4. Aanvaardbaarheid van het gebruik van brede toestemming in medisch onderzoek met de
4.2. Brede toestemming: op weg naar eenduidige spelregels
Op basis van de normen uit de privacywet en de ethische normen voor wetenschappelijk onderzoek (Verklaring van Taipei, CGG en de OESO-richtlijn) en de literatuur is het mogelijk om een aantal vuistregels te bepalen voor een aanvaardbaar gebruik van brede toestemming. Deze vuistregels zijn tot stand gekomen vanuit mijn eigen interpretatie van de
privacywetgeving en de ethische normen voor wetenschappelijk onderzoek. Het verdient verder nog de opmerking dat deze aanbevelingen sec gericht zijn op brede toestemming en het hergebruik van medische gegevens. Naast deze grondslag, zijn er nog andere mogelijkheden om gegevens te verwerken. Het voert echter te ver in deze scriptie om alle overige aspecten van de privacywetgeving te bespreken.
46
In de eerste plaats moet de toestemming een algemene beschrijving bevatten van de soorten onderzoek die in de toekomst mogelijk kunnen worden uitgevoerd. Ook moet de informatie voor een gemiddeld persoon voldoende duidelijk zijn, zodat hij of zij kan instemmen met de soorten onderzoek die mogelijk worden verwacht. Daarbij is het niet de bedoeling dat de onderzoeker elk type onderzoek in de informatie opneemt. Voldoende is dat in grote lijnen kan worden uitgelegd wat het toekomstig onderzoek behelst. De kern van deze vuistregel is om de betrokkene een mogelijkheid te geven om voorafgaand geïnformeerd te worden over de mogelijke voordelen en risico’s van het toekomstig onderzoek (o.a. informationele risico’s), zodat diegene een eigen besluit kan maken op basis van deze informatie. (OESO art. 4.6, Taipei art 12 (b), CGG (b), ethische norm ‘informatie’).
In de tweede plaats dient de onderzoeker, voordat aan de betrokkene zijn uitdrukkelijke toestemming wordt gevraagd, één of meer specifieke doelstellingen te geven voor het secundaire gebruik van de gegevens van de betrokkene. De verwerking van medische
gegevens mag uitsluitend ten behoeve van duidelijke, welbepaalde doelen geschieden en niet verder worden verwerkt op een manier die onverenigbaar is met deze doelstellingen. Wanneer het niet mogelijk is om het doel van de gegevensverwerking voor wetenschappelijk
onderzoeksdoeleinden volledig te omschrijven, dan bestaat er de mogelijkheid om het op een meer algemeen niveau te omschrijven. In zulk geval kan een gebrek aan specificatie worden gecompenseerd door voldoende transparant te zijn (bijv. betrokkene op de hoogte houden over ontwikkelingen of het verstrekken van een uitgebreid onderzoeksplan). Voor deze vuistregel geldt dat de verwerking van medische gegevens is op grond van de AVG is niet toegestaan zonder dat hiervoor een doel is bepaald. De doelstellingen moeten duidelijk worden bepaald. Voor toekomstig onderzoek en brede toestemming bestaat er echter een restrictieve uitzondering op deze regel. (zie hoofdstuk 2, para 2.3 t/m 2.5, OESO-richtlijn).
In de derde plaats moet de brede toestemming verklaringen bevatten waarin de medische gegevens van de betrokkene worden beschreven, die in onderzoek kunnen worden gebruikt. Daarbij dient het onderzoekscentrum de betrokkene in het bijzonder te informeren over de wijze waarop met deze medische gegevens wordt omgegaan. Ook dient de onderzoeker de betrokkene te attenderen op de risico’s en lasten die verbonden zijn met het verzamelen, opslag en gebruik van medische gegevens. Uit deze vuistregel vloeit dat de betrokkene dient de mogelijkheid te krijgen of het medisch onderzoek en het gebruik van persoonsgegevens voor toekomstig onderzoek wel in lijn is met de waarden van deze betrokkene. De betrokkene
47
moet tevens op basis van deze waarden de mogelijkheid krijgen om zijn eigen keuze te maken. (Taipei art. 12 (b, c, d, e), CGG (onder c, d), Ethische norm ‘autonomie’).
