Úvod
Novela zákona č. 372/2011 Sb., o zdravotních službách a podmínkách jejich poskytování (ZZS), zavedená zákonem č. 240/2024 Sb., přidala do textu zákona mimo jiné i nový § 55b. Ten upravuje využití údajů ze zdravotnické dokumentace (ZD) pro vědecké a výzkumné účely.
Ustanovení § 55b odst. 1 ZZS konkrétně stanovuje, že: „Zpracovává-li poskytovatel údaje ze zdravotnické dokumentace pro účely vědy a výzkumu, anonymizuje je tak, aby nebyla seznatelná identita pacienta. Takto vzniklé informace se nepovažují za zdravotnickou dokumentaci“.
Výklad této formulace s sebou nese výzvu zejména pověřence pro ochranu osobních údajů v podobě hledání odpovědí na otázky, které přináší legislativa v oblasti ochrany osobních údajů a praktického provádění výzkumu. První a základní výzvou je nyní otázka, zda dikce zákona formulující požadavek, že nesmí být „seznatelná identita“, odpovídá anonymizaci nebo pseudonymizaci dle terminologie GDPR, a jaké to má důsledky pro praxi. Plynule pak navazují otázky související s povinnostmi vyplývajícími zejména z GDPR a se specifiky klinických studií.
Na tomto místě je vhodné zmínit, že novela zákona v § 53 odst. 2 ZZS uvádí, že „za zdravotnickou dokumentaci se nepovažují informace, které poskytovatel získal v souvislosti s poskytováním zdravotních služeb, a to i ze zdravotnické dokumentace jím zpracovávané, pokud účelem jejich zpracování není poskytování zdravotních služeb konkrétnímu pacientovi, ale výhradně jiný účel.“ Toto ustanovení tedy otevírá možnost širšího využití dat získaných ze zdravotnické dokumentace, nejen pro účely výzkumné. Rovněž je třeba upozornit, že samotný proces pseudonymizace či anonymizace představuje zpracování osobních údajů ve smyslu GDPR, se všemi z toho vyplývajícími povinnostmi správce osobních údajů, a musí tedy splňovat požadavky stanovené příslušnými právními předpisy.
Na zpracování osobních údajů, které nebyly plně anonymizovány, včetně zdravotních údajů, resp. tím spíše, jedná-li se o zdravotní údaje (tedy osobní údaje zvláštní kategorie ve smyslu čl. 9 GDPR), se uplatní veškerá pravidla, které GDPR ukládá, a zásady, z nichž GDPR vychází, včetně zásady minimalizace zpracování (osobních údajů).
1. Anonymizace vs. pseudonymizace
Formulace § 55b ZZS odpovídá spíše plné anonymizaci ve smyslu GDPR. Anonymizace znamená, že z údajů již nelze žádným způsobem (přiměřeně dostupnými technickými prostředky) zjistit, o jakého pacienta, jehož osobní údaje byly zpracovány, se jedná / jednalo. Teprve taková data pak nejsou chráněnými osobními údaji a GDPR se na ně nevztahuje.
Naproti tomu pseudonymizace je pouze nahrazení identifikačních údajů uměle vytvořeným kódem nebo jiným jedinečným identifikátorem, přičemž identita fyzické osoby (subjektu údajů) je zjistitelná pouze s pomocí tohoto klíče. GDPR pseudonymizaci výslovně definuje a považuje pseudonymizovaná data stále za osobní údaje, neboť za použití klíče lze tyto údaje opět přiřadit ke konkrétní fyzické osobě. Pracovní skupina WP29 ve svém stanovisku k anonymizaci (Opinion 05/2014) zdůraznila, že anonymizací se rozumí nevratné znemožnění identifikace subjektu údajů, a že pseudonymizaci nelze považovat za anonymizaci. Nelze než souhlasit s tvrzením, že dosáhnout skutečně anonymních dat při zachování jejich výzkumné využitelnosti je v oblasti biomedicínského výzkumu velmi obtížné, neboť je velmi těžké vytvořit skutečně anonymní dataset, a současně si ponechat co nejvíce informací potřebných pro sledovaný výzkumný účel.
Jinými slovy, plná anonymizace údajů získaných ze ZD (či jiných pacientských záznamů) často vyžaduje odstranit či zobecnit tolik údajů, že výzkumná hodnota dat zásadně utrpí. Z tohoto důvodu se v praxi ve valné většině výzkumných projektů ve zdravotnictví místo anonymizace obvykle volí metoda pseudonymizace jako kompromis, který umožňuje zachovat vyšší datovou hodnotu získaného datasetu a případně propojit data (rozuměj osobní údaje) napříč záznamy pacienta (v rámci jednoho poskytovatele, FN), a to i pro účely sledování vývoje dat v čase. Pro klinický či epidemiologický výzkum, kde je potřeba sledovat pacienty v čase, nebo korelovat více proměnných, je proto anonymizace téměř nepoužitelná.
