Hergebruik van medische gegevens in wetenschappelijk onderzoek: een
onderzoek naar de aanvaardbaarheid van brede toestemming als een
rechtsgeldige grondslag voor gegevensverwerking binnen de Algemene
verordening gegevensbescherming.
Masterscriptie Gezondheidsrecht
24 juli 2020René Andreas Willem Harry Philipsen UvA studentnummer 12450596
1
Woord vooraf
Beste lezer,
Voor u ligt het masterscriptieverslag dat ik heb verricht in het kader van het afronden van de masteropleiding gezondheidsrecht. In het afgelopen jaar heb ik met veel plezier deze
opleiding gevolgd aan de Universiteit van Amsterdam. Gedurende deze opleiding heb ik ten aanzien van het gezondheidsrecht veel kennis en vaardigheden opgedaan.
Het onderwerp van privacy in de gezondheidszorg heeft in die periode steeds mijn grote belangstelling gehad. De duidelijke typering van de regels van de privacywet en de
onduidelijke grijze lijn van brede toestemming bij nader gebruik van gezondheidsgegevens wekte al snel nieuwsgierigheid en vragen bij mij op. De keuze voor het onderwerp van deze masterscriptie was dan ook snel gemaakt.
Dit onderzoek heb ik verricht gedurende de periode van begin januari tot eind juli 2020. In deze periode heb ik ontzettend veel kennis en ervaring opgedaan in het doen van
wetenschappelijk onderzoek. Via deze weg wil ik graag allereerst mevrouw mr. H.B Van Kolfschooten bedanken voor de begeleiding gedurende mijn afstuderen. Tenslotte gaat mijn dank uit naar mijn familie en vrienden, die mij op allerlei manieren hebben gesteund tijdens dit traject.
René Philipsen 24 juli 2020
2
Samenvatting:
Voor wetenschappelijk onderzoek in de gezondheidszorg worden vaak gezondheidsgegevens bewaard om deze vervolgens te hergebruiken voor toekomstig onderzoek. Voor het nader gebruik van deze gevoelige informatie geeft de betrokken patiënt of proefpersoon doorgaans algemene toestemming. Deze vorm van toestemming is breed en de informatie bestaat vaak uit algemene informatie over een mogelijk toekomstig onderzoek. Met de komst van de Algemene verordening gegevensbescherming (AVG) staat deze brede toestemming steeds meer ter discussie. Vanwege de belangrijke positie van brede toestemming is er reden genoeg om een onderzoek te doen naar de aanvaardbaarheid van brede toestemming.
Tegen deze achtergrond richt deze masterscriptie op de tweeledige doelstelling om het normatieve debat rondom brede toestemming te verduidelijken en om onderzoekers te
adviseren over oplossingen voor mogelijke juridische tekortkomingen. Om deze
doelstellingen te bereiken, adresseert deze masterscriptie de hoofdvraag: in hoeverre is brede toestemming een rechtsgeldige grondslag om gezondheidsgegevens te (her)gebruiken door onderzoekers in medisch-wetenschappelijk onderzoek, gelet op de vereisten van de AVG?
Deze masterscriptie begint met een inventarisatie van het wettelijk kader van secundair gebruik binnen de AVG. Hoofdstuk 2 laat zien dat er geen gezondheidsgegevens mogen worden verwerkt zonder de uitdrukkelijke toestemming van de betrokkene. Een rechtmatige toestemming dient te voldoen aan vijf voorwaarden: vrijelijk gegeven, specifiek,
geïnformeerd, ondubbelzinnig en een uitdrukkelijke verklaring van de betrokkene. Voorts blijkt dat de AVG ruimte biedt voor brede toestemming. Deze uitzondering rekt de
specificiteitseis voor een deel uit. Voldoende is dat de informatie een algemene beschrijving kan geven voor de verwerking van de gezondheidsgegevens. Niettemin is de onderzoekers, als deze brede toestemming wilt gebruiken, onderworpen aan passende voorwaarden en waarborgen. Deze worden nader ingevuld door de ethische normen voor medisch-wetenschappelijk onderzoek.
Om bij te dragen in dit debat biedt hoofdstuk 3 inzicht in de positie en reikwijdte van brede toestemming in wetenschappelijk onderzoek. Aan de hand van een aantal andere modellen van toestemming in medisch onderzoek is vastgesteld dat brede toestemming het meest bruikbaar is voor toekomstig onderzoek. Verder zijn de ethische normen voor medisch-wetenschappelijk onderzoek nader belicht. Deze normen zijn ontleend uit de Gedragscode Goed Gebruik, de OESO-richtlijn, de verklaring van Taipei en uit de literatuur.
