11 minute read
Milou Janssen & Rosanna Burm (Dirkzwager) - Gegevensuitwisseling bij samenwerkingen in het kader van wetenschappelijk onderzoek
from RGD Magazine 2021-2022 #3
by RGD
Mr. M.M.A. Janssen (advocaat) & R.H. Burm (werkstudent), beiden werkzaam bij Dirkzwager
Advertisement
1. Inleiding
In het kader van wetenschappelijk onderzoek kan het voor bijvoorbeeld een ziekenhuis relevant zijn om samen te werken met andere zorginstellingen of universiteiten. Dat gebeurt ook geregeld. Bij het gebruikmaken van patiëntgegevens voor wetenschappelijk onderzoek moet worden voldaan aan de regelgeving op het gebied van gegevensbescherming: de Algemene verordening gegevensbescherming (‘Avg’), de Uitvoeringswet Avg (‘UAvg’) en specifieke zorgwetgeving over de omgang met medische gegevens (o.a. de Wet op de geneeskundige behandelingsovereenkomst ‘Wgbo’). Deze wetgeving is omvangrijk en wordt vaak beschouwd als ingewikkeld. Doordat de privacyregelgeving strikt is, ontstaat een spanningsveld tussen de bescherming van de privacy van de patiënt en het belang van wetenschappelijk onderzoek voor de gezondheidszorg. Wij zullen hierna eerst beknopt ingaan op het wettelijk kader dat van toepassing is bij gegevensuitwisseling in het kader van wetenschappelijk onderzoek. Daarna komen een aantal stellingen aan bod die laten zien hoe ingewikkeld het doen van onderzoek met medische gegevens is in de praktijk. Wij zullen dit steeds toelichten met voorbeelden.
2. Beknopt overzicht wettelijk kader
Wanneer medische gegevens worden verstrekt aan een samenwerkingspartner ten behoeve van wetenschappelijk onderzoek, dient allereerst rekening te worden gehouden met de normen uit de (U)Avg. Persoonsgegevens over de gezondheid zijn ‘bijzondere persoonsgegevens’ in de zin van de Avg. Naast dat er aan de algemene beginselen in de Avg dient te worden voldaan, is er bij bijzondere persoonsgegevens zowel een ‘standaard’ als een ‘bijzondere’ rechtmatigheidsgrondslag nodig voor deze verwerking (zie respectievelijk artikel 6 en artikel 9 Avg).1
De gronden die relevant zijn in artikel 6 Avg zijn: (sub a) toestemming van de betrokkene en (sub f) gerechtvaardigd belang van een verwerkingsverantwoordelijke of derde. Het uitgangspunt is dat aan een patiënt voorafgaand aan het wetenschappelijk onderzoek toestemming dient te worden gevraagd. Deze toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig worden gegeven.2 Belangrijk is onder andere dat de patiënt toestemming geeft voor een specifiek doeleinde van het onderzoek. De Avg houdt er rekening mee dat het vaak niet mogelijk is om op het moment van het verzamelen van de gegevens het doel van het onderzoek volledig te omschrijven. Toestemming kan daarom worden gevraagd voor bepaalde onderzoeksterreinen of onderdelen van onderzoeksprojecten (overweging 33 Avg). De Europese toezichthouder, de European Data Protection Board, is echter strenger: de mogelijkheid beschreven in overweging 33 is alléén van toepassing in gevallen waarin doeleinden voor het onderzoek aanvankelijk niet kunnen worden gespecificeerd.3 Een andere relevante grondslag is de grondslag gerechtvaardigd belang (artikel 6 lid 1 sub f Avg). Op grond hiervan mogen persoonsgegevens worden verwerkt als dat noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, als de belangen,
1 Vanwege de omvang van deze bijdrage beperken wij ons tot de hoofdlijnen. Voor een uitgebreidere beschrijving van de toepasselijke Avg-bepalingen verwijzen wij naar: Ploem, Rigter & Gevers, ‘Medisch data-onderzoek in het AVG-tijdperk: een zoektocht naar de juiste regels’, TvGR 2020, afl. 2, p. 162-181. 2 Zie ook de richtsnoeren van de European Data Protection Board: EDPD, Richtsnoeren inzake toestemming (05/2020), Brussel: 4 mei 2020, te raadplegen via: https://edpb.europa.eu/sites/default/files/files/file1/ edpb_guidelines_202005_consent_nl.pdf
3 Richtsnoeren EDPB 2020, p. 35-36.
grondrechten en fundamentele vrijheden van de betrokkene niet zwaarder wegen. Betoogd kan worden dat het doen van wetenschappelijk onderzoek onder omstandigheden kwalificeert als een gerechtvaardigd belang van de onderzoeker.
