EHDS Jurist

De Wet Zeggenschap Lichaamsmateriaal moet herschreven worden

De concept-WZL moet echt volledig herschreven worden

De WZL versus de EHDS

De European Health Data Space-Verordening gaat over data en dus niet over lichaamsmateriaal. De concept-Wet Zeggenschap Lichaamsmateriaal gaat over materiaal en dus niet over data. Daarmee zou men dus op basis van de namen van de beide wetten, kunnen denken dat er geen overlap is. Dan zou er dus geen reden zijn om de WZL op deze website te bespreken. Ik bespreek het toch, omdat er meer overlap is dan men denkt. Als je data uit materiaal haalt, dan doe je en iets met data, en iets met materiaal. Daar komt bij dat de Aanwijzingen voor de Regelgeving (regels over hoe men wetten moet schrijven), bepalen dat er altijd goed moet worden nagedacht of nieuwe wetten echt nodig zijn. Bovendien moet zoveel mogelijk worden geharmoniseerd met bestaande regels. Bovendien denken velen (onterecht) dat de WZL weldegelijk over data uit materiaal gaat, terwijl de EHDS daar dus expliciet over gaat. Om deze drie redenen behandel ik hier toch de concept-WZL. Spoiler alert: het is bagger.

Waarom die WZL?

Allereerst iets over de achtergrond van de WZL. Voor wetenschappers is het meestal te doen om data uit het materiaal, niet om het materiaal zelf (tenzij men bijvoorbeeld materiaal nodig heeft voor een les chirurgie). Dat vinden ze zo logisch, dat de twee door elkaar worden gehaald. Voor juristen is lichaamsmateriaal echt iets anders dan data uit het materiaal. Voorheen was dit juridisch prima gescheiden. In de WGBO is er een wetsartikel over hergebruik van materiaal (7:467 BW) en een wetsartikel over hergebruik van patiëntgegevens (7:458). Omdat men veelal dus data uit materiaal wil halen, bepaalt de wet: “onder onderzoek met van het lichaam afgescheiden anonieme stoffen en delen wordt verstaan onderzoek waarbij is gewaarborgd dat het bij het onderzoek te gebruiken lichaamsmateriaal en de daaruit te verkrijgen gegevens niet tot de persoon herleidbaar zijn.” Zodra je dus patiëntgegevens uit het materiaal haalt, val je niet langer onder het artikel over het materiaal, maar onder het artikel over gegevens. Zo werd doublure voorkomen, en dat was prima geregeld. Het probleem is dat men in de loop der tijd het wetsartikel over materiaal anders is gaan lezen. Sommigen meenden dat als er herleidbare gegevens werden onttrokken, er altijd toestemming nodig was (mogelijk op grond van een ongeldige a contrario redenering toegepast op 7:467 BW?), terwijl het andere wetsartikel zegt (7:458 BW) : toestemming tenzij onredelijk.

Wat is anoniem?

Bovendien werd lichaamsmateriaal voorheen meestal beschouwd als anoniem: aan een druppel bloed kun je niet zien van wie het afkomstig is. Maar inmiddels kan men DNA uit een druppel bloed halen en dus betoogde men dat lichaamsmateriaal eigenlijk nooit meer anoniem is. Dat strookt niet met de Europese (AVG) jurisprudentie over wanneer iets een persoonsgegeven is. Daar wordt uitgegaan van een relatief begrip. Het is afhankelijk van de vraag wie de data verwerkt en wat die verwerking precies inhoudt, of de privacy in het geding is en of de AVG dus van toepassing is. Die (jurisprudentie over de ) AVG is relevant, omdat bij het schrijven van de Uitvoeringswet AVG (artikel 24) specifiek is verwezen naar de WGBO: het was de bedoeling dat deze artikelen hetzelfde zouden bepalen. Maar dit relatieve denken over persoonsgegevens lijkt geen effect te hebben gehad op het denken over lichaamsmateriaal. Mogelijk is dit veroorzaakt doordat de experts die hieromtrent worden aangehaald, medisch-wetenschappers en geen juristen zijn. Zij zullen hebben geconcludeerd dat materiaal technisch gezien nooit meer anoniem is, maar dat is iets anders dan de vraag of het juridisch gezien anoniem is.

Al die Biobanken...

Omdat de wet bepaalt dat men bij materiaal een opt-out kan uitoefenen tenzij het geen anoniem materiaal is, denken velen nu dat lichaamsmateriaal nooit anoniem is en er dus (bijna) altijd om toestemming moet worden gevraagd. Dat is voor wetenschappers vaak moeilijk werkbaar. Deze moeilijkheid zit wat mij betreft dus in een verkeerde lezing van de wetsartikelen en wat dit betreft was een wetswijziging mijns inziens dus ook niet nodig. Dat neemt niet weg dat tegelijkertijd de Tweede Kamer onrustig werd van het feit dat er inmiddels zeer veel materiaal (van miljoenen Nederlanders) opgeslagen bleek te liggen bij biobanken, zonder dat daar veel toezicht op wordt gehouden. Er moest dus een wet komen en dat argument is nog niet van tafel: en dus moet er “een” WZL komen. Maar de verwarring over materiaal versus data uit dat materiaal, is met deze concept-wet zeggenschap lichaamsmateriaal alleen maar groter geworden.

Dubbele regels

De WZL bepaalt zelf expliciet “Deze wet is van toepassing op handelingen met lichaamsmateriaal (…).” Dit is al problematisch. Allereerst omdat het artikel uit de WGBO bepaalde: dit artikel is van toepassing op lichaamsmateriaal, tenzij je er (herleidbare) data uithaalt, want dan val je onder het artikel over data. Deze tenzij-bepaling staat niet in de WZL. Dat betekent, dat als men persoonsgegevens uit lichaamsmateriaal haalt, men straks onder de WZL valt omdat het lichaamsmateriaal betreft, en men ook onder de AVG (en straks de EHDS) valt omdat het persoonsgegevens (en gezondheidsgegevens) betreft. Dat betekent dat je op grond van de WZL moet controleren of er bezwaar is gemaakt (via een apart systeem) terwijl er ook op grond van de EHDS moet worden gecontroleerd of er bezwaar is gemaakt in het Nationaal Zeggenschapsregister. Dit terwijl men de administratieve lasten juist wil verlagen en de Aanwijzingen voor de Regelgeving voorschrijven dat er zoveel mogelijk moet worden geharmoniseerd. Waarom er in de WZL niet wordt aangesloten bij de EHDS, is me dan ook een raadsel. Nota bene, er kan dus niet voor worden gekozen om het verkrijgen van data uit materiaal alleen onder de WZL te laten vallen, want dat is een Nederlandse wet, die de Europese AVG niet opzij kan zetten. Het moet dus andersom: er moet expliciet bepaald dat als men persoonsgegevens aan materiaal onttrekt, men niet meer onder de WZL maar onder de AVG valt. Dat ontbreekt nu.

Maar de WZL gaat dus niet over de data zelf

Maar het is bovendien problematisch, omdat het vrijwel iedereen ontgaat dat de WZL gaat over handelingen met materiaal (waaronder het eruit halen van data), maar dus niet over die data. Zelfs de Raad van State schreef onlangs in een advies: “Ook wordt een regeling geïntroduceerd voor de (verdere) verwerking van persoonsgegevens (over de gezondheid) voor deze situatie.” Dat is dus niet zo. Maar als zelfs de Raad van State hierover in verwarring verkeert, dan zal dat bij vrijwel het gehele veld zo zijn. Nog ernstiger wordt het als men nader bekijkt wanneer de wet exact van toepassing wordt: “Deze wet is van toepassing op handelingen met lichaamsmateriaal dat is (…) afgenomen (…) in verband met de geneeskunst (…) en met welke handelingen een ander doel wordt beoogd dan (…) zijn gezondheidstoestand te beoordelen.” Lichaamsmateriaal (zoals druppels bloed of een stukje huid) wordt veelal afgenomen ten behoeve van zorg aan een specifieke patiënt. Daarna wordt het opgeslagen, nog steeds voor die specifieke patiënt, vanwege de verplichting om bij te houden wat men doet en waarom. De WZL zal daarop dus niet van toepassing zijn, terwijl het artikel uit de WGBO over materiaal wordt ingetrokken. Dat betekent dat, zolang er geen wetenschapper interesse heeft in het materiaal, er geen regeling op van toepassing is. Maar het wordt nog vreemder. Want als een wetenschapper na drie jaar  interesse krijgt in het materiaal, dan wordt de WZL van toepassing en die bepaalt dan (in 2028) dat bij het afnemen informatie moet worden gegeven aan de patiënt. Maar dat was dus drie jaar eerder, in 2025. Hoe kan een wet nu bepalen dat deze van toepassing wordt in 2028, die dan op dat moment voorschrijft dan men drie jaar daarvoor iets moet doen? Ik begrijp het echt niet.

