Zeggenschap over gezondheidsgegevens onder de EHDS
Gezondheidsgegevens mogen nu gebruikt voor onderzoek met toestemming. Onder de EHDS wordt dit een opt-out. Hoe gaat dit eruit zien? Wie houdt toezicht? Is dat ethisch?
Niemand is eigenaar van data
De European Health Data Space zal grote veranderingen met zich brengen ten aanzien van de zeggenschap van patiënten over het hergebruik van gezondheidsgegevens (schrijft ook de AP). Voor een goed begrip van dit stukje, worden eerst enige termen uitgelegd. Hoewel gezondheidsdata over een patiënt gaan, zijn ze niet van de patiënt. Ook het ziekenhuis is geen eigenaar van de data. Gezondheidsdata zijn feiten en zoals men niet eigenaar kan zijn van ‘de zon is heet’ zo kan men ook geen eigenaar zijn van ‘de patiënt heeft koorts.’ De patiënt heeft dus geen vermogensrecht op de data. Hij heeft wel een recht op bescherming van gegevens die over hem gaan, vanwege zijn recht op privacy. De patiënt kan op verschillende manieren deze rechten zelf uitoefenen (naast het optreden van de Autoriteit Persoonsgegevens). Enerzijds heeft hij bijvoorbeeld het recht om in te zien welke data iemand over hem heeft en kan hij deze data laten corrigeren. Anderzijds kan er sprake zijn van zeggenschap voorafgaand aan eventueel gebruik van data over patiënten.
Drie vormen van zeggenschap
Daar zijn drie vormen van. De eerste vorm is dat er geen zeggenschap is. Dit is bijvoorbeeld het geval bij de data die het CBS verzamelt. Dergelijke data betreffen grote hoeveelheden mensen, en bovendien zijn de data essentieel voor de overheid om haar werk te kunnen doen. Er is dan geen zeggenschap, vanuit de gedachte dat elke burger een goed functionerende overheid wil, en dat is alleen mogelijk met gebruik van data. De tweede mogelijkheid is opt-out zeggenschap (er mag geen bezwaar zijn gemaakt) en de derde mogelijkheid is opt-in zeggenschap (er moet vooraf toestemming worden gevraagd). Het Nederlands recht kent nu voor wetenschap en statistiek een opt-in regeling, tenzij dit onredelijk is. Toestemming betekent dus een opt-in, en dit is een sub-vorm van voorafgaande zeggenschap. De EHDS bepaalt dat (ten aanzien van nuttig en beveiligd hergebruik van gezondheidsgegevens) voortaan in beginsel de opt-out gelden. Wel kan voor extra sensitieve data een opt-in worden voorgeschreven in het (nationale) recht van een lidstaat. Daarnaast kan voor specifieke verwerkingen worden bepaald dat er geheel geen zeggenschap kan worden uitgeoefend; bijvoorbeeld vanwege een groot risico op onbetrouwbare uitkomsten van het onderzoek.
Het Nationale ZeggenschapsRegister?
Ten aanzien van sommige gevoelige data, mag dus in onze nationale wetgeving eventueel gekozen worden voor een opt-in. Dat is onder meer het geval bij genetische gegevens, data uit wellness-apps en uit lichaamsmateriaal. Let er wel op dat dat alleen het geval zal zijn als er sprake is van persoonsgegevens in de zin van de AVG; als redelijkerwijs kan worden achterhaald over wie de data gaan. Dat is ook logisch: als men niet redelijkerwijs kan weten over wie de data gaan, dan kan ook niet nagegaan worden of er zeggenschap is uitgeoefend. De Nederlandse wetgever moet gaan uitwerken hoe de zeggenschap straks kan worden uitgeoefend. Er wordt nu gesproken over een Nationaal Zeggenschapsregister, waarin men bezwaar kan maken tegen bepaalde vormen van hergebruik. Daarnaast zou hierin eventueel toestemming kunnen worden gegeven voor hergebruik van gevoelige gegevens, als de wetgever zou bepalen dat toestemming per los onderzoek niet nodig is. De uitoefening van zeggenschap geldt ten aanzien van alle daarna te verlenen datavergunningen, tot het moment dat het bezwaar eventueel wordt ingetrokken. Het bezwaar werkt dus niet terug; is eenmaal een vergunning afgegeven, dan mag men die data tot het einde van het onderzoek gebruiken.
De Autoriteit Persoonsgegevens versus HDAB
Hoe zit het nu met de taakverdeling tussen de HDAB en de AP? de EHDS is bedoeld om de juiste balans te vinden tussen bescherming van de privacy en het nut van databeschikbaarheid; dit wordt door de EU aangeduid als "as open as possible, as closed as necessary." De AVG blijft gewoon gelden en de Autoriteit Persoonsgegevens behoudt al haar handhavende taken ten aanzien van privacy. De HDAB is dus het nieuw op te richten overheidsorgaan, dat als taak het tegenovergestelde belang dient, de databeschikbaarheid. Vanuit die taakverdeling is het logisch, dat het niet de HDAB maar de AP is, die handhavend optreedt als het uitoefenen van zeggenschap in het Nationaal Zeggenschapsregister niet op de goede manier wordt nageleefd. Wel houdt de HDAB toezicht op naleving van de AVG. Is er sprake van een schending, dan informeert de HDAB de AP hierover. Daarom moeten ze met elkaar samenwerken. Daarnaast houdt de AP toezicht op de HDAB ten aanzien van de dingen die de HDAB echt zelf met persoonsgegevens doet. Maar omdat de AP nu al toezicht houdt op gezondheidsdata en straks daarin geassisteerd wordt door de HDAB, kan de AP onder de EHDS dus krimpen (in tegenstelling tot de claim van KPMG dat de AP moet groeien).
Het vrije verkeer van data
Er zijn mensen die vinden dat je in het Nationaal Zeggenschapsregister moet kunnen aangeven dat je data de grens niet over mogen, maar dat is in strijd met het Europese recht over het vrije verkeer van data. Dit staat ook in artikel 1 van de AVG. Bovendien draagt de EHDS nu juist de naam "European Health Data Space" om dat het de bedoeling is dat er een vrij verkeer van gezondheidsdata binnen Europa komt, zoals er ook een vrij verkeer is van personen (waaronder patiënten en wetenschappers), en een vrij verkeer van diensten (waaronder gezondheidszorg). Er mag bovendien binnen de EU niet gediscrimineerd worden tussen bijvoorbeeld Nederlandse of Belgische wetenschappers. Is men het met dit alles niet eens, dan zal Nederland uit de Europese Unie moeten stappen.
Zeggenschap onder de EHDS en ethiek
Er zijn mensen die menen dat de EHDS, onder meer vanwege de opt-out regeling, onethisch is. Daarover moet allereerst worden opgemerkt dat juristen die beschrijven wat het recht bepaalt, geen uitspraak doen over ethiek. Recht en ethiek zijn niet hetzelfde. Ethiek wordt dan ook met name gedoceerd aan de filosofie-faculteit, niet bij rechtsgeleerdheid. Wel is het vermeldenswaardig, dat de EHDS een Europese wet is, die is vastgesteld door het democratisch gekozen Europese Parlement. Ook de huidige Nederlandse regering heeft in het regeerakkoord vastgelegd dat een opt-out voldoende is. Daaruit lijkt te kunnen worden geconcludeerd dat de meerderheid van de samenleving de opt-out niet onethisch vindt, wat bevestigd is in onderzoek van onder meer de Patiënten Federatie.