A személyes adatok kezelésével járó tudományos kutatások kapcsán elsődleges kérdés, hogy a GDPR alkalmazása során mit tekinthetünk tudományos kutatásnak, mely esetekben alkalmazhatók az erre vonatkozó speciális szabályok. A német adatvédelmi biztosok konferenciája (Datenschutzkonferenz, DSK) ebben a kérdésben ad segítséget az adatkezelőknek egy, a napokban megjelent állásfoglalásában.

Bár több helyen hivatkozik a "tudományos és történelmi kutatásra", mint adatvédelmi szempontból speciális kezelést igénylő tevékenységre, a GDPR a fogalmat nem határozza meg. 

Az elmúlt években iránymutatások és állásfoglalások is megjelentek a tudományos céllal összefüggő adatkezelések vonatkozásában, ám ezek tipikusan nem a tudományos kutatás fogalmának meghatározásával, hanem azon adatvédelmi garanciák és eltérések körével és gyakorlatban történő alkalmazásával foglalkoznak, amelyek a megfelelő szintű adatvédelem érvényesülését biztosítják. 

1. Miért szükséges egyáltalán speciális szabályokat biztosítani a tudományos kutatásra vonatkozóan? 

A DSK állásfoglalása is kiemeli, hogy az Európai Unió Alapjogi Chartája a személyes adatok védelme (8. cikk) mellett szintén alapjogként biztosítja a tudomány és művészet szabadságát (13. cikk). A két alapjog érvényesüléséhez szükséges, hogy ezek összehangolásra kerüljenek, ugyanakkor erre oly módon kerüljön sor, hogy az érintett alapjogok lényege eközben ne sérüljön. Ennek megfelelően a tudományos kutatás során, ha az személyes adatok kezelésével jár, figyelemmel kell lenni a személyes adatok védelmére, míg a személyes adatok védelme során, ha az adatok kezelése tudományos kutatáshoz kapcsolódik, tekintettel kell lenni a tudományos kutatás jellegzetességeire és arra a közérdekre, amelyek megvalósulását a tudományos kutatások szolgálják. Ahhoz azonban, hogy az alapjogok összehangolása megvalósulhasson, szükséges annak pontos meghatározása, hogy mely esetekben "ér össze" a két alapjog alkalmazási területe, mikor beszélünk tudományos kutatási célú adatkezelésről.     

2. Hogyan határozható meg a tudományos kutatás fogalma?

A tudományos kutatás fogalmának meghatározására a szakirodalomban több lehetséges változatot is találhatunk. Ezek közül Dr. Hornyacsek Júlia 2014-ben megjelent tanulmányában - többek között - idézi Dr. Tomcsányi Pál meghatározását, miszerint „a tudományos kutatás a megismerés célszerű, tervezett, módszeres, ellenőrizhető (kontrollálható) eredményekhez vezető változata" (lásd Dr. Hornyacsek Júlia: A tudományos kutatás elmélete és módszertana, Nemzeti Közszolgálati Egyetem Hadtudományi és Honvédtisztképző Kar, 2014, 43. o.). 

A DSK által kiadott állásfoglalás - hasonlóan a fent idézett definició egyes elemeihez - az alábbi vizsgálandó ismérveket emeli ki, amikor esetről-esetre azt vizsgáljuk, hogy egy adott tevékenység tudományos kutatásnak minősülhet-e és így alkalmazhatók lehetnek-e rá a GDPR vonatkozó szabályai: 

• módszertani és szisztematikus megközelítés,
• ismeretszerzés, 
• ellenőrizhetőség, 
• függetlenség és autonómia, 
• közérdek. 

Kevésbé általános szinten, de a GDPR (159) preambulumbekezdése is ad némi támpontot arra vonatkozóan, hogy a tudományos kutatás fogalma mi mindent foglalhat magában (kiemelés tőlem):  

E rendeletet a személyes adatok tudományos kutatási célú kezelése esetében is alkalmazni kell. E rendelet alkalmazásában a személyes adatok tudományos kutatási célú kezelését tág körűen kell értelmezni, oly módon, hogy az magában foglalja többek között a technológiafejlesztési és demonstrációs tevékenységeket, az alapkutatást, az alkalmazott kutatást, és a magánfinanszírozású kutatást. Emellett az ilyen célú adatkezelés összefüggésében figyelembe kell venni az EUMSZ 179. cikkének (1) bekezdésében foglalt, az európai kutatási térség létrehozására irányuló célkitűzést. A tudományos kutatási célok közé kell sorolni a népegészségügy terén folytatott közérdekű kutatásokat is. [...].