Niemand is eigenaar

Een volgend probleem is dat het wetsvoorstel lijkt te zijn gebaseerd op uitgangspunten die incorrect zijn. De Consultatieversie tweede nota van wijziging wetsvoorstel zeggenschap lichaamsmateriaal d.d. 10 juni 2024, verwijst viermaal naar een rapport. Dit bevat een aantal opmerkelijke stellingen. Zo is op p.55 te lezen: “Ons recht beschouwt van het lichaam afgescheiden materialen in eerste instantie als ‘voor menselijke beheersing vatbare stoffen’ (artikel 3:2 BW). Er kan dan van eigendom worden gesproken. Degene van wie het lichaamsmateriaal afkomstig is, wordt eigenaar van dat materiaal.” Dit is onjuist. Artikel 3:2 BW stelt “Zaken zijn de voor menselijke beheersing vatbare stoffelijke objecten,” waar artikel 5:1 BW aan toevoegt: “Eigendom is het meest omvattende recht dat een persoon op een zaak kan hebben.” Dit kan-hebben brengt geenszins mee dat elke zaak vatbaar is voor eigendom. Je kan pas eigenaar zijn van een zaak, als die ook vatbaar is voor bezit, want je kan alleen eigenaar worden door bezitsverschaffing, inbezitneming, of bezit plus verjaring. Alles “buiten de handel” zoals dat al eeuwen geduid wordt, is niet vatbaar voor bezit en daarmee ook niet vatbaar voor eigendom. Als er onterecht te veel huid wordt weggesneden, is dit mogelijk mishandeling, maar men kan geen aangifte doen van diefstal bij de politie. Niemand is eigenaar van lichaamsmateriaal, zoals ook niemand eigenaar is van gezondheidsdata (men kan geen eigenaar kan zijn van “de zon is heet,” en dus ook niet van “de patiënt heeft koorts.”

Wel zeggenschap, maar harmoniseer

Gevoelsmatig vinden we dat de patiënt misschien iets van zeggenschap zou moeten hebben over dat lichaamsmateriaal, maar dit staat los van het concept eigendom. Op gelijke wijze heeft de patiënt op grond van de AVG zeggenschapsrechten over data om zijn privacy te beschermen, die dus geheel los staan van de vraag of er sprake is van eigendom. De AVG stelt dat altijd een afweging moet worden gemaakt tussen het belang van privacy versus het belang van datagebruik. En zo zou het ook moeten zijn bij lichaamsmateriaal. De WZL zou dan ook, waar mogelijk, zoveel mogelijk moeten aansluiten bij de AVG en de aanstaande EHDS, en de subtiele balans die in deze twee verordeningen gezocht wordt tussen het belang van privacy en het belang van vrije data. Maar de WZL sluit onterecht helemaal niet aan bij de EHDS. Wat dat betreft was het recente rapport van de Raad van State weldegelijk juist. Een dergelijk gebrek aan harmonisatie is in strijd met artikel 2.45 van de voornoemde Aanwijzingen voor de Regelgeving dat voorschrijft dat daar wel zoveel mogelijk naar gestreefd moet worden.

Lichamelijke integriteit niet in het geding

Dat er niet is gekozen voor maximale aansluiting bij de AVG en de EHDS, lijkt er bovendien mee samen te hangen (behalve dat data en materiaal door elkaar worden gehaald,) dat ook lichaam en lichaamsmateriaal door elkaar worden gehaald. Op het moment dat er materiaal wordt afgenomen van een patiënt, op dat moment, is de lichamelijke integriteit in het geding. Op het moment dat een sample vijf jaar later uit een archief getrokken wordt voor onderzoek, is dat niet meer het geval. Er zijn bij afname drie situaties te onderscheiden; afname voor zorg, afname voor zorg en onderzoek, en afname uitsluitend voor onderzoek. Op deze derde kwestie is de Wet medisch-wetenschappelijk onderzoek met mensen van toepassing (de WMO). Deze kent zware waarborgen ter bescherming van de gezondheid en lichamelijke integriteit van de patiënt. Er was onduidelijkheid over de vraag in hoeverre deze wet eveneens van toepassing was in situatie twee: bij afname van een extra buisje bloed. Ook in dat geval, is het lichaam van de patiënt in het geding en spelen er ethische vragen. Maar als er een bestaand sample uit de kast wordt getrokken voor onderzoek, dan spelen er uitsluitend privacy vraagstukken. 

Dus waarom een ethische toets?

De WZL bepaalt desondanks dat beheerders van materiaal altijd een reglement moeten hebben waarover een ethische commissie een positief oordeel heeft gegeven. Maar dat is heel vreemd voor de situatie waarin er helemaal geen ethische vragen zijn: de situatie waarin materiaal uitsluitend is afgenomen ten behoeve van zorg. Als men pas achteraf bedenkt dat dit materiaal wellicht ook nuttig kan zijn voor onderzoek, is de lichamelijke integriteit totaal niet in het geding. Dan speelt uitsluitend de vraag of de privacy van de patiënt voldoende wordt beschermd, waar de AVG en de EHDS al op zien. Waarom daartoe een Medisch Ethische Toetsingscommissie moet worden ingeschakeld, is onbegrijpelijk. Deze toestingscommissies zijn uitermate waardevol bij medisch onderzoek met mensen. Patiënten  die denken dat ze wellicht overlijden, zeggen op alles ja. En dan moet er dus een toetsingscommissie meekijken: of het risico voor de patiënt niet te groot is, of de kans op nuttig effect van het onderzoek niet te klein is. Die ethische constellatie speelt totaal niet bij het uit de kast trekken van een drie jaar eerder afgenomen stukje huid. En dus is het onbegrijpelijk waarom de ethische toetsingscommissie daarbij moet worden betrokken.  

Kortom: terug naar de tekentafel

Al met al is de WZL een ondoorgrondelijk wet, terwijl de Memorie van Toelichting nu juist stelt dat deze beoogt om duidelijkheid te bieden. Ook is de WZL niet in lijn met de Aanwijzingen voor de Regelgeving omdat niet optimaal wordt aangesloten bij de AVG en de EHDS. Daarom moet de concept-WZL gewoon van tafel. Geen kleine aanpassinkjes, zoals eerder het geval was. Er dient een geheel nieuwe WZL geschreven te worden (i) die dubbele toepassing van regels op eenzelfde handeling uitsluit, (ii) die zoveel mogelijk aansluit bij de AVG en de EHDS, (iii) die zeggenschap regelt via het Nationaal Zeggenschapsregister, (iv) die in navolging van de AVG kiest voor een risico- en belangenafweging en (v) die de ethische toets nalaat als de privacy wel, maar de lichamelijke integriteit niet in het geding is.

EHDS privacy juridisch data

Het Ministerie van VWS gaat binnenkort bepalen wie de HDAB wordt; bij wie straks vergunningen worden aangevraagd voor nuttig hergebruik van gezondheidsgegevens. Wie kunnen dit worden, wie juist niet? En wat moet deze HDAB allemaal doen?

EHDS privacy juridisch data

Er moet onder de EHDS worden gewerkt in een Beveiligde VerwerkingsOmgeving (BVO). Wetenschappers krijgen geen data, maar toegang daartoe in een BVO die voldoet aan krachtens de EHDS vastgestelde strenge technische en veiligheidsnormen. Wat houdt dat in? En moet voortaan iedereen in een dergelijke BVO werken? Wordt dat een supercomputer met al onze gezondheidsdata?

De EHDS vereist flink wat voorbereiding. Er moet een Health Data Access Body worden opgericht, er moet van alles aan software en hardware worden gebouwd of aan elkaar geknoopt en er moet aanvullende wetgeving worden geschreven. Daarom zal de EHDS in verschillende fasen van kracht worden. Wat gebeurt er wanneer ten aanzien van het nuttig hergebruik van gezondheidsgegevens?