Z dikce ZZS (§ 55b používá pojem „anonymizuje“) lze mít za to, že zákonodárce měl na mysli anonymizaci (tedy stav, kdy zpracovávané údaje již nepředstavují osobní údaje). Z praktického hlediska je však striktní požadavek úplné anonymizace pro výzkum značně problematický z výše uvedených důvodů. V praxi by navíc anonymizace vyžadovala, aby FN zničila veškeré vazby na konkrétní pacienty, a tím přišla o možnost výsledky výzkumu validovat či případně kontaktovat pacienty s novými výzkumnými poznatky důležitými pro konkrétního pacienta (např. zpětné upozornění na náhodný nález). Pro zajímavost, zákon č. 110/2019 Sb. (ZoZOÚ) v § 16 výslovně uvádí pseudonymizaci jako jedno z opatření, které lze aplikovat při zpracování údajů pro vědu a výzkum. Klíčovou otázkou zde je, zda § 55b ZZS vnímat ve vztahu k § 16 ZoZOÚ jako speciální úpravu pro zdravotnická data v resortním právním předpisu (ZZS), či naopak vykládat § 55b ZZS v kontextu opatření uvedených v § 16 ZoZOÚ jakožto kompatibilních opatření pro naplnění podstaty § 55b ZZS. Jinými slovy, jde tedy z právního hlediska o otázku, který z výše zmíněných právních předpisů je lex specialis. Toto stanovisko pracuje s východiskem, že je nutno považovat za lex specialis rezortní právní předpis, tedy ZZS, který upravuje podmínky nakládání se zdravotnickou dokumentací, a tudíž i s osobními údaji pacientů v ní obsaženými konkrétně v oblasti zdravotnictví. Podpůrně je však stejně tak nutno zohlednit podmínky zpracování osobních údajů zakotvené v ustanovení § 16 ZoZOÚ (Zpracování osobních údajů za účelem vědeckého nebo historického výzkumu nebo pro statistické účely), které jsou závazné, bez ohledu na oblast, v níž k předmětnému zpracování bude docházet. V ustanovení § 16 ZoZOÚ odst. 1 v rámci demonstrativního výčtu opatření k ochraně zájmů subjektů údajů je pod písmenem f) zmíněna právě pseudonymizace. Odstavec 2 zní následovně:
„Pokud to umožňuje dosáhnout účelu uvedeného v odstavci 1, osobní údaje uvedené v čl. 9 odst. 1 GDPR správce nebo zpracovatel dále zpracovává v podobě, která neumožňuje identifikaci subjektu údajů, ledaže tomu brání oprávněné zájmy subjektu údajů.“
V oblasti biomedicínského výzkumu zpravidla není možné dosáhnout účelu při plné anonymizaci osobních údajů. Proto je třeba využít možnosti pseudonymizace.
Pseudonymizace jako praktický přístup k naplnění § 55b
Dikci ustanovení § 55b ZZS nelze naplnit pseudonymizací údajů. Z pohledu interpretace GDPR sensu stricto pseudonymizovaná data nejsou data anonymní, neboť identita pacienta jakožto subjektu údajů je sice skryta pro většinu osob, kteří k datům přistupují a pracují s nimi, ovšem s výjimkou držitele pseudonymizačního klíče, objektivně je však stále zjistitelná (držitel klíče může identifikaci obnovit). Nicméně je podstatné, z jaké, resp. čí perspektivy bude posuzována podmínka „seznatelnosti identity“. Pokud poskytovatel ZS (FN) zřídí interní mechanismus, kdy příjemce dat obdrží pouze data s uměle vytvořenými kódy a sám nemá přístup ke klíči (ten drží např. pověřený pracovník, hlavní řešitel studie či projektu, nebo oddělení pověřené zpracováním dat např. specializované oddělení biostatistiky), pak je požadavek GDPR na zavedení technických a organizačních opatření, na minimalizaci zpracování a na zachování záruk práv subjektů údajů naplněn. Data jsou vůči většině příjemců fakticky anonymizovaná. Tento model se v medicínském výzkumu běžně používá a považuje se za dostatečný kompromis mezi ochranou soukromí a využitelností dat. Z technického hlediska tedy pseudonymizace naplňuje materiálně (nikoli formálně-právně) účel § 55b ZZS – identita pacienta nebude na úrovni výzkumu rozpoznatelná. Zůstává ovšem skutečností, že stále existuje teoretická možnost zpětného zjištění identity (pokud by se spojil kód s původní zdrojovou - zdravotnickou - dokumentací). S tím je ovšem spojena další problematická otázka, a sice ta, že v praxi FN není vždy striktně oddělena osoba výzkumníka a lékaře, který poskytuje zdravotní služby (ZS) příslušnému pacientovi.
