Een DPIA is een Data Protection Impact Assessment, oftewel een gegevensbeschermings-effectbeoordeling. Deze is op grond van de AVG in bepaalde gevallen verplicht. Wat is dit en wat is het niet? Wanneer is deze verplicht? En wat is de rol van de functionaris gegevensbescherming?
Het bos van contracten bij medisch onderzoek
In dit stuk doe ik een poging om aan medisch-wetenschappers uit te leggen, wat alle verschillende contracten zijn waarmee ze in aanraking kunnen komen. Stel je de volgende casus voor: Een wetenschapper van het LUMC doet onderzoek gefinancierd door X, in een project samen met UMCG, met data (of ook medewerking) van Ziekenhuis Ter Gooi.
1) De arbeidsovereenkomst
Allereerst is er natuurlijk sprake van een overeenkomst tussen de wetenschapper en het LUMC. Meestal zal dit een arbeidsovereenkomst zijn. Het kan ook een ZZP-constructie zijn, maar let op, als bijna uitsluitend en structureel voor LUMC wordt gewerkt, dan vindt de rechter dit mogelijk alsnog een arbeidsrelatie, ook al noemen partijen het anders. De belastingdienst bepaalt het exacte verschil, maar de (zeer) korte samenvatting is; hoe zelfstandiger de wetenschapper, hoe groter de kans dat de ZZP-relatie niet beschouwd wordt als arbeid.
Voor de wirwar aan contracten is het belangrijk om het volgende op te merken: veel contracten in dit project zullen op naam komen van de rechtspersoon LUMC. Die kan in overeenkomsten met externe partijen wel rechten toekennen aan de eigen wetenschappers, maar geen plichten (Plien en Bianca kunnen niet samen contracteren dat Annie iets moet doen). Als dus bijvoorbeeld de financier X wil dat alles geheim blijft, dan zal er in de overeenkomst tussen X en LUMC moeten worden opgenomen, dat LUMC op haar beurt in de overeenkomst met de wetenschapper opneemt dat deze iets geheim moet houden. De verplichting die X wil, loopt via LUMC. Hetzelfde geldt voor afspraken over bijvoorbeeld auteursrechten, die automatisch ontstaan bij de auteur (wetenschapper), maar die wellicht elders terecht moeten komen; misschien wil X bijvoorbeeld dat er open source lesmateriaal wordt geschreven, wat LUMC dan zal moeten regelen met de wetenschapper.
2) De relatie tot financier X: subsidie of commercie?
Als het onderzoek gefinancierd wordt door X, dan moet deze relatie op de een of andere manier juridisch vorm krijgen. Daarbij dient de vraag te worden gesteld, of de financiering een subsidie is, of een commerciële opdracht. Let op: het is niet zo dat partijen dat zelf kunnen beslissen.
Een subsidie is geld afkomstig van een overheid (zoals ZonMw), verstrekt voor bepaalde activiteiten, anders dan als betaling voor aan die overheid geleverde goederen of diensten. De vraag aan wie je iets oplevert, is dus de crux. Bij financiering van oncologisch onderzoek, moet je wel verantwoording afleggen aan ZonMW, maar je levert niet een product af aan die overheid, maar aan de maatschappij. Dat is dus een subsidie. Maar als het erom gaat dat de private financier X patentrechten krijgt waarmee zijn investering terugverdiend kan worden, dan lever je het resultaat op aan de financier en is het dus geen subsidie.
Bij een echte opdracht, sluit je een overeenkomst volgens het Burgerlijk Wetboek (dus alle bepalingen over wanprestatie zijn van toepassing). Bij een subsidie neemt de overheid (eenzijdig) een subsidiebesluit volgens de Algemene wet Bestuursrecht, en de subsidievoorwaarden. Maar dat besluit dwingt de ontvanger niet om ook daadwerkelijk uitvoering te geven aan de activiteit: je kan het bedrag ook domweg terugbetalen. Omdat de overheid vaak zekerheid wil dat de activiteit daadwerkelijk wordt uitgevoerd, wordt er dan een subsidie-uitvoeringsovereenkomst gesloten, wat dus niet hetzelfde is als een opdrachtovereenkomst.
