Pojęcia stosowane w cyklu artykułów

RODO – ogólne rozporządzenie o ochronie danych
TSUE – Trybunał Sprawiedliwości Unii Europejskiej
DPA – krajowe organy ochrony danych osobowych
Wniosek KE z 19 listopada 2025 – Komisja Europejska (KE) 19 listopada 2025 r. przedstawiła projekty zmian do aktów prawnych regulujących w UE rynek usług cyfrowych
Digital Omnibus – przewidziany we Wniosku KE pakiet reform obejmujący modyfikacje w:

1. rozporządzeniach (UE):
   1. 2016/679 (GDPR, RODO),
   2. 2018/1724 (o utworzeniu jednolitego portalu cyfrowego),
   3. 2018/1725 (rozporządzenie o ochronie danych osobowych w instytucjach UE),
   4. 2023/2854 (the Data Act; akt w sprawie danych),
2. dyrektywach:
   1. 2002/58/WE (dyrektywa o prywatności i łączności elektronicznej),
   2. 2022/2555 (dyrektywa NIS 2),
   3. 2022/2557 (dyrektywa w sprawie odporności podmiotów krytycznych).

Wprowadzenie – badania naukowe w RODO po zmianach Digital Omnibus

Niniejszy artykuł jest kolejną częścią cyklu prezentującego projekty zmian w RODO, wskazanych we Wniosku KE z 19 listopada 2025 r.^[1] Pierwszą część, w której omówiliśmy kontekst reform oraz zmiany w zakresie definicji danych osobowych i pseudonimizacji, znajdziesz w artykule: Zmiany w RODO 2025 – Digital Omnibus | Omówienie cz. 1.

W tym artykule zajmiemy się zmianami dotyczącymi przetwarzania danych osobowych do celów badań naukowych. Jak pisze sama KE w uzasadnieniu Wniosku:

„Proponowane zmiany rozwiązałyby brak jasności co do warunków badań naukowych poprzez definicję badań naukowych (artykuł 4 RODO), dodatkowo wyjaśnienie, że dalsze przetwarzanie w celach naukowych jest zgodne z pierwotnym celem przetwarzania (artykuł 5(1)(b) RODO) oraz wyjaśnienie, że badania naukowe stanowią uzasadniony interes w rozumieniu artykułu 6(1)(f) RODO. Proponuje się również rozszerzenie wyjątków od obowiązku przetwarzania informacji (artykuł 13), stwierdzając, że gdy przekazanie informacji okazuje się niemożliwe, wymaga nieproporcjonalnego wysiłku lub uniemożliwia lub poważnie utrudnia realizację celów tego przetwarzania, administrator nie musi przekazywać tych informacji. Zmiany te ułatwiłyby badania i innowacje w Unii.”

Poniżej omawiamy proponowane zmiany dotyczące przetwarzania danych osobowych do celów badań naukowych i próbujemy przewidzieć, co pakiet Digital Omnibus może zmienić w codziennej praktyce administratorów danych.

Zmiana w art. 4 RODO – definicja badań naukowych

Komisja zaproponowała dodanie do art. 4 pkt 38 RODO definicji pojęcia „badań naukowych”. Zgodnie z proponowanymi zmianami badania naukowe oznaczają:

„wszelkie badania, które mogą również wspierać innowacje, takie jak rozwój technologiczny i demonstracja. Działania te przyczyniają się do rozwoju istniejącej wiedzy naukowej lub wykorzystują istniejącą wiedzę w nowatorski sposób, są prowadzone w celu przyczynienia się do rozwoju ogólnej wiedzy i dobrostanu społeczeństwa oraz są zgodne z normami etycznymi w odpowiedniej dziedzinie badań naukowych. Nie wyklucza to, że badania mogą mieć również na celu realizację interesu handlowego.”

Fakt, że pojęcie badań naukowych pojawia się w RODO aż 32 razy, dowodzi, jak istotne znaczenie nadaje mu unijny ustawodawca.

Co istotne, ustawodawca unijny wprost dopuszcza prowadzenie badań naukowych także w celu realizacji interesu handlowego.

Zmiana w art. 5 ust. 1 lit. b – zasada ograniczenia celu przetwarzania

Jedyna zmiana przewidziana we Wniosku KE z 19 listopada 2025 r. w zakresie zasad przetwarzania danych osobowych dotyczy art. 5 ust. 1 lit. b RODO. W proponowanym brzmieniu zasada ograniczenia celu miałaby następujący kształt:

„zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych jest uznawane w myśl art. 89 ust. 1 za zgodne z pierwotnymi celami, niezależnie od warunków określonych w art. 6 ust. 4 niniejszego rozporządzenia («ograniczenie celu»);”

Zwraca uwagę fakt, że Komisja chce w sposób definitywny przesądzić w RODO, iż dane wykorzystywane w celu badań naukowych mogą być przetwarzane nawet wtedy, gdy brak jest na to zgody osoby, której dane dotyczą, ani nie wynika to z przepisów prawa. Co równie istotne – nie trzeba przeprowadzać testu podobieństwa celu z art. 6 ust. 4, jeśli administrator zamierza wykorzystać dane do badań naukowych.

