Prawa pacjenta w badaniach klinicznych: ochrona danych

Co uznaje się za poufne dane pacjenta w badaniu klinicznym?

Poufne dane pacjenta to informacje zdrowotne powiązane z identyfikatorem, takim jak imię i nazwisko, adres czy numer w systemie ochrony zdrowia. Obejmują one Twoją historię medyczną, wyniki badań oraz wszelkie próbki lub obrazy diagnostyczne zebrane w trakcie badania^[1]. Zgodnie z zasadami HIPAA obowiązującymi w badaniach prowadzonych w Stanach Zjednoczonych, informacje zdrowotne wykorzystywane lub ujawniane na potrzeby badania są chronione w podobny sposób, gdy można je powiązać z konkretnym pacjentem^[2].

Gdy Twój zespół opieki medycznej lub zespół badawczy zapisuje te informacje na potrzeby badania, stają się one „danymi badawczymi”, które łączy się z informacjami od innych uczestników. Zanim wyrazisz zgodę na udział, możesz zapytać zespół badawczy, które konkretnie elementy Twojej dokumentacji medycznej będą analizowane. Możesz również zapytać, czy w ramach badania będą przeglądane informacje z Twojej wcześniejszej dokumentacji medycznej, a nie tylko dane zbierane specjalnie na potrzeby badania. Znajomość tego zakresu z wyprzedzeniem pomaga ocenić, jak duża część Twojej historii osobistej faktycznie stanie się częścią dokumentacji badania^[1].

Kto jest administratorem danych w badaniu i co to dla Ciebie oznacza?

Sponsor badania pełni rolę administratora danych, ponieważ to on decyduje, jakie informacje są zbierane i w jaki sposób będą wykorzystywane^[1]. Na przykład w pewnym dużym badaniu prowadzonym w Wielkiej Brytanii jako administratora danych wskazano sponsorujący uniwersytet. Centralne biuro koordynujące to badanie wykorzystywało imię i nazwisko oraz numer zdrowotny uczestnika wyłącznie do śledzenia przebiegu opieki oraz do kontroli jakości badania^[3].

Oznacza to, że przez cały czas trwania badania odpowiedzialność za Twoje dane ponosi jedna, możliwa do zidentyfikowania organizacja, którą możesz zapytać, co robi z Twoimi informacjami i dlaczego^[3].

Jaka jest podstawa prawna przetwarzania Twoich danych zdrowotnych zgodnie z RODO?

Organizacje badawcze finansowane ze środków publicznych muszą wykazać, że wykorzystanie Twoich danych osobowych leży w interesie publicznym, zanim będą mogły je przetwarzać na potrzeby badania. W przypadku jednego z dużych badań jako podstawę prawną wskazano art. 6 ust. 1 lit. e) RODO (przetwarzanie niezbędne do wykonania zadania realizowanego w interesie publicznym) w połączeniu z art. 9 ust. 2 lit. j) (przetwarzanie szczególnych kategorii danych, w tym danych zdrowotnych, do celów badawczych)^[3].

RODO stanowi również, że przetwarzanie danych osobowych powinno być zaprojektowane tak, aby służyć ludzkości, oraz że prawo do ochrony danych osobowych nie ma charakteru absolutnego. Należy je rozpatrywać w związku z jego funkcją społeczną i wyważyć względem innych praw podstawowych, zgodnie z zasadą proporcjonalności^[4].

Na poziomie unijnym rozporządzenie w sprawie badań klinicznych (UE) nr 536/2014 wymaga, aby sponsor i badacz rejestrowali, przetwarzali, przechowywali i obsługiwali Twoje dane w sposób umożliwiający ich dokładne raportowanie i weryfikację. Musi się to odbywać z zachowaniem poufności Twojej dokumentacji, zgodnie z art. 47 i art. 56 tego rozporządzenia. Oznacza to, że dotyczą Cię jednocześnie dwa akty prawa unijnego: rozporządzenie w sprawie badań klinicznych, które reguluje sposób prowadzenia badania, oraz RODO, które reguluje sposób przetwarzania Twoich danych osobowych^[5]. W przypadku uczestników w Stanach Zjednoczonych obowiązują dodatkowo przepisy HIPAA, które regulują sposób, w jaki szpitale i instytucje badawcze mogą wykorzystywać lub ujawniać identyfikowalne informacje zdrowotne do celów badawczych. Zazwyczaj wymagają one podpisanej przez Ciebie zgody na ujawnienie danych lub konkretnego zwolnienia zatwierdzonego przez organ nadzorujący^[2].

Jak Twoje dane są pseudonimizowane lub pozbawiane danych identyfikacyjnych w trakcie badania?

