AVG blijft zorg voor gezondheidsonderzoek

3 april 2020

Twee jaar na invoering blijven gezondheidsonderzoekers het hoofd breken over de Algemene Verordening Gegevensbescherming. De wet stelt bijkomende voorwaarden aan het verrichten van onderzoek, maar laat ook weer plaats voor uitzonderingen. Deze voorwaarden en uitzonderingen worden door verschillende partijen anders geïnterpreteerd, waardoor onduidelijkheid ontstaat. In voorkomende gevallen leidt dit zelfs tot oponthoud. Met het oog op de aanstaande evaluatie van de verordening in mei, analyseert Audrey Hergaarden de stand van zaken en doet aanbevelingen voor regelgevers en toezichthouders.

De stand van zaken

De Algemene Verordening Gegevensbescherming (AVG) is sinds 25 mei 2018 van kracht en betreft de verwerking van Europese persoonsgegevens binnen en buiten de EU. Ter verduidelijking van de regels zou men achteraf richtlijnen en adviezen opstellen. Deze manier van implementatie zorgt echter voor onduidelijkheid en brengt vertraging in onderzoeksprojecten teweeg, zo blijkt uit eigen onderzoek. De aanhoudende onduidelijkheid leidt bovendien tot minder samenwerkingen in gezondheidsonderzoek.

Wat veranderde de AVG

De AVG liet de uitvoering van gezondheidsonderzoek in zekere zin onveranderd, maar stelt wel extra eisen aan onderzoekers. Geldende regels en gedragscode, zoals de Nederlands code Goed Gedrag, blijven immers van kracht. Tegelijkertijd moet er nu aan extra voorwaarden worden voldaan. Zo moet onderzoekers expliciet toestemming vragen om persoonsgegevens te gebruiken en op te slaan en een informatieregister bijhouden. Bovendien zijn er strenge regels voor het anonimiseren van data en de bewaartermijnen. Om onderzoekers niet onnodig te belemmeren, voorziet de AVG in een aantal uitzonderingen voor bijvoorbeeld wetenschappelijk, historisch of statistisch onderzoek (art. 89). Ook gelden er andere regels voor genetische, biometrische en gezondheidsgegevens (art. 9). Helaas kunnen deze uitzonderingen niet alle hinder voorkomen. Gecombineerd met de dreiging van hoge sancties, hebben de strenge regels een verstikkende werking op het gezondheidsonderzoek.

Huidige problemen

Er doen zich twee kernproblemen voor in gezondheidsonderzoek, namelijk onduidelijkheid over de regels in de praktijk en verschillen in de toepassing van regelgeving tussen én binnen landen.

Onduidelijkheid

Er zijn veel uitzonderingen van toepassing op gezondheidsonderzoek, maar onduidelijk is wanneer en voor wie deze uitzondering gelden.

  • Welke partijen mogen bijvoorbeeld gebruikmaken van de uitzonderingen als het gaat om verwerking voor wetenschappelijk of historisch onderzoek of statistische doeleinden? Instellingen in Nederland hanteren bijvoorbeeld de code Goed Gedrag voor gezondheidsonderzoek, maar deze is niet altijd van toepassing op private bedrijven. Kunnen dergelijke bedrijven wel gebruikmaken van de uitzonderingen voor wetenschappelijk onderzoek?
  • Een ander probleem is het secundair gebruik van persoonsgegevens. Volgens de AVG behoudt een betrokkene altijd de controle over zijn/haar gegevens. In medisch onderzoek is het echter vaak niet mogelijk om ten tijde van de gegevensverzameling het toekomstig gebruik definitief vast te stellen. Betrokken kunnen daarom toestemming geven voor secundair gebruik, zodat hier in de toekomst niet opnieuw toestemming voor gevraagd hoeft te worden. De eisen zijn echter breed geformuleerd en vanwege de diverse en uiteenlopende scenario’s binnen gezondheidsonderzoek niet vanzelfsprekend toepasbaar, zoals afgelopen najaar in de Tweede Kamer werd besproken.
  • In sommige gevallen kan men secundair gebruik maken van gegevens zonder dat hier vooraf toestemming is verleend, maar ook hier blijft onduidelijk wanneer men aan de waarborgen voldoet. Stel dat een onderzoeker de informatie niet direct van de betrokkene verkrijgt, maar van een huisarts. De onderzoeker kan dan volgens de AVG afwijken van het recht van de betrokkene om bezwaar te maken, maar het is onduidelijk aan welke randvoorwaarden moet worden voldaan.

Harmonisatie

Volgens de AVG mogen lidstaten de regels licht aanpassen aan hun eigen omstandigheden. Dit brengt echter het risico van een lappendeken aan verschillende regels mee, waardoor men het doel van één regeling voor heel Europa voorbijschiet.