Oznacza to – biorąc pod uwagę definicję pojęcia badań naukowych – że badania na danych zmierzające do wspierania innowacji, zwłaszcza w zakresie rozwoju technologii AI, będą zaliczały się do badań naukowych. Wobec realizacji tych celów nie trzeba przechodzić żmudnej procedury „legalizowania” przetwarzania danych osobowych. O przetwarzaniu danych szczególnych kategorii w kontekście wykorzystywania technologii AI mowa będzie w kolejnych częściach serii artykułów poświęconych zmianom przewidzianym w Digital Omnibus.

Badania naukowe jako prawnie uzasadniony interes – art. 6 ust. 1 lit. f RODO

W motywach rozporządzenia zmieniającego m.in. RODO, stanowiącego załącznik do Wniosku KE z 19 listopada 2025 r. – motyw (32) – wprost stwierdzono:

„Przetwarzanie danych osobowych do celów badań naukowych i stosowanie przepisów RODO dotyczących badań naukowych jest uzależnione od przyjęcia odpowiednich zabezpieczeń dla praw i wolności osób, których dane dotyczą, zgodnie z art. 89 ust. 1 RODO. W tym celu RODO równoważy prawo do ochrony danych osobowych zgodnie z art. 8 Karty praw podstawowych Unii Europejskiej z wolnością nauki zgodnie z art. 13 Karty praw podstawowych Unii Europejskiej. Przetwarzanie danych osobowych do celów badań naukowych służy zatem realizacji prawnie uzasadnionego interesu w rozumieniu art. 6 ust. 1 lit. f) rozporządzenia (UE) 2016/679, pod warunkiem że takie badania nie są sprzeczne z prawem Unii lub prawem państwa członkowskiego. Pozostaje to bez uszczerbku dla spoczywającego na administratorze obowiązku zapewnienia spełnienia wszystkich pozostałych warunków określonych w art. 6 ust. 1 lit. f) rozporządzenia (UE) 2016/679, a także wszystkich innych wymogów i zasad tego rozporządzenia.”

Zwolnienie z obowiązku informacyjnego przy badaniach naukowych – nowy art. 13 ust. 5

Aby ułatwić sytuację administratorom, którzy zbierają dane osobowe bezpośrednio od osób, których dane dotyczą, KE zaproponowała dodanie ustępu 5 do art. 13 RODO w następującym brzmieniu:

„5. Jeżeli przetwarzanie odbywa się do celów badań naukowych, a udzielenie informacji, o których mowa w ust. 1, 2 i 3 (art. 13 – przyp. aut.), okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku, z zastrzeżeniem warunków i zabezpieczeń, o których mowa w art. 89 ust. 1, lub o ile obowiązek, o którym mowa w ust. 1 niniejszego artykułu, może uniemożliwić lub poważnie utrudnić realizację celów takiego przetwarzania, administrator nie musi udzielać informacji, o których mowa w ust. 1, 2 i 3. W takich przypadkach administrator podejmuje odpowiednie środki, by chronić prawa i wolności oraz prawnie uzasadnione interesy osoby, której dane dotyczą, w tym udostępnia informacje publicznie.”

Zaproponowane zmiany pozwalają administratorom na odstąpienie od realizacji obowiązku informacyjnego wobec osób, których dane mają zostać wykorzystane w celach badań naukowych.

Skutki zmian RODO dla praktyki – co Digital Omnibus oznacza dla administratorów

W ocenie Auraco przyjęcie proponowanych zmian dotyczących prowadzenia badań naukowych:

1. Pozwoli usunąć wątpliwości, czym badania naukowe są na gruncie RODO. Ze względu na szeroki zakres tego pojęcia zdefiniowany w art. 4 pkt 38 RODO, zmiana pozwoli objąć nimi operacje na danych prowadzone nie tylko przez wyspecjalizowane instytuty, ale także działy badań i rozwoju funkcjonujące w strukturze administratora – mające na celu poprawę konkurencyjności usług oraz produktów (realizacja interesu handlowego administratora). Ta zmiana „otwiera” dane klientów, historii świadczonych im usług oraz sprzedawanych towarów na operacje zmierzające do realizacji badań naukowych w rozumieniu RODO.

2. Zwolni administratorów z „bólu głowy”, czy prowadząc badania naukowe np. w oparciu o dane klientów, nie naruszają zasady ograniczenia celu. Badania naukowe byłyby traktowane z zasady jako czynności mieszczące się w pierwotnym celu, dla którego dane zostały zebrane.

3. Da expressis verbis podstawę prawną do przetwarzania danych osobowych w celach badań naukowych, uznając że prowadzenie takich badań stanowi „prawnie uzasadniony interes” administratora.

4. Pozwoli nie przejmować się realizacją obowiązku informacyjnego nie tylko wtedy, kiedy dane potrzebne do badań naukowych pochodzą z innych źródeł niż bezpośrednio od osoby, której dane dotyczą (bo to zwolnienie przewiduje już aktualnie obowiązująca wersja RODO – art. 14 ust. 5 lit. b), ale również wtedy, gdy administrator zebrał je bezpośrednio od tej osoby.

Proponowane zmiany to wyraźny sygnał, że Europa chce dogonić globalnych liderów innowacji, usuwając bariery biurokratyczne tam, gdzie nauka spotyka się z biznesem. Pytanie tylko, gdzie w tym wszystkim zostanie wyznaczona granica prywatności jednostki?

Przypisy

1. ↑ Komisja Europejska (KE) 19 listopada 2025 r. przedstawiła projekty zmian do aktów prawnych regulujących w UE rynek usług cyfrowych – zob. Omówienie cz. 1.