De stand van zaken
De Algemene Verordening Gegevensbescherming (AVG) is sinds 25 mei 2018 van kracht en betreft de verwerking van Europese persoonsgegevens binnen en buiten de EU. Ter verduidelijking van de regels zou men achteraf richtlijnen en adviezen opstellen. Deze manier van implementatie zorgt echter voor onduidelijkheid en brengt vertraging in onderzoeksprojecten teweeg, zo blijkt uit eigen onderzoek. De aanhoudende onduidelijkheid leidt bovendien tot minder samenwerkingen in gezondheidsonderzoek.
Wat veranderde de AVG
De AVG liet de uitvoering van gezondheidsonderzoek in zekere zin onveranderd, maar stelt wel extra eisen aan onderzoekers. Geldende regels en gedragscode, zoals de Nederlands code Goed Gedrag, blijven immers van kracht. Tegelijkertijd moet er nu aan extra voorwaarden worden voldaan. Zo moet onderzoekers expliciet toestemming vragen om persoonsgegevens te gebruiken en op te slaan en een informatieregister bijhouden. Bovendien zijn er strenge regels voor het anonimiseren van data en de bewaartermijnen. Om onderzoekers niet onnodig te belemmeren, voorziet de AVG in een aantal uitzonderingen voor bijvoorbeeld wetenschappelijk, historisch of statistisch onderzoek (art. 89). Ook gelden er andere regels voor genetische, biometrische en gezondheidsgegevens (art. 9). Helaas kunnen deze uitzonderingen niet alle hinder voorkomen. Gecombineerd met de dreiging van hoge sancties, hebben de strenge regels een verstikkende werking op het gezondheidsonderzoek.
Huidige problemen
Er doen zich twee kernproblemen voor in gezondheidsonderzoek, namelijk onduidelijkheid over de regels in de praktijk en verschillen in de toepassing van regelgeving tussen én binnen landen.
Onduidelijkheid
Er zijn veel uitzonderingen van toepassing op gezondheidsonderzoek, maar onduidelijk is wanneer en voor wie deze uitzondering gelden.
- Welke partijen mogen bijvoorbeeld gebruikmaken van de uitzonderingen als het gaat om verwerking voor wetenschappelijk of historisch onderzoek of statistische doeleinden? Instellingen in Nederland hanteren bijvoorbeeld de code Goed Gedrag voor gezondheidsonderzoek, maar deze is niet altijd van toepassing op private bedrijven. Kunnen dergelijke bedrijven wel gebruikmaken van de uitzonderingen voor wetenschappelijk onderzoek?
- Een ander probleem is het secundair gebruik van persoonsgegevens. Volgens de AVG behoudt een betrokkene altijd de controle over zijn/haar gegevens. In medisch onderzoek is het echter vaak niet mogelijk om ten tijde van de gegevensverzameling het toekomstig gebruik definitief vast te stellen. Betrokken kunnen daarom toestemming geven voor secundair gebruik, zodat hier in de toekomst niet opnieuw toestemming voor gevraagd hoeft te worden. De eisen zijn echter breed geformuleerd en vanwege de diverse en uiteenlopende scenario’s binnen gezondheidsonderzoek niet vanzelfsprekend toepasbaar, zoals afgelopen najaar in de Tweede Kamer werd besproken.
- In sommige gevallen kan men secundair gebruik maken van gegevens zonder dat hier vooraf toestemming is verleend, maar ook hier blijft onduidelijk wanneer men aan de waarborgen voldoet. Stel dat een onderzoeker de informatie niet direct van de betrokkene verkrijgt, maar van een huisarts. De onderzoeker kan dan volgens de AVG afwijken van het recht van de betrokkene om bezwaar te maken, maar het is onduidelijk aan welke randvoorwaarden moet worden voldaan.
Harmonisatie
Volgens de AVG mogen lidstaten de regels licht aanpassen aan hun eigen omstandigheden. Dit brengt echter het risico van een lappendeken aan verschillende regels mee, waardoor men het doel van één regeling voor heel Europa voorbijschiet.
- Lidstaten hanteren verschillende definities van wetenschappelijk onderzoek, waardoor de uitzonderingen anders van toepassing zijn. Dit leidt er bijvoorbeeld toe dat Vlaamse en Nederlandse onderzoekers aan verschillende voorwaarden moeten voldoen wanneer ze gebruikmaken van persoonsgegevens in gezondheidsonderzoek.
- Bovendien zijn er nog geen eenduidige regels over onderzoekssamenwerking met derde landen. Derde landen kunnen een zogeheten adequacy agreement afsluiten, maar dit biedt niet altijd een oplossing. Zo blijkt dat de AVG intercontinentaal onderzoek naar Alzheimer’s en diabetes belemmert, ondanks een overeenkomst met de Verenigde Staten. Het valt nog te bezien hoe onderzoekssamenwerking met landen zonder adequacy agreements verloopt, waaronder Australië en Zuid-Korea.
- Tenslotte blijkt dat ook binnen Nederland onderzoeksinstellingen de regelgeving verschillend interpreteren of dat deze niet goed aansluit op andere (gedrags-)regels. Zo moeten onderzoekers binnen universitaire medische centra hun onderzoeksvoorstel vaak laten goedkeuren door een functionaris gegevensbescherming, een ethische commissie én de algemene onderzoekscommissie.
Hoe verder?
