Первое исключение основано на «явном согласии«. Согласие, предусмотренное в статье 9, отличается от общего понятия согласия, предусмотренного в статье 6, в одном важном аспекте: оно должно быть явно выражено соответствующим лицом. Следовательно, согласие должно быть свободно выраженным, конкретным, осознанным и недвусмысленным в соответствии с определением, содержащимся в статье 4 (11), и, помимо этих требований, оно должно быть «явно выраженным«.

Какая форма согласия считается «явно выраженной» и, следовательно, действительной в соответствии со статьей 9? Чувствительная природа соответствующих данных влечет за собой согласие, выходящее за рамки обычного «заявления или явного позитивного действия» [статья 4(11)] со стороны субъекта данных. Это означает, что субъект данных должен давать «прямое заявление о согласии» (Руководство по согласию) даже в том случае, если услуги предоставляются на договорной основе. Явно выраженное согласие необходимо, поскольку статья 9 (2) не предусматривает исключений по договору, на которые мог бы полагаться контролер.

В Руководстве по согласию предполагается, что может потребоваться письменное заявление или даже подписанное письменное заявление, несмотря на то, что GDPR не предписывает такую форму согласия. Подписанное согласие может быть релевантно, если данные о состоянии здоровья собираются, например, в контексте услуг, предлагаемых частной клиникой или домом престарелых. Пластическому хирургу может понадобиться собрать информацию о состоянии здоровья клиента или раскрыть данную информацию для того, чтобы запросить экспертное мнение одного из его коллег. Руководители дома престарелых должны будут собрать информацию о состоянии здоровья пенсионера, чтобы договориться о необходимых услугах, которые должны быть оказаны во время его пребывания.

Подписанное письменное заявление не так практично в цифровой или онлайн-среде. Как человек может дать согласие, если, например, он покупает билет на самолет онлайн и нуждается в специальной медицинской помощи во время посадки на рейс, во время полета или по прибытии в пункт назначения? Действительное согласие будет также трудно получить, если человек сделает онлайн-заказ на покупку специальных очков, так как продавец должен собрать связанную со здоровьем информацию о зрении покупателя и поделиться ею с производителем.

Простое следование по ссылке или отметка поля в приведенных примерах могут быть расценены как недостаточное согласие. Руководство по согласию рекомендуют другие формы согласия, такие как заполнение электронной формы, использование электронной подписи, запись устного заявления или проведение двухэтапной верификации (например, отметка поля в форме и последующее подтверждение согласия по электронной почте).

Статья 9 предписывает, что лицо должно давать согласие «для одной или нескольких конкретных целей«. Это требование выходит за рамки «конкретного» качества согласия, требуемого пунктом 11 статьи 4. Цели должны быть четко определены, что подразумевает, что согласие должно быть привязано к конкретным данным или точным категориям данных, которые контролер будет вправе обрабатывать.

Вы должны всегда помнить, что GDPR не является полным изложением законодательства о защите данных в конкретном государстве-члене ЕС. И это особенно релевантно в отношении защиты специальных категорий персональных данных, так как здесь имеют место исключения из исключений. Согласие является недействительным правовым основанием для обработки специальных категорий персональных данных, если в законодательстве государства запрещена отмена запрета на обработку специальных категорий персональных данных физическим лицом, что разрешено в соответствии с GDPR.

Обработка специальных категорий персональных данных в области занятости, социального обеспечения и социальной защиты возможна только в том случае, если она является «необходимой» (о необходимости и принципах соразмерности см. в общем комментарии ниже) и отвечает двум другим условиям:

• она разрешена правом Европейского Союза или законодательством государства-члена или коллективным договором; и
• имеются надлежащие гарантии для защиты основных прав и интересов индивидов.

Европейское регулирование в основном ссылается на законодательство государств-членов, чтобы признать существование исключений и установить, соблюдаются ли основные права отдельных лиц. Таким образом, не существует общих правил, применимых в отношении всего Союза, и исключение должно рассматриваться отдельно в каждом государстве. Контролер должен ссылаться на конкретное правовое положение, разрешающее обработку персональных данных в соответствии с законодательством о занятости, социальном обеспечении или социальной защите.