De EHDS en de Beveiligde VerwerkingsOmgeving

De EHDS en de beveiligde verwerkingsomgeving

Technische Verseisten van de Europese Commissie

Er moet onder de EHDS worden gewerkt in een Beveiligde VerwerkingsOmgeving (BVO). Wetenschappers krijgen geen data, maar toegang daartoe in een BVO die voldoet aan krachtens de EHDS vastgestelde strenge technische en veiligheidsnormen. Wat deze vereisten exact gaan zijn, dat weten we nu nog niet. Deze worden uiterlijk maart 2027 door de Europese Commissie vastgesteld (zie tijdslijn). De Europese Commissie zal ook de lidstaten bijstaan om de veiligheid en de interoperabiliteit van de verschillende Beveiligde VerwerkingsOmgevingen te bevorderen. Dergelijke veiligheidsvereisten kunnen niet voorschreven worden in de EHDS zelf. Risico’s en beveiliging ontwikkelen zich immers sneller dan nieuwe Europese wetgeving.

HDAB en BG's houden toezicht

Let op: er zijn partijen die stellen dat er slechts één enkele BVO zal komen, die beheerd wordt door de HDAB. Dit zou dan een supercomputer worden waar alle Nederlandse gezondheidsgegevens in zouden komen te staan. Dit is niet het geval. De EHDS spreekt duidelijk van meerdere BVO’s. Iedere Betrouwbare Gegevenshouder (BG) moet ook beschikken over een BVO en waarschijnlijk kunnen onder meer de academische ziekenhuizen dit allemaal worden. De HDAB en de BG’s moeten altijd toezicht houden op wat er precies in hun BVO gebeurt, zodat aan de wetenschapper uitsluitend toegang wordt verleend in lijn met de exacte voorwaarden van zijn vergunning. Ergo, degene die over een BVO beschikt, moet in staat zijn om af te dwingen dat zowel de AVG als de EHDS nageleefd worden. Wetenschappers mogen niet zomaar een andere wetenschapper toegang verlenen als die niet ook op de vergunning staat. En uitsluitend niet-persoonsgebonden data (dus anonieme of geaggregeerde data) mogen vanuit een dergelijke BVO worden gedownload. Ze mogen uiteraard wel van de ene naar de andere BVO, waartoe interoperabiliteit moet worden gerealiseerd. De log-gegevens van de verwerkingen in de BVO moeten minstens een jaar bewaard worden om te kunnen controleren of de vergunningsvoorwaarden juist zijn nageleefd. Op deze manier is de BVO een essentiële waarborg om de rechten en vrijheden van patiënten met betrekking tot de verwerking van hun gezondheidsgegevens voor secundair gebruik te beschermen.

Die BVO moet altijd verplicht zijn

Er is kritiek hoorbaar op de EHDS, die beoogt om meer gezondheidsdata beschikbaar te maken voor nuttig hergebruik. Belangrijk is het om voor ogen te houden dat de idee van deze wet is om meer data beschikbaar te maken, juist door dit veiliger te maken; in de gecertificeerde BVO’s dus. Belangrijk is het hierbij om op te merken dat er mensen zijn die denken dat je straks vrijelijk kan kiezen of je een datavergunning aanvraagt, en dat je daarmee zelf zorgt dat je onder de EHDS valt. Daaruit volgt dat je dus ook zelf zou kunnen kiezen of je verplicht in een BVO moet werken of niet. Dat je mag kiezen of je ergens toe verplicht bent, lijkt mij een onhoudbaar standpunt. Maar mocht blijken dat ik ongelijk heb, en men weldegelijk vrijelijk kan kiezen of men een vergunning aanvraagt, dan zou in de uitvoeringswetgeving moeten worden opgenomen dat werken in een (door de Europese Commissie beschreven) BVO vanaf 2029 altijd verplicht is, ook als men niet de route via de HDAB bewandelt.

Lab gegevens medisch EHDS

De EHDS gaat over data en dus niet over lichaamsmateriaal. De concept-Wet Zeggenschap Lichaamsmateriaal gaat over materiaal en dus niet over data. Daarmee zou men dus kunnen denken dat er geen overlap is. Maar als je data uit materiaal haalt, dan doe je en iets met data, en ook iets met materiaal. Daarom bespreek ik hier wat ik vind van de concept-WZL. Spoiler alert: het is echt bagger.

EHDS privacy juridisch data

Het Ministerie van VWS gaat binnenkort bepalen wie de HDAB wordt; bij wie straks vergunningen worden aangevraagd voor nuttig hergebruik van gezondheidsgegevens. Wie kunnen dit worden, wie juist niet? En wat moet deze HDAB allemaal doen?

De EHDS vereist flink wat voorbereiding. Er moet een Health Data Access Body worden opgericht, er moet van alles aan software en hardware worden gebouwd of aan elkaar geknoopt en er moet aanvullende wetgeving worden geschreven. Daarom zal de EHDS in verschillende fasen van kracht worden. Wat gebeurt er wanneer ten aanzien van het nuttig hergebruik van gezondheidsgegevens?

De EHDS leidt tot meer gezondheids(data)veiligheid

De EHDS leidt juist tot meer gezondheids(data)veiligheid

De komst van de EHDS zorgt voor maatschappelijke onrust. Zijn onze gezondheidsgegevens straks nog wel veilig? De verordening zal inderdaad meer data beschikbaar maken voor nuttig hergebruik, zoals wetenschappelijk onderzoek. Maar de idee van de Verordening is om meer data beschikbaar maken, juist door het beter te beveiligen. Daartoe wordt de vergunning geïntroduceerd en moet er een HDAB opgericht worden als gezondheidsdata-politie. De EHDS bevat bovendien een lijst verboden gebruik, die weleens verstrekkende gevolgen kon gaan hebben voor onder meer de tabaksindustrie. 

Vergunning vereist

Allereerst bepaalt de EHDS dat men voor het werken met gezondheidsdata een vergunning moet aanvragen. Er is discussie over de vraag of men mag kiezen of men die aanvraagt, zoals het Ministerie van VWS zegt. Ik vind het een vreemd standpunt: je mag ook niet kiezen of je een kapvergunning aanvraagt, een bouwvergunning, of een horecavergunning. Het hele idee van de vergunning is dat de overheid op deze manier kan meekijken, om te zorgen dat men zich aan alle (veiligheids)regels houdt. Er zal, zo lees ik de verordening, bijna altijd een vergunning vereist zijn. Vervolgens bepaalt de EHDS dat gezondheidsdata uitsluitend mogen worden gebruikt conform de voorwaarden in die vergunning. Daarin moet o.a. zijn opgenomen wie exact de onderzoekers zijn die toegang mogen krijgen tot de data. Staat men niet in de vergunning, dan kan men ook niet bij de data. Bovendien is het ten strengste verboden om te achterhalen over welke personen de (anonieme of pseudonieme) data gaan. 

HDAB houdt toezicht

De vergunning wordt aangevraagd bij de Health Data Access Body. In Nederland is men nu druk doende met het ontwerpen van allerlei ICT-middelen voor deze HDAB. Maar wie de EHDS goed bestudeert, zie dat de nieuw op te richten overheidsinstantie toch vooral de gezondheidsdata-politie zal zijn. Houdt men zich niet aan de vergunningsvoorwaarden of aan overige wetgeving, dan kan de HDAB flinke boetes opleggen (tot 20 Mio of 4% van de jaaromzet). Bovendien: belanghebbenden kunnen handhavingsverzoeken indienen bij de HDAB en zo de overheid dwingen om op te treden als er te slordig wordt omgegaan met gezondheidsgegevens. Dat kon de Autoriteit Persoonsgegevens ook al, kan je denken, maar de EHDS gaat echt verder. Er staat namelijk een bijzonder interessante lijst in de EHDS: het verboden gebruik. 