Artikel 9 Avg verbiedt de verwerking van bijzondere persoonsgegevens, maar formuleert ook een aantal uitzonderingen op dit verwerkingsverbod: (sub a) uitdrukkelijke toestemming (zie hiervoor)1 en (sub j) noodzakelijk met het oog op wetenschappelijk onderzoek. Bij een beroep op de laatste grondslag moet worden voldaan aan vier cumulatieve voorwaarden (artikel 24 UAvg): a. de verwerking is noodzakelijk voor het onderzoek; b. het onderzoek dient een algemeen belang; c. het vragen van uitdrukkelijke toestemming blijkt onmogelijk of vergt een onevenredige inspanning; d. er is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.
Ook de Wgbo bevat bepalingen over het verstrekken van gegevens in het kader van wetenschappelijk onderzoek (artikel 7:457-458 BW). De wetgever heeft over de verhouding tussen artikel 24 UAvg en artikel 7:458 BW opgemerkt dat artikel 7:458 BW een lex specialis is en daarmee onverkort van toepassing is.2
De hoofdregel op grond van artikel 7:457 lid 1 BW is dat aan anderen dan de patiënt3 geen inlichtingen
1 Zie voor meer informatie EDPB 2020, p. 2324. 2 Kamerstukken II 2017/18, 34851, nr. 3, p. 104. 3 Onder anderen dan de patiënt worden op grond van artikel 7:457 lid 2 BW niet verstaan degenen die rechtstreeks zijn betrokken bij de uitvoering van de behandelingsovereenkomst en degene die optreedt als vervanger van de hulpverlener, voor zover de verstrekking aan deze personen noodzakelijk mogen worden verschaft over de patiënt dan wel inzage in of afschrift van zijn dossier mag worden verstrekt. Een van de uitzonderingen op deze geheimhoudingsplicht is dat de patiënt toestemming heeft gegeven voor die inlichtingen-, inzage- of afschriftverstrekking. Deze hoofdregel geldt ook bij de uitwisseling van gegevens ten behoeve van wetenschappelijk onderzoek.
Artikel 7:458 BW maakt het mogelijk dat in geval van statistiek of wetenschappelijk onderzoek op het gebied van de volksgezondheid toch zonder toestemming inlichtingen over of inzage in gegevens betreffende de patiënt mogen worden verstrekt aan een ander dan de patiënt. Dat kan slechts in twee limitatieve gevallen: a. het vragen van toestemming is in redelijkheid niet mogelijk én er zijn waarborgen ingesteld waardoor de persoonlijke levenssfeer van de patiënt niet onevenredig wordt geschaad; of b. het vragen van toestemming kan gelet op de aard en het doel van het onderzoek in redelijkheid niet worden verlangd én de hulpverlener heeft ervoor zorggedragen dat herleidbaarheid van de gegevens tot individuele natuurlijke personen redelijkerwijs wordt voorkomen. Deze twee uitzonderingen moeten beperkt worden uitgelegd. Zo kan niet worden gezegd dat het vragen van toestemming in redelijkheid niet mogelijk is als het vragen van toestemming het onderzoek te duur zou maken of het onderzoek zou vertragen. Áls een van deze twee uitzonderingssituaties al kan worden ingeroepen, moet daarnáást nog aan de volgende cumulatieve voorwaarden worden voldaan: (i) het onderzoek dient een algemeen belang; (ii) het onderzoek kan niet zonder de desbetreffende gegevens worden uitgevoerd (noodzakelijkheidseis) en (iii) de patiënt heeft geen uitdrukkelijk bezwaar gemaakt tegen de verstrekking. Voor uitzonderingssi-
is voor hun werkzaamheden. Verder bevat lid 3 een uitzondering voor de wettelijk vertegenwoordiger.
tuatie b. geldt daarnaast als aanvullende voorwaarde dat het verplicht is gebruik te maken van pseudonieme gegevens (hier komen wij later in paragraaf 3 nog uitgebreider op terug).
Alleen als wordt voldaan aan de voorwaarden gesteld in de Avg, UAvg én de Wgbo is het mogelijk patiëntgegevens te verstrekken aan een samenwerkingspartner ten behoeve van wetenschappelijk onderzoek.