3
In hoofdstuk 4 vindt er een analyse plaats over de vraag of brede toestemming een rechtmatige grondslag is voor nader gebruik voor secundair onderzoek. Uit de analyse blijkt dat brede toestemming op gespannen voet staat met de eis van specificiteit. Er is namelijk vaak onvoldoende informatie beschikbaar om de doelstelling van het toekomstig onderzoek te omschrijven. Desondanks zijn er voldoende argumenten te vinden voor de legitimiteit van brede toestemming. De wettelijke bepalingen uit de AVG zijn bijvoorbeeld bijzonder vaag en er worden geen duidelijke eisen genoemd. Dit maakt brede toestemming tot een grijs gebied. De manier waarop de brede toestemming is ingevuld door de onderzoeker is uiteindelijk doorslaggevend voor de vraag of de gebruikte toestemming in lijn is met de AVG of niet.
Tot slot reflecteert hoofdstuk 5 op de belangrijkste bevindingen in deze masterscriptie en bespreekt de aanbevelingen. Een belangrijke conclusie is dat het juridisch kader rondom brede toestemming een betere concretisering behoeft. Als aanbeveling is er de suggestie om een zestal vuistregels te gebruiken bij het opmaken van een brede toestemmingsverklaring. Tot slot is er de aanbeveling om brede toestemming nader te concretiseren middels regulering.
4
Inhoud
Lijst van afkortingen ...6
1. Inleiding ...7
1.1. Probleemstelling ...8
1.2. Afbakening ...9
1.3. Methodologie ...9
1.4. Opzet ... 10
2. Privacynormen voor medisch-wetenschappelijk onderzoek... 11
2.1. Reikwijdte AVG ... 11
2.1.1. Algemeen ... 11
2.1.2. Materiële toepassingsbereik van de AVG ... 12
2.1.3. Betrokkene, verwerkingsverantwoordelijke en verwerker ... 13
2.1.4. Wetenschappelijk onderzoek ... 14
2.2. Beginselen inzake verwerking van persoonsgegevens ... 15
2.2.1. Algemene privacybeginselen ... 15
2.2.2. Beginsel van doelbinding ... 16
2.2.3. Nader gebruik ... 17
2.3. Positie medische gegevens in de AVG ... 19
2.4. Verwerkingen van gezondheidsgegevens in secundair onderzoek ... 20
2.4.1. Uitdrukkelijke toestemming (a-grond). ... 21
2.4.2. Archivering in algemeen belang of wetenschappelijk doeleinden (j-grond) ... 23
2.4.3. Bepalen van de rechtsgrondslag van de gegevensverwerking ... 24
2.5. De positie van brede toestemming onder de AVG ... 27
2.6. Tussenconclusie ... 29
3. Aard en reikwijdte van het begrip brede toestemming binnen de context van medisch wetenschappelijk onderzoek ... 31
3.1. Modellen van geïnformeerde toestemming in medisch onderzoek. ... 31
3.1.1. Studie-specifieke toestemming ... 32
3.1.2. Gelaagde toestemming ... 32
3.1.3. Dynamische toestemming ... 32
3.1.4. Brede toestemming ... 33
3.1.5. Brede toestemming als meest geschikte model voor secundair onderzoek ... 33
3.2. Brede toestemming in medisch onderzoek ... 35
3.2.1. Het belang van brede toestemming voor de praktijk... 35
5
3.3. Vereisten voor rechtsgeldig gebruik van brede toestemming ... 37
3.3.1. Brede toestemming in de Gedragscode Code Goed Gebruik ... 37
3.3.2. Brede toestemming onder de WMA verklaring van Taipei... 38
3.3.3. Brede toestemming in de OESO-richtlijn ... 39
3.3.4. Ethische ‘voorwaarden’ brede toestemming in de literatuur ... 40
3.4. Tussenconclusie ... 41
4. Aanvaardbaarheid van het gebruik van brede toestemming in medisch onderzoek met de AVG... 43
4.1. Twijfel rondom correct gebruik van brede toestemming ... 43
4.2. Brede toestemming: op weg naar eenduidige spelregels ... 45
4.3. Tussenconclusie ... 48 5. Conclusie ... 50 5.1. Inleiding ... 50 5.2. Conclusies ... 50 5.3. Aanbevelingen ... 51 Literatuurlijst ... 55
6
Lijst van afkortingen
AVG Algemene verordening gegevensbescherming
BW Burgerlijk Wetboek
CGG Code Goed Gebruik
ECG Electrocardiogram
EDPB European Data Protection Board, het Europees
Comité voor gegevensbescherming.