  • Lidstaten hanteren verschillende definities van wetenschappelijk onderzoek, waardoor de uitzonderingen anders van toepassing zijn. Dit leidt er bijvoorbeeld toe dat Vlaamse en Nederlandse onderzoekers aan verschillende voorwaarden moeten voldoen wanneer ze gebruikmaken van persoonsgegevens in gezondheidsonderzoek.
  • Bovendien zijn er nog geen eenduidige regels over onderzoekssamenwerking met derde landen. Derde landen kunnen een zogeheten adequacy agreement afsluiten, maar dit biedt niet altijd een oplossing. Zo blijkt dat de AVG intercontinentaal onderzoek naar Alzheimer’s en diabetes belemmert, ondanks een overeenkomst met de Verenigde Staten. Het valt nog te bezien hoe onderzoekssamenwerking met landen zonder adequacy agreements verloopt, waaronder Australië en Zuid-Korea.
  • Tenslotte blijkt dat ook binnen Nederland onderzoeksinstellingen de regelgeving verschillend interpreteren of dat deze niet goed aansluit op andere (gedrags-)regels. Zo moeten onderzoekers binnen universitaire medische centra hun onderzoeksvoorstel vaak laten goedkeuren door een functionaris gegevensbescherming, een ethische commissie én de algemene onderzoekscommissie.

Hoe verder?

Op dit moment werkt de Commissie aan een evaluatie van de AVG, waarvoor men tot 29 april input kan leveren. De Commissie is wettelijk verplicht iedere vier jaar de AVG te evalueren, waarvan de eerste volgens art. 97 uiterlijk 25 mei moet hebben plaatsgevonden. Vorig jaar kwam de Commissie al met een tussentijdse evaluatie. Naar aanleiding hiervan riep de Raad de Commissie op om de evaluatie een bredere omvang te geven dan enkel de vereiste punten, juist vanwege het belang en de impact van de AVG.

Binnen Nederland werkt de commissie regelgeving onderzoek (COREON) van de Federatie van Medisch Wetenschappelijke Verenigingen aan een herziening van de eerder benoemde code Goed Gedrag. Deze code geldt sinds 2004 als gedragscode voor het uitvoeren van gezondheidsonderzoek. De code zal waarschijnlijk verder toegespitst worden op de AVG en moet daarmee bestaande onduidelijk- en tegenstrijdigheden wegnemen. Deze herziening is in november 2019 van start gegaan en wordt naar verwachting in het eerste kwartaal van 2021 afgerond.

Beleidsaanbevelingen

Om het hoofd te bieden aan deze problemen is het belangrijk dat de bestaande onduidelijkheid wordt weggenomen en een lappendeken aan regels wordt voorkomen. De volgende vier beleidsaanbevelingen, van internationaal tot lokaal niveau, kunnen hier een oplossing voor bieden:

  1. Er is in het onderzoeksveld behoefte aan ‘Brede toestemming’. Hiermee wordt bedoeld dat onderzoekers kunnen afwijken van het ‘opt-in’ systeem waar informed consent de basis vormt, naar een systeem waar een ‘opt-out’ systeem geldt. Om dit te bewerkstellingen moet de Europese toezichthouder European Data Protection Board (EDPB) de regelgeving aanpassen op basis van de behoeften uit het veld. Een uniform signaal vanuit het veld kan deze ontwikkeling bespoedigen, bijvoorbeeld in antwoord op een onderzoek door de board.
  2. Duidelijke gedragscodes voor gezondheidsonderzoek zijn nodig. Hierbij gaat de voorkeur uit naar een universele Europese gedragscode voor gezondheidsonderzoek, maar ook nationale codes zouden helpen. Onderzoekers weten zich in deze behoefte gesteund door de European Data Protection Supervisor, die benadrukt dat een Europese gedragscode voor wetenschappelijk onderzoek harmonisatie kan bewerkstelligen. Bovendien biedt een gedragscode veiligheidskaders voor niet-publieke onderzoeksorganisaties die niet of in mindere mate gebonden zijn aan ethische kaders. In Nederland proberen federa/COREON ook in deze behoefte te voorzien.
  3. Er zijn veel vragen over het anonimiseren van persoonsgegevens voor onderzoeksdoeleinden. Hierbij is de meest logische gang van zaken dat de EDPB een duidelijke handleiding opstelt hoe men aan de eisen kan voldoen. Bij voorkeur zou hierbij onderscheid worden gemaakt tussen de verschillende vormen van onderzoek, waaronder specifiek voor gezondheidsonderzoek.
  4. Nadat de regels zijn verduidelijkt, moet deze informatie verspreid worden. Onderwijs en cursussen kunnen onduidelijkheden wegnemen en de toepassing van de AVG in de onderzoekswereld versterken. Vooral de nieuwe generatie onderzoekers zal hier baat bij hebben. Dit kan het beste nationaal georganiseerd worden, een nieuwe lappendeken te creëren.