Государства-члены могут разрешить работодателям собирать персональные данные для предоставления своим работникам полисов медицинского страхования, вести учет отпусков по болезни, беременности и родам или по уходу за ребенком, вычитать профсоюзные взносы из зарплатных ведомостей или обеспечивать особые условия труда или благоприятную рабочую обстановку для лиц с ограниченными возможностями. Они также могут разрешить страховщикам, например, обрабатывать данные о здоровье для выплаты работникам пособий по несчастным случаям или инвалидности.

В соответствии со статьей 9 (2)(с), обработка специальных категорий персональных данных допускается, если она «необходима» (о необходимости и принципах соразмерности см. в общем комментарии ниже) для защиты жизненно важных интересов лица или третьих лиц. Такое исключение, как защита жизненно важных интересов, аналогично статье 6 (1) (d) правового основания для обработки данных, за исключением того, что оно применяется только в том случае, если вы не можете получить согласие лица.

Сфера действия исключения ограничена, поскольку оно касается только защиты «жизненно важного интереса» лица, т.е. «интереса, имеющего существенное значение для [его] жизни» (Преамбула 46). Жизненно важный интерес включает в себя угрозы физической неприкосновенности или жизни лица или третьего лица. Иными словами, речь должна идти о жизни и смерти, несмотря на то, что Преамбула 46, как представляется, расширяет сферу действия исключения.  Согласно Преамбуле 46, данное основание может также применяться к гуманитарным ситуациям, таким как мониторинг эпидемий или оказание помощи в случае стихийных или антропогенных бедствий.

Второе условие резко ограничивает сферу действия исключения в отношении жизненно важных интересов: на него можно ссылаться только в том случае, если лицо физически или юридически не способно дать согласие. Это может произойти, например, в том случае, если лицо находится в бессознательном состоянии или не может дать согласие в силу своего правового статуса, как, например, несовершеннолетний или совершеннолетний, находящийся под опекой или попечительством. В соответствии с пунктом 2 а) статьи 9, когда это возможно, следует запрашивать явно выраженное согласие. Вы не можете полагаться на исключение, касающееся жизненно важных интересов, в качестве альтернативного варианта, если лицо способно дать согласие и отказалось от него.

Исключение, касающееся жизненно важных интересов, особенно полезно в чрезвычайных медицинских ситуациях. Например, если какое-либо лицо получило опасную для жизни травму, медицинскому персоналу может понадобиться его история болезни, чтобы принять решение о надлежащем лечении. Поскольку это лицо не в состоянии дать свое согласие, больнице необходимо правовое основание для обработки данных о его здоровье, и исключение, касающееся жизненно важных интересов, может оказаться таковым. Оно также может быть применимо в случае эпидемий. Например, может возникнуть ситуация, когда не все инфицированные лица могут своевременно дать свое согласие для обработки данных медицинским персоналом в целях защиты жизненно важных интересов третьих лиц.

GDPR содержит специальное исключение для обработки особых категорий персональных данных следующими типами организаций:

• ассоциации;
• фонды; и
• другие некоммерческие организации.

Перечень является закрытым и ограничивается именно этими типами организаций, исключая любые другие типы. Поскольку правовой статус некоммерческих и благотворительных организаций в Европейском Союзе не является единым, не следует придавать слишком большое значение названию соответствующего учреждения. Использование термина «другие некоммерческие организации» подтверждает, что перечень носит иллюстративный характер, а точный характер организации зависит от правовой формы и структуры, которую предоставляют ей государства-члены.

Речь идет скорее о целях и задачах организации, а не о ее точном наименовании, поскольку она должна преследовать одну из следующих задач:

• политические;
• философские;
• религиозные; или
• профсоюзные.

Перечень касается ограниченного числа видов деятельности и не может быть расширен. Определение целей политических партий, религиозных организаций и профсоюзов доста не является затруднительным. Однако категорию “философская цель” не так легко определить. Например, организация, занимающаяся вопросами, относящимися к экологии, вегетарианству или к борьбе с видовой дискриминацией, может быть квалифицирована как преследующая философскую цель в зависимости от законодательства государства-члена. Насколько эта категория может быть расширена, будет зависеть от толкования этого положения Судом Европейского Союза.