EDPS European Data Protection Supervisor
HvJ-EU Hof van Justitie van de Europese Unie
OESO Organisatie voor Economische Samenwerking en
Ontwikkeling
OESO-richtlijn OECD Guidelines on Human Biobanks and
Genetic Research Databases’
UAVG Uitvoeringswet Algemene verordening
Gegevensbescherming
WMO Wet medisch wetenschappelijk onderzoek met
mensen
WMA verklaring van Taipei WMA Declaration of Taipei on ethical considerations regarding health databases and biobanks
WGBO Wet op de geneeskundige
behandelingsovereenkomst
7
1. Inleiding
De afgelopen decennia zijn er voor wetenschappelijk onderzoek in de gezondheidszorg grote hoeveelheden gegevens van proefpersonen en patiënten verwerkt, zoals lichaamsmateriaal, genetische data en andere medische gegevens.1 Deze persoonsgegevens worden doorgaans massaal verzameld, hergebruikt en gelinkt aan een individueel persoon.2 Zulke gegevens zijn noodzakelijk voor wetenschappelijk onderzoek, maar het gaat hier ook om gegevens die gezien hun aard extra gevoelig zijn voor de betrokkene.3 Deze grootschalige verwerking van persoonsgegevens is problematisch voor de privacy van de betrokken personen, want
inbreuken kunnen leiden tot ernstige lichamelijke, materiële of immateriële schade.4 Het is niet vreemd dat dit tot spanningen kunnen leiden tussen de betrokkene en de onderzoeker die de gegevens wilt gebruiken voor zijn onderzoek. Enerzijds is er namelijk het belang van het doen van goed onderzoek, anderzijds de databescherming van de betrokkene.5 Deze
spanningen kunnen doorgaans opgelost worden door geïnformeerde toestemming van de betrokkene. Dit houdt kort in dat de betrokkene toestemming geeft aan de onderzoeker om zijn persoonsgegevens te gebruiken voor medisch onderzoek.6
Hoewel de geïnformeerde toestemming een oplossing lijkt, wordt er voor het hergebruik van persoonsgegevens vaak brede toestemming gebruikt. Brede toestemming is een vorm van toestemming waarin de betrokkene toestemming geeft voor het gebruik van gegevens voor meer in algemene termen omschreven onderzoek.7 Een voordeel van brede toestemming is dat gegevens van proefpersonen hergebruikt kunnen worden voor toekomstig onderzoek. Een onderzoekscentrum kan dus bijvoorbeeld door de brede toestemming van betrokkenen persoonsgegevens uit biobanken gebruiken van onderzoeken die in het verleden zijn gedaan. Er hoeft dus niet nogmaals gevraagd te worden naar toestemming. De afgelopen jaren is er vanuit de literatuur echter kritiek op de rechtsgeldigheid en de ethische aanvaardbaarheid van dit fenomeen.8 Als gevolg van de inwerkingtreding van de Algemene verordening
gegevensbescherming (‘AVG’) in 25 mei 2018 is de legitimiteit van brede toestemming zelfs
1 Hallinan 2020, p. 1. 2 Mostert 2018, p. 21. 3Coppen e.a.2016, p. 2. 4Overweging 75 AVG. 5 Lynskey 2014, p. 569-597. 6 Leenen e.a. 2017, p. 223. 7Leenen e.a. 2017, p. 227.
8Mostert 2018, p. 40; Boddington e.a. 2011, p. 491-519; Laurie & Postan 2013, p. 371-414; Master e.a. 2012, p.
8
meer in gevaar. Zo is het onduidelijk in hoeverre de AVG ruimte laat voor brede toestemming.9
Brede toestemming staat door deze ontwikkelingen dus niet alleen meer in de academische discussie, maar het betreft nu ook een praktisch probleem dat voornamelijk onderzoekscentra bezighoudt. Dit vraagt gerichte aandacht, want zonder brede toestemming van de betrokkene kunnen de gegevens niet hergebruikt worden voor toekomstig onderzoek. Op dit moment is er echter geen duidelijk juridisch beeld over de status van brede toestemming in medisch
onderzoek en de AVG. Deze scriptie probeert dan ook meer duidelijkheid te geven over de huidige status van brede toestemming en of deze in lijn is met de gewenste situatie, namelijk de regels van de AVG.
1.1. Probleemstelling
Deze actuele ontwikkelingen op het gebied van brede toestemming in medisch
wetenschappelijk onderzoek en de AVG vormen de aanleiding tot het doen van dit onderzoek. In deze scriptie is er onderzoek gedaan naar de houdbaarheid van brede toestemming binnen het kader van de AVG en de Uitvoeringswet Algemene verordening gegevensbescherming (‘UAVG’). Voor het onderzoek staat de volgende onderzoeksvraag centraal: In hoeverre is brede toestemming een rechtsgeldige grondslag om gezondheidsgegevens te (her)gebruiken door onderzoekers in medisch wetenschappelijk onderzoek, gelet op de vereisten van de Algemene verordening gegevensbescherming?
Deze centrale vraagstelling is benaderd vanuit drie deelvragen.
Deelvraag 1: Wat bepaalt de AVG met betrekking tot ‘brede toestemming’ voor de verwerking van gezondheidsgegevens?
Deelvraag 2: Wat is de aard en reikwijdte van het begrip ‘brede toestemming’ binnen de context van medisch wetenschappelijk onderzoek?
Deelvraag 3: Welke verschillen zijn er te constateren tussen de regelgeving van de AVG en brede toestemming in medisch wetenschappelijk onderzoek?
9
1.2. Afbakening
Uitgangspunt van deze scriptie is om dit te benaderen vanuit het perspectief van de onderzoeker in medisch onderzoek. Het doel van dit verslag is tweeledig, namelijk om de positie van brede toestemming binnen het wettelijk kader van de AVG te verduidelijken en om onderzoekers te adviseren over mogelijke oplossingen voor eventuele juridische
tekortkomingen.