2. Zpracování zdravotních údajů ve veřejném zájmu
Z právního hlediska je proto vhodné vnímat § 55b ZZS jako členským státem stanovené opatření umožňující vědecký výzkum dle čl. 89 odst. 1 GDPR, které vyžaduje maximální ochranu identity (ideálně anonymizaci, minimálně však pseudonymizaci). Takové národní pravidlo pak umožňuje zpracování citlivých údajů vypovídající o zdravotním stavu v jiném, než souhlasovém režimu na základě zákonného titulu ke zpracování osobních údajů podle čl. 9 odst. 2 písm. j) GDPR (zpracování pro vědecký výzkum) v kombinaci s čl. 6 odst. 1 písm. e) (splnění úkolu ve veřejném zájmu). Pokud poskytovatel ZS ZZS provede pseudonymizaci dat, lze argumentovat, že tím naplnil materiálně požadavek § 55b ZZS, neboť pro účely výzkumu identita pacienta zůstává skrytá. Samozřejmě je nutné zavést příslušná organizační opatření, aby nedošlo ke zneužití pseudonymizačních klíčů a aby i přístup samotných výzkumných pracovníků k identitě pacienta byl minimalizován.
Důsledkem preference pseudonymizace před anonymizací je, že data zůstávají právně v režimu osobních údajů. To mimo jiné znamená, že FN jako správce osobních údajů (dále též jen „správce“) musí nadále plnit veškeré povinnosti plynoucích z GDPR (např. definovat zákonný titul zpracování, zajistit zabezpečení údajů, případně informování subjektů údajů – viz dále). Na druhou stranu, zachování výzkumných dat v režimu osobních údajů umožňuje s nimi dále pracovat, spojovat je s dalšími daty a v odůvodněných případech (např. zpětné ověření nálezu) i zjistit identitu pacienta, pokud to etické a právní podmínky dovolí (neboť ochrana života a zdraví pacienta by měla mít vždy přednost). V praxi tedy pseudonymizace představuje realizovatelný způsob naplnění § 55b. Dozorový orgán (ÚOOÚ) pravděpodobně nebude vytýkat správci nedodržení zákonných parametrů, pokud FN prokáže, že identita pacientů je dostatečně chráněna pseudonymizačními opatřeními. Ostatně i WP29 názorově ve svých stanoviscích zmiňuje, že pseudonymizaci nelze zaměňovat za anonymizaci, avšak počítá s ní jako s praktickým nástrojem při výzkumu již řadu let. Nad rámec výše uvedeného lze k tomuto bodu závěrem konstatovat, že novela ZZS v rámci legislativního procesu prošla i připomínkovým řízením, v němž se ÚOOÚ k dané problematice vyjadřoval (a tedy ji ze svého hlediska aproboval, byť konečné slovo budou mít instituce soudní).
2.1. Omezení přístupu do zdravotnické dokumentace podle § 65
Jestliže budeme nadále vnímat pseudonymizaci jako jediný možný výklad ustanovení § 55b ZZS, který jsme učinili výše, je nutno nalézt odpověď i na další otázku, zda je možný přístup výzkumníků do ZD pacienta bez jeho souhlasu (neboť novela ZZS v citovaném ustanovení poprvé zmiňuje explicitně zpracování osobních údajů ze zdravotnické dokumentace pro účely vědy a výzkumu, je tedy otázkou, jak tyto údaje ze ZD získat, a doposud jsme se v takové situaci opírali primárně o souhlas pacienta). Klíčovým ustanovením je § 51 ZZS, který stanoví poskytovateli povinnost zachovávat mlčenlivost v souvislosti se ZS; na to navazuje § 65 ZZS.
GDPR v čl. 23 umožňuje členským státům přijmout zákonná opatření, která omezí vybraná práva a povinnosti podle GDPR (zejména práva subjektů údajů dle čl. 12–22) za předpokladu, že takové omezení respektuje podstatu základních práv a je nezbytným a přiměřeným opatřením v demokratické společnosti k zajištění stanovených cílů.
Mezi takové cíle, resp. zájmy omezující práva subjektů údajů (na základě práva členského státu) patří mimo jiné důležité veřejné zájmy, veřejné zdraví či ochrana práv a svobod druhých osob. ZZS v ustanovení § 65 přesně vymezuje okruh osob, které mohou nahlížet do zdravotnické dokumentace pacienta, a tím v národním právu omezuje práva a přístupy k osobním údajům pacientů z důvodu ochrany jejich soukromí. Toto omezení lze chápat jako legislativní opatření podle čl. 23 GDPR, které je zaměřeno na ochranu práv pacientů (subjektů údajů) a na zajištění důvěrnosti zdravotních údajů. Toto ustanovení existovalo v ZZS, resp. v českém právu, historicky, tj. dlouho před přijetím GDPR. Ustanovení § 65 ZZS stanoví, kdo smí bez souhlasu pacienta nahlížet do zdravotnické dokumentace. Jsou jimi zejména zdravotničtí pracovníci FN při péči o pacienta a osoby či orgány vymezené zákonem (např. kontrolní orgány, soudní znalci, zdravotní pojišťovny apod.), a to pouze v nezbytném rozsahu, a je-li to v zájmu pacienta nebo nutné k plnění úkolů dle zákona. Pro vědecký výzkum však ZZS takovou výjimku neuvádí – „věda a výzkum“ nejsou v § 65 ZZS