3) De consortium overeenkomst
Als er door UMCG en LUMC gezamenlijk geld is verkregen, dan wil de financier niet dat partijen dat in eigen zak steken en naar de ander verwijzen voor de resultaten. Ook wil de financier niet dat ruzie ertoe leidt dat er geen resultaten komen, dat de uitkomsten geheim worden gehouden, of dat de wet wordt geschonden bij uitvoering van het project. Financiers eisen daarom veelal een consortium-overeenkomst.
Juridisch gezien is dit echter iets dat zich lastig laat duiden. Die contractuele samenwerking kan immers de uitvoering zijn van een subsidie, of van een commerciële opdracht. Men kan besluiten dat de subsidie-uitvoeringsovereenkomst ook dienstdoet als consortiumovereenkomst (en dan is X dus ook partij), of het kan los.
De overeenkomst is meestal bedoeld om niets meer te zijn dan een contractuele samenwerking voor dit specifieke project. Maar er moet opgepast worden voor onbedoelde gevolgen uit het ondernemingsrecht; er moet voor worden gewaakt worden dat de samenwerking niet per ongeluk kwalificeert als vennootschap onder firma of maatschap. Nota bene, dat kan zelfs gebeuren als er helemaal geen schriftelijke overeenkomst is, alleen een feitelijke samenwerking. Het kan dus nuttig zijn om expliciet vast te leggen dat dit niet de bedoeling is.
Wanneer er in de samenwerking maar twee partijen betrokken zijn, dan wordt het vaak een samenwerkingsovereenkomst genoemd. Wanneer er meer partijen betrokken zijn, dan wordt er veelal een overeenkomst opgesteld die een consortium-overeenkomst wordt genoemd. Juridisch gezien maakt dat niets uit, ze vallen beiden gewoon onder het contractenrecht. Het verschil zit erin dat een consortium-overeenkomst altijd bepalingen bevat over de vraag wie welke besluiten mag nemen; hoewel er geen sprake is van een rechtspersoon (zoals een BV) worden er wel organen opgericht waartussen de bevoegdheid tot het nemen van besluiten wordt verdeeld. Meestal zijn dit de consortiumleider, de werkpakketleiders, en de gehele groep.
Let erop dat het contractenrecht eigenlijk zacht als boter is. De inhoud van de overeenkomst wordt (onder Nederlands recht) rijkelijk aangevuld door de redelijkheid & billijkheid, onvoorziene omstandigheden, wat partijen in redelijkheid van elkaar mochten verwachten, en de vraag hoe de samenwerking in de loop van de tijd is geëvolueerd. Het schrijven van dikke contracten hebben we overgenomen van de Amerikanen, waar dat alles niet geldt, maar in Nederland is het eigenlijk niet nodig.
4) Clinical Trial Agreement
Op het moment dat er in plaats van onderzoek met data, of naast onderzoek met data, (ook) onderzoek wordt gedaan met of bij mensen, dan wordt de Wet medisch-wetenschappelijk onderzoek met mensen van toepassing. Ook dan moet er een overeenkomst worden gesloten; de klinisch onderzoek-overeenkomst, die we dan vreemd genoeg ineens een Engelse naam gaan geven; de CTA. Dit kan natuurlijk gewoon de consortium-overeenkomst betreffen, al zijn er dus twee verschillen.
Ten eerste is nu behalve UMCG en LUMC (die het onderzoek vormgeven), ook Ter Gooi een partij bij de overeenkomst, want daar wordt het onderzoek (ook) uitgevoerd. Voorheen leverde die uitsluitend data aan, maar nu wordt dat anders. Het tweede verschil zit erin dat de WMO dus van toepassing is, zodat er allerlei taken en verantwoordelijkheden uit die wet contractueel moeten worden vastgelegd. Zo staat er in de WMO dat de resultaten van het onderzoek verplicht openbaar moeten worden gemaakt, dus dient te worden bepaald wie dat feitelijk gaat doen (niet alle drie natuurlijk). Die publicatieplicht bestaat nu overigens nog niet ten aanzien van puur dataonderzoek, maar dat wordt anders zodra de European Health Data Space Verordening van kracht wordt.