W praktyce zespoły badawcze zwykle „kodują” zbierane o Tobie dane osobowe, co oznacza, że w roboczej dokumentacji badania Twoje dane nie są bezpośrednio powiązane z Twoim imieniem i nazwiskiem. Te zakodowane, czyli pseudonimizowane, informacje są przechowywane w zabezpieczonym pliku badania. Twój formularz świadomej zgody powinien szczegółowo opisywać, w jaki sposób chronione są Twoje dane i – jeśli to istotne – w jaki sposób mogą być udostępniane^[6].

Kiedy obrazy diagnostyczne lub inna dokumentacja są udostępniane poza bezpośrednim zespołem opieki na potrzeby badawcze, dane identyfikujące są zazwyczaj usuwane z tych dokumentów przed ich udostępnieniem^[3]. Osoby, które później analizują zbiorcze dane badawcze, zwykle nie są w stanie zidentyfikować Cię indywidualnie i nie widzą Twojego imienia i nazwiska, adresu ani danych kontaktowych^[6]. Zgodnie z HIPAA informacje mogą również zostać uznane za „pozbawione danych identyfikacyjnych”, gdy z dokumentacji usunięto konkretne dane identyfikujące, takie jak imię i nazwisko, adres czy daty bezpośrednio z Tobą związane, zgodnie z określonym standardem. Od tego momentu takie informacje nie są już uważane za chronione informacje zdrowotne^[2].

Niektóre organizacje udostępniają dane z badań do dalszych badań naukowych po opublikowaniu wyników badania, w formie pseudoanonimizowanej, zgodnie z wymogami przepisów o ochronie danych. Rozróżnienie między danymi „pseudonimizowanymi”, w przypadku których ponowna identyfikacja pozostaje technicznie możliwa w kontrolowanych warunkach, a danymi w pełni „zanonimizowanymi” lub „pozbawionymi danych identyfikacyjnych”, w przypadku których nie jest to możliwe, jest jedną z ważniejszych kwestii technicznych, które warto rozumieć, czytając formularz świadomej zgody. Zrozumienie, do której kategorii będą należały Twoje dane, może pomóc ocenić, jak silna jest w praktyce ochrona przed ponowną identyfikacją^[7].

Kto może zobaczyć Twoje dane identyfikujące, a kto nie ma do nich dostępu?

Ograniczona grupa osób związanych ze sponsorem i organami regulacyjnymi może przeglądać Twoją dokumentację medyczną i badawczą, ale wyłącznie w celu sprawdzenia dokładności danych zebranych w badaniu. W ramach organizacji sponsora dostęp do informacji, które Cię identyfikują, jest zwykle ograniczony do osób bezpośrednio zaangażowanych w prowadzenie wizyt kontrolnych w badaniu lub w audyt sposobu zbierania danych^[3].

Informacje istotne dla Twojej bieżącej opieki, takie jak dane o alergiach wykrytych w trakcie badania, mogą zostać przekazane Twojemu lekarzowi prowadzącemu. Jeśli w ramach badania pobierany jest materiał genetyczny, taki jak DNA, badaczowi nie wolno wykorzystywać go do celów wykraczających poza zakres zatwierdzony dla badania i wyjaśniony Ci wcześniej^[6]. W badaniach podlegających przepisom HIPAA formularz zgody na ujawnienie danych powinien również określać, które kategorie personelu lub podmiotów zewnętrznych mogą otrzymywać Twoje identyfikowalne informacje zdrowotne i w jakim celu. Sprawdzenie tej części formularza pozwala ustalić, czy ujawnianie danych ogranicza się do samego zespołu badawczego, czy obejmuje również zewnętrzne laboratoria, organy monitorujące lub innych współpracowników^[2].

Zanim jakiekolwiek badanie może się rozpocząć, niezależna komisja bioetyczna ocenia plan ochrony bezpieczeństwa i praw uczestników, w tym sposób postępowania z ich danymi^[6]. W systemie amerykańskim tę rolę niezależnego nadzoru pełni często instytucjonalna komisja przeglądowa (institutional review board), która przed wydaniem zgody ocenia również konkretny plan wykorzystania i ujawniania chronionych informacji zdrowotnych^[2].

Jak długo dane z badania są przechowywane po jego zakończeniu?

Okresy przechowywania różnią się w zależności od tego, czy chodzi o bezpośrednie dane identyfikujące, czy o pozostałe dane badawcze. W przypadku jednego z dużych badań sponsor przechowywał bezpośrednie dane identyfikujące uczestników, takie jak imiona i nazwiska, przez okres do jednego roku po zakończeniu badania^[3].