Verboden onder de EHDS is dit:

  1. het nemen van besluiten die nadelig zijn voor een natuurlijke persoon of een groep van natuurlijke personen op basis van hun elektronische gezondheidsgegevens; om als “besluiten” te kunnen worden aangemerkt voor de toepassing van dit punt, moeten zij juridische, sociale of economische gevolgen hebben of die natuurlijke personen op vergelijkbare wijze aanmerkelijk treffen;
  2. het nemen van besluiten met betrekking tot een natuurlijke persoon of een groep natuurlijke personen in verband met vacatures, het aanbieden van minder gunstige voorwaarden bij het leveren van goederen of diensten, onder meer om die personen of groepen een verzekerings- of kredietovereenkomst te ontzeggen, hun bijdragen en verzekeringspremies of leningsvoorwaarden te wijzigen, of andere besluiten te nemen met betrekking tot een natuurlijke persoon of een groep natuurlijke personen die ertoe leiden dat zij gediscrimineerd worden op basis van de verkregen gezondheidsgegevens;
  3. het verrichten van reclame- of marketingactiviteiten;
  4. het ontwikkelen van producten of diensten die schadelijk kunnen zijn voor personen, de volksgezondheid of de samenleving in het algemeen, zoals illegale drugs, alcoholhoudende dranken, tabaks- en nicotineproducten, wapens, of producten of diensten die zodanig zijn ontworpen of gewijzigd dat zij tot verslaving leiden, in strijd zijn met de openbare orde of een risico voor de menselijke gezondheid inhouden;
  5. het verrichten van activiteiten die in strijd zijn met ethische bepalingen die zijn neergelegd in het nationale recht.

Laat het tot je doordringen wat hier staat; je mag geen gezondheidsgegevens gebruiken voor het ontwikkelen van verslavende producten. Er is als gezegd onduidelijkheid over de vraag wanneer de EHDS van toepassing is. De lezing van het Ministerie van VWS is dat je kan kiezen of je een vergunning aanvraagt en of je dus onder de EHDS valt. Dan kan de tabaksindustrie dus ook kiezen of ze zich aan de verboden lijst moeten houden. Dat lijkt mij een onhoudbaar standpunt. Er staat in de EHDS: gebruikers van gezondheidsgegevens mogen gezondheidsgegevens voor secundair gebruik alleen raadplegen en verwerken overeenkomstig een gegevensvergunning. Het lijkt mij dat je dan altijd een vergunning nodig hebt (tenzij de EHDS niet van toepassing is op grond van artikel 1; daarin staan enige uitzonderingen). Als mijn lezing juist is, dan zal het effect van de lijst van verboden gebruik aanzienlijk zijn! Want dan zal het voortaan verboden zijn om gezondheidsdata te gebruiken voor het ontwikkelen van welk verslavend product dan ook. Hulde aan de opstellers van deze verordening dus.

De EHDS is dus top!

De komst van de EHDS zorgt voor maatschappelijke onrust. Men vreest bijvoorbeeld dat secundair gebruik ertoe kan leiden dat iemand geen verzekering of baan meer krijgt. Hieruit blijkt dat men de EHDS niet heeft gelezen, want dit staat expliciet in de lijst van verboden gebruik. Omdat de EHDS zeer gunstig is voor medisch wetenschappelijk onderzoek, kan het dus nuttig zijn om te benadrukken dat de EHDS van alles expliciet verbiedt. Het gunstige van de lijst verboden gebruik is bovendien dat de nieuw op te richten HDAB wordt aangewezen als de autoriteit die dit moet handhaven, en waar dus ook handhavingsverzoeken kunnen worden ingediend. Maar bovenal moeten we ons realiseren dat de EU via een omweg ons een juridisch middel in handen lijkt te hebben gegeven tegen de tabaksindustrie. Het is vooralsnog niet gelukt om tabak te verbieden, maar het lijkt wel te zijn gelukt om te verbieden onderzoek te doen naar de vraag hoe tabak nog verslavender kan worden gemaakt. De toekomst zal uitwijzen hoeveel plezier we gaan hebben van deze verboden lijst. Misschien is dit ook in te zetten tegen het verslavend maken van apps? Krijgt de HDAB straks mijn kind van de socials af? Ik kijk met spanning uit naar de fantastische voordelen die de EHDS ons kan brengen. 

Lab gegevens medisch EHDS

De EHDS gaat over data en dus niet over lichaamsmateriaal. De concept-Wet Zeggenschap Lichaamsmateriaal gaat over materiaal en dus niet over data. Daarmee zou men dus kunnen denken dat er geen overlap is. Maar als je data uit materiaal haalt, dan doe je en iets met data, en ook iets met materiaal. Daarom bespreek ik hier wat ik vind van de concept-WZL. Spoiler alert: het is echt bagger.

EHDS privacy juridisch data

Het Ministerie van VWS gaat binnenkort bepalen wie de HDAB wordt; bij wie straks vergunningen worden aangevraagd voor nuttig hergebruik van gezondheidsgegevens. Wie kunnen dit worden, wie juist niet? En wat moet deze HDAB allemaal doen?

EHDS privacy juridisch data

Er moet onder de EHDS worden gewerkt in een Beveiligde VerwerkingsOmgeving (BVO). Wetenschappers krijgen geen data, maar toegang daartoe in een BVO die voldoet aan krachtens de EHDS vastgestelde strenge technische en veiligheidsnormen. Wat houdt dat in? En moet voortaan iedereen in een dergelijke BVO werken? Wordt dat een supercomputer met al onze gezondheidsdata?

Het al bestaande vrije verkeer van gezondheidsgegevens

Het (al bestaande) vrije verkeer van gezondheidsgegevens

Mijn data in mijn land?

In de discussies over het hergebruik van gezondheidsgegevens, wordt vaak gepraat over landsgrenzen. Dit secundaire gebruik is iets waarbij de juiste balans moet worden gevonden tussen enerzijds privacy en anderzijds het belang van bijvoorbeeld wetenschappelijk onderzoek of het kunnen toetsen of bepaald beleid werkt. De privacy-aanhangers vinden veelal dat bij hergebruik “onze” data de grens niet over mogen, of dat je in elk geval in het Nationaal Zeggenschapsregister moet kunnen aangeven dat dit met “jouw” data niet mag. Wetenschappers stellen daartegenover dat bijvoorbeeld bij zeldzame ziektes, ze hun werk eigenlijk alleen goed kunnen doen als data uit verschillende landen kunnen worden gebruikt. Daarom verwelkomen ze de EHDS, waarin onder andere staat dat ze data uit heel Europa zullen kunnen opvragen. Wat beide partijen over het hoofd zien, is dat er allang binnen de EU een vrij verkeer van gezondheidsdata bestaat.

Europees recht over data

Een van de doelstellingen van de EHDS is: het vrije verkeer van gezondheidsgegevens ondersteunen. Er staat “ondersteunen” want dit vrije verkeer is er al. Volkomen onopgemerkt, is hetgeen bepaald is in artikel 1 van de AVG: “Het vrije verkeer van persoonsgegevens in de Unie wordt noch beperkt noch verboden om redenen die verband houden met de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens.” De AVG is alleen van toepassing op persoonsgegevens (waarbij men redelijkerwijs kan achterhalen over welke personen het gaat). Daarom bestaat hiernaast de volstrekt onbekende Verordening 2018/1807 betreffende “het vrije verkeer van niet-persoonsgebonden gegevens in de Europese Unie.” De Open Datarichtlijn 2019/1024 bepaalt verder: “De voorwaarden voor het hergebruik van documenten mogen niet discriminerend zijn voor vergelijkbare categorieën van hergebruik, met inbegrip van hergebruik over de landsgrenzen heen.”

Wetenschappers kunnen dit nu al gebruiken

Het vrije verkeer van diensten en goederen in de EU ontstond in 1993, met de invoering van de interne markt. Al snel daarna realiseerde men zich dat de interne markt niet mogelijk was zonder ook een vrij verkeer van data. Gegevensbescherming kan prima in de wet van een losse lidstaat geregeld worden, maar voor het vrije verkeer was het harmoniseren (gelijktrekken) van wetgeving nodig. Juist het vrije verkeer van data was dus een belangrijk doel van de AVG, vandaar dat het in artikel 1 staat. Dit alles houdt in dat men ook nu al rechtstreeks data kan aanvragen bij bijvoorbeeld FinData. Dit verzoek mag niet anders behandeld worden dan het verzoek van Finse onderzoekers, want er geldt bovendien een discriminatieverbod tussen Europeanen. Er mag dus bij een aanvraag geen onderscheid gemaakt worden tussen Nederlandse of Finse wetenschappers. De EHDS maakt het straks mogelijk dat men met een enkele aanvraag bij de Nederlandse HDAB data opvraagt uit heel Europa. Maar het zou goed zijn als wetenschappers en statistici zouden weten dat het ook nu al verboden is om data bij een binnengrens (een grens tussen EU-landen) tegen te houden. Zij kunnen dus per direct in heel Europa verzoeken indienen om met gezondheidsdata te werken.