3. Stellingen
3.1 In het kader van wetenschappelijk onderzoek is het makkelijk om de gegevens te anonimiseren
Wanneer gegevens anoniem zijn, is de Avg niet van toepassing. Anonieme gegevens zijn namelijk geen persoonsgegevens omdat ze niet tot een natuurlijk persoon herleidbaar zijn. Voor wetenschappelijk onderzoek betekent dat concreet dat aan de patiënt geen toestemming hoeft te worden gevraagd om de eenmaal geanonimiseerde gegevens te verwerken en ook geen andere rechtmatigheidsgrondslag hoeft te worden gevonden. Wél kan het anonimiseren zelf, dus het anoniem maken van de gegevens, worden beschouwd als een verwerking én is het niet eenvoudig om gegevens te anonimiseren. Het simpelweg verwijderen van de voor- en achternaam is onvoldoende. Wanneer bekend is wat de geboortedatum, zeldzame aandoening en relevante medische voorgeschiedenis is van een bepaalde patiënt, kan zonder al te veel moeite worden achterhaald wie het betreft. Meer weglaten kan echter ten koste gaan van de inhoud van het onderzoek. Kortom, de Avg is vrij snel van toepassing als gebruik wordt gemaakt van verschillende patiëntgegevens. In dat geval gaat het om persoonsgegevens en is de Avg van toepassing.
3.2 Als mijn samenwerkingspartner beschikt over de ‘koppelsleutel’ zijn voor mij de onderzoeksgegevens anoniem
Anoniem is niet hetzelfde als pseudoniem. Pseudonieme gegevens zijn gegevens die door het gebruik van aanvullende gegevens (een bepaalde sleutel bijvoorbeeld) aan een natuurlijke persoon kunnen worden gekoppeld, waardoor die persoon kan worden geïdentificeerd. Voor de kwalificatie als pseudonieme gegevens is vereist dat deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld (artikel 4 sub 5 Avg). Dat neemt niet weg dat gepseudonimiseerde gegevens – anders dan anonieme gegevens – wél persoonsgegevens zijn in de zin van de Avg, omdat deze gegevens herleidbaar zijn tot de betrokkene. Gegevens kunnen worden gepseudonimiseerd door aan elke patiënt een unieke code toe te wijzen, waarna slechts een van de samenwerkingspartners beschikt over de ‘koppelsleutel’. De andere samenwerkingspartner beschikt alleen over de codes die horen bij de patiënt en weet daarmee niet wie het betreft. Daarmee zijn het nog geen anonieme gegevens. Gegevens zijn pas anoniem als een patiënt onomkeerbaar niet te identificeren is door zowel de verwerkingsverantwoordelijke als door enige andere derde. Het maakt daarom voor de kwalificatie als persoonsgegevens niet uit bij welke organisatie het koppelbestand zich bevindt. Het herleiden is niet zó ingewikkeld dat alsnog gesproken kan worden van anonieme gegevens. Dit zou enkel het geval zijn als de patiënt niet of slechts met disproportionele aanwending van geld, mankracht of middelen kan worden achterhaald.
3.3 Wanneer het verstrekken van de patiëntgegevens aan een externe samenwerkingspartner noodzakelijk is met het oog op wetenschappelijk onderzoek hoef ik geen toestemming te vragen
Dat de gegevens noodzakelijk zijn met het oog op wetenschappelijk onderzoek dat de samenwerkingspartner zal uitvoeren, is op zichzelf nog niet voldoende om zonder toestemming van deze gegevens
gebruik te mogen maken. Daarvoor dient aan artikel 6 sub f Avg, artikel 9 sub j Avg i.c.m. artikel 24 UAvg én artikel 7:458 BW te worden voldaan. Dat is niet eenvoudig. In veel gevallen loopt het stuk omdat het vragen van toestemming niet onmogelijk is of geen onevenredige inspanning kost (artikel 24 sub c UAvg). Artikel 7:458 lid 1 BW bevat in dat kader soortgelijke bewoordingen. Hoe urgent en belangrijk het onderzoek ook is en hoeveel gegevens er ook al bij de samenwerkingspartner klaarliggen, zonder toestemming mogen deze gegevens in beginsel niet worden gebruikt. Onder omstandigheden kan het zo zijn dat wel aan de genoemde vereisten kan worden voldaan, bijvoorbeeld bij een zeer grootschalig onderzoek dat een algemeen belang dient, mits de patiënt geen bezwaar heeft gemaakt. De wetgever heeft op dit punt echter geen getallen genoemd voor wat betreft de omvang van het onderzoek. Wij gaan er hierbij van uit dat het echt moet gaan om zeer grote aantallen, in ieder geval honderden patiënten.