Op dit moment werkt de Commissie aan een evaluatie van de AVG, waarvoor men tot 29 april input kan leveren. De Commissie is wettelijk verplicht iedere vier jaar de AVG te evalueren, waarvan de eerste volgens art. 97 uiterlijk 25 mei moet hebben plaatsgevonden. Vorig jaar kwam de Commissie al met een tussentijdse evaluatie. Naar aanleiding hiervan riep de Raad de Commissie op om de evaluatie een bredere omvang te geven dan enkel de vereiste punten, juist vanwege het belang en de impact van de AVG.
Binnen Nederland werkt de commissie regelgeving onderzoek (COREON) van de Federatie van Medisch Wetenschappelijke Verenigingen aan een herziening van de eerder benoemde code Goed Gedrag. Deze code geldt sinds 2004 als gedragscode voor het uitvoeren van gezondheidsonderzoek. De code zal waarschijnlijk verder toegespitst worden op de AVG en moet daarmee bestaande onduidelijk- en tegenstrijdigheden wegnemen. Deze herziening is in november 2019 van start gegaan en wordt naar verwachting in het eerste kwartaal van 2021 afgerond.
Beleidsaanbevelingen
Om het hoofd te bieden aan deze problemen is het belangrijk dat de bestaande onduidelijkheid wordt weggenomen en een lappendeken aan regels wordt voorkomen. De volgende vier beleidsaanbevelingen, van internationaal tot lokaal niveau, kunnen hier een oplossing voor bieden:
- Er is in het onderzoeksveld behoefte aan ‘Brede toestemming’. Hiermee wordt bedoeld dat onderzoekers kunnen afwijken van het ‘opt-in’ systeem waar informed consent de basis vormt, naar een systeem waar een ‘opt-out’ systeem geldt. Om dit te bewerkstellingen moet de Europese toezichthouder European Data Protection Board (EDPB) de regelgeving aanpassen op basis van de behoeften uit het veld. Een uniform signaal vanuit het veld kan deze ontwikkeling bespoedigen, bijvoorbeeld in antwoord op een onderzoek door de board.
- Duidelijke gedragscodes voor gezondheidsonderzoek zijn nodig. Hierbij gaat de voorkeur uit naar een universele Europese gedragscode voor gezondheidsonderzoek, maar ook nationale codes zouden helpen. Onderzoekers weten zich in deze behoefte gesteund door de European Data Protection Supervisor, die benadrukt dat een Europese gedragscode voor wetenschappelijk onderzoek harmonisatie kan bewerkstelligen. Bovendien biedt een gedragscode veiligheidskaders voor niet-publieke onderzoeksorganisaties die niet of in mindere mate gebonden zijn aan ethische kaders. In Nederland proberen federa/COREON ook in deze behoefte te voorzien.
- Er zijn veel vragen over het anonimiseren van persoonsgegevens voor onderzoeksdoeleinden. Hierbij is de meest logische gang van zaken dat de EDPB een duidelijke handleiding opstelt hoe men aan de eisen kan voldoen. Bij voorkeur zou hierbij onderscheid worden gemaakt tussen de verschillende vormen van onderzoek, waaronder specifiek voor gezondheidsonderzoek.
- Nadat de regels zijn verduidelijkt, moet deze informatie verspreid worden. Onderwijs en cursussen kunnen onduidelijkheden wegnemen en de toepassing van de AVG in de onderzoekswereld versterken. Vooral de nieuwe generatie onderzoekers zal hier baat bij hebben. Dit kan het beste nationaal georganiseerd worden, een nieuwe lappendeken te creëren.
Conclusie
De discussie over de verwarrende toepassing van de AVG is niet nieuw. Zorgelijk is dat gezondheidsonderzoek hierdoor onder druk komt te staan. Onderzoekers zien door de vele regels en interpretaties niet meer welke uitzondering op hen van toepassing is. Daarom is er behoefte aan eenduidige algemene richtlijnen om gezondheidsproblemen het hoofd te kunnen bieden. Daarbij is samenwerking tussen organisaties op nationaal, Europees en internationaal niveau essentieel. De Nederlandse gedragscode voor gezondheidsonderzoek kan op nationaal vlak duidelijkheid bieden, maar zal niet alle problemen voor grensoverschrijdend onderzoek wegnemen. Alleen een geharmoniseerde Europese interpretatie van de AVG kan samenwerking tussen Europese onderzoeksinstellingen faciliteren. Mogelijk is de evaluatie door de Commissie dit voorjaar een eerste stap richting samenwerking tussen nationale toezichthouders en het delen van best practices. Voor nu is de beoogde harmonisatie van de toepassing van de AVG in de lidstaten echter nog toekomstmuziek.
Geschreven door Audrey Hergaarden. Voor nadere vragen over de betreffende artikelen in de AVG kunt u contact opnemen met Audrey Hergaarden via a.j.hergaarden [at] gmail.com.
Verantwoording
Voor dit onderzoek is gebruikt gemaakt van interviews met belanghebbenden en bronnenonderzoek. Daarnaast is er gebruik gemaakt van informatie opgedaan tijdens het ISC Seminar on challenges for health research arising from the GDPR, georganiseerd door Intelligence in Science op 19 november 2019, en de conferentie ‘GDPR en het onderzoeksbeleid’ op 6 november 2019, georganiseerd door de Vlaamse Interuniversitaire Raad, de Vlaamse Jonge Academie en het Vlaamse Departement Economie, Wetenschap & Innovatie.