Zeggenschap hetzelfde voor de hele EU

En patiënten kunnen straks via een Nationaal Zeggenschapsregister bezwaar maken tegen bepaald hergebruik van data die over hen gaan. Het Ministerie van VWS moet nu uitdokteren hoe dit register er precies uit gaat zien. Maar het is dus op grond van Europees recht verboden om dit register zo in te richten dat Nederlandse wetenschappers wel kunnen werken met “onze” data, maar Belgische wetenschappers niet. Als je bedenkt dat die wetenschappers proberen om een medicijn te vinden tegen bijvoorbeeld kanker, een medicijn dat vervolgens internationaal beschikbaar zal komen, dan is het bijzonder logisch dat een wetgever ervoor zorgt dat elke wetenschapper in de EU toegang krijgt tot data, en niet alleen die van onze eigen academische ziekenhuizen. Overigens mogen op grond van de AVG data nu ook al stromen naar landen ten aanzien waarvan een adequaatheidsbesluit is genomen door de EU. Dat houdt in dat men in Brussel vindt dat de privacy afdoende beschermd wordt in bijvoorbeeld Japan. Landen als Japan kunnen zich op termijn aansluiten bij de EHDS, maar omdat ze geen onderdeel zijn van de EU, mag er wel in het Nationale Zeggenschapsregister worden gevraagd of je er bezwaar tegen hebt dat data over jou ook stromen richting dergelijke niet-EU landen.

Dus het BSN mag ook niet tegengehouden worden

Nota bene: dit vrije verkeer van data was dus bedoeld om het vrije verkeer van goederen en diensten binnen de EU te ondersteunen. En de gedachte daarvan was; hoe groter de markt, hoe meer concurrentie, wat zal leiden tot hogere kwaliteit tegen lagere grenzen. Brussel wil dat een goede wijnboer in Italië rechtstreeks kan verkopen aan mensen in Wassenaar. Op gelijke wijze moet een goede radioloog rechtstreeks MRI’s in Griekenland kunnen beoordelen. Daardoor komt in Europa betere zorg beschikbaar tegen een lagere prijs. Het dataverkeer dat daaronder ligt, mag zoiets niet in de weg staan. In Nederland zijn er mensen die denken dat het BSN niet over de grens gebruikt mag worden, omdat er nergens in de wet staat dat dit mag. Maar dat lijkt mij dus typisch iets dat, als ons Nederlandse recht dat inderdaad zou meebrengen, onverbindend is op grond van artikel 1 AVG. Persoonsgegevens mogen niet worden tegengehouden aan een EU binnengrens en dat geldt ook voor het BSN. 

Lab gegevens medisch EHDS

De EHDS gaat over data en dus niet over lichaamsmateriaal. De concept-Wet Zeggenschap Lichaamsmateriaal gaat over materiaal en dus niet over data. Daarmee zou men dus kunnen denken dat er geen overlap is. Maar als je data uit materiaal haalt, dan doe je en iets met data, en ook iets met materiaal. Daarom bespreek ik hier wat ik vind van de concept-WZL. Spoiler alert: het is echt bagger.

EHDS privacy juridisch data

Het Ministerie van VWS gaat binnenkort bepalen wie de HDAB wordt; bij wie straks vergunningen worden aangevraagd voor nuttig hergebruik van gezondheidsgegevens. Wie kunnen dit worden, wie juist niet? En wat moet deze HDAB allemaal doen?

EHDS privacy juridisch data

Er moet onder de EHDS worden gewerkt in een Beveiligde VerwerkingsOmgeving (BVO). Wetenschappers krijgen geen data, maar toegang daartoe in een BVO die voldoet aan krachtens de EHDS vastgestelde strenge technische en veiligheidsnormen. Wat houdt dat in? En moet voortaan iedereen in een dergelijke BVO werken? Wordt dat een supercomputer met al onze gezondheidsdata?

Het BSN-verbod en de EHDS

Het BSN-verbod en de EHDS

Voor wie geldt dat verbod eigenlijk?

Het BSN-verbod is een vreemde kwestie. Het is de algemene perceptie dat het BSN (op een paar uitzonderingen na) niet mag worden gebruikt voor wetenschappelijk onderzoek. Het is de vraag of dat juridisch klopt. Er staat in de UAVG dat het nummer alleen mag worden gebruikt als er een wet is die dat toestaat. Vervolgens staat in de Wet Algemene Bepalingen BSN dat alle onderdelen van de overheid het BSN mogen gebruiken bij de aan hen toegewezen taken. Het RIVM gebruikt op grond van dat wetsartikel dus gewoon het BSN. Maar de academische ziekenhuizen zijn ook overheid en hebben als wettelijke taak het doen van medisch wetenschappelijk onderzoek. Toch denken zij dat het niet mag, maar waarom voor hen de regels anders zijn dan voor het RIVM, kan niemand uitleggen.

Privacy Enhancing Technology werd "Gevoelig"

Wat belangrijker is; het hele medisch-wetenschappelijk veld vraagt (in verschillende vormen) om opheffing van het BSN-verbod. Er zijn geen duidelijke tegenargumenten, maar het wordt toch niet geregeld. En ook dit lijkt een perceptie-kwestie te zijn. In het Witboek Privacy Enhancing Technologies uit 2004, nog altijd te vinden op de website van de Autoriteit Persoonsgegevens, staat dat het BSN als doelen had: “de dienstverlening aan klanten verbeteren, de identiteitsfraude bestrijden en de transparantie van de overheid vergroten met als doel de privacy te verbeteren.” Het gebruik van het nummer had dus als doel om de privacy te verbeteren, want zo’n nummer was anoniemer dan het gebruik van NAW-gegevens. Vreemd genoeg is door de jaren heen de perceptie ontstaan, dat het BSN juist sensitief is. De AP schrijft nu: “Het BSN is een gevoelig persoonsgegeven. Met het BSN kan gemakkelijk informatie uit verschillende bestanden aan elkaar worden gekoppeld. Onzorgvuldig gebruik van het BSN levert daarom privacyrisico’s op.” Het nummer dat mede ontworpen was om de privacy te beschermen, wordt dus vreemd genoeg 20 jaar later gezien als een privacyrisico.

Gevoelig omdat je kan koppelen, maar koppelen is het doel!

Uit “gevoelig persoonsgegeven” leiden veel mensen af dat dit een “bijzonder persoonsgegeven” is, zoals gedefinieerd in de AVG. Dat is niet het geval. De AP stelt dat het gevoelig is, omdat men er bestanden mee kan koppelen. Maar daarmee gaat de instantie eraan voorbij dat we in bepaalde gevallen juist wel bestanden willen koppelen. Wetenschappers koppelen bestanden ten behoeve van hun onderzoek. Onlangs publiceerde het AUMC bijvoorbeeld een onderzoek waaruit bleek dat (met hulp van AI) huisartsen al tot vier maanden eerder longkanker kunnen opsporen. Zulk onderzoek is alleen mogelijk door bestanden uit ziekenhuizen te koppelen aan bestanden van huisartsen. Daarvoor zijn er data nodig die in beide bestanden zitten; dit kunnen de NAW-gegevens zijn, maar ook het BSN. Als het BSN niet mag worden gebruikt, dan kan er dus uitsluitend gekoppeld worden door meer privacy-gevoelige gegevens te gebruiken. De derde mogelijkheid is natuurlijk om zulk onderzoek helemaal niet te doen, maar dat vindt bijna niemand een optie.

BSN is veiliger dan NAW, als niet koppelen geen optie is

Dus als wetenschappers wel bestanden mogen koppelen vanwege het belang van hun onderzoek, dan moet er een keuze worden gemaakt tussen ofwel koppelen met NAW-gegevens, ofwel koppelen met het BSN. Dan kun je zeggen dat er ook gepseudonimiseerd kan worden, maar het BSN is nu juist een vorm van pseudonimisering; eentje die altijd hetzelfde wordt gedaan, zodat er alsnog gekoppeld en teruggevonden kan worden daar waar dat juist nodig is. Het BSN is dus inderdaad, zoals de AP schrijft, gevoelig in de zin dat het koppeling van bestanden mogelijk maakt, daar waar we dat niet willen. Maar in die gevallen dat we koppeling van bestanden nu juist wel willen, is gebruik van het BSN privacy-veiliger dan het gebruik van NAW-gegevens. Bovendien is het BSN ook bedoeld om het risico op verwisseling van personen te voorkomen en ook wetenschappers willen graag dat risico verlagen, voor een correctere uitkomst van hun onderzoek.