In de vierde plaats dient de betrokkene een respectvolle bescherming te krijgen voor de duur van zijn deelname en voor toekomstige onderzoeken. Ook dient de betrokkene een ware en betekenisvolle kans te krijgen om hun toestemming voor die duur te bepalen. De betrokkene moet de mogelijkheid krijgen om zijn toestemming in te trekken voor onbepaalde duur zonder negatieve gevolgen. Deze vuistregel komt erop neer dat fundamentele rechten van de
betrokkene moeten worden gewaarborgd (o.a. recht op privacy). De betrokkene heeft het recht om zijn toestemming voor onbepaalde duur in te trekken. (Ethische norm ‘duur’, Taipei art. 12 (f), CGG (d)).
In de vijfde plaats moet de informatie in een duidelijke taal zijn geschreven, die voor een normaal persoon begrijpelijk en ondubbelzinnig is. De informatie moet tevens voldoende toereikend zijn, zodat de betrokkene een weloverwogen beslissing kan nemen over het al dan niet geven van brede toestemming voor nader gebruik van medische gegevens in medisch onderzoek. De informatie mag een breed spectrum aan elementen bevatten. Daaronder kunnen bijvoorbeeld (niet uitputtend) worden verstaan: een omschrijving van mogelijk toekomstige onderzoeksprojecten; een omschrijving van wat er van de betrokkene kan worden verwacht; informatie over de mogelijkheid om terug te trekken; en informatie over de wijze waarop met de persoonsgegevens wordt omgegaan. Voorts mag de toestemmingsverklaring niet te lang en te complex zijn. Onder complex wordt in dit kader moeilijk (juridisch) vakjargon verstaan. Conform deze vuistregel moet de toestemming voldoende geïnformeerd en ondubbelzinnig zijn. (art. 7 AVG)
Tenslotte moet de betrokkene, voor het geven van de toestemming, voldoende in de
gelegenheid zijn gesteld om de informatie met de onderzoeker te bespreken en af te wegen. In de verklaring moet verder worden opgenomen dat toestemming een keuze is en dat de
betrokkene ervoor kan kiezen om geen toestemming te geven voor het hergebruik van zijn medische gegevens. Ook mogen er geen negatieve gevolgen aan de weigering verbonden zijn, oftewel het verlenen van toestemming moet vrijblijvend zijn. Op grond van deze vuistregel moet de toestemming vrijelijk zijn gegeven (art. 7 AVG).
48
4.3. Tussenconclusie
‘Welke verschillen zijn er te constateren tussen de regelgeving van de AVG en brede toestemming in medisch wetenschappelijk onderzoek?’
Zoals gezien, biedt de AVG de mogelijkheid voor een betrokkene om brede toestemming te geven tot nader gebruik van zijn gezondheidsgegevens. Wel moet de brede toestemming in overeenstemming zijn met de privacywetgeving. De voorwaarden worden bepaald door de artikelen 4 onderdeel 11 jo. 6 eerste lid, onder a jo. 7 jo. 9 lid 2 onder a AVG. In dat verband bestaat er een discussie over de specificiteitseis, want onder privacywetgeving moet
toestemming eigenlijk specifiek zijn. In dat verband wordt nog gewezen op overweging 33 AVG. Hierin is bepaald dat voor zover de onderzoeker niet in staat is om een specifiek doel te omschreven, er ook andere mogelijkheden bestaan om ervoor te zorgen dat zo goed mogelijk wordt voldaan aan het toestemmingsvereiste. Denk hierbij aan de mogelijkheid voor de betrokkene om in algemenere termen toestemming te geven voor een onderzoeksdoelstelling. Een ander belangrijke uitgangspunt is dat deze uitzondering restrictief moet worden uitgelegd. Met andere woorden is brede toestemming geen vrijbrief om niet aan de vereisten van de AVG te voldoen. Kortom moet brede toestemming onder de privacywetgeving eigenlijk ook specifiek zijn, maar is er op basis van de restrictieve uitleg deels ruimte voor een algemenere toestemming.