Эти организации должны обрабатывать специальные категории персональных данных только в ходе своей «легитимной деятельности» . Это означает, что обработка должна быть непосредственно связана с политической, философской, религиозной или профсоюзной деятельностью организации. Ассоциация, фонд или любая другая некоммерческая организация не может ссылаться на это исключение для обработки специальных категорий персональных данных, которые не имеют тесной связи с ее основной деятельностью в рамках целей и компетенций, изложенных в ее уставных документах.

GDPR требует, чтобы организации обращались со специальными категориями персональных данных с предоставлением соответствующих гарантий. При этом не совсем ясно, что именно имелось в виду законодателем при принятии этого дополнительного условия. Очевидно, что это подразумевает принятие надлежащих мер безопасности для защиты обрабатываемых данных в связи с их чувствительной природой. Данные также должны быть доступны только тем лицам, которые должны работать с ними для достижения целей организаций.

Из этого логически вытекает, что персональные данные не могут быть переданы за пределы организации, однако статья 9 2) d) допускает такую передачу с согласия соответствующих лиц. Например, организация не может делиться списком ее членов с другими организациями, если не было получено согласие каждого из них. На мой взгляд, нет никаких юридических препятствий для продажи этого же списка в целях финансирования деятельности организации, если ее члены дают согласие на передачу их персональных данных. Организация также должна  получить согласие на то, чтобы назвать имя любого из участников, например, в рамках кампании по сбору средств или в ежегодном отчете.

Сфера действия исключения ограничивается обработкой специальных категорий персональных данных, касающихся i) членов организации, ii) бывших членов или  iii) лиц, которые имеют с ней «регулярный контакт» в связи с ее целями. К этому перечню не относятся сотрудники или потенциальные члены организации до их вступления в организацию, но могут относиться  партнеры, вкладчики или постоянные бенефициары услуг организации, которые формально не являются ее членами.

Данное исключение из общего правила о том, что специальные категории персональных данных не могут обрабатываться, позволяет организациям, которые обязаны своим существованием исключительно достижению одной из указанных целей, обрабатывать данные, необходимые для своей деятельности. Каким образом будет существовать политическая партия, если она не может обрабатывать данные о политических убеждениях своих участников? То же самое касается и профсоюзов, которые должны обрабатывать данные об их членах, а также церквей, которые должны обрабатывать данные, раскрывающие религиозные убеждения верующих в ходе своей обычной деятельности (см. ст. 91).

“Юридическое” исключение состоит из двух отдельных частей:

• обработка, необходимая для заявления, осуществления или защиты законного требования, и
• осуществление правосудия судами.

1) Исключение в отношении законных требований в контексте статьи 9 носит широкий характер и не ограничивается находящимися на рассмотрении судов. Оно применяется как к текущим, так и к будущим судебным разбирательствам. Лицо может быть вынуждено раскрыть персональные данные для получения юридической консультации, сообщить о ситуации, которая потенциально может привести к судебному иску, или подготовиться к будущему судебному разбирательству, даже если еще не было возбуждено ни одной процедуры в суде. Это исключение может касаться административных или судебных разбирательств, а также внесудебных процедур (Преамбула 52).

Ключевое словосочетание в подпункте f) пункта 2 — «необходима» (о принципе необходимости см. ниже в общем комментарии). Использование личной информации должно быть необходимым для установления, осуществления или защиты прав. При этом также предстоит определить, какие средства являются необходимыми в контексте GDPR. Ссылка на принцип общей необходимости в праве Европейского Союза должна привести к обоснованию использования персональных данных для “юридического” исключения на основе объективных доказательств. Должна существовать существенная связь между обработкой и данными, обрабатываемыми в контексте конкретного случая.