výslovně uvedeny jako důvod pro přístup bez souhlasu; zároveň poskytnutím údajů pro vědu a výzkum se fakticky prolamuje mlčenlivost dle § 51 ZZS; když tuto lze prolomit jen tak, že toto výslovně stanoví právní předpis. GDPR v čl. 89 sice stanoví, že zpracování pro vědecké účely požívá určitých výjimek a odchylek (např. možnost členským státem omezit některá práva subjektů, pokud by jejich uplatnění znemožnilo nebo vážně ztížilo výzkum, za předpokladu zavedení vhodných záruk jako je právě pseudonymizace), avšak i tyto výjimky předpokládají, že zpracování osobních údajů pro výzkum probíhá zákonně. Národní (česká) úprava, která limituje přístup k údajům, tedy výkladově předchází uplatnění výjimek pro výzkum – nejprve je nutno zkoumat, zda je vůbec dovoleno s údaji pro účel výzkumu pracovat (zda je umožněn přístup k nim), a teprve pak lze aplikovat režim čl. 89 GDPR. Jinak řečeno, ustanovení § 65 ZZS jako národní opatření podle čl. 23 GDPR má jako speciální právní úprava přednost – pokud data nelze získat bez souhlasu pacienta kvůli omezení danému § 65 ZZS, nelze se na čl. 89 GDPR (výjimky pro výzkum) odvolávat. Toliko osobní názor autorů tohoto stanoviska k občas prezentovanému výkladu, že je nutno vnímat čl. 89 GDPR jako „lex specialis“ k ZZS, s tím, že umožňoval „vytěžovat“ od počátku své existence ZD v bezsouhlasovém režimu. Dále v textu je souhlas pacienta zmiňován v tomto kontextu, tj. máme na mysli souhlas s přístupem definovaných osob do ZD určitého pacienta se zohledněním § 65 ZZS (souhlas je vždy udělován konkrétním osobám nebo nějak vymezenému okruhu osob, např. výzkumnému týmu, jinak by tato úprava postrádala smyslu).
2.2. Přístup do ZD bez souhlasu – výklad možných oprávnění
Pro aplikaci bezsouhlasového režimu tedy musíme zkoumat, zda přístup k dokumentaci pro účely výzkumu lze podřadit pod podmínky zakotvené v ustanovení § 65 odst. 2 ZZS pro přístup do ZD bez vědomí a souhlasu pacienta. Nahlédnutí a získání zdravotních údajů ze ZD umožňuje dikce zákona, je-li to „v zájmu pacienta nebo jestliže je to potřebné k naplnění účelů plynoucích z jejich pověření nebo k výkonu působnosti svěřené podle tohoto zákona nebo jiných právních předpisů, a to v nezbytném rozsahu […].“ Zde je namístě zmínit, že „zájem pacienta“ je tzv. neurčitý právní pojem, jehož naplnění bude vždy odvislé od konkrétních okolností, pro které je nutné do ZD nahlížet (a následně zdravotní údaje získávat). Obecné konstatování, že nahlížení do ZD je v zájmu pacienta, tedy bez dalšího nestačí. Zájem musí být konkretizován, jinak by opět další ochranná legislativní omezení postrádala smyslu. Zájem pacienta v obecné rovině by byl sám o sobě obrazně řečeno „bianco šek“ k přístupu k chráněným osobním údajům obsaženým v ZD (zdrojová dokumentace z hlediska výzkumu).
Ustanovení § 53 odst. 2 ZZS po novele zákona však naznačuje, že pro účely výzkumu by přístup do ZD pacienta bez jeho souhlasu měl být možný, resp. zákonem aprobovaný, cit.: „Za zdravotnickou dokumentaci se nepovažují informace, které poskytovatel získal v souvislosti s poskytováním zdravotních služeb, a to i ze zdravotnické dokumentace jím zpracovávané, pokud účelem jejich zpracování není poskytování zdravotních služeb konkrétnímu pacientovi, ale výhradně jiný účel.“ Problematickým aspektem je, že vazbu mezi ustanovením § 53 a § 65 je nezbytné dovodit výkladem. Doslovný jazykový, resp. gramatický výklad textem zákona nelze v tomto případě uplatnit, lze se opírat pouze o účelový (historický) výklad hledající tzv. „úmysl zákonodárce“, k němuž zpravidla s oporou v důvodové zprávě přistupují v pochybnostech soudy.
Otázkou zůstává, zda tento způsob výkladu přísluší i FN, tedy poskytovatelům ZS, v situaci, kdy judikatura soudů není krátce po novele zákona dosud k dispozici. Problematická je rovněž dikce ustanovení § 53 odst. 2 ZZS in fine: výhradně jiný účel může bez dalšího upřesnění znamenat, že zdravotní osobní údaje pacientů ze ZD lze získávat pro jakýkoli jiný účel, než je poskytování zdravotních služeb, aniž by takto získané zdravotní údaje byly považovány za ZD (a jsou tedy zcela vyňaty z právní ochrany, kterou jim zákon ZD jinak ve zvýšené míře přiznává). Znamenalo by to možnost legálního a ničím nelimitovaného využití těchto dat nejen pro výzkum, ale prakticky pro cokoli. S ohledem na striktní ochranu zdravotních osobních údajů pacientů zakotvenou dlouhodobě v ZZS před účinností novely z roku 2024 se jeví být takový úmysl zákonodárce jako nepravděpodobný, a v praxi proto takový postup poskytovatelům ZS nelze doporučit.