Om deze twee doelen te bereiken, is het fenomeen van brede toestemming in medisch onderzoek getoetst aan de AVG. De scriptie gaat daarbij nadrukkelijk in op de brede
toestemming bezien vanuit de onderzoekskant. Dit betekent dat de focus in mindere mate op de privacy rechten van de proefpersoon ligt. Ook zijn de gegevensverwerking vanuit andere sectoren buiten dit onderzoek gebleven. Daarnaast is er enkel ingegaan op brede toestemming. Andere vormen van geïnformeerde toestemming worden slechts summier genoemd. Tot slot ziet dit onderzoek louter op het perspectief van de Nederlandse wet- en regelgeving. Dit betekent dat er naast de AVG ook is gekeken naar de UAVG. Voorts vindt er binnen dit onderzoek geen rechtsvergelijkend onderzoek met andere nationale wet- en regelgeving plaats.
1.3. Methodologie
In dit onderzoek is er primair gebruik gemaakt van een analyse van de geschreven rechts- en literatuurbronnen. Dit onderzoek is in eerste instantie gericht op de primaire rechtsbronnen, die de bescherming van persoonsgegevens waarborgen. In het bijzonder is er gekeken naar de AVG. Ook is er onderzoek verricht naar de UAVG. Deze rechtsbronnen vormen het startpunt voor het beschrijvend onderzoek. Het primaire doel van het beschrijvend onderzoek is het identificeren, het analyseren en het structureren van de inhoud van bovengenoemde rechtsbronnen.
Verder is er een grondig literatuuronderzoek verricht. In dit evaluerend component van het onderzoek is er gekeken naar de secundaire rechtsbronnen. Hier vallen o.a. jurisprudentie, juridische literatuur en rechtswetenschappelijke artikelen onder. Uitgangspunt is om de primaire rechtsbronnen te koppelen aan de doctrine rondom het fenomeen ‘brede
10
het beschrijvend onderzoek. Doel van dit deel is om de ‘brede toestemming’ nader te beoordelen aan de primaire rechtsbronnen.
Aan de hand van beide componenten (beschrijvend en evaluerend) heeft er een GAP-analyse plaatsgevonden. Deze analyse houdt in dat er gekeken is naar de huidige situatie en de gewenste situatie. Ook is er aan de hand van huidige discussies en de verschillen –
voortvloeiend uit deze analyse – gekeken naar eenduidige spelregels voor een rechtsgeldige brede toestemming in medisch onderzoek.
1.4. Opzet
De scriptie bestaat ruwweg uit drie onderdelen, ieder verdeeld over een hoofdstuk. Hoofdstuk 2 legt de focus op het wettelijk kader van brede toestemming binnen de AVG. Aan de hand van rechtsbronnenonderzoek wordt er gekeken naar de positie van gezondheidsgegevens en de vereisten voor algemene toestemming in de AVG. Ook zal er een koppeling worden gemaakt naar de positie van brede toestemming onder de AVG. Hoofdstuk 3 legt daarna de focus op het fenomeen ‘brede toestemming’ binnen de context van medisch onderzoek. Hierin zal eerst de reikwijdte en definiëring van het fenomeen worden toegelicht. Vervolgens zullen het belang, de juridische vereisten en kanttekeningen van brede toestemming inhoudelijk worden belicht. Hoofdstuk 4 behandelt verder de analyse naar de aanvaardbaarheid van het gebruik van brede toestemming in medisch onderzoek met de AVG. Aan de hand van huidige discussies wordt de vraag beantwoord of het fenomeen brede toestemming in lijn is met de AVG. Verder bespreekt dit hoofdstuk de te nemen beheersmaatregelen. Ter afsluiting volgen in hoofdstuk 5 de conclusies. Aan de hand van deze conclusies volgen er een aantal
11
2.
Privacynormen voor medisch-wetenschappelijk onderzoek
In dit hoofdstuk komen raakvlakken tussen privacywetgeving en brede toestemming in
medisch onderzoek aan de orde. Een algehele bespreking van de AVG en de UAVG blijft hier dus achterwege. Benadrukt moet worden dat dit hoofdstuk een capita selecta karakter kent. Specifieke normen die geen betrekking hebben op de privacywetgeving, maar die ook onmiskenbaar belangrijk zijn voor medisch wetenschappelijk onderzoek, zullen alleen kort genoemd worden. Voor de bespreking van het wettelijk kader is ervoor gekozen om de onderwerpen in de volgende volgorde te bespreken. Dit hoofdstuk begint met een bespreking van de reikwijdte van de AVG (§2.1). Daarna komt de bespreking van de beginselen inzake de verwerking van persoonsgegevens aan bod (§2.2). Dan komt de positie van medische gegevens in de AVG aan bod (§2.3). Verder worden de verschillende verwerkingen van gezondheidsgegevens in secundair onderzoek besproken (§2.4). Vervolgens wordt de positie van brede toestemming onder de AVG toegelicht (§2.5). Zodra bovengenoemde onderwerpen zijn besproken, zal dit hoofdstuk worden afgesloten met een conclusie (§2.6).
