Een DPIA is een Data Protection Impact Assessment, oftewel een gegevensbeschermings-effectbeoordeling. Deze is op grond van de AVG in bepaalde gevallen verplicht. Wat is dit en wat is het niet? Wanneer is deze verplicht? En wat is de rol van de functionaris gegevensbescherming?
Europees recht
De EHDS is Europees recht. Maar wat is dat eigenlijk? Werkt dat rechtstreeks? Wat is het verschil tussen een richtlijn en een verordening? Zet Europees recht altijd nationaal recht opzij? Mag de EU eigenlijk wel regels schrijven over Volksgezondheid? Wat houdt de EHDS-uitvoeringswetgeving in? En mag de privacy méér beschermd worden dan Europa voorschrijft?
Vroeger werden tussen staten verdragen gesloten. In eerste instantie waren dat contracten tussen de machtshebbers, met uitsluitend verplichtingen voor die machthebbers zelf. Later werden in verdragen ook rechten en plichten van burgers opgenomen. Vervolgens kwam de Europese Unie. Dit betrof iets geheel anders dan een internationale organisatie of een verdrag. Er werd een nieuwe overheidslaag in het leven geroepen; Europa werd een federatie vergelijkbaar met de Verenigde Staten. De EU schrijft wetgeving die rechtstreeks doorwerkte in de nationale rechtsorde, ongeacht of een Europees land dat nu wilde of niet. Daarom is er regelmatig discussie over de vraag of de EU wel bevoegd is om over een bepaald onderwerp regels te schrijven.
De EU heeft bevoegdheden gekregen op het gebied van de economie (het vrije verkeer van personen, goederen, diensten en financiën), maar was niet bevoegd ten aanzien van (oa) openbaarheid van bestuur of de volksgezondheid. Vervolgens veranderde de visie op data; deze worden nu gezien als een economisch goed, waarover de EU dus wel wetten mag schrijven. Ook zag men in dat het vrije verkeer eigenlijk uitsluitend kon functioneren als er ook een onderliggend vrij verkeer van data ontstond. In dat kader is de EU gaan werken aan een Europese data-strategie, waarbij amper betwist is dat de EU bevoegd is tot het creëren van een vrij verkeer van data, gelijk aan het vrije verkeer van goederen en diensten. De competentie (bevoegdheid regels te schrijven) ten aanzien van de volksgezondheid wordt nu – versneld door Corona – van de nationale landen verplaatst naar Brussel; er wordt gewerkt aan een Europese Volksgezondheidstrategie. Maar ten aanzien daarvan wordt nog wel benadrukt dat de competentie primair bij de lidstaten ligt.
Het unieke van de EU is dus dat het (bij de onderwerpen waartoe ze bevoegdheden heeft gekregen) in de kern een federatie is, een nieuwe bestuurslaag. Europees recht werkt rechtstreeks, of een land dat nu wil of niet. De EHDS wordt dus straks een rechtstreeks werkende wet, waar men zich in de rechtbank direct op kan beroepen. De EHDS is namelijk een verordening. Er worden door de EU ook richtlijnen geschreven. Richtlijnen zijn eigenlijk opdrachten aan nationale staten om bepaalde wetten te schrijven, waarbij nog enige vrijheid wordt gelaten hoe dat wordt vormgegeven. Toch geldt voor beiden dat je je er niet zomaar aan kan onttrekken (al kan je natuurlijk altijd uit de EU stappen, maar dat is een wat extreme manier).
Ondanks dat een Verordening dus (anders dan een richtlijn) rechtstreeks werkt als wet, moet er meestal wel een Uitvoeringswet bij geschreven worden, zoals ook de Uitvoeringswet-AVG. Dergelijke wetten zijn nodig om een Europese wet in te passen in ons nationale systeem; zo moet een EHDS-vergunningenstelsel aansluiten op wat is bepaald in de Algemene Wet Bestuursrecht over vergunningen. Er moeten ook vaak instanties worden aangewezen; in het geval van de EHDS dus de HDAB. Daarnaast moeten in de uitvoeringswet kwesties geregeld worden, die in de Verordening expliciet worden opengelaten, of ten aanzien waarvan de lidstaten een opdracht krijgen; een op een Richtlijn-lijkende taakstelling. Zo begint artikel 13(1) van de EHDS met de woorden: “De lidstaten zorgen ervoor dat…”
Bij het schrijven van dergelijke uitvoeringswetgeving, moet bovendien gelet worden op de vraag of een regel bedoeld is als minimum- of maximumharmonisatie. Bij minimumharmonisatie wordt er een ondergrens gegeven; alle lidstaten moeten minstens een bepaald niveau aan rechtsbescherming bieden, maar meer is ook goed. Bij maximumharmonisatie moet precies die regel ingevoerd worden. Er mag niet vanaf geweken worden, wat nog weleens over het hoofd wordt gezien ten aanzien van de AVG. Er dient bij het schrijven van Uitvoeringswetgeving bij Europees recht, dus altijd te worden gekeken: (1) hoe het geheel ingepast moet worden in de nationale wetgeving, (2) op welke onderdelen er duidelijke keuzes aan de landen wordt gelaten en (3) welke onderdelen minimum dan wel maximumharmonisatie betreffen en of afwijkingen dus zijn toestaan.
Tot slot; er bestaan regels betreffende de hiërarchie tussen regels, als bij de rechter blijkt dat ze echt met elkaar in strijd zijn; de zogeheten conflictregels. Er zijn er drie: (i) hoger recht gaat altijd voor lager recht, (ii) een bijzondere regel gaat voor op algemene regels en (iii) nieuwe regels over hetzelfde onderwerp gaan voor op oudere regels. Deze drie worden in deze volgorde toegepast. Dit betekent onder meer dat de WGBO (Nederlands recht) nooit Europees recht opzij kan zetten, want dat is hoger recht. Nationaal recht zoals de WGBO kan uitsluitend Europese regels opzijzetten, als die Europese regels expliciet aangeven dat dit mag. We moeten de tekst van de EHDS dus goed te bestuderen, om te beoordelen of ons Nederlandse recht daarmee in strijd is en als dat het geval is, of dat wel mag. Als het niet mag, dan geldt de Nederlandse regel automatisch niet meer.
Medisch wetenschappers die data bijeen proberen te krijgen voor (onbetwist nuttig) onderzoek, worden nog weleens geconfronteerd met een weigering vanwege “doelbinding.” Zo was er iemand die data had verzameld voor onderzoek naar onverklaarbare oversterfte na Corona. Toen ze vervolgens diezelfde data wilde gebruiken voor onderzoek naar Long-Covid, werd dat niet toegestaan. Doelbinding! Maar klopt dat wel?
De EHDS beoogt meer gezondheidsdata beschikbaar te maken voor nuttig hergebruik door het veiliger te maken. De AVG blijft gewoon naast de EHDS gelden. Die bepaalt reeds dat dit hergebruik is toegestaan als er sprake is van een goed doel (zoals wetenschappelijk onderzoek), als de wet gevolgd wordt en als er maatregelen zijn genomen. Wat dat betreft brengt de EHDS niets nieuws. Toch is het revolutionair, wat er staat te gebeuren, onder meer omdat wetenschappers indirect een recht op data krijgen.