Een en ander betekent dat brede toestemming voor nader gebruik van gezondheidsgegevens in medisch-wetenschappelijk deels mogelijk is en in de privacywetgeving is erkend. Niettemin bestaat er grote twijfel over de interpretatie en de concrete eisen voor goed gebruik van brede toestemming. Voorts is gebleken dat deze interpretatie enigszins wordt aangevuld door de ethische normen van wetenschappelijk onderzoek. Uiteindelijk bepaalt de onderzoeker het doel en middelen van het onderzoek. In beginsel is de interpretatie van de onderzoeker bepalend.
Dit is mijns inziens een ongelukkige ontwikkeling. Zo ontstaat er al snel de neiging naar een te strikte of een te brede interpretatie. Dit heeft aanzienlijke gevolgen. Zo kan een te strikte interpretatie de voordelen van brede toestemming te ver beperken waardoor de beoogde doelstellingen voor toekomstig onderzoek mogelijk niet gehaald worden. Bij een te ruime interpretatie kan de informationele privacy van de betrokkene in gevaar komen. Het is dan
49
niet vreemd dat het gebrek van concrete eisen tot rechtsonzekerheid kan leiden, hetgeen de rechtvaardigheid voor alle partijen in het onderzoeksproces niet ten goede kan brengen.
De interpretatie van de onderzoeker op de privacywetgeving en de ethische normen voor wetenschappelijk onderzoek speelt dus een belangrijke rol voor een rechtmatig gebruik van brede toestemming. Ten behoeve van deze interpretatie zijn er zes vuistregels geformuleerd (zie paragraaf 4.2). Deze vuistregels bevatten eigen interpretaties van bovenstaande normen. Concreet betekent het volgen van deze vuistregels dat brede toestemming in lijn is met de privacywetgeving.
50
5. Conclusie
5.1. Inleiding
In de voorgaande hoofdstukken zijn de kernelementen van de AVG behandeld, het fenomeen brede toestemming is in kaart gebracht, en heeft er een analyse plaatsgevonden, waarmee de centrale vraag beantwoord kan worden. Voor de helderheid wordt deze centrale vraag nogmaals herhaald:
‘In hoeverre is brede toestemming een rechtsgeldige vorm van toestemming om
gezondheidsgegevens te (her)gebruiken door onderzoekers in medisch wetenschappelijk onderzoek, gelet op de vereisten van de Algemene verordening gegevensbescherming?’
In dit hoofdstuk wordt bovenstaande vraag beantwoord aan de hand van de resultaten van het onderzoek. Zodra de beantwoording van de onderzoeksvraag is voltooid, zullen er een aantal aanbevelingen volgen voor onderzoeksinstituten.
5.2. Conclusies
Brede toestemming is een vorm van toestemming waarbij de betrokkene voor één of meerdere algemeen omschreven doelstellingen zijn goedkeuring geeft tot het verwerken van zijn
gezondheidsgegevens. Uit de inventarisatie is voorts gebleken dat het normatief kader wordt bepaald door de AVG (en UAVG). Ten aanzien van dit kader geldt de uitdrukkelijke
toestemming als maatstaf voor een rechtsgeldig gebruik van brede toestemming. Deze maatstaf brengt met zich mee dat de toestemming moet voldoen aan vijf cumulatieve voorwaarden, te weten: vrijelijk gegeven, specifiek, geïnformeerd, ondubbelzinnig en een expliciete verklaring van de betrokkene.