Vyřešení shora nastíněných otázek a nejasností je třeba ponechat na budoucí rozhodovací činnosti soudů. Toto stanovisko si takové ambice při absenci ustálené judikatury neklade, a ani klást nemůže. Jeho cílem je v tuto chvíli pouze hledat cestu pro aplikaci ZZS po novele, tedy za stávající situace a platné právní úpravy (bez možnosti argumentace nebo odbornou komentářovou literaturou a ustálenou judikaturou – ani jednotlivé soudní rozhodnutí obecných soudů by vzniklé pochybnosti zřejmě nemohlo dostatečně rozptýlit).
Vycházíme tedy nyní pouze z textu ZZS:
- zájmem pacienta (jednotlivce) typicky bude spíše umožnění kvalitní péče, konzultace, kontrola správnosti postupu apod. Vědecký výzkum, zejména retrospektivní studie a projekty obvykle přímo zájem konkrétního pacienta neuspokojuje (spíše jde o veřejný zájem či prospěch pro budoucí pacienty jako celek). Nelze tedy obecně tvrdit, že by vytěžování zdravotních údajů pacienta z jeho ZD (a to např. i za pomoci nástrojů AI) za účelem výzkumu bylo „v zájmu pacienta“ (konkrétního pacienta, jehož osobní údaje mají být získány a zpracovány) ve smyslu § 65 odst. ZZS, ačkoli ani to nelze paušálně vyloučit;
- plnění úkolů dle tohoto či jiných právních předpisů. Toto ustanovení je širší a potenciálně pokrývá situace, kdy zákon dává poskytovateli či pracovníkovi nějaké oprávnění/povinnost se ZD pracovat. Přímo v § 65 odst. 2 písm. a) bod 2 ZZS je navíc odkaz „například zákon č. 48/1997 Sb., o veřejném zdravotním pojištění, zákon tedy odkazuje typicky na kontrolní činnost zdravotních pojišťoven. Nabízí se však argument, že i § 55b ZZS sám o sobě umožňuje FN zpracovávat dokumentaci pro výzkum. Z toho by se dalo dovodit, že pověřený pracovník, který provádí přípravu dat pro výzkum, tím plní úkol podle ZZS (konkrétně podle § 55b). Touto logikou by jeho přístup k ZD bez souhlasu spadal pod § 65 odst. 2 písm. a) bod 2 ZZS (osoba plnící úkoly dle tohoto nebo jiného zákona). Jinými slovy, ustanovení § 55b ZZS samo o sobě vytváří zákonný rámec pro využití údajů z dokumentace k výzkumu – stanoví podmínku anonymizace, ale implicitně tím dává oprávnění údaje zpracovat (což zahrnuje nutně i nahlédnutí do ZD). Tuto interpretaci podporuje i nové ustanovení § 53 odst. 2 téhož zákona, zavedené novelou zákona č. 240/2024 Sb.: „Za zdravotnickou dokumentaci se nepovažují informace, které poskytovatel získal […] pokud účelem jejich zpracování není poskytování zdravotních služeb konkrétnímu pacientovi, ale výhradně jiný účel.“. Výzkumné údaje tedy nejsou ZD, ale FN je zpracovává na základě jiného účelu povoleného zákonem. Přístup ke zdrojové ZD za tímto účelem lze chápat jako legitimní výkon činnosti, kterou zákon dovoluje.
Jiným právním předpisem v tomto kontextu může být i ZoZOÚ, ačkoli tento zákon nesvěřuje poskytovatelům ZS žádná konkrétní pověření k výkonu jejich působnosti. Tento zákon však lze využít k výkladu podpůrně (subsidiárně), neboť tento zákon stanoví obecně podmínky pro zpracování osobních údajů a na vnitrostátní úrovni doplňuje pravidla stanovená plošně GDPR všem členským státům EU.
2.3. Význam zákona č. 110/2019 Sb.
V tomto kontextu je tedy na místě též zmínit ZoZOÚ (viz shora). Ve vztahu k vědeckému a historickému výzkumu a statistikám stanoví specifické záruky a výjimky. V ustanovení § 16 ukládá správcům, kteří zpracovávají osobní údaje pro účely výzkumu, povinnost zavést konkrétní technická a organizační opatření na ochranu zájmů subjektů údajů. Uvádí výčet možných opatření – např. striktní uplatňování principu minimalizace, pseudonymizaci dat, omezení přístupu k údajům pouze vymezeným osobám, šifrování apod. Dále § 16 odst. 2 ZoZOÚ výslovně stanoví, že pokud povaha výzkumu umožňuje dosáhnout účelu, mají být citlivé údaje zpracovávány v takové podobě, která „neumožňuje identifikaci subjektu údajů“ (není-li dán oprávněný zájem subjektu na opaku anebo pokud by jinak nebylo možné dosáhnout účelu zpracování).