Welk Ministerie is aan zet?

Er zijn uiteraard overheden die dit alles prima begrijpen. VWS schrijft regelmatig dat er “iets” gedaan moet worden aan het BSN verbod. Dat dit niet gebeurt lijkt samen te hangen met onduidelijkheid over de vraag in welke wet het moet worden opgelost en welk ministerie dus aan zet is. Artikel 46 UAVG (waar het verbod staat) lijkt de meest logische plek te zijn, maar VWS gaat niet over deze wet; Justitie wel. Dat ministerie ziet het probleem ook wel, maar schrijft dat de kwestie dient te worden opgelost in “sectorale wetgeving.” Justitie lijkt dus te denken dat een ander Ministerie het moet oplossen, maar dat is niet logisch. We willen immers eenzelfde regeling voor alle wetenschappers en statistici, niet alleen op grond van rechtsgelijkheid, maar ook zodat bijvoorbeeld gezondheidsgegevens gekoppeld kunnen worden een andere gegevens. Daarom lijkt het toch de meest logische oplossing, als het Ministerie van Justitie artikel 46 UAVG aanpast.

Betrouwbare gegevenshouders en het BSN

Nu, met de introductie van de EHDS, is het bovendien een goed moment om het BSN-probleem op te lossen. De HDAB zal overheid zijn, en zal de bevoegdheid hebben om bestanden te koppelen bij het uitvoeren van haar taken. Maar de EHDS kent ook de rol van betrouwbare gegevenshouders. Dit zijn partijen die op grond van hun kennis van zaken de besluiten van de HDAB administratief mogen voorbereiden. Zij kunnen zelf concept-vergunningen schrijven. De betrouwbare houders moeten wel verplicht beschikken over een beveiligde verwerkingsomgeving. Vervolgens kunnen ze daar, in hun eigen BVO, met EHDS-data werken. Dat alles scheelt de HDAB veel werk, maar dit gaat deels verloren als de betrouwbare houders niet zelf met het BSN databestanden mogen koppelen en daarvoor dus alsnog de HDAB moeten inschakelen. Daarom moet, om de rol van betrouwbare houder onder de EHDS goed uit de verf te laten komen, het BSN-verbod nu worden aangepast.

Het raadplegen van het Nationale Zeggenschapsregister

Overigens moet in een dergelijke bepaling niet staan dat het BSN door wetenschappers mag worden gebruikt “om data te koppelen.” Dit zou weer te beperkend werken. Patiënten kunnen straks bezwaar maken tegen hergebruik van hun gegevens in het Nationale Zeggenschaps-register. Ook wanneer een betrouwbare gegevenshouder dit register raadpleegt, moet hij gebruik kunnen maken van het BSN. Als het Ministerie van Justitie blijft vasthouden aan het feit dat de kwestie moet worden opgelost in sectorale wetgeving, kan de kwestie dus ook door VWS worden opgelost in de uitvoeringswetgeving van de EHDS; om zo te bewerkstelligen dat (i) betrouwbare gegevenshouders zoals beoogd in de EHDS hun werk kunnen doen zonder al teveel hulp van de HDAB en (ii) het Nationale Zeggenschapsregister kan worden geraadpleegd met behulp van het BSN in plaats van de NAW-gegevens, omdat dit beter is voor de privacy. In de discussies hieromtrent is het belangrijk om een scherp onderscheid te maken tussen de vraag of we bepaalde bestanden willen koppelen, en de vervolgvraag als we dat inderdaad willen, hoe we dat het beste kunnen doen.

Lab gegevens medisch EHDS

De EHDS gaat over data en dus niet over lichaamsmateriaal. De concept-Wet Zeggenschap Lichaamsmateriaal gaat over materiaal en dus niet over data. Daarmee zou men dus kunnen denken dat er geen overlap is. Maar als je data uit materiaal haalt, dan doe je en iets met data, en ook iets met materiaal. Daarom bespreek ik hier wat ik vind van de concept-WZL. Spoiler alert: het is echt bagger.

EHDS privacy juridisch data

Het Ministerie van VWS gaat binnenkort bepalen wie de HDAB wordt; bij wie straks vergunningen worden aangevraagd voor nuttig hergebruik van gezondheidsgegevens. Wie kunnen dit worden, wie juist niet? En wat moet deze HDAB allemaal doen?

EHDS privacy juridisch data

Er moet onder de EHDS worden gewerkt in een Beveiligde VerwerkingsOmgeving (BVO). Wetenschappers krijgen geen data, maar toegang daartoe in een BVO die voldoet aan krachtens de EHDS vastgestelde strenge technische en veiligheidsnormen. Wat houdt dat in? En moet voortaan iedereen in een dergelijke BVO werken? Wordt dat een supercomputer met al onze gezondheidsdata?

Wat is een DPIA, wat is het niet?

Wat is een DPIA, wat niet?

Een DPIA is een Data Protection Impact Assessment, oftewel een gegevensbeschermingseffectbeoordeling. Deze is op grond van de AVG in bepaalde gevallen verplicht. Wat is dit en wat is het niet? Wanneer is deze verplicht? En wat is de rol van de functionaris gegevensbescherming?

Wat is de DPIA wel?

De DPIA is het verslag van een grondige denk-sessie. Men heeft het plan opgevat om iets te gaan doen met persoonsgegevens, maar dat kan risicovol zijn ten aanzien van de privacy. In de DPIA wordt daarom stap voor stap uiteengezet welke verwerkingen men exact van plan is en met welk doel; wat de risico’s zijn; of deze risico’s afdoende kunnen worden afgedekt; of het geheel conform de AVG is; of de eventuele niet af te dekken rest-risico’s in verhouding staan tot het doel; en of de plannen op grond van dit alles uitgevoerd mogen worden of toch maar niet. Het is met andere woorden een uitgebreide, stapsgewijze analyse of bepaalde plannen nu wel zo’n goed idee zijn, in het licht van de privacy. Onder omstandigheden moeten de betrokkenen hierin meegenomen worden, zoals patiëntenverenigingen of werknemers (via de OR).

Wat is de DPIA niet?

De DPIA is geen ritueeltje. Veelal wordt gebruik gemaakt van model DPIA’s. Daar is niets mis mee als ze op de juiste manier worden gebruikt, namelijk als hulpmiddel om een grondige analyse uit te voeren. Wanneer het model echter gebruikt wordt als een formulier dat nu eenmaal ingevuld moet worden, dan gaat het mis. De DPIA is niet bedoeld om te bereiken dat iets gedaan mag worden, maar om een antwoord te vinden op de vraag of iets gedaan mag worden. De DPIA is bovendien geen marketingtool. Hij is bedoeld voor interne overweging en niet om extern te laten zien hoe geweldig veel belang men hecht aan de AVG. Ook is het niet verstandig om DPIA’s uit te voeren voordat de vraag is beantwoord of men eigenlijk wel verwerkingsverantwoordelijke is. Een verwerker is iemand die persoonsgegevens verwerkt in opdracht van iemand anders; de controller. De verwerker mag zichzelf niet tot controller maken. Door DPIA’s uit te voeren ten aanzien van gegevens waar men geen controller van is, loopt men het risico dat wel te doen.

Wanneer moet het?

De DPIA moet worden uitgevoerd “wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen.” DPIA’s zijn met name vereist bij:

  1. Een systematische en uitgebreide beoordeling van persoonlijke aspecten, gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor rechtsgevolgen zijn verbonden of die bepaalde personen op vergelijkbare wijze wezenlijk treffen;
  2. Grootschalige verwerking van bijzondere persoonsgegevens of strafrechtelijke gegevens;
  3. Stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.
  4. Alles wat door de Autoriteit Persoonsgegevens op de DPIA lijst is geplaatst.

Nota bene, verwerking van bijzondere persoonsgegevens vereist dus niet altijd een DPIA. Dat is alleen het geval als er sprake is van grootschalige verwerking. Wat er gebruikelijk gedaan wordt bij individuele zorgverleners valt hier niet onder.

Wanneer hoeft het niet?