Uit de analyse blijkt dat het gebruik van brede toestemming op gespannen voet staat met de eis van specificatie. Zo is het voor toekomstig onderzoek moeilijk om specifieke
doelstellingen te stellen. Op het moment dat toestemming van de betrokkene wordt gevraagd, is er immers weinig informatie beschikbaar. Niettemin biedt de AVG een flexibilisering voor het gebruik van brede toestemming. Dit betekent dat toestemming breder mag zijn dan een specifiek onderzoeksdoel en dat de informatie een algemene beschrijving kan geven voor de
51
verwerking van gezondheidsgegevens. Daarbij is het de voorwaarde dat de onderzoeker het gebrek aan specificering dient te compenseren. Deze compensatie wordt nader ingevuld door de ethische normen voor medisch-wetenschappelijk onderzoek. Deze normen dienen op zijn beurt te worden ontleend uit de Gedragscode Goed Gebruik, de OESO-richtlijn, de verklaring van Taipei en uit de literatuur.
Al met al is duidelijk geworden dat het gebruik van brede toestemming zich in een grijs gebied bevind. Aan de ene kant staat de privacywetgeving het gebruik brede toestemming toe, maar aan de andere kant is er nog veel onduidelijk over hoe deze toestemming moet worden ingevuld. De wijze waarop brede toestemming is ingevuld door de onderzoeker is uiteindelijk doorslaggevend voor de vraag of de gebruikte toestemming in lijn is met de AVG of niet.
5.3. Aanbevelingen
Hieronder worden op basis van de conclusies van het onderzoek hoofdzakelijk twee aanbevelingen gedaan. Hoewel deze scriptie primair gericht is op onderzoekers, is het noodzakelijk om de suggesties te richten op nog drie andere partijen. De suggesties richten zich dus ook onder meer op de nationale, de internationale wetgever en het veld van medisch- wetenschappelijk onderzoek. De eerste aanbeveling heeft alleen betrekking op de
onderzoeker. De tweede aanbeveling is verder gericht op de andere partijen.
Aanbeveling 1: Onderzoekers dienen voor de eigen invulling van brede toestemming gebruik te maken van de zes vuistregels.
Er is vanuit de praktijk een grote behoefte aan duidelijkheid over brede toestemming en nader gebruik van gezondheidsgegevens. Het is mijns inziens een problematische kwestie dat aan de onderzoeker de taak is opgelegd om de normen uit de privacywetgeving en ethische codes zelf te interpreteren. Het risico dat deze normen te ruim of te strikt worden geïnterpreteerd is hoog. De kans dat de brede toestemming niet rechtmatig is – dat wil zeggen niet aan
bovenstaande voorwaarden voldoet – is behoorlijk groot. De gevolgen zijn dan ook
aanzienlijk, namelijk de verwerking van gegevensverwerking zijn nietig en het toekomstig onderzoek kan met het ontbreken van dergelijke gegevens geen doorgang vinden. Ten behoeve van de onderzoeker is er een zestal vuistregels geformuleerd. Het is onderzoekers aanbevolen om deze vuistregels te gebruiken als kader om hun eigen brede toestemming in te
52
vullen. De mogelijke kans op verkeerde interpretatie en de daarmee gepaard gaande gevolgen worden hiermee verkleind. Deze zes vuistregels zijn als volgt:
1. De toestemming moet een algemene beschrijving bevatten van de soorten onderzoek die in de toekomst mogelijk kunnen worden uitgevoerd. Ook moet de informatie voor een gemiddeld persoon voldoende duidelijk zijn, zodat hij of zij kan instemmen met de soorten onderzoek die mogelijk worden verwacht. Daarbij is het niet de bedoeling dat de onderzoeker elk type onderzoek in de informatie opneemt. Voldoende is dat in grote lijnen kan worden uitgelegd wat het toekomstig onderzoek behelst.