A fentiekből is látszik, hogy a tudományos kutatás köre széles lehet, az alapkutatások mellett, az alkalmazott kutatások is beletartoznak, illetve a magánszféra által finaszírozott kutatások is beletartozhatnak, amennyiben a fenti feltételek fennállása megállapítható.

Ahogy arra az állásfoglalás szintén felhívja a figyelmet (lásd 1. o., utolsó bekezdés), a GDPR (159) premabuluma, hivatkozva az EUMSZ 179. cikkének (1) bekezdésében meghatározott célkitűzésekre, azaz a társadalmi haladás előmozdítására, a kiegyensúlyozott gazdasági növekedésre, az életminőség javítására és a közszolgáltatások kérdéseire, egyáltalán nem zárja ki, hogy a tudományos kutatásokhoz gazdasági motívumok is kapcsolódjanak, ugyanakkor a tevékenységnek valamilyen társadalmi haszonnal kell járniuk (azaz a közérdeknek valamilyen módon meg kell jelennie).

3. Mire kell tekintettel lenni a fenti ismérvek kapcsán? 

3.1 Módszertani és szisztematikus megközelítés

E körben figyelemmel kell lenni azokra a sajátosságokra, amelyek a kutatással érintett tudományterületre jellemzőek. (Ez összhangban van a 29-es Cikk szerinti Adatvédelmi Munkacsoport hozzájárulással kapcsolatos véleményével, amely szintén kiemelte, hogy a tudományos kutatás fogalma az adott területtel, ágazattal kapcsolatos módszertani és etikai normáknek megfelelően, a legjobb gyakorlatokkal összhangban tervezett eljárást jelent. Lásd WP259 iránymutatás, 7.2. pont, 28. o. Erre hivatkozik a 3/2020. sz. testületi iránymutatás is a tudományos kutatás fogalma kapcsán.)

3.2 Ismeretszerzés

Szintén fontos az ismeretszerzés, megismerés, mint cél megléte. Nem elegendő tehát, ha már megszerzett ismeretek alkalmazásáról van csupán szó. Szintén nem esik a fogalom alá, ha tudományos módszereket alkalmaznak ugyan, de új ismeretek megszerzésére irányuló cél nélkül (pl. felügyeleti, kontroll, stb. célokból). 

3.3. Ellenőrizhetőség

Hivatkozva a Német Szövetségi Alkotmánybíróság gyakorlatára kiemeli az állásfoglalás, hogy a tudományos kutatásokkal szemben támasztott követelmény azok ellenőrizhetősége is. Ehhez kapcsolódóan ugyan publikációs kötelezettség nem áll feltétlenül fenn, de ha az eredmények titokban tartására törekednek, illetve a tudományos közösség általi ellenőrizhetőségétől szisztematikusan törekszenek elzárni az eredményeket, az oda vezethet, hogy a GDPR alkalmazása szempontjából nem valósulnak meg a tudományos kutatás feltételei. (Természetesen az ellenőrizhetőséggel kapcsolatos elvárásokat az üzleti titkok védelméhez, a bizalmassághoz kapcsolódó méltányolható érdekeknek a figyelembevételével kell értékelni.)

3.4. Függetlenség és autonómia

A kutató függetlensége és autonómiája is elengedhetetlen a kutatási tevékenység megállapíthatóságához. Ez persze nem zárja ki, hogy a megbízó bizonyos mértékig meghatározzon elvárásokat vagy instrukciókat adjon, de ezek nem eredményezhetik, hogy a kutatás menete vagy az eredmények feletti rendelkezés kapcsán alapjaiban veszítsék el a kutatók a függetlenségüket. 

3.5 Közérdek

Figyelemmel az Alapjogi Charta 52. cikkére is, kiemelten fontos, hogy az alapjogi korlátozás a személyes adatok védelme tekintetében csak akkor és olyan mértékig indokolható, amíg a tudományos kutatás a közjót szolgálja, és nem kizárólag kereskedelmi vagy egyéb egyéni érdekeket szolgál.