Een DPIA moet bij verwerkingen die ‘waarschijnlijk een hoog risico’ inhouden, maar is het duidelijk dat er geen risico’s zijn, dan hoeft het dus niet. Het hoeft bovendien niet telkens opnieuw voor soortgelijke verwerkingen; doet men als academisch ziekenhuis regelmatig medisch wetenschappelijk onderzoek met eigen gezondheidsgegevens in de eigen beveiligde verwerkingsomgeving, dan hoeft er niet telkens opnieuw een DPIA te worden uitgevoerd. De set data is wellicht anders, maar de verwerkingen zijn soortgelijk. Een DPIA hoeft ook niet als sprake is van een wettelijk verplicht of een wettelijke taak, mits bij het opstellen van die wet al een effectbeoordeling heeft plaatsgevonden (tenzij die wet alsnog een DPIA voorschrijft natuurlijk).

Rol van de functionaris gegevensbescherming

Anders dan veelal wordt gedacht, wordt de DPIA niet uitgevoerd door de functionaris gegevensbescherming (FG). Wel moet de verwerkingsverantwoordelijke bij de FG (als hij die heeft) advies inwinnen. Als er overigens daadwerkelijk een plicht bestaat tot het doen van een DPIA, dan zal het meestal ook verplicht zijn om een FG aan te stellen. De FG weet zelf niet wat de verwerkingsverantwoordelijke precies in gedachten heeft, aan risicovolle verwerkingen. Dit moet dus aan de FG worden uitgelegd, waarbij uiteen wordt gezet wat het plan is en waarom, welke risico’s men ziet, welke beveiliging men in gedachten heeft. De FG adviseert dan of die geplande maatregelen afdoende lijken, of het conform de AVG lijkt te zijn. Maar de FG verricht de analyse zelf niet, en neemt ook niet het besluit of een plan door mag gaan. En de FG heeft zeker niet de rol om zomaar groene vinkjes uit te delen.

AVG, doelbinding, wetenschap en corona

AVG, Doelbinding, Wetenschap en Corona

Medisch wetenschappers die data bijeen proberen te krijgen voor (onbetwist nuttig) onderzoek, worden nog weleens geconfronteerd met een weigering vanwege “doelbinding.” Zo was er iemand die data had verzameld voor onderzoek naar onverklaarbare oversterfte na Corona. Toen ze vervolgens diezelfde data wilde gebruiken voor onderzoek naar Long-Covid, werd dat niet toegestaan. Doelbinding! Maar klopt dat wel?

In dat wetsartikel over die grondslagen, staat ook uitgelegd wanneer je net iets anders met die gegevens mag gaan doen; als er een verenigbaar doel is. Netflix heeft bijvoorbeeld de NAW-gegevens van klanten primair verzameld om tegen betaling streaming te leveren. Toch mag het bedrijf die gegevens ook gebruiken om op te treden als er misbruik wordt gemaakt van de abonnementen. Dat hangt voldoende samen met elkaar en klanten kunnen ook redelijkerwijs verwachten dat zoiets gebeurt. Dat is dus “verenigbaar” gebruik van persoonsgegevens. Als daar geen sprake van is, als het onvoldoende samenhangt, dan zijn er drie mogelijkheden: een wet schrijft voor dat het toch mag,  je hebt toestemming, of je moet gewoon nieuwe data verzamelen.   

Het beginsel van doelbinding is te vinden in de AVG. Daar staat dat (1) persoonsgegevens alleen voor specifieke en rechtmatige doeleinden mogen worden verzameld, en (2) vervolgens niet op een “met die doeleinden onverenigbare wijze” mogen worden gebruikt. Dat tweede is het beginsel van doelbinding en het volgt logischerwijs uit het eerste. Voorschrijven dat je alleen voor specifieke rechtmatige doeleinden data mag verzamelen heeft geen zin, als je er vervolgens totaal iets anders mee mag gaan doen. Of er sprake is van goede “doeleinden” moet getoetst worden aan het artikel van de AVG waarin de “grondslagen” staan. Daar wordt regelmatig nogal moeilijk over gedaan, terwijl het dus gewoon neerkomt op de vraag: heb je een rechtmatig en goed doel om te doen wat je doet.

Dat laatste is natuurlijk een probleem voor wetenschappers. Want als data verzameld zijn om zorg te leveren aan iemand met klachten, dan is dat toch echt iets anders dan het gebruik van die data om te onderzoeken of je met behulp van AI eerder kunt achterhalen wat iemand heeft. Nog verder verwijderd wordt het verband, als je data verzameld hebt om cybercriminelen op te sporen, en vervolgens willen criminologen die data bestuderen om te onderzoeken waarom iemand eigenlijk cybercrimineel wordt. Valt zoiets te voorkomen? Dan is echt geen sprake meer van gebruik dat verband houdt met het eerdere doel, en het is ook geen gebruik dat de betrokkenen redelijkerwijs kunnen verwachten. Toestemming vragen aan die cybercriminelen, is een behoorlijk kansloze missie, maar nieuwe data genereren ook. En dus is er een wet nodig, die bepaalt dat zoiets is toegestaan.

Nu is het mooie dat ze dit in de AVG zelf al hebben opgelost. In het artikel over doelbinding staat direct erachter: de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd. In eenvoudiger bewoordingen: bij wetenschap en statistiek geldt het beginsel van doelbinding gewoon niet.

Dat betekent natuurlijk niet dat álles ineens is toestaan onder het mom van wetenschap, statistiek of archivering. Hoewel er een algemene uitzondering is op het doelbindingsbeginsel ten behoeve van wetenschap, kan een specifiek onderzoek alsnog verboden zijn. Je moet immers ook voldoen aan andere vereisten uit de AVG, zoals dat je voldoende technische en organisatorische maatregelen neemt om de boel te beveiligen; anonimiseren bijvoorbeeld, of pseudonimiseren, of werken in een super-beveiligde verwerkingsomgeving waar je eigenlijk uitsluitend met een koevoet in komt (zoals de criminologen hebben bedacht).

Als de gegevens waar je mee werkt bijzondere persoonsgegevens zijn (wat gezondheidsgegevens dus zijn,) dan moet je bovendien een uitzondering hebben op het verbod die te gebruiken. Dit verbod is eigenlijk gewoon het medisch geheim. Het staat alleen niet in het gezondheidsrecht, maar in de AVG. Het geldt niet voor mensen met een bepaald beroep, maar gewoon voor iedereen, ten aanzien van bepaalde soorten data. Heel handig. Een dergelijke uitzondering op het medisch geheim is: je mag gezondheidsgegevens gebruiken voor medisch wetenschappelijk onderzoek als je om toestemming hebt gevraagd, tenzij dat onredelijk is. Als het gaat om big data onderzoek, dan is dat onredelijk en is toestemming niet vereist.

Dat alles bij elkaar betekent dus: als je big data onderzoek doet naar bijvoorbeeld oversterfte en long-Covid, als de overheid dit financiert omdat het degelijk in elkaar steekt en echt nuttig is, als aan de vereisten is voldaan omdat gewerkt wordt in een zeer goed beveiligde verwerkingsomgeving, dan geldt het beginsel van doelbinding niet. Wat dat betreft heb je dus geen toestemming nodig. Misschien heb je wel nog toestemming nodig om het (universele) medisch geheim te doorbreken, maar dat is een andere kwestie. En daarvoor geldt: die toestemming is niet nodig, als het om zeer veel data gaat. Overigens worden die regels ten aanzien van toestemming anders onder de EHDS. Maar de AVG blijft daarnaast gewoon gelden, en er verandert dus niets aan de regel dat er een algemene uitzondering is op het beginsel van doelbinding ten behoeve van wetenschap en statistiek.

Lab gegevens medisch EHDS

De EHDS gaat over data en dus niet over lichaamsmateriaal. De concept-Wet Zeggenschap Lichaamsmateriaal gaat over materiaal en dus niet over data. Daarmee zou men dus kunnen denken dat er geen overlap is. Maar als je data uit materiaal haalt, dan doe je en iets met data, en ook iets met materiaal. Daarom bespreek ik hier wat ik vind van de concept-WZL. Spoiler alert: het is echt bagger.

EHDS privacy juridisch data

Het Ministerie van VWS gaat binnenkort bepalen wie de HDAB wordt; bij wie straks vergunningen worden aangevraagd voor nuttig hergebruik van gezondheidsgegevens. Wie kunnen dit worden, wie juist niet? En wat moet deze HDAB allemaal doen?