Rodzaj danych	Okres przechowywania	Przyczyna
Bezpośrednie dane identyfikujące (np. imię i nazwisko)	Do 1 roku po zakończeniu badania	Administracyjne zamknięcie badania[3]
Bezpośrednie dane identyfikujące, uczestnik poniżej 18. roku życia	Do ukończenia przez uczestnika 21. roku życia	Okres przedawnienia dla osób niepełnoletnich[3]
Pozostałe dane osobowe (badawcze)	Co najmniej 25 lat po zakończeniu badania	Zgodność z obowiązującymi przepisami[3]

Te konkretne okresy pochodzą z jednego wskazanego badania prowadzonego w Wielkiej Brytanii i zostały podane jako ilustracja. Dokładny okres przechowywania danych w badaniu, do którego jesteś zapraszany, będzie określony w Twojej własnej dokumentacji dotyczącej zgody, a jeśli nie jest to jasne, możesz zapytać o to bezpośrednio zespół badawczy. Długie okresy przechowywania danych badawczych mają zazwyczaj umożliwić weryfikację, odtworzenie lub ponowną analizę wyników wiele lat po zakończeniu badania. To jeden z powodów, dla których pełne usunięcie danych badawczych na żądanie nie zawsze jest proste^[3].

Czy Twoje dane mogą być udostępniane innym badaczom po zakończeniu badania?

Niektóre organizacje prowadzące badania mają formalne zasady udostępniania danych z badania innym uprawnionym badaczom po opublikowaniu głównych wyników badania, przy jednoczesnej ochronie prywatności i poufności danych pacjentów. Wnioski o ponowne wykorzystanie danych z badania są zwykle oceniane pod kątem wartości naukowej i sprawdzane pod kątem zgodności z pierwotną zgodą pacjenta oraz obowiązującymi wymogami prawnymi, zanim jakiekolwiek dane zostaną udostępnione^[7].

Jeśli bierzesz udział w badaniu, w którym planowane jest tego rodzaju udostępnianie danych, taka możliwość powinna zostać wyjaśniona w informacjach, które otrzymujesz przed wyrażeniem zgody. Dzięki temu wiesz, że Twoje (pseudonimizowane) dane mogą zostać wykorzystane w przyszłości w dalszych badaniach dotyczących tego samego obszaru choroby. Takie wtórne wykorzystanie danych jest zwykle przedstawiane jako korzyść dla przyszłych pacjentów, ponieważ łączenie danych z kilku badań może pomóc badaczom odpowiedzieć na pytania, na które żadne pojedyncze badanie nie było wystarczająco duże, aby odpowiedzieć samodzielnie. Jednocześnie właśnie dlatego warto już na etapie wyrażania zgody sprawdzić, czy takie wtórne udostępnianie ogranicza się do konkretnych obszarów chorobowych lub partnerów badawczych, czy pozostaje otwarte^[7].

Jakie prawa Ci przysługują i co się dzieje, gdy się wycofasz?

Udział w badaniu klinicznym jest dobrowolny i możesz zdecydować się na wycofanie z badania w dowolnym momencie^[6]. RODO określa konkretne prawa osoby, której dane dotyczą, w tym prawo dostępu do danych (art. 15), prawo do sprostowania danych (art. 16) oraz prawo do usunięcia danych, zwane również „prawem do bycia zapomnianym” (art. 17)^[8].

Przysługuje Ci również prawo do bycia poinformowanym o sposobie zbierania i wykorzystywania Twoich danych (art. 13 i 14) oraz prawo do sprzeciwu wobec określonych rodzajów przetwarzania (art. 21)^[8]. Jeśli chcesz przestać otrzymywać komunikaty związane z badaniem, takie jak newslettery o jego postępach, zwykle możesz w dowolnym momencie zrezygnować listownie, telefonicznie lub mailowo, jak opisano w informacji dla uczestnika jednego z dużych badań^[3].

To, czy usunięcie Twoich danych jest możliwe po wycofaniu się z badania, może zależeć od tego, jak daleko posunęło się badanie. Część wcześniej zebranych danych może już być potrzebna do zachowania wiarygodności naukowej wyników badania. Zanim podpiszesz formularz świadomej zgody, zapytaj zespół badawczy, co konkretnie stanie się z Twoimi danymi, jeśli zdecydujesz się wycofać^[5]. W badaniach objętych przepisami HIPAA wycofanie zgody na przyszłe wykorzystanie Twoich informacji zdrowotnych jest również możliwe, choć zwykle nie wpływa to na informacje, które zostały już wykorzystane lub ujawnione w czasie, gdy Twoja zgoda obowiązywała. Innymi słowy, wycofanie zgody zazwyczaj zatrzymuje dalsze gromadzenie lub wykorzystywanie Twoich danych na przyszłość, a nie cofa działań, które już miały miejsce^[2].

O co powinieneś zapytać zespół badawczy, zanim zgodzisz się na udział?

