Брюксел, 16 април — По време на последното си пленарно заседание ЕКЗД прие насоки относно обработването на лични данни за научноизследователски цели.Освен това Съветът създаде екип, който да ускори финализирането на насоките относно анонимизирането. ЕКЗД прие също така две становища относно двата набора от критерии за сертифициране на Europrivacy за одобрение като европейски печати за защита на данните, едното от които да се използва като инструмент за предаване на данни.
Много области на научните изследвания разчитат на обработването на личните данни на физическите лица и това доведе до значителни научни пробиви, които са от полза за обществото. Възходът на новите технологии, като например изкуствения интелект, също допринася за научния напредък, като дава възможност на изследователите да използват и анализират данни по иновативни начини.
Основната цел на насоките на ЕКЗД относно научните изследвания е да се осигури повече яснота за изследователите и да се улесни спазването на ОРЗД, като същевременно се гарантира защитата на основните права на физическите лица.
„Научните изследвания могат да стимулират обществения напредък и да подобрят нашето ежедневие.
Нашите насоки улесняват иновативните изследвания, като помагат на изследователите да се ориентират в ОРЗД.
ЕКЗД се ангажира да подкрепя научната общност и да отключва пълния потенциал на научните изследвания в ЕС, като същевременно зачита правата за защита на данните.“
Председател на ЕКЗД, Ану Талус
В своите насоки Комитетът дава разяснения относно понятието „научни изследвания“. За да се определи дали обработването се извършва за научноизследователски цели по смисъла на ОРЗД, Комитетът предоставя шест ключови индикативни фактора, които следва да бъдат взети предвид, в допълнение към естеството, обхвата, контекста и целите на обработването. Това са: 1) методически и систематичен подход, 2) придържане към етични стандарти, 3) проверимост и прозрачност, 4) автономност и независимост, 5) цели на научните изследвания и 6) потенциал за принос към съществуващите научни знания или за прилагане на съществуващите знания по нови начини. Ако изследователските дейности отговарят на тези шест фактора, може да се приеме, че те представляват научни изследвания. В противен случай администраторът следва да обоснове и да може да докаже защо дейностите следва да се считат за научни изследвания по смисъла на ОРЗД.
По-нататъшното обработване за научноизследователски цели се счита за съвместимо с първоначалната цел за събиране на лични данни на физическите лица. Следователно администраторите не са задължени да извършват теста за съвместимост на целите съгласно ОРЗД, за да определят дали новото обработване е съвместимо с първоначалната цел на събирането. Администраторите обаче трябва да гарантират, че правното основание за първоначалното обработване е подходящо и за по-нататъшното обработване на лични данни за научноизследователски цели.
Администраторите могат да разчитат на „широко съгласие“, когато целите на научните изследвания не са напълно известни към момента на събиране на личните данни. В този случай изследователите следва да спазват етичните стандарти за научни изследвания и да въведат допълнителни предпазни мерки, за да компенсират липсата на спецификация на целта. Администраторите могат също така да поискат от физическите лица да дадат съгласието си за различни отделни научноизследователски проекти поотделно, веднага щом станат известни целите на тези проекти (динамично съгласие). Възможна е и комбинация от широко и динамично съгласие.
Освен това ЕКЗД изяснява правата на физическите лица, когато техните лични данни се обработват за научни цели. Това включва правата на изтриване и на възражение, за които могат да се прилагат ограничения, когато личните данни се обработват за научноизследователски цели. Комитетът дава примери, за да обясни кога може да се счита, че правото на изтриване може да направи невъзможно или сериозно да накърни целта за провеждане на научни изследвания. ЕКЗД също така обяснява кога администраторите могат да отхвърлят възражение на физическо лице срещу обработването на личните му данни за научноизследователски цели. Такъв може да бъде случаят, когато обработването е необходимо за изпълнението на задача от обществен интерес.
Комитетът припомня, че когато няколко субекта участват в обработването на лични данни за научноизследователски цели, е необходимо да се оцени и документира как се разпределят отговорностите между субектите. В това отношение в насоките се предоставят полезни примери за изясняване на ситуациите, в които субектите могат да се квалифицират като администратори, съвместни администратори или обработващи лични данни.
И накрая, Комитетът обяснява как администраторите могат да оценят подходящите технически и организационни мерки, като например анонимизиране или псевдонимизиране, при обработването на лични данни за научноизследователски цели. ЕКЗД предоставя примери за други гаранции, които биха могли да бъдат приложени в зависимост от рисковете, породени от извършваните научноизследователски дейности. Те включват независим или етичен надзор, сигурна среда за обработване, технологии за подобряване на неприкосновеността на личния живот, защитни мерки за публикуване на резултатите от научните изследвания, договорености за поверителност и условия за по-нататъшна употреба.
Насоките ще бъдат предмет на обществена консултация до 25 юни, като на заинтересованите страни ще бъде предоставена възможност да коментират и да предоставят обратна информация.
„Екип по спринта“ за приключване на работата по анонимизирането
За да се ускори финализирането на предстоящите насоки относно анонимизирането, Комитетът създаде специален „екип по спринта“, който ще приключи работата до лятото.
Становища на Europrivacy
ЕКЗД прие становище за одобряване на актуализирания набор от критерии за сертифициране на Europrivacy като Европейски печат за защита на данните *съгласно член 42, параграф 5 от ОРЗД. Комитетът първо одобри критериите за сертифициране на Europrivacy на 10 октомври 2022 г. като първия европейски печат за защита на данните чрез Становище 28/2022 на ЕКЗД. Обхватът на схемата за сертифициране Europrivacy е разширен, така че да включва администратори и обработващи лични данни, установени извън Европа, които са предмет на член 3, параграф 2 от ОРЗД, или защото предоставят стоки или услуги на физически лица в Европа, или защото наблюдават тяхното поведение.
Освен това за първи път Комитетът прие становище, в което критериите за сертифициране на Europrivacy се признават за европейски печат за защита на данните, който да се използва като инструмент за предаване на данни в съответствие с членове 42 и 46 от ОРЗД. Вносителите на данни извън Европа, които не са обект на ОРЗД, вече могат да кандидатстват за схемата за сертифициране Europrivacy за предаването на данни, които получават. Това сертифициране ще улесни изпълнението на задължението на администраторите и обработващите лични данни в Европа да докажат, че предоставят подходящи гаранции за предаването на лични данни на трети държави или международни организации.
Тези одобрения хвърлят допълнителна светлина върху механизмите за сертифициране по ОРЗД, като потвърждават ключовата им роля като инструмент за спазване на ОРЗД.
Бележка към редакторите
*Европейският печат за защита на данните е механизъм за сертифициране по GDPR, признат в цяла Европа. Печатът трябва да отговаря на конкретни критерии, одобрени от ЕКЗД, и трябва да бъде издаден от сертифициращ орган, акредитиран съгласно член 43 от ОРЗД, за да се докаже съответствие със стандартите на ОРЗД.
Прессъобщението, публикувано тук, е преведено автоматично от английски език. ЕКЗД не гарантира точността на превода. Моля, вижте официалния текст в неговата версия на английски език, ако има съмнение.