2.1. Reikwijdte AVG
2.1.1. AlgemeenDe bepalingen uit de AVG hebben een rechtstreekse werking voor natuurlijke personen en organisaties binnen Nederland.10 Deze verordening heeft sinds de invoering een dominante positie ingenomen rondom medisch onderzoek. Sindsdien is het een randvoorwaarde dat onderzoekscentra verantwoord omgaan met de persoonsgegevens van de betrokken patiënt of proefpersoon. Elke keer dat er een onderzoeksproject wordt gestart moet er dus een toetsing plaatsvinden aan de hand van deze privacywet.
De verordening bestaat uit een groot aantal wetten die de rechten en plichten rondom de informationele privacy weergeven. Ook bestaat de wet uit een aantal overwegingen die een nadere duiding en uitleg over de artikelen geven.11 Bovendien biedt de AVG de lidstaten op een aantal punten ruimte om specifieke bepalingen of uitzonderingen te maken. In Nederland
10https://www.europa-nu.nl/id/vh7bhpblc5za/verordening (laatst geraadpleegd op d.d. 31 mei 2020).
12
zijn deze specifieke bepalingen gecodificeerd in de UAVG.12 Naast de AVG wordt het recht van privacy binnen de gezondheidszorg ook beschermd vanuit andere sectorwetgeving. Zo is o.a. het recht op privacy ook geworteld in de WGBO.13 De reikwijdte van de AVG (en UAVG) strekt uiteindelijk tot het waarborgen van een evenwicht tussen een hoog
beschermingsniveau van diegenen wiens gegevens verwerkt worden en de belangen van de gegevensverwerkers.14
2.1.2. Materiële toepassingsbereik van de AVG
Het toepassingsbereik van de verordening wordt bepaald door de materiële werkingssfeer.15 Deze wordt in de verordening ingevuld door twee belangrijke begrippen, te weten
‘verwerking’ en ‘persoonsgegevens’.16 De AVG geeft de volgende definitie aan
persoonsgegevens.17 Het moet hier gaan om ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon’. De gegevens moeten dus iets zeggen over een specifieke persoon en moet ruim worden opgevat. Een persoon is geïdentificeerd wanneer deze binnen een groep te onderscheiden is.18 Om dit te bepalen, moet er rekening worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden
gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijk persoon direct of indirect te identificeren.19 Dit betekent dat ook gegevensbestanden die geen identificeerbare elementen (denk hierbij aan namen, adressen of geboortedata) bevatten toch als persoonsgegevens kunnen worden aangemerkt.20 De informatie hoeft voor de identificatie overigens niet bij een persoon of een instantie te liggen, aldus het Hof van justitie EU (‘HvJ-EU)’ in de zaak Breyer.21 Bepalend voor dit begrip is of de betreffende gegevens kunnen worden gekoppeld aan een identificeerbare natuurlijke persoon.
Het tweede begrip van het materiële toepassingsbereik van de AVG ziet op ‘verwerking’. Daaronder wordt verstaan: ‘een bewerking of een geheel van bewerkingen met betrekking tot
12MvT Kamerstukken II, 2017/2018, 34939, nr. 3, p. 26-27. 13Artikelen 7:454-458 BW; Leenen e.a. 2017, p. 167-170.
14 Artikel 1 lid 1 AVG; overweging 10 AVG; zie ook artikel 16, tweede lid, VWEU; MvT Kamerstukken II,
2017/2018, 34851, nr. 3, p. 5.
15 MvT Kamerstukken II, 2017/2018, 34851, nr. 3, p. 10. 16 Artikel 2 AVG; Margetson 2018, p. 149.
17Artikel 4 onderdeel 1 AVG. 18 Handbook 2018, p. 83. 19Overweging 26 AVG.
20Ploem & Rigter & Gevers, 2020, p. 165. 21 ECLI:EU:C:2016:779 (Breyer), para 43.
