Een DPIA is een Data Protection Impact Assessment, oftewel een gegevensbeschermings-effectbeoordeling. Deze is op grond van de AVG in bepaalde gevallen verplicht. Wat is dit en wat is het niet? Wanneer is deze verplicht? En wat is de rol van de functionaris gegevensbescherming?
Subsidie of opdracht?
Het is niet altijd direct duidelijk of sprake is van een subsidie of een commerciële opdracht. Onder subsidie wordt wettelijk verstaan: “de aanspraak op financiële middelen, door een bestuursorgaan verstrekt met het oog op bepaalde activiteiten van de aanvrager, anders dan als betaling voor aan het bestuursorgaan geleverde goederen of diensten.” Voor het onderscheid tussen een subsidie en een commerciële overeenkomst, is dat laatste van belang. Als de politie bijvoorbeeld kogelvrije vesten inkoopt, dan is het een commercieel contract, want hoewel de politie werkt ten dienste van de samenleving, worden die vesten echt ingekocht voor, en geleverd aan de politie zelf. Dat is anders wanneer een academisch ziekenhuis van de overheid geld krijgt om onderzoek te doen naar een zeldzame ziekte. De eventueel ontwikkelde nieuwe behandeling, is bedoeld voor patiënten, niet voor de overheid. Ook wordt de behandeling niet opgeleverd aan de overheid, maar alleen bewijs dat de gesubsidieerde activiteit daadwerkelijk is uitgevoerd. Voor de vraag of we te maken hebben met een commerciële opdracht of een subsidie, dient daarom met name te worden gekeken naar de vraag wat er precies dient te worden opgeleverd en voor wie dat bedoeld is; wordt een dienst of product opgeleverd aan de subsidieverstrekker, of wordt uitsluitend bewijs van de activiteit opgeleverd?
Niet zelf kiezen
Partijen mogen of kunnen niet zelf beslissen of iets een opdracht is of een subsidie. Als het valt onder bovenstaande definitie, dan is het een subsidie en andersom. Komt men er op grond van bovenstaande nog niet uit, dan neemt de rechter nog in overweging: (i) is de betaling (lager dan) de kostprijs of zit er een winstmarge op, en (ii) wie was de initiatiefnemer tot de activiteit. De idee erachter is dat een commerciële opdrachtnemer winst wil maken en niet aan het werk gaat voordat duidelijk is of er iemand gaat betalen. Het onderscheid tussen subsidies en commerciële contracten is belangrijk voor de BTW; deze hoeft niet te worden betaald over subsidies, reden waarom wederpartijen kunnen bepleiten dat iets een subsidie is, terwijl dat in feite niet het geval is. Let er ook op dat in de definitie van subsidie niets staat over de vraag of er een call of een aanbesteding is geweest. Een aanbesteding maakt dus (anders dan wel wordt gedacht) niet dat het geen subsidie is; men kan zich vergist hebben en bovendien; op grond van Europees recht moeten ook subsidies steeds vaker verplicht aanbesteed worden.
Medisch wetenschappers die data bijeen proberen te krijgen voor (onbetwist nuttig) onderzoek, worden nog weleens geconfronteerd met een weigering vanwege “doelbinding.” Zo was er iemand die data had verzameld voor onderzoek naar onverklaarbare oversterfte na Corona. Toen ze vervolgens diezelfde data wilde gebruiken voor onderzoek naar Long-Covid, werd dat niet toegestaan. Doelbinding! Maar klopt dat wel?
De EHDS beoogt meer gezondheidsdata beschikbaar te maken voor nuttig hergebruik door het veiliger te maken. De AVG blijft gewoon naast de EHDS gelden. Die bepaalt reeds dat dit hergebruik is toegestaan als er sprake is van een goed doel (zoals wetenschappelijk onderzoek), als de wet gevolgd wordt en als er maatregelen zijn genomen. Wat dat betreft brengt de EHDS niets nieuws. Toch is het revolutionair, wat er staat te gebeuren, onder meer omdat wetenschappers indirect een recht op data krijgen.