Использование персональных данных также должно быть пропорциональным (о принципе пропорциональности см. в общем комментарии ниже): оно не должно выходить за рамки того, что необходимо для достижения преследуемой цели. Используемые данные должны быть адекватными и актуальными «заявления, исполнения или защиты законных требований«, а их использование должно ограничиваться тем, что необходимо. Другими словами, не следует использовать больше данных, чем необходимо для достижения поставленной цели.

Примером использования персональных данных до начала любого судебного разбирательства может служить случай, когда Вы должны сообщить о несчастном случае Вашей страховой компании. В конечном счете, Вашей страховой компании придется обрабатывать данные, касающиеся Вашего здоровья или здоровья других лиц, причастных к несчастному случаю. Это не означает, что иск будет подан в суд, а если и будет, то он не будет рассмотрен до начала судебного разбирательства.

Могу привести еще один пример, касающийся установления защиты по фактическому иску. Ваш сотрудник подает на Вас в суд после того, как на рабочем месте произошел несчастный случай. Вы должны будете поделиться с Вашим адвокатом деталями происшествия, в том числе имеющейся в вашем распоряжении информацией о травмах, полученных вашим сотрудником. Поскольку эти данные считаются информацией, связанной со здоровьем, вы должны будете ссылаться на исключение, предусмотренное в пункте 2) (f).

2) Вторая часть правового исключения касается осуществления правосудия судами. Исключение необходимо для сохранения независимости правосудия (Преамбула 20), что также обеспечивает соблюдение правовых гарантий, предусмотренных европейскими и национальными документами о правах и свободах. В GDPR не уточняется сфера действия выражения «в рамках осуществления правосудия судами«, за исключением того, что оно включает в себя процесс принятия решений (Преамбула 20).

В статье 9 упоминаются только «суды«, а Преамбула 97, по-видимому, распространяет исключение на «независимые судебные органы«. Даже если это не так, толкование термина «суд» может привести к такому расширению. В связи с этим возникают вопросы по многим существующим процедурам, возглавляемым квазисудебными органами, такими как арбитры, третейские суды или государственные административные органы. Они проводят разбирательства, в ходе которых должны быть гарантированы права и свободы участвующих сторон, они определяют факты, толкуют законодательство и имеют полномочия на вынесение решений, как и любые другие суды.

Исключение «публичного интереса» характеризуется большим количеством условий и, следовательно, ограниченной сферой его применения:

• Обработка должна быть необходима;
• она должна основываться на праве Союза или государства-члена; и
• право Союза или государства-члена должно:

— быть соразмерным преследуемой цели;

— уважать суть права на защиту данных; и

— гарантировать надлежащие и конкретные меры по защите основных прав и интересов соответствующих лиц.

Термин «существенный публичный интерес» не определен в GDPR. Поскольку в этом исключении речь идет о праве Союза или государства-члена, статья 9 2)(g) дает национальным юрисдикциям свободу усмотрения при решении на локальном уровне вопроса о том, что представляет собой «существенный публичный интерес«. Очевидно, что «существенный» публичный интерес требует достижения более высокого стандарта, чем просто ”публичный интерес”. Если в последнем случае речь идет об общественном благе и о том, что отвечает наилучшим интересам общества, то в первом случае речь идет о реальном и ощутимом интересе, т.е. интересе, имеющем существенное значение. Существенный публичный интерес может быть связан с осуществлением основных прав и свобод, таких как организация избирательного процесса или поддержание порядка и безопасности, например борьба с терроризмом.

Закон о защите данных 2018 года, например, признает двадцать три (23) случая, когда в Соединенном Королевстве затрагивается существенный публичный интерес. Исключения варьируются от отправления правосудия до защиты детей, относящихся к группе риска, и распространяются на равенство возможностей, борьбу с допингом в спорте или публикацию юридических решений. В этих примерах трудно провести различие между тем, что отвечает общим публичным интересам, и тем, что основано на «существенных» публичных интересах.

Исключение, основанное на «существенных» публичных интересах, не применяется к особым категориям личных данных, которые уже подпадают под исключение, предусмотренное в статье 9, например, в области общественного здравоохранения [пункт 2, подпункт (i)]. Иногда бывает сложно решить, какое из исключений применимо. Необходимо обратиться к конкретным обстоятельствам дела и внимательно изучить факты, чтобы решить, какое из них является наилучшим правовым основанием для обработки специальных категорий персональных данных.