13
persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, structureren, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens. Zoals uit de definitie valt te ontlenen, heeft het begrip verwerking een zeer ruime strekking. Het omvat iedere mogelijke verwerkingshandeling of gebruikshandeling met betrekking tot een persoonsgegeven. Dit betekent dat iedere handeling vanaf de verzameling en opslag tot de verwijdering en de vernietiging van een
persoonsgegeven als een verwerkingshandeling moet worden opgevat.22
2.1.3. Betrokkene, verwerkingsverantwoordelijke en verwerker
Hierboven zijn kort een drietal begrippen genoemd die nog een bespreking behoeven. De AVG kent drie voorname partijen, te weten de ‘betrokkene’, de
‘verwerkingsverantwoordelijke en de ‘verwerker’. De betrokkene is de individuele natuurlijke persoon op wie de persoonsgegevens betrekking hebben.23 In medisch-wetenschappelijk onderzoek is dit doorgaans de patiënt of vrijwillige proefpersoon.24 De
verwerkingsverantwoordelijke is de natuurlijke of rechtspersoon, dienst of instelling of instantie die alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.25 In de praktijk is dit meestal het ziekenhuis of de instelling waarbij de onderzoeker in dienst is.26 De verwerker is een natuurlijke persoon of
rechtspersoon, dienst, instelling of instantie die ten behoeve van de
verwerkingsverantwoordelijke persoonsgegevens verwerkt.27 Hierbij kan het gaan om een bedrijf dat ICT-diensten aanbiedt voor de verwerking van persoonsgegevens van de verwerkingsverantwoordelijke.28 Ten aanzien van de laatste twee begrippen valt nog het volgende op te merken. De verwerkingsverantwoordelijke onderzoeker blijft
eindverantwoordelijk voor zolang de verwerker zich aan de in een contract gestelde afspraken blijft houden.29 Deze verantwoordelijkheid verschuift echter wanneer de verwerker besluit om
22 Kamerstukken II, 2010/11, 32 761, nr. 1. 23 Artikel 4 onderdeel 1 AVG.
24Ploem & Rigter & Gevers, 2020, p. 166. 25Artikel 4 onderdeel 7 AVG.
26 Ploem & Rigter & Gevers, 2020, p. 166. 27Artikel 4 onderdeel 8 AVG.
28Ploem & Rigter & Gevers, 2020, p. 166. 29 Artikel 28 lid 3 AVG.
14
zich buiten de gemaakte afspraken te bewegen. In zulk geval wordt de verwerker van rechtswege de verwerkingsverantwoordelijke.30
2.1.4. Wetenschappelijk onderzoek
Er bestaat momenteel enige onduidelijkheid over de precieze afgrenzing van de verwerking met wetenschappelijke doeleinden. Het begrip wetenschappelijk onderzoek wordt namelijk niet nader gedefinieerd in de AVG (en UAVG). Binnen het systeem van de AVG moet
wetenschappelijk onderzoek ruim worden geïnterpreteerd, maar niet zodanig worden uitgerekt buiten diens gebruikelijke betekenis.31 Daaronder kan in ieder geval worden verstaan:
onderzoek met het oog op technologische ontwikkeling en demonstratie, fundamenteel onderzoek, toegepast onderzoek, uit particuliere middelen gefinancieerd onderzoek en onderzoek op het gebied van de volksgezondheid die in het algemeen belang worden
gedaan.32 Daarenboven dient de verwerking voor wetenschappelijke onderzoeksdoeleinden te voldoen aan specifieke voorwaarden. Conform de AVG betekent dit met name dat de
onderzoeker de resultaten van de gegevensverwerking publiceert of anderszins openbaar maakt.33 De EDPB geeft in de richtlijnen nog een nadere invulling voor deze criteria. Zo blijkt namelijk dat wetenschappelijk onderzoek moet worden opgevat als een onderzoeksproject dat is opgezet in overeenstemming met de relevante methodologische en ethische normen van de sector, en conform goede praktijken.34 Dit betekent dat de criteria niet uitsluitend moeten beschrijven wat wetenschappelijk onderzoek inhoudt maar ook hoe dat naar de huidige opvattingen moet worden uitgevoerd.35
Uit de bovenstaande opsomming kunnen er uiteindelijk twee soorten gegevensverwerking met wetenschappelijke doeleinden worden onderscheiden. In de eerste plaats kan er onderzoek plaatsvinden op basis van (medische) persoonsgegevens waarbij gebruik wordt gemaakt van rechtstreeks voor wetenschappelijke onderzoeksdoeleinden verzamelde gegevens. Dit wordt primair gebruik genoemd. Ten tweede is er onderzoek mogelijk op basis van (medische) persoonsgegevens waarbij aanvankelijk voor een ander doeleinde verzamelde gegevens
30 Artikel 28 lid 10 AVG.
31Overweging 159 AVG; Richtsnoeren 05/2020, p. 30. 32 Overweging 159 AVG.
33Overweging 159 AVG. 34Richtsnoeren 05/2020, p. 30
15
worden verwerkt. Dit heet secundair gebruik of nader gebruik.36 Voor dit laatste geldt dat de gezondheidsgegevens die oorspronkelijk zijn verkregen voor niet-onderzoek doelstellingen of voor onderzoek anders dan de voorgenomen onderzoeksproject door onderzoekers worden hergebruikt voor mogelijke toekomstige wetenschappelijke onderzoeken.37 Dit is nu secundair wetenschappelijk onderzoek (‘secundair onderzoek’). Over deze tweede vorm van
gegevensverwerking richt deze scriptie.
