Een DPIA is een Data Protection Impact Assessment, oftewel een gegevensbeschermings-effectbeoordeling. Deze is op grond van de AVG in bepaalde gevallen verplicht. Wat is dit en wat is het niet? Wanneer is deze verplicht? En wat is de rol van de functionaris gegevensbescherming?
Waarom de EHDS?
EHDS staat voor European Health Data Space. Het is een Europese wet die rechtstreeks in Nederland zal gelden, zoals ook de AVG. De Europese Unie heeft decennia geleden al het vrije verkeer van personen, goederen, kapitaal en diensten geïntroduceerd. De interne grenzen binnen de EU werden zoveel mogelijk afgeschaft. Het doel hiervan was economische groei, naast o.a. het ingewikkelder maken van een oorlog. Al snel realiseerde Brussel zich, dat dit vrije verkeer niet goed zou functioneren zonder vrij verkeer van data. Er moest dus ook een Europese, grensvrije data ruimte komen. De AVG was de eerste stap daartoe; om de vrije stroom van data te realiseren, moest in Europa de gegevensbescherming gelijkgetrokken worden. Privacy beschermen kunnen landen zelf ook wel, maar juist voor het realiseren van een vrij verkeer van data, was uniforme gegevensbescherming nodig.
Een data wetgevingsmatrix
Er is vervolgens een Europese datastrategie uitgewerkt, die zich het beste laat omschrijven als een wetgevingsmatrix. Enerzijds zijn er regels over alle data, ongeacht de inhoud. Deze zijn terug te vinden in de AVG, de Wet hergebruik overheidsinformatie, de Data Verordening en de Data Governance Verordening. Anderzijds zijn (en komen) er regels over bepaalde soorten data. Daartoe zijn er negen Data Spaces aangewezen, waaronder financiële data, vervoersdata en dus ook gezondheidsdata. Men moet zich dus bij het lezen van de EHDS bedenken dat deze wet uitsluitend goed te begrijpen is, als radartje in een groter geheel van wetten die elkaar aanvullen: Europese wetten zoals de AVG en de overige datawetgeving, maar ook Nederlandse wetgeving zoals de algemene wet bestuursrecht.
Economisch perspectief op zorg
De EHDS heeft als doel om de gezondheidszorg in Europa te verbeteren door een vrij verkeer van patiënten, zorgverleners en medisch wetenschappers te realiseren. Men verwachtte dat het vrije verkeer van goederen zou leiden tot economische groei en betere producten, en dat bleek te kloppen. Er werden ondersteunende regels geschreven, zoals dat je in de hele EU je online-bestelde producten binnen twee weken mag terugsturen. Consumenten krijgen zo het vertrouwen dat je rechtstreeks kan bestellen in heel Europa. Een goede Italiaanse bio-boer, kan zo de wijnmarkt in Wassenaar bedienen; prijzen gaan omlaag, kwaliteit omhoog. Men verwacht dat dergelijke voordelen ook in de zorg te realiseren zijn. Het is de bedoeling dat bijvoorbeeld Nederlandse radiologen MRI’s uit de gehele EU kunnen beoordelen. Brussel verwacht dat de zorg daarmee goedkoper en beter zal worden.
Bredere databeschikbaarheid
Daarnaast wil de EHDS innovatie stimuleren door gezondheidsdata beschikbaar te maken voor nuttig hergebruik. Universiteiten, ondernemingen of burgers kunnen straks allemaal een vergunning aanvragen om met gezondheidsdata te mogen werken. Of je deze vergunning krijgt, wordt beoordeeld aan de hand van de vraag of je een nuttig doel nastreeft zoals onderwijs, wetenschappelijk onderzoek, statistiek, maar ook het ontwikkelen van nieuwe producten, of het trainen van AI-systemen. Het besluit op je aanvraag, kun je zo nodig voorleggen aan een rechter, die kan toetsen aan onder meer het discriminatieverbod of de wetenschappelijke vrijheid. Het is dan bijvoorbeeld niet meer toegestaan dat een academisch ziekenhuis wel data deelt met een medici, maar niet met wetenschappers van de informatica faculteit.
Binnen strakke wettelijke kaders
Onzorgvuldigheid met gezondheidsgegevens, is ongemakkelijk, onethisch en onrechtmatig. Delen mag volgens de AVG alleen als er voldoende “technische en organisatorische waarborgen” zijn. De EHDS schrijft voor wat dit inhoudt. Er moet (uitzonderingen daargelaten) een vergunning worden aangevraagd bij de Health Data Access Body; een nieuw overheidsorgaan. In de vergunning staan de exacte voorwaarden opgenomen en ook de EHDS bevat een lijst van dingen die men niet met de data mag doen. Op schending van die voorwaarden staan boetes. Men krijgt vervolgens niet de data, maar toegang tot de data in een beveiligde verwerkingsomgeving. Zo zou er in de hele Unie op een veilige manier meer kennis beschikbaar moeten komen. We hebben namelijk behalve een recht op gegevensbescherming, ook recht op informatie.
Medisch wetenschappers die data bijeen proberen te krijgen voor (onbetwist nuttig) onderzoek, worden nog weleens geconfronteerd met een weigering vanwege “doelbinding.” Zo was er iemand die data had verzameld voor onderzoek naar onverklaarbare oversterfte na Corona. Toen ze vervolgens diezelfde data wilde gebruiken voor onderzoek naar Long-Covid, werd dat niet toegestaan. Doelbinding! Maar klopt dat wel?
De EHDS beoogt meer gezondheidsdata beschikbaar te maken voor nuttig hergebruik door het veiliger te maken. De AVG blijft gewoon naast de EHDS gelden. Die bepaalt reeds dat dit hergebruik is toegestaan als er sprake is van een goed doel (zoals wetenschappelijk onderzoek), als de wet gevolgd wordt en als er maatregelen zijn genomen. Wat dat betreft brengt de EHDS niets nieuws. Toch is het revolutionair, wat er staat te gebeuren, onder meer omdat wetenschappers indirect een recht op data krijgen.