Aby móc żądać udostępnienia danych należy legitymować się przesłankami legalizującymi przetwarzanie danych, tj. przynajmniej jedną z przesłanek zawartych w art. 6 ust. 1 RODO. Przetwarzanie danych osobowych do celów innych aniżeli cele, w których dane te zostały pierwotnie zebrane, powinno być dozwolone wyłącznie w przypadkach, gdy jest zgodne z celami, dla realizacji których dane osobowe zostały pierwotnie zebrane, aby ustalić, czy cel dalszego przetwarzania danych osobowych jest zgodny z celem, w którym dane te zostały pierwotnie zebrane. Zgodnie z Motywem 50 RODO dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych powinny być uznawane za operacje przetwarzania zgodne z prawem i z pierwotnymi celami, wobec czego by powtórnie wykorzystać w celach badań naukowych dane zgromadzone dla realizacji innego celu, nie trzeba posiadać dodatkowej podstawy prawnej.
Zgodnie ze stanowiskiem Prezesa UODO wyrażonej w decyzji z dnia 17 czerwca 2019 r. ZSZZS.440.108.2019, wniosek o udostępnienie danych osobowych skierowany do administratora, powinien zawierać elementy pozwalające administratorowi na dokonanie oceny czy pozyskanie danych osobowych oraz ich udostępnienie nie naruszy przepisów prawa. Wniosek składany przez podmiot prowadzący badania naukowe powinien być zatem umotywowany, tj. wskazywać podstawę prawną, zakres żądanych danych osobowych oraz w sposób wiarygodny uzasadniać potrzebę ich pozyskania. Należy uwzględnić fakt, że nie każde badania prowadzone przez pracowników naukowych będą posiadały cechy naukowości, do których zalicza się: ogólność, oryginalność, obiektywność, zasadność, ścisłość, komunikatywność, uporządkowanie, użyteczność. Trudno wyobrazić sobie sytuację, w której administrator dokonuje oceny, czy badania na potrzeby których dane mają być udostępnione spełnia kryterium naukowości. Jednak z pewnością nie jest wystarczającym argumentem dla przekazania danych osobowych fakt, że wniosek posiada afiliację instytucji naukowej. To na administratorze danych osobowych ciążą bowiem szczególne obowiązki związane z przetwarzaniem danych osobowych, jak obowiązki wynikające z art. 24 ust. 1 oraz art. 5 ust. 1 RODO, dotyczące dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą i zapewnienia, aby dane te były przetwarzane zgodnie z prawem (art. 5 ust. 1 lit. a) oraz merytorycznie poprawne (art. 5 ust. 1 lit. d) i adekwatne (art. 5 ust. 1 lit. c) w stosunku do celów, w jakich są przetwarzane. Skoro zatem administrator danych osobowych musi czuwać nad tym, w jakim celu dane są przetwarzane, a wiec również udostępniane, cel pozyskania danych przez podmiot występujący o udostępnienie danych musi być sprecyzowany we wniosku o ich udostępnienie.
Administrator musi dokonać analizy wniosku i ocenić, czy istnieje podstawa prawna do udostępnienia danych. W niektórych przypadkach przekazanie danych będzie niemożliwe ze względu na to, że dane osobowe będą objęte tajemnicą prawnie chronioną. W takich sytuacjach możliwe będzie przekazanie informacji zanonimizowanych. Przykładem może być ustawa o systemie ubezpieczeń społecznych, art. 34 ust. 3 i 4 tej ustawy wyłącza możliwość przekazywania informacji o indywidualnych kontach ubezpieczonych. Artykuł 34 ust.3 ustawy stanowi, że do informacji zawartych na kontach ubezpieczonych i kontach płatników składek oraz danych źródłowych będących podstawą zapisów na tych kontach stosuje się przepisy o ochronie danych osobowych. Natomiast w ustępie 4 wskazano, że wykorzystywanie danych osobowych i innych informacji zgromadzonych na kontach ubezpieczonych dopuszczalne jest jedynie w przypadkach określonych w ustawie. Ustawa o systemie ubezpieczeń społecznych nie zawiera takich szczególnych przepisów, co prowadzi do wniosku, że Zakład Ubezpieczeń Społecznych może przekazywać dane w postaci zanonimizowanej lub zagregowanej, bez możliwości identyfikacji poszczególnych ubezpieczonych.
Inaczej przedstawia się możliwość udostępnienia danych osobowych przez Narodowy Fundusz Zdrowia. Zgodnie z art. 188 ust.7 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych Fundusz, na wniosek instytutu badawczego lub instytutu naukowego Polskiej Akademii Nauk prowadzących badania naukowe lub działalność naukową w dziedzinie nauk medycznych i nauk o zdrowiu, albo uczelni prowadzącej kształcenie na studiach w dziedzinie nauk medycznych i nauk o zdrowiu lub nauk społecznych, może udostępnić informacje uzyskane w wyniku przetwarzania danych, w tym danych osobowych, w celu prowadzenia badań lub działalności naukowej mających znaczenie dla wykonywania zadań ustawowych Funduszu.
Podobnie ustawa o Krajowym Rejestrze Karnym, w art.8 ust. 1 upoważnia do przetwarzania i wykorzystywania do badań naukowych zgromadzone w zbiorach Rejestru dane osobowe.
Należy przyjąć, że w sytuacjach, gdy dane osobowe chronione są tajemnicą prawnie chronioną ogólne zasady udostępniania danych osobowych na cele prowadzenia badań naukowych mogą być niewystarczającą podstawą udostępnienia danych. W takich przypadkach konieczna jest szczególna podstawa prawna uprawniająca administratora do udostępnienia danych osobowych.
Maciej Sobiech
dyrektor Oddziału Wielkopolskiego
doradca podatkowy nr 09809
radca prawny nr wpisu 1845