2.2. Beginselen inzake verwerking van persoonsgegevens
2.2.1. Algemene privacybeginselen
De AVG bevat een aantal belangrijke beginselen voor de verwerking van persoonsgegevens.38 Dit zijn de uitgangspunten waarop elke verwerking van persoonsgegevens moet worden gebaseerd.39 Op grond van het eerste beginsel moeten persoonsgegevens worden verwerkt op een manier die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is
(beginselen van rechtmatigheid, behoorlijkheid en transparantie).40 Daarnaast mogen gegevens slechts worden verzameld voor welbepaalde, uitdrukkelijk omschreven en
gerechtvaardigde doeleinden en mogen niet verder op een met die doeleinden onverenigbare wijze worden verwerkt (beginsel van doelbinding).41 Ook moeten persoonsgegevens
toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwekt (beginsel van minimale gegevensverwerking).42 Verder dienen de gegevens juist te zijn en zo nodig te worden bijgewerkt (beginsel van juistheid).43
Bovendien mogen de persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor de doeleinden (beginsel van opslagbeperking).44 Als laatste dienen er passende technische en organisatorische maatregelen te worden genomen ter beveiliging van de persoonsgegevens (beginsel van integriteit en vertrouwelijkheid).45
36Richtsnoeren 3/2020, p 6. 37 Maloy 2020, p. 81. 38Artikel 5 AVG. 39 Overweging 39 AVG. 40Artikel 5 lid 1 onder a AVG. 41Artikel 5 lid 1 onder b AVG. 42Artikel 5 lid 1 onder c AVG. 43Artikel 5 lid 1 onder d AVG. 44 Artikel 5 lid 1 onder e AVG. 45 Artikel 5 lid 1 onder f AVG.
16
Ten aanzien van deze beginselen gelden er nog een aantal uitgangspunten. Ten eerste zijn de beginselen complementair. Een rechtmatige verwerking is bijvoorbeeld op zichzelf
onvoldoende waarborg om gegevens te gebruiken zonder daarvoor passende technische of organisatorische maatregelen te nemen. Ten tweede bestaat er geen rangorde tussen deze beginselen. Dit betekent dat de beginselen in gelijke mate in acht dienen te worden genomen. Ten derde zijn alle beginselen bindend en uitzonderingen zijn alleen toegestaan als dit
uitdrukkelijk in de verordening is bepaald.46
2.2.2. Beginsel van doelbinding
Verreweg het meest relevante beginsel voor secundair onderzoek is het beginsel van doelbinding.47 Dit beginsel bepaalt dat ‘persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld. En mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als
onverenigbaar met de oorspronkelijke doeleinden beschouwd.’ 48 De onderzoeker is ten aanzien van dit beginsel als verantwoordelijke verplicht om het doel vast te stellen voordat hij gezondheidsgegevens verwerkt. Het doel waar medische gegevens wordt verzameld dient te voldoen aan drie vereisten, namelijk: het doel moet welbepaald zijn; het doel moet
uitdrukkelijk omschreven zijn; en het doel moet gerechtvaardigd zijn.49
Deze drie voorwaarden staan nader uitgewerkt in overweging 39. Ten eerste moet de doelomschrijving duidelijk, niet zo vaag of ruim zijn, zodat ze tijdens het verzamelproces geen kader kan bieden waaraan getoetst kan worden. Ten tweede dient de verantwoordelijke zijn doel uitdrukkelijk te omschrijven. Dit betekent dat de verantwoordelijke moet vastleggen waarvoor de persoonsgegevens gebruikt gaan worden. Ten derde dient het doel ook
voldoende gerechtvaardigd te zijn. Het doel is gerechtvaardigd als het op één van de in artikel 6 AVG genoemde grondslagen is terug te voeren (deze bepaling moet overigens worden beschouwd als de uitwerking en nadere invulling van het beginsel van rechtmatigheid).50 Het
46 MvT Kamerstukken II, 2017/2018, 34851, nr. 3, p. 27. 47Ploem & Rigter & Gevers, 2020, p. 169.
48Artikel 5 onder b AVG. 49 Handbook 2018, p. 122-123. 50 Handbook 2018, p. 123.
17
artikel noemt voor de verwerking de volgende rechtvaardigingsgronden: (onder a) de ondubbelzinnige toestemming van de betrokkene; (onder b) het uitvoeren van een
overeenkomst; (onder c) het nakomen van een wettelijke verplichting (onder d) het vrijwaren van een vitaal belang van betrokkene; (onder e) de goede vervulling van een
publiekrechtelijke taak; (onder f) het gerechtvaardigde belang van de verantwoordelijke.
2.2.3. Nader gebruik
Conform het beginsel van doelbinding kunnen persoonsgegevens dus worden verwerkt voor de doeleinden waarvoor ze zijn verzameld. Bij secundair onderzoek werkt de onderzoeker met medische gegevens die oorspronkelijk zijn verkregen voor niet-onderzoek doelstellingen of voor onderzoek anders dan de voorgenomen onderzoeksproject.51 Dit betekent dat dit nader gebruik afwijkt van het oorspronkelijk doel waarvoor de persoonsgegevens in eerste instantie zijn verzameld. Te denken valt aan het afnemen van bloed bij een patiënt voor een
bloedmeting (zorgverlening) en die later gebruikt gaat worden voor een onderzoek naar een vorm van kanker (wetenschappelijk onderzoek).52
In de AVG wordt dit nader gebruik ook wel aangeduid als ‘verdere verwerking’. De verdere verwerking is op grond van de verordening enkel toegestaan in een drietal (alternatieve) situaties.53 (1) indien er sprake is van een verenigbaar doel; (2) indien de betrokkene toestemming voor de verdere verwerking heeft gegeven; (3) en op basis van een
Unierechtelijke of lidstatelijke bepaling. In het kader van secundair onderzoek zijn alleen de eerste twee situaties van toepassing. Het derde geval ziet in de meeste gevallen om de vervulling van een taak van algemeen belang of van een taak binnen de uitoefening van het openbaar gezag dat aan het overheidsorgaan is opgedragen.54 Hier zal doorgaans geen sprake zijn bij secundair onderzoek.