EHDS privacy juridisch data

Er moet onder de EHDS worden gewerkt in een Beveiligde VerwerkingsOmgeving (BVO). Wetenschappers krijgen geen data, maar toegang daartoe in een BVO die voldoet aan krachtens de EHDS vastgestelde strenge technische en veiligheidsnormen. Wat houdt dat in? En moet voortaan iedereen in een dergelijke BVO werken? Wordt dat een supercomputer met al onze gezondheidsdata?

Pseudonimiseren en de AVG

Pseudonimiseren en de AVG

Pseudonimisering is een term uit de AVG die voor veel verwarring zorgt. Zijn dit persoonsgegevens, en is de AVG daar dus op van toepassing, of niet? Zoals zo vaak is het antwoord van juristen: dat hangt ervanaf. Dat komt doordat pseudonieme gegevens geen categorie of soort gegevens zijn. Pseudonimiseren staat alleen in de AVG als een techniek: Artikel 4(5) bepaalt: „pseudonimisering” is het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld.”

Simpel gezegd betekent pseudonimiseren dus dat je “Antoinette Vlieger” vervangt voor bijvoorbeeld nummer “1973.” Het verschil met anonimiseren zit erin dat er nog wel een sleutel of een lijst bestaat, waarmee je kunt terugvinden dat nummer 1973 dus Vlieger is. In de medische wetenschap wil je vrijwel altijd pseudonimiseren in plaats van anonimiseren. Dan kunnen bevindingen zo nodig teruggekoppeld worden naar de behandelend arts of kan verzocht worden om enige aanvullende gegevens als die later nodig blijken voor het onderzoek.

Maar let erop dat er altijd een verschil is tussen gewoon taalgebruik en juridisch taalgebruik (zoals juristen op feestjes uitleggen: dit was geen moord maar doodslag, terwijl het voor iedereen om hen heen moord was). In het gewone spraakgebruik is pseudonimiseren dus het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt. Maar in de AVG wordt daar dus nog een component aan toegevoegd: “mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld.” Er moet ook worden vastgelegd wie er (exclusief) toegang hebben tot de sleutel.

Is de AVG op pseudonieme gegevens van toepassing?

Maar is de AVG nu op dergelijke gegevens van toepassing of niet? Dat hangt er vanaf of het “persoonsgegevens” zijn en dat begrip persoonsgegevens is een relatief begrip. De AVG is van toepassing zodra iemands privacy in het geding is, omdat de gegevens kunnen worden herleid naar een bepaalde persoon. Als een academisch ziekenhuis onderzoek doet naar patiënt nummer 1973, en zij hebben zelf de lijst waarin staat dat dit om Vlieger gaat, dan zijn het voor dat ziekenhuis persoonsgegevens. Geven zij deze data (om een AI-tool te trainen) aan wiskundigen die de lijst niet hebben, dan zijn het voor die wiskundigen geen persoonsgegevens; de AVG is niet van toepassing. Wordt dezelfde set data aan het CBS gegeven – die de lijst ook niet heeft, maar die wel de data kan combineren met eigen data, waardoor het duidelijk is over wie de data gaan – dan zijn de data voor het CBS weer wel persoonsgegevens. En nog weer ingewikkelder: als de wiskundigen, voor wie het dus geen persoonsgegevens zijn, de data op een openbare website plaatsen, waardoor het CBS erbij kan (voor wie het wel persoonsgegevens zijn), dan zijn het bij het openbaar maken weer wel persoonsgegevens en dus is daarop de AVG wel van toepassing; ook voor de wiskundigen.

De AVG is dus van toepassing als er sprake is van persoonsgegevens; in handen van bepaalde personen en in een bepaalde context. Pseudonieme gegevens zijn soms wel persoonsgegevens en soms ook niet. En bij het begrip anonieme gegevens moet je evengoed oppassen. Absoluut anonieme gegevens zijn voor iedereen anoniem. Dat zijn geen persoonsgegevens en daarop is de AVG niet van toepassing. Maar er zijn ook relatief anonieme gegevens; wel anoniem voor mij, niet voor het CBS. Het is beter, om verwarring te voorkomen, om uitsluitend absoluut anonieme gegevens aan te duiden als anoniem. Daarop is de AVG sowieso niet van toepassing. Maar ten aanzien van relatief anonieme gegevens en pseudonieme gegevens, moet telkens getoetst worden of de AVG van toepassing is.

Wordt dat bevestigd in jurisprudentie?

Nu willen veel mensen graag weten of de Europese rechters bevestigd hebben dat bovenstaande klopt. Maar er is geen jurisprudentie over het begrip pseudonimisering zelf. Er is wel rechtspraak waarin gesproken wordt over gepseudonimiseerde gegevens, maar daarbij wordt telkens gewoon de jurisprudentie over het begrip ‘persoonsgegevens’ toegepast.
In het arrest GAR/EDPS (HvJ EU 26 april 2023, T-557/20, ECLI:EU:T:2023:219) is goed te zien hoe de Europese rechter omgaat met deze kwestie. De EDPS stelt dat de gegevens die de GAR met Deloitte heeft gedeeld, gepseudonimiseerde gegevens waren en daarom persoonsgegevens (r.o. 32). De GAR voert aan dat het voor ontvanger Deloitte geen pseudonieme gegevens zijn maar anonieme, aangezien de GAR de informatie aan de hand waarvan opnieuw kon worden geïdentificeerd niet met Deloitte heeft gedeeld (r.o. 76). Opvallend is, dat in de rechters in de uitspraak niet ingaan op de vraag of het nu pseudonieme of anonieme gegevens betrof, maar uitsluitend op de vraag of het persoonsgegevens betrof. En daar blijft het bij. De zaak dient nu in hoger beroep en de Advocaat-Generaal doet er (6 februari 2025, C-413/23P, ECLI:EU:C:2025:59) duidelijk een uitspraak over in overweging 52: Het is niet zo dat gepseudonimiseerde gegevens automatisch geen persoonsgegevens zijn, want “onder bepaalde voorwaarden” zijn het wel persoonsgegevens; maar niet altijd dus.

In Richtlijn 01/2025 van de EDPB over pseudonimisering, van 16 Januari 2025 is gelijkelijk te lezen (overweging 22): Als gepseudonimiseerde gegevens en aanvullende informatie kunnen worden gecombineerd met inachtneming van de middelen die redelijkerwijs door de verwerkingsverantwoordelijke of door een andere persoon worden gebruikt, dan zijn de gepseudonimiseerde gegevens persoonsgegevens.

Is pseudonimisering altijd verplicht?

Op pseudonieme gegevens is dus soms de AVG wel van toepassing, soms niet. Maar als je dat pseudonimiseren nog niet gedaan had, is dat dan wel op grond van de AVG verplicht? Ook daarop is het juridische antwoord: soms wel, soms niet. De korte samenvatting is; als het kan dan moet het (en wel zo snel mogelijk), maar kan het niet, dan mag je alsnog met de data werken, afhankelijk van de omstandigheden; bij een zwaarwegend doel en mits zeer goed beveiligd.

Lab gegevens medisch EHDS

De EHDS gaat over data en dus niet over lichaamsmateriaal. De concept-Wet Zeggenschap Lichaamsmateriaal gaat over materiaal en dus niet over data. Daarmee zou men dus kunnen denken dat er geen overlap is. Maar als je data uit materiaal haalt, dan doe je en iets met data, en ook iets met materiaal. Daarom bespreek ik hier wat ik vind van de concept-WZL. Spoiler alert: het is echt bagger.

EHDS privacy juridisch data

Het Ministerie van VWS gaat binnenkort bepalen wie de HDAB wordt; bij wie straks vergunningen worden aangevraagd voor nuttig hergebruik van gezondheidsgegevens. Wie kunnen dit worden, wie juist niet? En wat moet deze HDAB allemaal doen?

EHDS privacy juridisch data

Er moet onder de EHDS worden gewerkt in een Beveiligde VerwerkingsOmgeving (BVO). Wetenschappers krijgen geen data, maar toegang daartoe in een BVO die voldoet aan krachtens de EHDS vastgestelde strenge technische en veiligheidsnormen. Wat houdt dat in? En moet voortaan iedereen in een dergelijke BVO werken? Wordt dat een supercomputer met al onze gezondheidsdata?