Πρόσβαση σε αρχεία νοσηλευτικών ιδρυμάτων από ερευνητές με σκοπό την εκπόνηση ερευνητικών εργασιών

Σημαντική απόφαση αναφορικά με την πρόσβαση σε αρχεία νοσηλευτικών ιδρυμάτων από ερευνητές με σκοπό την εκπόνηση ερευνητικών εργασιών, ενόψει και της εφαρμογής του Γενικού Κανονισμού για την Προστασία Δεδομένων (GDPR), εξέδωσε η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.

Όπως αναφέρει η Αρχή τα τελευταία χρόνια έχει αυξηθεί σηµαντικά ο αριθµός των αιτήσεων, ιδίως µεγάλων δηµόσιων νοσηλευτικών ιδρυµάτων της χώρας, τα οποία διαβιβάζουν αιτήµατα µεµονωµένων ερευνητών (προπτυχιακών ή µεταπτυχιακών φοιτητών, υποψηφίων διδακτόρων ή εν γένει επαγγελµατιών υγείας), οι οποίοι στο πλαίσιο εκπόνησης ερευνητικών εργασιών επιθυµούν να αποκτήσουν πρόσβαση στα αρχεία τους.

Ενδεικτικά αναφέρεται ότι σύµφωνα µε τα στατιστικά στοιχεία της έκθεσης πεπραγµένων της Αρχής το έτος 2016 υποβλήθηκαν συνολικά 196 νέες υποθέσεις, οι οποίες αφορούσαν τον τοµέα της υγείας και από τις οποίες µεγάλος αριθµός είχε ως αντικείµενο τη χορήγηση αδείας για τη διεξαγωγή έρευνας σε υπευθύνους επεξεργασίας που παρέχουν υπηρεσίες υγείας, ο δε αριθµός των αδειών που χορηγήθηκαν από την Αρχή για υποθέσεις του τοµέα υγείας ανέρχεται στο 69% των συνολικών εκδοθεισών αδειών του ίδιου έτους.

Χρήσιμες πληροφορίες και διαρκής ενημέρωση για τον GDPR στο lawspot.gr/GDPR

Ενόψει των παραπάνω και, και λαµβανοµένων προσέτι υπόψη, ιδίως:

α) του γεγονότος ότι σε όλες τις περιπτώσεις εξέτασης αιτηµάτων µεµονωµένων ερευνητών για την πρόσβασή τους στα αρχεία του νοσηλευτικού ιδρύµατος (ιατρικά αρχεία) ή τη διενέργεια τη συνεντεύξεων µε ασθενείς νοσηλευτικών ιδρυµάτων η Αρχή χορήγησε την αιτούµενη άδεια στο νοσηλευτικό ίδρυµα, καθιστώντας παράλληλα –δυνάµει της απόφασης της Αρχής 31/2003– τον ερευνητή υπεύθυνο επεξεργασίας του αρχείου που συλλέγει και ότι στις περιπτώσεις κατά τις οποίες ανέκυπταν επιφυλάξεις ως προς τον κίνδυνο αποδυνάµωσης του δικαιώµατος του υποκειµένου-ασθενούς ενόψει της διεξαγωγής συγκεκριµένης µελέτης, η Αρχή έκρινε ότι ο κίνδυνος αυτός αποτρέπεται ιδίως λόγω της έγκρισης του ερευνητικού πρωτοκόλλου από τα οικεία (πανεπιστηµιακά) ιδρύµατα και από τη σχετική έγκριση των Επιστηµονικών Συµβουλίων του οικείου νοσηλευτικού ιδρύµατος,

β) του µεγάλου αριθµού των σχετικών αιτήσεων που υποβάλλονται στην Αρχή,

γ) της δυνατότητας της Αρχής να εφαρµόσει απλουστευµένους κανόνες επεξεργασίας σε επεξεργασίες για τις οποίες κρίνει ότι δεν ενέχουν ιδιαίτερους κινδύνους για την ιδιωτικότητα και

δ) της προοπτικής κατάργησης της υποχρέωσης γνωστοποίησης και άδειας επεξεργασίας ευαίσθητων δεδοµένων και της αντικατάστασής τους µε αποτελεσµατικές διαδικασίες και µηχανισµούς για τη διαφύλαξη της ιδιωτικότητας σύµφωνα µε τον GDPR, η Αρχή έκρινε σκόπιµη την κατάργηση της έκδοσης ad hoc άδειας για το σκοπό της διεξαγωγής ερευνητικής µελέτης.