Conclusie

De discussie over de verwarrende toepassing van de AVG is niet nieuw. Zorgelijk is dat gezondheidsonderzoek hierdoor onder druk komt te staan. Onderzoekers zien door de vele regels en interpretaties niet meer welke uitzondering op hen van toepassing is. Daarom is er behoefte aan eenduidige algemene richtlijnen om gezondheidsproblemen het hoofd te kunnen bieden. Daarbij is samenwerking tussen organisaties op nationaal, Europees en internationaal niveau essentieel. De Nederlandse gedragscode voor gezondheidsonderzoek kan op nationaal vlak duidelijkheid bieden, maar zal niet alle problemen voor grensoverschrijdend onderzoek wegnemen. Alleen een geharmoniseerde Europese interpretatie van de AVG kan samenwerking tussen Europese onderzoeksinstellingen faciliteren. Mogelijk is de evaluatie door de Commissie dit voorjaar een eerste stap richting samenwerking tussen nationale toezichthouders en het delen van best practices. Voor nu is de beoogde harmonisatie van de toepassing van de AVG in de lidstaten echter nog toekomstmuziek.

Geschreven door Audrey Hergaarden. Voor nadere vragen over de betreffende artikelen in de AVG kunt u contact opnemen met Audrey Hergaarden via a.j.hergaarden [at] gmail.com.

Verantwoording

Voor dit onderzoek is gebruikt gemaakt van interviews met belanghebbenden en bronnenonderzoek. Daarnaast is er gebruik gemaakt van informatie opgedaan tijdens het ISC Seminar on challenges for health research arising from the GDPR, georganiseerd door Intelligence in Science op 19 november 2019, en de conferentie ‘GDPR en het onderzoeksbeleid’ op 6 november 2019, georganiseerd door de Vlaamse Interuniversitaire Raad, de Vlaamse Jonge Academie en het Vlaamse Departement Economie, Wetenschap & Innovatie.

Meer informatie:

Publicatie Parlement: Algemene Verordening Gegevensbescherming 2016/679
Publicatie EDPS: A Preliminary Opinion on data protection and scientific research
Publicatie EPRS: How the General Data Protection Regulation changes the rules for scientific research
Publicatie Commissie: General Data Protection Regulation shows results, but work needs to continue
Publicatie Commissie: How the EU determines if a non-EU country has an adequate level of data protection
Publicatie Raad: Council position and findings on the application of the GDPR
Artikel Neth-ER: Europese toezichthouder: "GDPR schiet tekort voor onderzoek"
Artikel Neth-ER: Nieuwe regels databescherming aangenomen
Artikel Neth-ER: The Voice of Patients on Data Protection
Artikel Neth-ER: Data protection in research: a healthy business?
Artikel Neth-ER: Wat doet de Commissie in 2020
Artikel Neth-ER: Geef uw mening over de toepassing van de AVG
Artikel Science Magazine: European data law is impeding studies on diabetes and Alzheimer’s, researchers warn
Artikel Irish Journal of Medical Science: GDPR: an impediment to research
Artikel Huisarts en Wetenschap: Privacywetgeving en wetenschappelijk onderzoek
Artikel Het Financieele Dagblad: Medisch onderzoek in het gedrang door strenge privacyregels
Artikel Het Financieele Dagblad: Minister, doe wat aan het privacyprobleem medisch onderzoek
Kamerbrief minister Bruins: Kamerbrief met reactie op artikel over secundair gebruik data

Lees meer over: 

Schrijf u in voor onze nieuwsbrief

Blijf op de hoogte van ons laatste nieuws.

Meer informatie nodig ?

Stel uw vraag aan één van onze medewerkers

Gerelateerde artikelen

Uw mening over publieke open data initiatief

De Commissie hoort graag uw mening over een initiatief rond het openstellen van datasets die een belangrijke socio-economische bijdrage kunnen leveren. U kunt tot en met 25 augustus feedback geven...

Lees meer

Geef uw mening over het impact assessment voor kunstmatige intelligentie

De Europese Commissie vraagt uw mening over het impact assessment voor de aankomende verordening over kunstmatige intelligentie. De consultatie over het impact assessment staat open tot en met 10...

Lees meer

Geef feedback voor een gezamenlijke Europese dataruimte

De Commissie vraagt up mening over de gezamenlijke Europese dataruimte. Deze is erop gericht om binnen Europa data beter te kunnen delen en hergebruiken en zou een grote stimulans moeten bieden voor...

Lees meer

EIC ondersteunt blockchain voor sociale innovatie

De EIC gaat 6 projecten ondersteunen die blockchain inzetten om maatschappelijke problemen aan te pakken. Onderling zullen zij 5 miljoen verdelen. Onder de winnaars bevindt zich de Nederlandse...

Lees meer