremljenih s kodo in ključem.