Законодательство государства-члена может потребовать от политических партий собирать персональные данные о политических убеждениях граждан в ходе избирательного процесса на основании исключения “существенного публичного интереса” (Преамбула 56). Оно отличается от исключения в отношении фондов, ассоциаций или некоммерческих организаций [статья 9 2) d)] в одном аспекте: сбор данных требуется законом и не осуществляется в рамках основной деятельности политической партии. Это также освобождает организацию от получения согласия своих членов на разглашение собранных персональных данных соответствующим органам власти.

Недавно меня спросили о надлежащей правовой базе для обработки данных об учащихся с ограниченными возможностями. Школа должна собирать и использовать эти данные, чтобы предлагать детям услуги, адаптированные к их способностям к обучению. Информацию об особенностях здоровья следует рассматривать как данные, связанные со здоровьем, и, следовательно, как специальную категорию персональных данных. Они не могут обрабатываться, если нет конкретного исключения, на которое можно ссылаться.

Представляется невозможным полагаться на исключение в области общественного здравоохранения [см. параграф 2, подпункт (i) комментария]. Если законодательство государства-члена, в котором функционирует школа, предусматривает исключение для обработки специальных категорий персональных данных в целях образования детей с ограниченными возможностями, то исключение “существенного публичного интереса” будет соответствующим правовым основанием. Так как можно было бы получить четкое согласие [параграф 2, подпункт (а)] на обработку таких данных, этот вариант также должен быть рассмотрен в данных обстоятельствах. После этого школа должна будет соблюдать другие требования, изложенные в статье 9 2) (g).

Я уже обсуждал принцип необходимости в приведенном ниже общем комментарии, и я отсылаю читателей к нему, а также к принципу соразмерности, который должен соблюдаться правом Союза или государства-члена. В европейском или национальном праве также должна поддерживаться «суть права на защиту данных» и предлагаться «подходящая и конкретная мера» для защиты прав и интересов соответствующих лиц. Поэтому необходимо, чтобы местные органы власти соблюдали Хартию Европейского Союза об основных правах (статья 8) и принципы, изложенные в GDPR.

Статья 9 2) (h) предусматривает исключения в отношении обработки данных, связанных с медицинским и социальным обслуживанием, которые должны быть необходимы (о принципе необходимости см. ниже в комментарии) для:

• профилактической медицины;
• гигиены труда;
• оценки работоспособности работников;
• медицинской диагностики;
• предоставления медицинской или социальной помощи или лечения; или
• управления системами здравоохранения или социального обеспечения.

Это список исчерпывающих исключений, не нуждающийся в более подробном пояснении, за исключением категории “оценка трудоспособности работников”. Она не совпадает с исключением о деятельности в соответствии с законодательством о занятости, социальном обеспечении и социальной защите [подпункт b)], поскольку касается не конфиденциальных данных о работниках в целом, а исключительно данных, необходимых для оценки способности работника выполнять свою работу. Оценку можно проводить, например, с помощью тестирования на наркотики, физических анализов или медицинского осмотра. Цель состоит в том, чтобы выяснить, подходит ли человек для работы на должности, требующей определенных способностей или определенного состояния здоровья.

Как это часто бывает в случае с GDPR, правовое основание для применения исключения следует искать в праве Союза или государства-члена. Знания европейского законодательства недостаточно, необходимо также понимать национальное законодательство соответствующего государства-члена. Правовое основание для обработки в целях медицинского и социального обслуживания также может быть найдено в контракте с медицинским работником, если соблюдены определенные условия и гарантии.

В пункте 3 статьи 9 говорится, что исключение применяется, если оно основано на контракте с медицинским работником, только в том случае, если данные обрабатываются лицом, которое связано профессиональной тайной. Условия и обязательства, связанные с секретностью, могут быть перечислены в праве Европейского союза или в национальном законодательстве, а также могут устанавливаться национальным компетентным органом. Термин «медицинские работники» также оставляется на усмотрение государств-членов. Оно может включать любых специалистов, на которых распространяется обязанность сохранения конфиденциальности, таких как врачи, стоматологи, медсестры, окулисты, физиотерапевты или социальные работники.