Προς τον σκοπό αυτό πρέπει να τροποποιηθεί η αρχική άδεια των νοσηλευτικών ιδρυµάτων για τη λειτουργία του αρχείου που τηρούν για τον σκοπό της παροχής των υπηρεσιών υγείας, ώστε να περιληφθεί όρος για τον σκοπό της διεξαγωγής ερευνητικών µελετών από τον ίδιο τον υπεύθυνο επεξεργασίας (νοσηλευτικό ίδρυµα, ιατρικό, νοσηλευτικό και λοιπό προσωπικό του υπευθύνου επεξεργασίας) και από µεµονωµένους ερευνητές.

Διαβάστε επίσης: Έλεγχος ηλεκτρονικού υπολογιστή εργαζομένου από τον εργοδότη και προσωπικά δεδομένα (ΑΠΔΠΧ)

Σηµειώνεται ότι οι ερευνητές είτε εντάσσονται στη σφαίρα του υπευθύνου επεξεργασίας, είτε είναι «τρίτοι» ως προς τον υπεύθυνο επεξεργασίας, δεσµεύονται από τους εφαρµοστέους σε κάθε περίπτωση κώδικες δεοντολογίας ως προς την τήρηση του απορρήτου και της ασφάλειας της επεξεργασίας και, συνεπώς, υπέχουν ποινική (άρθρο 371), πειθαρχική (κώδικες δεοντολογίας) και αστική ευθύνη (άρθρο 57 ΑΚ).

Με την ενσωµάτωση του κατάλληλου όρου στην άδεια λειτουργίας του νοσηλευτικού ιδρύµατος, θα απεµπλακεί η Αρχή από τα συναφή αιτήµατα έκδοσης ad hoc άδειας για τον σκοπό της διεξαγωγής ερευνητικών µελετών.

Όπως επισημαίνει η ΑΠΔΠΧ, αυτό είναι ανεκτό υπό το ισχύον καθεστώς προστασίας προσωπικών δεδοµένων καθώς η ratio της θέσπισης της υποχρέωσης γνωστοποίησης της επεξεργασίας και της προηγούµενης άδειας της Αρχής για την επεξεργασία ευαίσθητων δεδοµένων συνίσταται στην επαύξηση των εγγυήσεων όσον αφορά την επεξεργασία των ευαίσθητων δεδοµένων του υποκειµένου.

Στην περίπτωση διενέργειας επιστηµονικών µελετών από µεµονωµένους ερευνητές, οι παραπάνω όροι διασφαλίζονται µε τον ειδικό όρο που ενσωµατώνεται στη γενική άδεια επεξεργασίας ευαίσθητων δεδοµένων που έχει χορηγηθεί στο νοσηλευτικό ίδρυµα.

Ως εκ τούτου παρέλκει η έκδοση ειδικής άδειας και στον µεµονωµένο ερευνητή, παρά το γεγονός ότι αυτός υπέχει θέση υπεύθυνου επεξεργασίας, πρέπει, όµως, να ενσωµατωθεί στις άδειες των νοσηλευτικών ιδρυµάτων όρος κατά τον οποίο ο µεµονωµένος ερευνητής, ο οποίος καθίσταται υπεύθυνος επεξεργασίας, απαλλάσσεται από τις υποχρεώσεις γνωστοποίησης και λήψης άδειας από την Αρχή σύµφωνα µε τα οριζόµενα στις διατάξεις των άρθρων 6 και 7 του νόµου 2472/1997, φέρει ωστόσο όλες τις υποχρεώσεις που απορρέουν από τον νόµο αυτό, ιδίως όσον αφορά την τήρηση του απορρήτου και της ασφάλειας της επεξεργασίας.