To znamená, že preferuje anonymizaci či alespoň pseudonymizaci při provádění výzkumu – zákonodárce tím promítá do národní úpravy požadavek čl. 89 GDPR na tzv. „vhodné záruky“. ZoZOÚ také umožňuje omezit některá práva subjektů údajů v kontextu výzkumu. Konkrétně ustanovení § 16 odst. 3 umožňuje přiměřeně omezit či odložit uplatnění práv podle čl. 15, 16, 18 a 21 GDPR (právo na přístup, opravu, omezení zpracování a námitku), je-li to nezbytné pro dosažení účelu výzkumu. Např. žádosti o přístup k údajům mohou být v odůvodněných případech vyřízeny poskytnutím obecných informací, nebo dokonce odepřeny, pokud by vyhovění ohrozilo výzkumný záměr (typicky zaslepené klinické studie – nemůžeme subjektu prozradit, jaká data o něm máme, aby to neovlivnilo samotnou studii, resp. její výsledky). V takovém případě však správce musí chránit práva subjektů jinak (např. veřejným oznámením, aby se subjekty údajů, jichž se zpracování týká, o něm alespoň dozvěděly, což jim následně umožňuje některá z jejich práv přece jen uplatnit – konkrétní naplnění zásady transparentnosti, kterou principiálně GDPR vyžaduje). Zjednodušeně řečeno, ZoZOÚ vytváří právní základ a mantinely pro výzkumné zpracování osobních údajů, požaduje však zavedení bezpečnostních opatření, preferuje anonymizaci dat, a současně umožňuje omezení některých povinností správců (práv subjektů), aby se výzkum mohl realizovat. Tento zákon je tedy klíčový pro posouzení souladu výzkumných aktivit s GDPR – výzkum je legální, pokud naplňuje podmínky čl. 89 GDPR a národní úpravy (včetně právě § 55b ZZS, jenž je speciální právní úpravou pro poskytovatele zdravotních služeb), ale sám o sobě nelze vykládat jako právní zmocnění k provádění výzkumu.
Pokud jde o klinický výzkum léčiv a zdravotnických prostředků, hlavními právními normami jsou přímo použitelné nařízení (EU) č. 536/2014 o klinických hodnoceních humánních léčivých přípravků a pro zdravotnické prostředky nařízení (EU) 2017/745 (resp. 2017/746 pro diagnostické zdravotnické prostředky in vitro).
3. Právní rámec zpracování zdravotních dat pro účely vědy a výzkumu z pohledu fakultní nemocnice
Zákonný rámec výzkumné činnosti fakultních nemocnic vyplývá z ustanovení § 111 odst. 2 ZZS, podle něhož fakultní nemocnice poskytují zdravotní služby a uskutečňují související výzkumnou nebo vývojovou činnost. Tato výzkumná funkce je dále konkretizována v jejich zřizovacích listinách, které vymezují předmět činnosti konkrétní organizace.
FN jsou v ČR zpravidla státní příspěvkové organizace zřízené Ministerstvem zdravotnictví (dále jen „MZ“) podle §§ 2 a 4 ZZS. Každá z nich má tzv. zřizovací listinu, kterou vydává MZ. Ve zřizovací listině je definován předmět činnosti organizace. U fakultních nemocnic není tento předmět činnosti omezen jen na poskytování zdravotních služeb – typicky zahrnuje také výuku (ve spolupráci s některou z lékařských fakult) a výzkum, buď v návaznosti na činnost lékařské fakulty, nebo i samostatně (mezinárodní výzkumné projekty). Například zřizovací listina FN Motol uvádí, že organizace provádí „rozvíjení vědy a výzkumu – provádí základní a aplikovaný výzkum, zavádění a ověřování nových metod, šíření jejich výsledků prostřednictvím výuky a publikováním. Provádí klinické hodnocení léčiv a ověřování prostředků zdravotnické techniky…“. Obdobné formulace najdeme i u jiných fakultních nemocnic. Zakotvení výzkumné činnosti v zakládacím dokumentu (zakladatelská, resp. zřizovací listina) znamená, že nemocnice má oficiálně právním dokumentem svěřenou výzkumnou funkci.
Je však nezbytné zdůraznit, že uvedené ustanovení § 111 ZZS samo o sobě nepředstavuje konkrétní právní povinnost nemocnice výzkum provádět, nýbrž pouze obecné zákonné zmocnění. Výzkum ve fakultních nemocnicích proto nelze bez dalšího považovat za „plnění právní povinnosti“ ve smyslu čl. 6 odst. 1 písm. c) GDPR a výkladové pozice ÚOOÚ. Tento výkladový závěr je rozveden dále v části věnované zákonným titulům zpracování osobních údajů.
Zřizovací listina konkrétní FN pak tedy konkretizuje tento zákonný rámec, a tudíž naplňuje požadavky stanovené v § 65 ZZS.
