Pseudonimizacja danych pacjentów

Obecny stan prawny – ograniczenie do anonimizacji

Na gruncie art. 26 PrPacjRPPU dokumentacja medyczna może być udostępniona uczelniom wyższym oraz instytutom badawczym w celach naukowych pod warunkiem, iż odbywa się to bez ujawniania nazwiska i innych danych umożliwiających identyfikację osoby, której dokumentacja dotyczy. Regulacja ta przesądza, iż dopuszczalne jest wyłącznie udostępnianie dokumentacji medycznej po przeprowadzeniu pełnej anonimizacji.

Takie rozwiązanie skutkuje znacznymi ograniczeniami. Anonimizacja, aby była zgodna z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WERODO (Dz.Urz. UE L 2016 Nr 119, s. 1; dalej: RODO), musi być procesem nieodwracalnym. W konsekwencji nie ma prawnej możliwości późniejszego powiązania wyników badań z konkretnym pacjentem, choćby jeżeli wyniki takie miałyby istotne znaczenie diagnostyczne lub terapeutyczne. Oznacza to, iż polskie regulacje, w obecnym brzmieniu, nie odpowiadają w pełni potrzebom środowisk naukowych ani praktyki medycznej.

Luka prawna i niespójności systemowe

Prezes UODO w piśmie z 1.9.2025 r (DPNT.413.39.2025), zwraca uwagę, iż w innych aktach prawnych – takich jak ustawa z 20.7.2018 r. – Prawo o szkolnictwie wyższym i nauce (t.j. Dz.U. z 2024 r. poz. 1571) czy ustawa z 21.2.2019 r. o Agencji Badań Medycznych (t.j. Dz.U. z 2025 r. poz. 259) – pojawia się możliwość przetwarzania danych osobowych do celów naukowych przy zastosowaniu odpowiednich zabezpieczeń, w tym pseudonimizacji. Brakuje jednak jednoznacznego powiązania tych przepisów z regulacjami dotyczącymi dokumentacji medycznej.

Powoduje to niespójność i rodzi wątpliwości interpretacyjne: czy dane z dokumentacji medycznej mogą być w praktyce pozyskiwane w formie pseudonimizowanej, skoro ustawa o prawach pacjenta takiej możliwości nie przewiduje. Zgodnie z literalnym brzmieniem przepisów – odpowiedź jest negatywna, co blokuje prowadzenie wielu projektów badawczych.

Standardy unijne – EHDS i RODO

Nowe regulacje unijne, w szczególności rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/868 z 30.5.2022 r. w sprawie europejskiego zarządzania danymi i zmieniające rozporządzenie (UE) 2018/1724 (Dz.Urz. UE L 2022 Nr 152, s. 1; dalej: EHDS), które weszło w życie 26.3.2025 r., wprowadzają obowiązek wtórnego wykorzystywania elektronicznych danych zdrowotnych na potrzeby badań naukowych. EHDS wyraźnie wskazuje, iż zasadą powinno być udostępnianie danych w formie zanonimizowanej, natomiast w przypadkach, gdy cele badawcze nie mogą być osiągnięte na podstawie takich danych, dopuszczalne jest przekazanie danych w postaci pseudonimizowanej.

Rozporządzenie to, w art. 66 ust. 2 i 3 EHDS oraz w motywie 72, wprowadza dodatkowe gwarancje – dostęp do danych pseudonimizowanych powinien odbywać się w tzw. bezpiecznym środowisku przetwarzania, a klucz pozwalający na odwrócenie pseudonimizacji pozostaje w wyłącznej dyspozycji podmiotu udostępniającego dane lub zaufanej strony trzeciej.

Również RODO (art. 9 ust. 2 lit. j w zw. z art. 89 ust. 1 RODO) przewiduje możliwość przetwarzania szczególnych kategorii danych osobowych – w tym danych dotyczących zdrowia – w celach naukowych, pod warunkiem ustanowienia w prawie unijnym lub krajowym odpowiednich gwarancji ochrony praw i wolności osób, których dane dotyczą. Jednym z takich środków zabezpieczających jest właśnie pseudonimizacja.

Pseudonimizacja – ochrona i praktyczne znaczenie

W wystąpieniu Prezes UODO przypomina, iż pseudonimizacja różni się zasadniczo od anonimizacji. Dane pseudonimizowane pozostają danymi osobowymi, ale ich identyfikacja jest możliwa jedynie przy użyciu dodatkowych informacji (np. klucza kodującego), które są przechowywane odrębnie. Dzięki temu odbiorca danych nie ma możliwości samodzielnego ustalenia tożsamości pacjentów.