5) De Joint-Controllers Agreement
Op het moment dat LUMC niet gewoon anderen laat meewerken aan het onderzoek, maar daadwerkelijk samen met UMCG vormgeeft aan het onderzoek (en er dus een gezamenlijk onderzoeksplan is opgesteld), dan stellen deze twee samen de doelen en middelen vast van de verwerkingen van persoonsgegevens, in de zin van de AVG (gegevensbeschermingswet). Let erop dat dit alleen van toepassing is als er daadwerkelijk gewerkt wordt met persoonsgegevens, want dat is niet het geval als de gegevens al zo gepseudonimiseerd zijn door ziekenhuis Ter Gooi (of bijvoorbeeld ZorgTTP, een andere partij dan UMCG en LUMC zelf dus), dat zij niet meer kunnen achterhalen over welke natuurlijke personen dit gaat. Het is dus niet zo dat als gegevens over personen gaan, het automatisch persoonsgegevens zijn. De vraag is of de privacy in het geding is; pas dan is de privacywet van toepassing. Bij twijfel over dit alles: bel gewoon je functionaris-gegevensbescherming.
Zijn de data (nog) niet afdoende gepseudonimiseerd, dan zijn UMCG en LUMC verplicht om een joint-controllersovereenkomst te tekenen (of een gezamenlijke-verwerkingsverantwoordelijken-overeenkomst). Het belangrijkste van deze overeenkomst, is dat de AVG-verantwoordelijkheden goed worden verdeeld. Er moet bijvoorbeeld bij risicovolle verwerkingen een DPIA worden verricht, een Data Protection Impact Assessment en het is niet de bedoeling dat UMCG denkt dat LUMC deze heeft verricht en andersom. Overigens hebben patiënten verder niet zoveel te maken met die overeenkomst: voor de uitoefening van hun AVG-rechten, kunnen ze zich alsnog richten tot beide partijen.
6) Joint-Data-Registry-Agreement
Weer een andere overeenkomst, regelt de rechten tussen LUMC en UMCG, ten aanzien van de data, voorafgaand aan afronding van het onderzoek. Dit kan natuurlijk ook worden opgenomen in de consortium-overeenkomst, of in de joint-controllers-overeenkomst. Hij wordt ook wel apart gesloten. Op ruwe data bestaan namelijk geen IE- of eigendomsrechten. Als het plan is om na drie jaar data verzamelen, samen de wetenschappelijke publicaties wil verzorgen, dan is het niet fijn als UMCG halverwege zonder LUMC al gaat publiceren over de data. Of als LUMC halverwege UMCG de toegang tot de data ontzegt. Het recht regels niet automatisch dat dit alles niet mag (bij gebrek aan IE- of eigendomsrechten op ruwe data dus), reden waarom dit ook contractueel zal moeten worden geregeld. Een financier kan ook wensen hebben ten aanzien van de ruwe data, bijvoorbeeld dat deze FAIR gemaakt worden direct na publicatie van de resultaten.
7) Licentieovereenkomst
Daar waar er wel sprake is van IE rechten (zoals auteursrechten of patenten), moeten er ook afspraken worden gemaakt. Ook hiervoor geldt: het kan opgenomen worden in de consortium-overeenkomst, en het kan ook apart. De IE-rechten zijn er in twee soorten; dat wat wordt ingebracht in de samenwerking wordt Background genoemd. Dat wat ontstaat tijdens de samenwerking, wordt Foreground genoemd. Het kan zijn dat er bestaande IE-rechten nodig zijn voor het onderzoek. Degene die dit inbrengt, wil deze IE-rechten beschermen door te bedingen dat het uitsluitend voor dit onderzoek mag worden gebruikt. De andere Partij wil juist zekerheid hebben dat het onderzoek niet spaak loopt omdat alsnog geweigerd wordt die IE te delen. De ingebrachte Background wordt daartoe beschreven in de overeenkomst. Vervolgens ontstaat er tijdens het onderzoek nieuwe IE. De wetenschappers van LUMC en UMCG, willen gewoon hun artikelen kunnen publiceren (ten behoeve van hun carrière) zonder dat dit problemen oplevert ten aanzien van die IE-rechten. Ook willen ze met de opgedane kennis vervolgonderzoek kunnen doen, zonder dat de ander dit beperkt. Als X een commerciële financier is, dan zal die mogelijk de IE voor zichzelf willen houden, of als filantroop juist zorgdragen dat deze voor iedereen beschikbaar komt. Om recht te doen aan ieders wensen en belangen, moeten hier dus contractuele afspraken over worden gemaakt.
