Source: https://www.uoou.cz/stanovisko-c-2-2006-zpracovani-osobnich-udaju-v-ramci-vedy/d-1485
Timestamp: 2018-08-18 21:35:07+00:00

Document:
Stanovisko č. 2/2006 - Zpracování osobních údajů v rámci vědy: Úřad pro ochranu osobních údajů
Stanovisko č. 2/2006 - Zpracování osobních údajů v rámci vědy
2_2006 [PDF, 195 kB]
únor 2006, poslední revize duben 2013
Zpracování osobních údajů v rámci vědy podléhá režimu zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“). Je sice nepochybné, že ustanovení čl. 15 Listiny základních práv a svobod zaručuje svobodu vědeckého bádání, nicméně přirozeným limitem tohoto práva jsou mimo jiné garance spojené s ochranou osobních údajů vycházející také z Listiny základních práv a svobod (čl. 10 a čl. 17), které nacházejí svůj výraz právě i prostřednictvím zákona o ochraně osobních údajů.
Ve výše nastíněném rámci je tudíž hlavním problémem stanovení a posouzení účelu předmětného zpracování (viz ustanovení § 5 odst. 1 zákona o ochraně osobních údajů). Nutno předeslat, že vědecká činnost sama o sobě představuje plně legitimní účel. Je proto třeba určit, zda správcem deklarovaná činnost, v jejímž rámci mají být osobní údaje zpracovávány, naplňuje pojmy „věda“ nebo „vědecký“, respektive jako jisté synonymum pojmy „výzkum“ nebo „výzkumný“.
Při využití definic obsažených v § 2 zákona č. 130/2002 Sb., o podpoře výzkumu, experimentálního vývoje a inovací z veřejných prostředků a o změně některých souvisejících zákonů (zákon o podpoře výzkumu, experimentálního vývoje a inovací), ve znění pozdějších předpisů, lze konstatovat, že vědou rozumíme teoretickou nebo experimentální práci zaměřenou na získání nových poznatků o obecných principech anebo pro vývoj pokročilých výrobků, postupů nebo služeb. Tato činnost, se může týkat různých oblastí (například technika, příroda, společnost atd.) a může být především zaměřena buď na základní výzkum anebo na aplikovaný výzkum. Existují i určitá věcná omezení předmětu vědecké činnosti; jsou spíše v morální rovině, resp. v rovině zákazů užívat výsledky takového výzkumu. Jedná se např. o problematiku týkající se genetického inženýrství anebo vývoje zbraňových systémů apod.
Vědecký účel tak lze základním způsobem vymezit prostřednictvím těchto znaků:
1. Existence zadání nebo záměru úkolu, který vykazuje znaky vědeckého bádání, tj. je deklarována jednoznačně formulovaná vědecká hypotéza a jsou uvedeny metody ověření hypotézy; termín „zadání“ vyjadřuje záměr vesměs stanovený zvnějšku, tj. zpravidla jako úkol, který má být splněn někým jiným, než je ten, kdo úkol formuluje (vysoká škola, vědecká instituce, poskytovatelé dotace nebo jiné veřejné podpory) nebo obdobně charakterizovaná nabídka.
Lze kupříkladu uvést, že výzkumným účelem může být vývoj nového léku, jelikož tato činnost v sobě zahrnuje získání poznatku o účincích chemikálie na živý organismus, nemůže však jím být pořízení databáze fyzických osob sloužící k prodeji nového výrobku.
2. Nositelem zadání je kvalifikovaný subjekt. Je jím subjekt, vykazující určitý formální předpoklad (právní status dávající kvalifikaci pro vědeckou činnost), nebo vykazující veřejně či jakkoli reálně uznávanou vědeckou či výzkumnou zkušenost (tzv. „mimoúřední“ kvalifikace). Kvalifikovaným subjektem je např. veřejná výzkumná instituce, zřízená podle zákona č. 341/2005 Sb., o veřejných výzkumných institucích.
Kvalifikační předpoklad je třeba považovat za splněný, pokud je naplněna podmínka pod č. 1 a nad nositelem úkolu je ustaven institucionální dozor, který sám naplňuje podmínky kvalifikace (např. školitel, vedoucí vědeckého týmu).
