Przetwarzanie danych osobowych do celów badań naukowych — co wyjaśniają nowe wytyczne EDPB

16 kwietnia 2026 roku Europejska Rada Ochrony Danych (EDPB) przyjęła Wytyczne 1/2026 dotyczące przetwarzania danych osobowych do celów badań naukowych. Dokument został jednocześnie otwarty do konsultacji publicznych — termin składania uwag upływa 25 czerwca 2026 roku.

To jedne z najważniejszych wytycznych EDPB dla sektora badawczego od czasu wejścia RODO w życie. Dotyczą kwestii, które od lat budziły praktyczne wątpliwości: kiedy można oprzeć się na „szerokiej zgodzie” (broad consent), czym jest zgoda dynamiczna, jak stosować wyjątki z art. 89 RODO i co oznacza „cel naukowy” w rozumieniu rozporządzenia.

Dlaczego te wytyczne są potrzebne

RODO traktuje badania naukowe w sposób szczególny — art. 5 ust. 1 lit. b uznaje dalsze przetwarzanie do celów badań naukowych za kompatybilne z pierwotnym celem zbierania danych (tzw. presumpcja kompatybilności). Art. 89 wprowadza zabezpieczenia i wyjątki od niektórych praw osób, których dane dotyczą, jeżeli przetwarzanie odbywa się do celów badawczych.

Problem polegał na tym, że te przepisy były stosowane w sposób niejednolity w całej UE. Uczelnie, instytuty badawcze, firmy farmaceutyczne i szpitale interpretowały je różnie — często w sposób albo zbyt restrykcyjny (blokując wartościowe badania), albo zbyt liberalny (powoływanie się na „cel naukowy” jako uzasadnienie dla dowolnego przetwarzania).

Co zawierają wytyczne

Definicja badań naukowych

EDPB wyjaśnia, że pojęcie „badań naukowych” na gruncie RODO obejmuje badania prowadzone przez instytucje akademickie, instytuty badawcze, szpitale kliniczne, ale także przez podmioty prywatne — pod warunkiem że badania spełniają kryteria metodologiczne i etyczne uznawane w danej dziedzinie. Samo nazwanie działalności „badawczą” nie wystarcza.

Broad consent — zgoda szeroka

To jedno z kluczowych pojęć w wytycznych. EDPB potwierdza, że administratorzy mogą polegać na „szerokiej zgodzie” w sytuacjach, w których cele badawcze nie są w pełni znane w momencie zbierania danych osobowych.

Warunki stosowania broad consent:

• zgoda musi obejmować określony obszar badawczy lub dziedzinę (np. „badania nad chorobami neurodegeneracyjnymi”), a nie dowolne przyszłe cele
• administrator musi stosować dodatkowe zabezpieczenia kompensujące brak pełnej specyfikacji celu — np. pseudonimizację, kontrolę dostępu, nadzór komisji etycznej
• osoba, której dane dotyczą, musi mieć możliwość wycofania zgody w każdym momencie

Zgoda dynamiczna

EDPB wprowadza pojęcie zgody dynamicznej (dynamic consent) jako alternatywy lub uzupełnienia dla broad consent. Polega ona na tym, że administrator zwraca się do osoby o zgodę na udział w konkretnym projekcie badawczym, gdy cele tego projektu staną się znane. Możliwe jest również łączenie obu modeli — broad consent na etapie zbierania danych, a dynamic consent na etapie realizacji konkretnych projektów.

Dalsze przetwarzanie do celów badawczych (art. 5 ust. 1 lit. b)

EDPB wyjaśnia, że presumpcja kompatybilności z art. 5 ust. 1 lit. b oznacza, że administratorzy nie muszą przeprowadzać testu kompatybilności celów (compatibility test) gdy przetwarzają dane dalej do celów badań naukowych. Jednak:

• podstawa prawna pierwotnego przetwarzania musi być odpowiednia również dla dalszego przetwarzania do celów naukowych
• administrator musi stosować zabezpieczenia z art. 89 ust. 1 — w szczególności pseudonimizację lub inne środki techniczne minimalizujące ryzyko identyfikacji

Prawa osób, których dane dotyczą

Wytyczne wyjaśniają, jak stosować ograniczenia praw z art. 89 ust. 2 RODO. Państwa członkowskie mogą przewidzieć w prawie krajowym ograniczenia prawa dostępu, prawa do sprostowania, prawa do ograniczenia przetwarzania i prawa do sprzeciwu — ale tylko wówczas gdy:

• ograniczenie jest proporcjonalne
• zastosowano odpowiednie zabezpieczenia
• realizacja danego prawa uniemożliwiłaby lub poważnie utrudniłaby osiągnięcie celów badawczych

Co to oznacza w praktyce

Dla uczelni i instytutów badawczych

Wytyczne dają wyraźniejszą podstawę do stosowania broad consent w biorepozytoriach, bazach danych klinicznych i projektach longitudinalnych. Kluczowe: sam fakt stosowania broad consent nie zwalnia z obowiązku informacyjnego — osoby muszą wiedzieć, w jakim obszarze badawczym ich dane będą wykorzystywane.

Dla firm prowadzących badania kliniczne i farmaceutycznych

Zgoda dynamiczna może być praktycznym rozwiązaniem w sytuacjach, w których sponsor badania chce wykorzystać dane z badania klinicznego do dalszych analiz. Wytyczne potwierdzają, że to dopuszczalny model — pod warunkiem spełnienia wymogów transparentności i zabezpieczeń.

Dla IOD

Wytyczne dają IOD wyraźniejsze kryteria oceny, czy powoływanie się na „cel naukowy” przez wewnętrzne zespoły organizacji jest uzasadnione. Jeżeli działalność nie spełnia kryteriów metodologicznych i etycznych danej dziedziny — nie kwalifikuje się jako badanie naukowe w rozumieniu RODO.

Konsultacje publiczne

Uwagi do Wytycznych 1/2026 można składać na stronie EDPB do 25 czerwca 2026 roku. Po zakończeniu konsultacji zgłoszenia zostaną opublikowane, a wytyczne mogą zostać zmodyfikowane przed finalnym przyjęciem.

Podsumowanie

Wytyczne EDPB 1/2026 wprowadzają praktyczne wyjaśnienia dotyczące przetwarzania danych osobowych do celów badań naukowych — w tym zasady stosowania broad consent i zgody dynamicznej, warunki dalszego przetwarzania bez testu kompatybilności celów oraz reguły ograniczania praw osób, których dane dotyczą. Konsultacje publiczne trwają do 25 czerwca 2026 roku. Dla organizacji prowadzących badania lub współpracujących z sektorem naukowym — to dokument, który warto przeczytać przed finalizacją.

Źródło: EDPB | Konsultacje publiczne

FAQ