Различие между исключениями в области медицинского и социального обслуживания [подпункт (h)] и исключениями в области общественного здравоохранения не столь очевидно, и в некоторых случаях оба исключения могут дублировать друг друга. Например, первое исключение касается обработки чувствительных данных в целях профилактической медицины, в то время как второе касается трансграничных опасностей для здоровья. Не исключено, что один и тот же набор данных может быть использован в одном и том же случае с одной и той же целью.

Сфера действия статьи 9 2) i) хорошо разграничена: она применяется к обработке чувствительных данных без явно выраженного согласия лица, основанного на подпункте (а) (Преамбула 54), которые необходимы (о принципе необходимости см. ниже в общем комментарии) по соображениям общественного интереса в сфере общественного здравоохранения. Под общественным интересом понимается общественное благо и то, что отвечает наилучшим интересам группы лиц или общества в целом (Преамбула 53). Личный интерес не является достаточным основанием для применения данного исключения, и после обработки данных в соответствии с данным подпунктом они не могут быть переданы третьим лицам, таким как работодатели, страховые компании или банки (Преамбула 54).

Примером может служить сама статья 9 2) i), однако она предлагает неисчерпывающий перечень возможных видов использования. Она включает защиту от серьезных трансграничных угроз здоровью и обеспечение высоких стандартов качества и безопасности медицинской помощи, лекарственных средств и медицинского оборудования. Она включает, например, данные, необходимые для изучения или борьбы с эпидемиями или для планирования программы вакцинации.

Общественное здравоохранение далее определяется как «все элементы, связанные со здоровьем, а именно: состояние здоровья, включая заболеваемость и инвалидность, детерминанты, влияющие на это состояние здоровья, потребности в медицинском обслуживании, ресурсы, выделяемые на здравоохранение, предоставление и всеобщий доступ к медицинскому обслуживанию, а также расходы и финансирование здравоохранения и причины смертности» [Регламент (ЕС) № 1338/2008]. Некоторые аспекты этого определения, несомненно, охватываются исключением в отношении медико-санитарной и социальной помощи [подпункт h)] в качестве управления системами здравоохранения или социальной помощи.

Как это часто бывает в случае с GDPR, правовую основу для исключения следует искать в праве Союза или государства-члена. Знания европейского законодательства недостаточно, необходимо также понимать национальное законодательство соответствующего государства-члена. Государства-члены могут сохранять или вводить дополнительные условия и ограничения, чем те, которые предусмотрены в статье 9 2) (i) [статья 9 (4) и Преамбула 53]. Кроме того, они должны гарантировать основные права лиц и защиту их персональных данных в соответствии с законом (Преамбула 53 и 54).

Исключения, предусмотренные в статье 9 2) j), охватывают широкий круг вопросов и могут оказаться существенными для всего общества и будущих поколений. Они касаются четырех (4) различных сфер:

• архивы;
• научные исследования;
• исторические исследования; и
• статистика.

Исключение в отношении архивирования, исследования и статистики должно соответствовать перечню условий:

• Обработка должна быть необходима;
• она должна основываться на праве Союза или государства-члена; и
• право Союза или государства-члена должны:

— быть соразмерным преследуемой цели;
— уважать суть права на защиту данных; и
— гарантировать надлежащие и конкретные меры по защите основных прав и интересов соответствующих лиц.

Я уже обсуждал принцип необходимости в приводимом ниже общем комментарии, и хотел бы сослаться на него, а также на принцип пропорциональности, который должен соблюдаться законом Союза или государства-члена. Европейское или национальное законодательство должно также защищать «сущность права на защиту данных» и предлагать «подходящие и конкретные меры» для защиты прав и интересов соответствующих лиц. Поэтому необходимо, чтобы местные органы власти соблюдали Хартию Европейского Союза об основных правах (статья 8) и принципы, изложенные в GDPR. Статья 89 предусматривает более конкретные положения о гарантиях и отступлениях, связанных с обработкой конфиденциальных данных в контексте исключения архивирования, исследований и статистики, и я приглашаю вас ознакомиться с моим комментарием, касающимся этого положения.