3.4 Wanneer de patiënt meerdere keren niet reageert op een schriftelijk verzoek om toestemming, mag ervan worden uitgegaan dat de patiënt geen bezwaar heeft en mogen de gegevens worden verstrekt aan mijn samenwerkingspartner
Wanneer een schriftelijk verzoek om toestemming wordt verstuurd, is ervoor gekozen gegevens te verwerken op basis van de rechtmatigheidsgrondslag ‘toestemming’. Kennelijk is het mogelijk om de patiënt om toestemming te vragen en kan het vragen van toestemming ook van de zorgaanbieder worden verlangd. Dat wordt niet anders als de patiënt twee keer niet reageert. Het is niet mogelijk om om die reden te wisselen naar een van de andere grondslagen waarin geen toestemming hoeft te worden gevraagd. Bovendien moet de grondslag voor de verwerking van persoonsgegevens zijn bepaald vóór de verwerking. De EDPB geeft in de richtsnoeren duidelijk aan dat de verwerkingsverantwoordelijke toestemming niet voor een andere rechtsgrond kan verruilen.1 Bij
1 Richtsnoeren EDPB 2020, p. 29. het uitblijven van toestemming kunnen de gegevens van die patiënt dus niet worden gebruikt voor het onderzoek.
3.5 Als de patiënt toestemming heeft gegeven voor mijn onderzoek, mag ik deze gegevens aan mijn samenwerkingspartner verstrekken voor vervolgonderzoek
Wanneer (i) onderzoekers voor hun nieuwe onderzoek buiten de doelstelling van het eerdere onderzoek of de database treden of afwijken van de voorwaarden waaronder het eerdere onderzoek is uitgevoerd of de database is opgericht of (ii) een andere onderzoeker de database gaat gebruiken, moet worden bezien 1) of toestemming is vereist op grond van de Wgbo en 2) of daarvoor gelet op het doelbindingsbeginsel een (nieuwe) rechtmatigheidsgrondslag van de Avg nodig is. Wanneer dezelfde onderzoeker aanvullend onderzoek wil verrichten, is, afhankelijk van de oorspronkelijke doelstelling, eventueel opnieuw toestemming vereist. Het draait om de vraag of het nieuwe onderzoek ‘onverenigbaar’ is met het doel van het oorspronkelijke onderzoek. Artikel 6 lid 4 Avg geeft regels aan de hand waarvan wordt beoordeeld of sprake is van (on)verenigbaarheid. Bij een verdere verwerking voor een verenigbaar doel, is geen nieuwe rechtsgrondslag vereist.2 In het geval van de tweede situatie heeft de samenwerkingspartner als ‘nieuwe onderzoeker’ een zelfstandige rechtsgrondslag nodig. De patiënt heeft immers geen toestemming gegeven om zijn gegevens te gebruiken door de samenwerkingspartner. De toestemming is specifiek gegeven voor de oorspronkelijke onderzoeker.
3.6 Wanneer een patiënt is overleden, mag ik de gegevens verstrekken aan mijn samenwerkingspartner
2 Kamerstukken II 2017/18, 34851, nr. 3, p. 3738.
De Avg is niet van toepassing op personen die zijn overleden (overweging 27 Avg). Dit neemt niet weg dat de regels in de Wgbo van toepassing zijn. De Wgbo heeft als uitgangspunt dat het beroepsgeheim van kracht blijft, ook als de patiënt inmiddels is overleden. Ook na overlijden is een grondslag nodig om het beroepsgeheim te kunnen doorbreken. In dit geval is de uitzonderingsgrond van artikel 7:458 BW ‘het vragen van toestemming is in redelijkheid niet mogelijk’, van toepassing. Om de medische gegevens te mogen verstrekken aan een samenwerkingspartner moet vervolgens nog wel worden voldaan aan de overige vereisten die artikel 7:458 BW stelt aan de verstrekking. Zo dienen er onder andere voldoende waarborgen te worden ingebouwd die ervoor zorgen dat de persoonlijke levenssfeer van de (overleden) patiënt niet onevenredig wordt geschaad.
4. Tot besluit
Wil je meer informatie over gegevensuitwisseling in het kader van wetenschappelijk onderzoek? Neem dan gerust contact met ons op. mr. Milou Janssen
Rosanne Burm