2. De onderzoeker dient, voordat aan de betrokkene zijn uitdrukkelijke toestemming wordt gevraagd, één of meer specifieke doelstellingen te geven voor het secundaire gebruik van de gegevens van de betrokkene. De verwerking van medische gegevens mag uitsluitend ten behoeve van duidelijke, welbepaalde doelen geschieden en niet verder worden verwerkt op een manier die onverenigbaar is met deze doelstellingen. Wanneer het niet mogelijk is om het doel van de gegevensverwerking voor
wetenschappelijk onderzoeksdoeleinden volledig te omschrijven, dan bestaat er de mogelijkheid om het op een meer algemeen niveau te omschrijven. In zulk geval kan een gebrek aan specificatie worden gecompenseerd door voldoende transparant te zijn (bijv. betrokkene op de hoogte houden over ontwikkelingen of het verstrekken van een uitgebreid onderzoeksplan). Voor deze vuistregel geldt dat de verwerking van
medische gegevens op grond van de AVG niet is toegestaan zonder dat hiervoor een doel is bepaald.
3. De brede toestemming moet verklaringen bevatten waarin de medische gegevens van de betrokkene worden beschreven, die in onderzoek kunnen worden gebruikt. Daarbij dient het onderzoekscentrum de betrokkene in het bijzonder te informeren over de wijze waarop met deze medische gegevens wordt omgegaan. Ook dient de
onderzoeker de betrokkene te attenderen op de risico’s en lasten die verbonden zijn met het verzamelen, opslag en gebruik van medische gegevens.
4. De betrokkene dient een respectvolle bescherming te krijgen voor de duur van zijn deelname en voor toekomstige onderzoeken. Ook dient de betrokkene een ware en betekenisvolle kans te krijgen om hun toestemming voor die duur te bepalen. De betrokkene moet de mogelijkheid krijgen om zijn toestemming in te trekken voor onbepaalde duur zonder negatieve gevolgen.
5. De informatie moet in een duidelijke taal zijn geschreven, die voor een normaal persoon begrijpelijk en ondubbelzinnig is. De informatie moet tevens voldoende
53
toereikend zijn, zodat de betrokkene een weloverwogen beslissing kan nemen over het al dan niet geven van brede toestemming voor nader gebruik van medische gegevens in medisch onderzoek. De informatie mag een breed spectrum aan elementen bevatten. Daaronder kunnen bijvoorbeeld (niet uitputtend) worden verstaan: een omschrijving van mogelijk toekomstige onderzoeksprojecten; een omschrijving van wat er van de betrokkene kan worden verwacht; informatie over de mogelijkheid om terug te trekken; en informatie over de wijze waarop met de persoonsgegevens wordt omgegaan. Voorts mag de toestemmingsverklaring niet te lang en te complex zijn. Onder complex wordt in dit kader moeilijk (juridisch) vakjargon verstaan.
6. De betrokkene moet, voor het geven van de toestemming, voldoende in de
gelegenheid zijn gesteld om de informatie met de onderzoeker te bespreken en af te wegen. In de verklaring moet verder worden opgenomen dat toestemming een keuze is en dat de betrokkene ervoor kan kiezen om geen toestemming te geven voor de
hergebruik van zijn medische gegevens. Ook mogen er geen negatieve gevolgen aan de weigering verbonden zijn, oftewel het verlenen van toestemming moet vrijblijvend zijn.
Aanbeveling 2: Zorg resoluut voor een vernieuwd juridisch kader met inachtneming van een evenredige balans tussen het doen van medisch-wetenschappelijk onderzoek en de
gegevensbescherming van individuen.
Bestudering van de AVG en de UAVG laten zien dat de normen bijzonder vaag en onduidelijk zijn. Onder onderzoekers bestaat een grote discussie over de vraag over hoe algemeen de brede toestemming moet zijn. Door de onduidelijkheid van deze interpretatie, is het aan te bevelen om de vereisten voor brede toestemming te concretiseren zoals dat is gedaan met de vereisten voor de geïnformeerde toestemming. Hiervoor kunnen de volgende suggesties worden gedaan.