• Kto jest administratorem danych w tym konkretnym badaniu i jak można się z nim skontaktować?^[1]
• Do których części Twojej istniejącej dokumentacji medycznej zostanie uzyskany dostęp na potrzeby tego badania?^[1]
• W jaki sposób Twoje dane będą kodowane lub pseudonimizowane i kto nadal będzie mógł zobaczyć dane identyfikujące?^[6]
• Jak długo będą przechowywane odpowiednio Twoje dane identyfikujące i Twoje dane badawcze?^[3]
• Czy Twoje (pseudonimizowane) dane zostaną udostępnione innym badaczom po zakończeniu badania i na jakich warunkach?^[7]
• Co konkretnie stanie się z Twoimi danymi, jeśli wycofasz się przed zakończeniem badania?^[5]
• Jeśli badanie jest prowadzone w Stanach Zjednoczonych, co Twój formularz zgody HIPAA mówi o tym, kto może otrzymać Twoje informacje zdrowotne i jak długo?^[2]

Kiedy powinieneś skontaktować się bezpośrednio z zespołem badawczym lub osobą odpowiedzialną za ochronę danych?

Skontaktuj się bezpośrednio z zespołem badawczym, jeśli formularz świadomej zgody nie określa jasno, kto jest administratorem danych, jak długo Twoje dane będą przechowywane lub czy zostaną udostępnione poza samym badaniem^[3]. Powinieneś również zapytać przed wyrażeniem zgody na udział, jeśli nie masz pewności, które z Twoich istniejących danych medycznych będą przeglądane na potrzeby badania^[1].

Jeśli chcesz skorzystać z konkretnego prawa dotyczącego ochrony danych, na przykład prawa dostępu do danych lub prawa sprzeciwu wobec określonego sposobu ich wykorzystania, zapytaj zespół badawczy, jak złożyć taki wniosek. Twoja dokumentacja dotycząca zgody powinna wskazywać punkt kontaktowy w tym celu^[8]. Jeśli bierzesz udział w badaniu prowadzonym w Stanach Zjednoczonych i masz pytania dotyczące swojej zgody HIPAA, odpowiednim kontaktem jest zwykle biuro ds. badań lub ochrony prywatności danej instytucji^[2].

Podsumowanie

Twoje dane w badaniu klinicznym są chronione przez dwie współdziałające ze sobą warstwy przepisów unijnych: rozporządzenie w sprawie badań klinicznych, które nakłada na sponsora i badacza obowiązki dotyczące poufności, oraz RODO, które przyznaje Ci konkretne prawa dotyczące Twoich danych osobowych i wymaga istnienia podstawy prawnej do ich przetwarzania^[5]. W praktyce oznacza to, że dostęp do Twoich danych identyfikujących mają wyłącznie nieliczne osoby, Twoje dane robocze są zwykle kodowane, a wobec Twoich danych identyfikujących i dokumentacji badawczej obowiązują jasno określone okresy przechowywania^[8].

Zanim zgodzisz się na udział w jakimkolwiek badaniu, dokładnie przeczytaj część dokumentacji dotyczącej zgody odnoszącą się do ochrony danych i zapytaj zespół badawczy bezpośrednio o wszystko, co nie jest w pełni jasne – w szczególności o to, kto kontroluje Twoje dane, jak długo są przechowywane i co się dzieje w przypadku wycofania się z badania^[3].

1. [1] Patient data and research leaflet (dostęp 2 czerwca 2026) – https://www.hra.nhs.uk/planning-and-improving-research/policies-standards-legislation/data-protection-and-information-governance/gdpr-guidance/templates/template-wording-for-generic-information-document/
2. [2] HIPAA Questions and Answers Relating to Research (dostęp 2 czerwca 2026) – https://www.hopkinsmedicine.org/institutional-review-board/hipaa-research/faq-research
3. [3] What about my data privacy? (dostęp 2 czerwca 2026) – https://www.recoverytrial.net/uk/study-faq/data-privacy
4. [4] Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 (General Data Protection Regulation) (dostęp 2 czerwca 2026) – https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng
5. [5] Questions and Answers on the interplay between the Clinical Trials Regulation and the General Data Protection Regulation (dostęp 2 czerwca 2026) – https://health.ec.europa.eu/document/download/c3042973-b36d-4094-a1fb-a6fc980f065e_en
6. [6] Clinical Trials (dostęp 2 czerwca 2026) – https://my.clevelandclinic.org/clinical-trials
7. [7] Data Sharing – A Vital Part Of EORTC's Remit (dostęp 2 czerwca 2026) – https://www.eortc.org/blog/2018/05/07/data-sharing-a-vital-part-of-eortcs-remit/
8. [8] General Data Protection Regulation (GDPR) – Legal Text (dostęp 2 czerwca 2026) – https://gdpr-info.eu/