Právní význam této skutečnosti je několikerý:
- zakotvení výzkumu v zákoně i ve zřizovací listině rovněž posiluje argumentaci podle § 65 odst. 2 písm. a) bod 2 ZZS (viz výše) – totiž, že zaměstnanec nemocnice nahlížející do dokumentace za účelem výzkumu plní úkol vyplývající na základě pověření. Zřizovací listina sice není zákonnou normou, ale je vydána na základě zákonného zmocnění (v souladu s ustanovením § 54 odst. 2 zákona č. 219/2000 Sb., o majetku České republiky a jejím vystupování v právních vztazích, ve znění pozdějších předpisů, a v souladu s ustanovením § 2 vyhlášky č. 62/2001 Sb., o hospodaření organizačních složek státu a státních organizací s majetkem státu, ve znění pozdějších předpisů, a dále v souladu s ustanovením § 111 odst. 1 ZZS. Lze ji tedy považovat za právní akt, resp. dokument, který konkretizuje úkoly nemocnice dané zákonem. MZ tímto „pověřuje“ FN výzkumnou činností. Z tohoto pohledu, pokud výzkumný pracovník nemocnice nahlíží do ZD bez souhlasu, činí tak v rámci pověření zřizovatele plnit výzkumný úkol – což je v souladu s § 65 odst. 2 písm. a) 2 ZZS (jiný právní předpis svého druhu, sui generis, v širším smyslu = zřizovací akt vydaný dle zákona). Tato interpretace sice nebyla dosud soudně testována, ale dává smysl systémově;
- FN tím získává legitimitu k provádění výzkumu jakožto součásti své hlavní činnosti. Výzkum není „nad rámec“ působnosti nemocnice, naopak je jejím posláním, v kontextu interpretace pojmu „veřejný zájem“ či „výkon veřejné moci“, pokud je FN jako „veřejná instituce“ pověřena výzkumem, lze zpracování osobních údajů pro výzkum považovat za plnění úkolu prováděného ve veřejném zájmu [dle čl. 6 odst. 1 písm. e) GDPR]. Nemocnice tak může pro interní výzkum spíše volit tento právní titul namísto „oprávněného zájmu“ [čl. 6 odst. 1 písm. f) GDPR], neboť má oporu v zakládacím dokumentu (zřizovací listina) a především v zákoně;
- součástí zřizovací listiny je obvykle také ustanovení o tom, že nemocnice spolupracuje s příslušnou lékařskou fakultou na výuce a výzkumu (často formulace o společných pracovištích a společných výzkumných programech). Toto podporuje možnost sdílení dat včetně osobních údajů zaměstnanců, případně i pacientů (s patřičnou smluvní úpravou) mezi nemocnicí a univerzitou v rámci společných výzkumných projektů a zároveň lze konstatovat, že je v souladu s posláním nemocnice i očekáváním pacientů v „akademických“ nemocnicích. Pacienti jsou zpravidla obeznámeni s tím, že FN jsou výuková a výzkumná pracoviště, což může hrát roli v posouzení přiměřených očekávání subjektů údajů v rámci testu slučitelnosti účelů [relevantní pro výklad čl. 6 odst. 1 písm. f) GDPR a čl. 14 odst. 5 písm. b) GDPR]. Pacienti mohou oprávněně očekávat, že jejich data mohou být využita i pro účely výzkumu, je-li to součástí poslání nemocnice ve veřejném zájmu, zvlášť tehdy, jsou-li výsledky ku prospěchu medicíny obecně;
- v neposlední řadě veřejnoprávní status FN (organizace zřízená MZ) znamená, že její činnosti včetně zpracování dat spadají pod dohled či dozor veřejnoprávních orgánů (MZ, ÚOOÚ) a nemocnice se ze své činnosti zodpovídá státu. Tato interpretace může usnadnit využitelnost čl. 9 odst. 2 písm. j) GDPR – ten vyžaduje, aby zpracování citlivých osobních údajů zvláštní kategorie pro účely výzkumu bylo prováděno „na základě práva Unie nebo členského státu“ a podléhalo přiměřeným zárukám. Existence zřizovací listiny a vnitřního statutu nemocnice (rozuměj interní předpisy, které definují organizační struktury, cíle, úkoly a procesy FN související s její činností, resp. v tomto případě konkrétně výzkumnou činnost) plnící výzkumné úkoly naznačuje, že takové zpracování má zákonný základ a podléhá kontrole. Vnitřní předpisy (např. standardy výzkumu, zřízení Etické komise, interní směrnice atd.), které fakultní nemocnice historicky zavedly, pak slouží souhrnně jako podklad pro plnění povinnosti dle § 55b ZZS (poskytovatel musí mít nově písemná pravidla pro zpracování ZD v souladu s ochranou osobních údajů).
Závěrem k významu zřizovací listiny lze konstatovat, že pro fakultní nemocnici je výzkum integrální součástí její činnosti, jak vyplývá ze zřizovacího aktu vydaného podle zákonného zmocnění. Tato skutečnost představuje významnou oporu pro aplikaci jiného zákonného titulu zpracování osobních údajů, než je souhlas, resp. výslovný souhlas pacienta, zejména zákonného titulu plnění úkolu ve veřejném zájmu podle čl. 6 odst. 1 písm. e) a čl. 9 odst. 2 písm. j) GDPR.