Om te beginnen dient het belang van hergebruik van gezondheidsgegevens meer in de AVG gewaarborgd te zijn. Deze waarborging kan geschieden via de opneming van twee
verschillende bepalingen. De eerste is de toevoeging van overweging 33 in een volwaardige bepaling (bijvoorbeeld onder artikel 7 of onder het definitiebegrip van ‘toestemming’ in artikel 4 onderdeel 11). De tweede is uitbreiding van de toelichting in overweging 33, waarin
54
concreet wordt uitgelegd hoe ‘breed’ de brede toestemming nu dient te zijn en aan welke voorwaarden deze moet voldoen voor een rechtmatig gebruik.
In aansluiting op bovenstaande richt de aanbeveling zich verder op een wijziging van de UAVG. Een unieke brede toestemmingsbepaling kan, in samenhang met bovenstaande nieuwe bepalingen, worden gebruikt als een verdere uitwerking voor een rechtmatige brede toestemming. Essentieel hierbij is een uitwerking van het raamwerk van brede toestemming. Verder moet er een bepaling worden opgenomen waarin globaal wordt opgesomd welke informatie in de verklaring moet worden opgenomen. In een andere bepaling kan vervolgens de bijkomende ethische normen voor wetenschappelijk onderzoek worden toegelicht.
Tot slot is het een belangrijke voorwaarde dat het juridisch kader sterk is ingebed in de praktijk voor medisch-wetenschappelijk onderzoek. Een juiste balans tussen enerzijds overheidsregulering en zelfregulering uit het veld is hierbij essentieel. Dit betekent dat het beleid toekomstbestendig moet zijn. Een goede samenwerking met de betrokken partijen is daarbij in het bijzonder belangrijk. Ten overvloede geldt nog de suggestie om de bestaande gedragscodes constant bij te werken naar de nieuwe standaarden. De CGG is bijvoorbeeld al negen jaar niet meer bijgewerkt. Er kan mijns inziens immers niet verwacht worden dat onderzoekers hun interpretatie van de normen dienen te baseren op verouderde gedragscodes.
55
Literatuurlijst
LiteratuurBeleidslijn COVID-19 2020.
Ministerie van VWS. Beleidslijn inzake het verzamelen van onderzoekstatus en doorgifte buiten EU vanwege COVID-19. Gepubliceerd op 16 april 2020.
EDPS 2020.
European Data Protection Supervisor. A Preliminary Opinion on data protection and scientific research. gepubliceerd op 6 januari 2020.
Richtsnoeren 05/2020.
European Data Protection Board. Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, vastgesteld op 4 mei 2020.
Richtsnoeren 03/2020.
European Data Protection Board. Richtsnoeren 3/2020 inzake de verwerking van gezondheidsgegevens voor wetenschappelijk onderzoek in het kader van de COVID-19- uitbraak, vastgesteld op 21 april 2020.
Pool, 2019.
Pool, A.H, art. 9 AVG in: S.S.M. Peters (red.), Arbeidsovereenkomst, Deventer: Wolters Kluwer, 2019.
Stüssgen e.a., 2019.
Stüssgen, R, e.a. Zorggegevens voor onderzoek: bezwaar of toestemming? De wet en de praktijk. Utrecht: Nivel, 2019.
COREON statement wetenschappelijk onderzoek, 2018.
Stichting Federatie Medisch Wetenschappelijke Verenigingen (Federa), Gedragscode verantwoord omgaan met lichaamsmateriaal ten behoeve van wetenschappelijk onderzoek, Rotterdam: Stichting FMWV 2018.
56
Handbook 2018.
The council of Europe (CoE) & the European Court of Human Rights (ECtHR). Handbook on European data protection law. 2018.
Mostert 2018.
M. Mostert, Big Data health research: Safeguarding rights and interests, Utrecht: Universiteit Utrecht 2018.
Leenen e.a., 2017.
H.J.J. Leenen e.a. Handboek gezondheidsrecht. 7e druk, Den Haag: Boom Juridisch 2017.
Advies 5/2014.
Groep gegevensbescherming artikel 29. Advies 5/2014 over anonimiseringstechnieken, vastgesteld op 10 april 2014.