Oba znaky musejí být zjišťovány a ověřeny v uvedeném pořadí. Pokud je výsledek kladný, je třeba akceptovat účel zpracování osobních údajů jako účel vědecký. Kvalifikovaný subjekt může být přitom výhradním původcem vědeckého úkolu.
Při zjišťování parametrů vědeckého účelu zpracování osobních údajů lze jako pomocná kritéria použít znaky:
- činnost čistě formálně naplňující podmínku uvedenou sub č. 1 je vykonávána na institucionální bázi (jako schválený projekt, např. podle zákona č. 130/2002 Sb.),
- existují zveřejněné informace o vědecké (výzkumné) institucionální činnosti stejného zaměření; stejným zaměřením je třeba rozumět jak shodu nebo úzkou příbuznost obsahovou, tak shodu nebo úzkou příbuznost instrumentária, přičemž zkoumaný záměr nemusí vykazovat obě charakteristiky současně,
- zveřejnění výsledků výzkumu v odpovídající formě, tj. jako vědecká publikace, za níž se považují uznávanou odbornou kapacitou posouzená (lektorovaná) díla.
Z toho vyplývá, že např. direktmarketingová firma, jejíž zaměstnanci dosud nemohou vykázat žádnou vlastní výzkumnou činnost včetně spolupráce s vědeckými pracovišti, tyto předpoklady zřejmě nesplní[1].
Další zásadou, kterou je nutno připomenout , je přiměřenost postupů deklarovanému účelu výzkumu. Zásada je odvozena z ustanovení čl. 2 Úmluvy o lidských právech a biomedicíně, podle něhož zájmy a blaho lidské bytosti převažují nad izolovanými zájmy společenství nebo vědy a je v principu převzata jako součást ustanovení § 51 odst. 1 zákona č. 378/2007 Sb., o léčivech a o změně některých souvisejících zákonů[2]. Nepřijatelné jsou tudíž postupy, v jejichž rámci by byla snižována lidská důstojnost anebo bylo nepřiměřeně zasahováno do soukromé sféry. Tato zásada se samozřejmě dotýká i zpracování osobních údajů pro vědecké účely a je plně garantována ustanovením § 10 zákona č. 101/2000 Sb.
Otázka přiměřenosti musí být zkoumána i z pohledu dalších ustanovení zákona o ochraně osobních údajů. Je třeba určit nebo zjistit, zda a do jaké míry je zpracování osobních údajů nezbytné, jak bude zaručena jejich přesnost, a jakým způsobem a kdy by měly být anonymizovány apod.
Nutno tedy znovu připomenout, že cílem vědy je určitý obecný poznatek a výsledkem bádání v zásadě nemůže být osobní údaj. Osobní údaj může být pouze prostředkem použitým na cestě k získání poznatku.
Není proto ani možné obecně připustit publikaci plných identifikačních údajů fyzických osob (adres, údajů), na které byl výzkum nebo byla vědecká práce zaměřena. Těmto požadavkům musejí odpovídat pracovní postupy použité v projektu nebo úkolu. Na plnění povinností spojených se zpracováním osobních údajů je tudíž třeba dbát již ve fázi formulace výzkumných záměrů a při přípravě návrhů projektů výzkumu a vývoje.
Zákon o ochraně osobních údajů nestanoví pro výzkumnou činnost žádný komplexní zvláštní režim. Z hlediska nalezení právního titulu pro zpracování osobních údajů je proto nutno preferovat souhlas subjektu údajů.
Nicméně zákon o ochraně osobních údajů obsahuje dvě speciální ustanovení týkající se oblasti vědy. Obě jsou vázána na vědecké účely zpracování osobních údajů; nesměřují tedy primárně k jakýmkoli kvalifikačním nebo jiným předpokladům a podmínkám správce nebo zpracovatele.