Что касается исключения в отношении архивирования, то вы должны дополнительно продемонстрировать, что обработка данных отвечает общественным интересам. Личный, корпоративный или финансовый интерес не является достаточным основанием для применения данного исключения, вы должны быть в состоянии продемонстрировать, что вы обрабатываете специальные категории персональных данных для общественного блага и в наилучших интересах группы лиц или общества в целом (Преамбула 53).

Архивы представляют собой “государственные органы, а также государственные или частные организации, которые «имеют юридическое обязательство приобретать, сохранять, оценивать, организовывать, описывать, передавать, распространять и обеспечивать доступ к документам» (Преамбула 158). Например, расследование убийства может оправдать архивирование чувствительных данных в общественных интересах. Сбор информации о политическом поведении при бывших тоталитарных государственных режимах или в связи с геноцидом и преступлениями против человечности является еще одним примером» (Преамбула 158). После этого архивные данные могут использоваться для различных целей, в том числе для научных исследований (Преамбула 162).

Научные исследования, основанные на государственных и частных реестрах, могут обеспечить более глубокое изучение широко распространенных заболеваний, таких как сердечно-сосудистые заболевания, рак или депрессия (Преамбула 157). Архивы могут также позволить исследователям установить взаимосвязь между безработицей или образованием и другими жизненными условиями в долгосрочной перспективе (Преамбула 157). Таким образом, можно проводить политику, основанную на приобретенных знаниях, с целью предоставления более качественных социальных услуг или улучшения качества жизни населения (Преамбула 157).

Исключение, связанное с научными исследованиями, направлено на создание европейского исследовательского пространства для поощрения притока исследователей, научных знаний и технологий [статья 179(1) ДФЕС]. Оно должно толковаться широко в соответствии с GDPR, и относится как к исследованиям, финансируемым государственным сектором, так и к исследованиям, финансируемым частным сектором (Преамбула 159).

Клинические исследования, проводимые в общественных интересах и отвечающие другим критериям подпункта (j), должны основываться на этом исключении, а не на прямом согласии [подпункт (а) и Регламент (ЕС) № 536/2014, статья 29], рекомендует Европейский совет по защите данных (Заключение 3/2019). Это наиболее надежное основание, поскольку исследования могут быть осложнены, если лица отзовут свое согласие в период проведения исследований или после их завершения.

Классическим примером является фармацевтическая компания, которая проводит клинические испытания нового препарата. Если она полагается на явно выраженное согласие [подпункт (а)], то это может привести к неблагоприятным последствиям. Лица, участвующие в испытании, могут изменить свое мнение на последней стадии исследования и принять решение отозвать свое согласие. Такая ситуация поставит под угрозу весь процесс и лишит общество потенциальной пользы от нового препарата. Фармацевтические компании могут дать дополнительные гарантии, используя в ходе исследования анонимизированные или псевдонимизированные данные, чтобы уменьшить воздействие на участников исследования и компенсировать невозможность отозвать свое согласие, если в ходе исследования будет использовано исключение “права на проведение научного исследования”.

Статистические цели определяются как «любая операция по сбору и обработке персональных данных, необходимая для проведения статистических исследований или получения статистических результатов» (п. 162). Статистические данные должны разрабатываться, производиться и распространяться в соответствии с шестью (6) принципами: беспристрастность, надежность, объективность, независимость, целесообразность и конфиденциальность [статья 338 (2) ДФЕС].

Результатом сбора статистических данных должны становиться «агрегированные данные”, а не «персональные данные«, что означает, что они не должны касаться каких-то конкретных лиц, а должны представлять собой абстрактные данные, касающиеся группы анонимных лиц (Преамбула 162). Полученная таким образом статистика не может быть использована для принятия решений в отношении любых затрагиваемых лиц (Преамбула 162). Кроме того, чувствительная информация, собранная в статистических целях, должна быть защищена соответствующими правовыми и техническими мерами защиты (Преамбула 163).