Takie rozwiązanie pozwala badaczom na zachowanie wartości naukowej danych, np. możliwość śledzenia wyników badań w czasie, przy jednoczesnym ograniczeniu ryzyka naruszenia prywatności pacjentów. Zdaniem UODO, brak regulacji pozwalających na zastosowanie pseudonimizacji wprost w ustawie o prawach pacjenta hamuje rozwój nauk medycznych i ogranicza potencjał polskich ośrodków badawczych.

Propozycja zmian w ustawie o prawach pacjenta

Prezes UODO wskazuje, iż art. 26 ust. 4 PrPacjRPPU nie przystaje do obecnych standardów. Obowiązująca regulacja dopuszcza udostępnianie dokumentacji medycznej do celów naukowych wyłącznie po jej pełnej anonimizacji. Zdaniem organu nadzorczego takie rozwiązanie jest zbyt restrykcyjne i nie odpowiada praktycznym potrzebom badań naukowych. Konieczne jest więc wprowadzenie do ustawy wyraźnej podstawy prawnej pozwalającej na korzystanie również z danych pseudonimizowanych.

Nowelizacja nie miałaby jednak charakteru ogólnego, ale dotyczyłaby sytuacji wyjątkowych. Pseudonimizacja byłaby dopuszczalna tylko wtedy, gdy wnioskodawca wykaże, iż cel badania nie może zostać osiągnięty przy użyciu danych zanonimizowanych. Tym samym podstawowym trybem udostępniania pozostałaby anonimizacja, a pseudonimizacja pełniłaby rolę narzędzia uzupełniającego.

Dodatkowym wymogiem byłoby zapewnienie, aby dane pseudonimizowane były udostępniane wyłącznie w bezpiecznym środowisku przetwarzania, które uniemożliwia niekontrolowane kopiowanie czy eksport danych. W takich warunkach odbiorca miałby możliwość analizy materiału, ale nie mógłby samodzielnie odtworzyć tożsamości pacjentów.

UODO podkreśla również konieczność wprowadzenia jednoznacznego zakazu reidentyfikacji oraz sankcji za jego naruszenie. Bez takiego rozwiązania ochrona prywatności pacjentów byłaby iluzoryczna. Jednocześnie w akcie wykonawczym powinny zostać określone szczegółowe wymagania techniczne i organizacyjne, obejmujące m.in. sposób przechowywania kluczy pseudonimizacyjnych, kontrolę dostępu i obowiązki dokumentacyjne podmiotów. Tak skonstruowane przepisy miałyby zapewnić równowagę pomiędzy interesem nauki a prawem pacjentów do zachowania poufności danych medycznych.

Kontekst konstytucyjny i wymóg DPIA

UODO podkreśla również, iż regulacje muszą być zgodne z art. 47 i 51 Konstytucji RP gwarantującymi prawo do prywatności i ochrony danych osobowych. Wszelkie ograniczenia w tym zakresie mogą być wprowadzane jedynie w drodze ustawy i muszą być proporcjonalne do celu.

Dodatkowo, w świetle art. 35 ust. 10 RODO, na etapie prac legislacyjnych konieczne będzie przeprowadzenie oceny skutków dla ochrony danych (DPIA legislacyjnej). Taka ocena powinna wykazać, iż wprowadzane przepisy rzeczywiście zapewniają odpowiedni poziom ochrony praw osób, których dane dotyczą.

Porównanie – przed i po nowelizacji

Przed zmianą:

Po postulowanej zmianie:

Skutki dla praktyki

Przyjęcie rozwiązań postulowanych przez Prezesa UODO umożliwiłoby polskim uczelniom i instytutom badawczym pełne korzystanie z potencjału dokumentacji medycznej w badaniach naukowych. Zapewnienie zgodności z EHDS i RODO pozwoliłoby z jednej strony chronić prawa pacjentów, a z drugiej – wspierać rozwój medycyny i innowacji.

Nowelizacja jest także niezbędna z punktu widzenia spójności prawa krajowego z regulacjami unijnymi. Brak dostosowania może prowadzić do niejednoznaczności w praktyce i utrudniać polskim ośrodkom uczestnictwo w międzynarodowych projektach badawczych.