První výjimka se týká povinnosti zakotvené ustanovením § 5 odst. 1 písm. e) zákona o ochraně osobních údajů, tedy povinnosti uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Toto základní pravidlo se ale nepoužije m.j. tehdy, když mají být osobní údaje druhotně zpracovány pro vědecké účely. Posledně citované ustanovení ovšem rozhodně nepředstavuje žádný speciální právní titul pro zpracování osobních údajů a zároveň jej nelze chápat ani jako rozšiřující doplněk k ustanovení § 5 odst. 1 písm. f) zákona o ochraně osobních údajů, podle něhož lze osobní údaje zpracovávat pouze v souladu s účelem k němuž byly shromážděny. Je na správci, který hodlá data využít pro vědecké účely, aby řádný právní titul získal. Tím může být především souhlas subjektu údajů anebo plnění úkolu uloženého zákonem. Dále je nezbytné, aby v průběhu dalšího zpracování osobních údajů pro vědecké účely nebylo neoprávněně zasahováno do soukromého a osobního života subjektu údajů a data byla anonymizována, jakmile to bude možné.
Zpracování osobních údajů pro vědecké účely dále požívá za určitých okolností i výjimky z informační povinnosti podle ustanovení § 11 odst. 1 zákona o ochraně osobních údajů. Informační povinnost se nevztahuje na správce, který osobní údaje nezískal přímo od subjektu údajů, zpracovává je pro vědecké účely ve shora uvedeném smyslu, a poskytnutí informací by vyžadovalo neúměrné úsilí nebo nepřiměřené náklady. Vznik takové situace je ovšem velmi nepravděpodobný.
Výjimka z informační povinnosti se použije také pro správce a případně zpracovatele, který osobní údaje nezískal od subjektu údajů a využívá jako zdroje oprávněně zvěřejněné osobní údaje anebo data získal se souhlasem subjektu údajů.
Všechny povinnosti ze zákona o ochraně osobních údajů platí i v případné úpravě provedené zvláštními zákony. To je zřejmé na příkladu rodného čísla. Tento osobní údaj je jako teoreticky unikátní identifikátor obecného použití, snadno automatizovaně zpracovatelný, oblíben zejména v etapě shromažďování empirických dat. Rozhodování o jeho použití musí zahrnout posouzení nezbytnosti pro stanovený účel, a to nikoli výzkumného projektu, ale specificky vlastního shromažďování, popř. dalšího zpracování osobních údajů. Projekt výzkumu se musí vyrovnat, nejlépe výslovně, s požadavkem anonymizace[3] uchovávaných osobních údajů podle ustanovení § 5 odst. 1 písm. e) zákona o ochraně osobních údajů. Anonymizace rodného čísla nelze dosáhnout; je tedy třeba rodné číslo zlikvidovat. Současně je třeba splnit podmínky podle zákona č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů, ve znění pozdějších předpisů, tj. zpravidla zajistit získání informovaného souhlasu subjektu údajů, tak, jak je stanoveno současně v § 13c odst. 1 tohoto zákona a v § 5 odst. 2 a 4 zákona o ochraně osobních údajů.
I při zpracování osobních údajů pro vědecké účely je nutné dodržovat veškeré povinnosti stanovené zákonem o ochraně osobních údajů, zejména řádně stanovit účel a prostředky zpracování, posoudit nezbytnost rozsahu zpracováných osobních údajů a především disponovat příslušným právním titulem. Zákon o ochraně osobních údajů poté pamatuje na vědecký účel zpracování pouze v ustanovení § 5 odst. 1 písm. e) a § 11 odst. 3 písm. a).
[1] Odhlíží se od možnosti spolupráce s vědeckou institucí.
[2] Stanovisko č. 3/2004 (Zpracování osobních údajů v souvislosti s prováděním klinického hodnocení léčiv
a léčivých přípravků).
[3] Anonymní údaj je dle § 4 písm. c) zákona o ochraně osobních údajů takový údaj, který nelze vztáhnout k určitému nebo určitelnému subjektu údajů.

References: zákona č. 101
 čl. 15
 čl. 17
 § 5
 § 2
 zákona č. 130
 zákona č. 341
 zákona č. 130
 čl. 2
 § 51
 zákona č. 378
 § 10
 zákona č. 101
 § 5
 § 5
 § 11
 § 5
 zákona č. 133
 § 13
 § 5
 § 5
 § 11
 § 4