Zřizovací listina tak konkretizuje rozsah úkolů uložených zákonem a v tomto smyslu naplňuje předpoklady zákonného zmocnění pro výzkumné zpracování osobních údajů v rámci činnosti FN. Tento režim však nelze chápat jako neomezené oprávnění k nakládání s osobními údaji v bezsouhlasovém režimu – jeho uplatnění je limitováno zákonnými mantinely, včetně zásad minimalizace, nezbytnosti a přiměřenosti zpracování. Uplatnění jiného zákonného titulu, než souhlasu, je možné pouze v rozsahu, který odpovídá účelu svěřenému zákonem a současně respektuje základní zásady zpracování podle čl. 5 GDPR.
Až do účinnosti novely č. 240/2024 Sb. nebylo možné jednoznačně dovodit oprávnění výzkumných pracovníků FN k nahlížení do zdravotnické dokumentace bez souhlasu pacienta jen na základě pracovního zařazení. Předchozí znění § 65 odst. 2 písm. a) ZZS sice umožňovalo přístup „dalších zaměstnanců poskytovatele v rozsahu nezbytně nutném pro výkon povolání“, ale výkladově šlo o činnosti úzce související s poskytováním zdravotních služeb – nikoli o činnost výzkumnou. Výzkum sice figuroval v § 111 ZZS i ve zřizovacích listinách FN, ale absentoval jednoznačný zákonný rámec, který by bez dalšího umožňoval přístup k osobním údajům bez souhlasu pacienta. Tato nejistota byla odstraněna právě až novelou ZZS, která výslovně umožňuje přístup i zaměstnancům plnícím úkoly podle zákona, včetně výzkumného zpracování dat dle § 55b ZZS. To je ostatně i důvodem
ke zpracování tohoto stanoviska. Před účinností této novely sice GDPR otevíralo cesty ke zpracování zdravotních údajů pacientů pro výzkum, nicméně tato cesta nebyla možná bez konkrétní právní úpravy resortním předpisem členského státu EU.
Proto do této doby byl téměř výhradně zákonným titulem pro zpracování osobních údajů souhlas, resp. výslovný pacienta ve smyslu čl. 6 odst. 1 písm. a) a čl. 9 odst. 2. písm. a) GDPR.
Zákonným titulům pro zpracování osobních údajů je věnována další kapitola.
Text byl vypracován autory z pozice pověřenců pro ochranu osobních údajů (dále jen „DPO“) jako odborné stanovisko k výkladu a praktickému uplatnění ustanovení § 55b zákona č. 372/2011 Sb., o zdravotních službách a podmínkách jejich poskytování, ve znění pozdějších předpisů, zejména novely č. 240/2024 Sb., v kontextu ochrany osobních údajů při jejich zpracování pro účely vědeckého výzkumu.
Stanovisko nabízí odborně podložená doporučení pro nastavení vnitřních pravidel zpracování údajů, výběr odpovídajících zákonných titulů, návrh vhodných organizačních opatření a zajištění souladu s požadavky právních předpisů, zejména GDPR a navazující legislativy.
Nejde o závazný právní výklad, ale o výkladové stanovisko vypracované v rámci výkonu funkce DPO, vycházející z dostupných výkladů, aplikační praxe a stanovisek dozorových a poradních orgánů.
Zkratky:
AI – Umělá inteligence (Artificial Intelligence)
Citlivé údaje – Osobní údaje zvláštní kategorie ve smyslu čl. 9 GDPR
CRO – Smluvní výzkumná organizace (Contract Research Organization)
DPA – Smlouva o zpracování osobních údajů (Data Protection Agreement)
DPO – Pověřenec pro ochranu osobních údajů (Data Protection Officer)
DPIA – Posouzení vlivu na ochranu osobních údajů (Data Protection Impact Assessment)
EFPIA – Evropská federace farmaceutických společností a asociací (European Federation of Pharmaceutical Industries and Associations)
EHDS – Evropský prostor pro zdravotní údaje (European Health Data Space)
EDPB – Evropský sbor pro ochranu osobních údajů (European Data Protection Board)
EU – Evropská unie
FN – Fakultní nemocnice
GCP – Správná klinická praxe (Good Clinical Practice)
GDPR – Nařízení (EU) 2016/679 o ochraně osobních údajů (General Data Protection Regulation)
IS – Informovaný souhlas (ve zdravotnickém kontextu)
MZ – Ministerstvo zdravotnictví
SÚKL – Státní ústav pro kontrolu léčiv
VŠ – Vysoká škola (v kontextu spolupracujících univerzit)
ÚOOÚ – Úřad pro ochranu osobních údajů
WP29 – Pracovní skupina podle článku 29 (předchůdce EDPB)
ZD – Zdravotnická dokumentace
ZS – Zdravotní služby
ZZS – Zákon o zdravotních službách (zákon č. 372/2011 Sb.)
ZoZOÚ – Zákon o zpracování osobních údajů (zákon č. 110/2019 Sb.)
Diskuze k článku ()