Στην έννοια του µεµονωµένου ερευνητή περιλαµβάνονται οι προπτυχιακοί και µεταπτυχιακοί φοιτητές, οι υποψήφιοι διδάκτορες, καθώς και άλλοι µεµονωµένοι ερευνητές οι οποίοι δεσµεύονται από το ιατρικό ή άλλο επαγγελµατικό απόρρητο. 

Για τους λόγους αυτούς, η Αρχή αποφάσισε:

1. Κατ’ εφαρµογή του άρθρου 7 παρ. 2 στοιχ. στ΄ του νόµου 2472/1997 προστίθεται στις άδειες που έχει εκδώσει η Αρχή στους υπεύθυνους επεξεργασίας-νοσηλευτικά ιδρύµατα για τον σκοπό της παροχής των υπηρεσιών υγείας όρος σύµφωνα µε τον οποίο επιτρέπεται η επεξεργασία των δεδοµένων υγείας ασθενών εκ µέρους του προσωπικού του νοσηλευτικού ιδρύµατος και µεµονωµένων ερευνητών για το σκοπό της διεξαγωγής ερευνητικών µελετών, υπό τις εξής προϋποθέσεις:

α) Το Επιστηµονικό Συµβούλιο του νοσηλευτικού ιδρύµατος έχει εγκρίνει τη διεξαγωγή της συγκεκριµένης ερευνητικής εργασίας στο χώρο του .

β) Στις περιπτώσεις κατά τις οποίες η επεξεργασία δεδοµένων για ερευνητικούς σκοπούς δεν πραγµατοποιείται µε τη συγκατάθεση των ενδιαφεροµένων ασθενών (άρθρο 7 παρ. 2 στοιχ. α΄ του ν.2472/1997), ο υπεύθυνος επεξεργασίας οφείλει να ενηµερώνει τους ασθενείς, ως υποκείµενα τα δεδοµένων, όχι απαραίτητα κατά τη συλλογή των δεδοµένων (σύµφωνα µε το άρθρο 11 παρ. 1 του ν. 2472/1997), αλλά πάντως το αργότερο πριν την επεξεργασία που πραγµατοποιείται για ερευνητική µελέτη για τη διακριτή αυτή επεξεργασία που θα πραγµατοποιηθεί (άρθρο 11 παρ. 3 του ν.2472/1997).

Όταν διεξάγεται αναδροµική µελέτη, για την οποία ο ερευνητής δεν µπορεί να λάβει την προηγούµενη συγκατάθεση των ασθενών, στην αίτησή του προς τον υπεύθυνο επεξεργασίας, ο ερευνητής έχει υποχρέωση να εξηγεί τους λόγους για τους οποίους δεν είναι εφικτή η προηγούµενη ενηµέρωση και λήψη συγκατάθεσης των νοσηλευθέντων ή νοσηλευοµένων ασθενών.

2. Όταν υποβάλλεται από τα νοσηλευτικά ιδρύµατα αίτηση για τη χορήγηση ή ανανέωση άδειας τήρησης αρχείου µε δεδοµένα υγείας κατ’ εφαρµογή του άρθρου 7 παρ. 2 στοιχ. δ΄ του ν. 2472/1997, θα περιλαµβάνεται αυτεπαγγέλτως στην άδεια ο προτεινόµενος όρος. Το ίδιο ισχύει και όταν η αίτηση αφορά πρόσβαση στα αρχεία του νοσηλευτικού ιδρύµατος από το προσωπικό του νοσηλευτικού ιδρύµατος ή από µεµονωµένους ερευνητές για τον σκοπό της διεξαγωγής ερευνητικών µελετών. 

Δείτε αναλυτικά την απόφαση 24/2018 εδώ.