8) De Data Transfer Agreement met Ter Gooi
Stel dat er geen sprake is van mensgebonden onderzoek; Ziekenhuis Ter Gooi heeft uitsluitend de vraag gekregen om data bij te dragen. Ter Gooi beslist niet mee over hoe het onderzoek eruit komt te zien. De Functionaris gegevensbescherming van het ziekenhuis zal moeten bepalen aan de hand van de AVG of deze gegevensoverdracht mag plaatsvinden. Als aan alle vereisten is voldaan (voldaan aan de beginselen van artikel 5, een grondslag als in artikel 6, een uitzondering op het verbod van artikel 9, de vereisten van artikel 24 UAVG en de beveiliging volgens artikel 89 AVG), dan mag Ter Gooi de gegevens overdragen voor het onderzoek.
LUMC en UMCG zijn vervolgens, bij het gebruik van de gegevens uit Ter Gooi, automatisch verplicht zich te houden aan de AVG. Uit die wet volgt dus niet de verplichting om een data transfer agreement (DTA) overeen te komen, maar om zeker te weten dat de data uitsluitend worden gebruikt waarvoor ze werden aangevraagd, doet men dat meestal toch. Bij de meeste ziekenhuizen is de verplichting tot het gebruik van een DTA vastgelegd in het interne beleid.
Sinds juni 2024 is het bovendien voor bepaalde organisaties verplicht om een DTA overeen te komen;
met een publieke taak belaste instellingen, overheidsondernemingen en publiek gefinancierde onderzoeksorganisaties. Die plicht volgt niet uit de AVG, maar uit artikel 6 van de Wet Hergebruik Overheidsinformatie. Er moet dan verplicht contractueel worden vastgelegd dat de ontvangers van gepseudonimiseerde gegevens, absoluut niet mag proberen om te achterhalen welke personen dit zijn.
Nota bene: in deze casus is er dus geen verplichting op grond van de wet dat Ter Gooi en LUMC een verwerkersovereenkomst moeten sluiten, want LUMC doet niets in opdracht van Ter Gooi of andersom. Ook hoeft er geen joint-controllers-overeenkomst te worden gesloten, want LUMC en Ter Gooi geven niet samen vorm aan het onderzoek. Men sluit altijd een van deze drie overeenkomsten af, nooit meerdere.
Medisch wetenschappers die data bijeen proberen te krijgen voor (onbetwist nuttig) onderzoek, worden nog weleens geconfronteerd met een weigering vanwege “doelbinding.” Zo was er iemand die data had verzameld voor onderzoek naar onverklaarbare oversterfte na Corona. Toen ze vervolgens diezelfde data wilde gebruiken voor onderzoek naar Long-Covid, werd dat niet toegestaan. Doelbinding! Maar klopt dat wel?
De EHDS beoogt meer gezondheidsdata beschikbaar te maken voor nuttig hergebruik door het veiliger te maken. De AVG blijft gewoon naast de EHDS gelden. Die bepaalt reeds dat dit hergebruik is toegestaan als er sprake is van een goed doel (zoals wetenschappelijk onderzoek), als de wet gevolgd wordt en als er maatregelen zijn genomen. Wat dat betreft brengt de EHDS niets nieuws. Toch is het revolutionair, wat er staat te gebeuren, onder meer omdat wetenschappers indirect een recht op data krijgen.