De eerste situatie ziet op het verenigbaar doel. Op grond van het doelbeginsel is het toegestaan om persoonsgegevens te verwerken voor een ander doel, voor zolang dit doel verenigbaar is met het oorspronkelijk doel waarvoor persoonsgegevens in eerste instantie zijn verzameld. In deze situatie is er dus geen andere afzonderlijke rechtsgrond vereist dan die op
51 Maloy 2020, p. 81.
52 Ploem & Rigter & Gevers, 2020, p. 169.
53 Artikel 6 lid 4 jo. Artikel 5 lid 1 onder b AVG; Handbook 2018, p. 340. 54 Artikel 23 lid 1 AVG; MvT Kamerstukken II, 2017/2018, 34851, nr. 3, p. 33.
18
grond waarvan de verzameling werd toegestaan.55 Daarnaast volgt uit de verordening dat de verdere verwerking om wetenschappelijk onderzoek niet als onverenigbaar met de
oorspronkelijke doeleinden wordt beschouwd.56 Als bijkomende voorwaarde dient de verwerkingsverantwoordelijke nog passende waarborgen in te stellen.57 Deze passende
waarborgen moeten in ieder geval garanderen dat de algemene normen voor wetenschappelijk onderzoek (zie hoofdstuk 3) en specifiek het beginsel van minimale gegevensverwerking in acht worden genomen. De AVG noemt anonimisering en pseudonimisering als passende waarborgen voor gegevensminimalisering.
Over deze twee maatregelen voor gegevensminimalisering moet nog het volgende worden opgemerkt. Onder de definitie van pseudonimisering in de AVG wordt een proces van
gegevensverwerking verstaan.58 Dit proces leidt ertoe dat gegevens niet langer meer direct aan een betrokkene kunnen worden gekoppeld. In plaats daarvan wordt het gegeven versleuteld door bijvoorbeeld een code. De betrokkene blijft door dit proces dus nog indirect herleidbaar aan de hand van deze aanvullende gegevens.59 Anonimisering wordt niet nader in de AVG gedefinieerd. Wel wordt genoemd dat de gegevensbeschermingsbeginselen niet van
toepassing zijn op anonieme gegevens, namelijk die gegevens hebben geen betrekking op een geïdentificeerde of identificeerbare natuurlijke persoon of op persoonsgegevens die zodanig anoniem zijn gemaakt dat de betrokkene niet of niet meer identificeerbaar is.60 Kortom, pseudonimisering moet niet worden gezien als synoniem van anonimisering.
Pseudonimisering beperkt alleen de koppelbaarheid van een gegeven aan de oorspronkelijke identiteit van een betrokkene. Pseudonimisering is dus, in tegenstelling tot anonimisering, geen definitief onomkeerbare bewerking.61
Deze uitzondering biedt dus een mogelijkheid voor verdere verwerking in secundair onderzoek voor zolang de onderzoeker deze passende waarborgen kan garanderen. In die situatie is er geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verwerking in eerste instantie werd toegestaan.62 De uitzondering voor wetenschappelijk
55 Artikel 5 onder b en overweging 50 AVG. 56Artikel 5 lid 1 onder b en overweging 50 AVG. 57Artikel 89 lid 1 en overweging 156 AVG. 58Artikel 4 onderdeel 5 AVG.
59 Santifort 2019, p. 195-197. 60Overweging 26.
61 Advies 5/2014, p. 18-19. 62 Overweging 50 AVG.
19
onderzoek is echter alleen van toepassing wanneer de oorspronkelijke
verwerkingsverantwoordelijke de persoonsgegevens verder verwerkt. Ingeval een andere partij – wat zeer gebruikelijk is bij secundair onderzoek – de persoonsgegevens gaat hergebruiken voor wetenschappelijke doeleinden, dan dient deze partij de verwerking vooralsnog te baseren op een afzonderlijk rechtsgrond ex. artikel 6 AVG.63
De tweede situatie ziet op de basis dat de betrokkene zijn toestemming heeft gegeven aan de verwerkingsverantwoordelijke om de persoonsgegevens verder te verwerken, ongeacht of dit verenigbaar is met de doeleinden. Voorwaarde is dat de verwerkingsverantwoordelijke de andere beginselen in de AVG toepast. Verder dient de betrokkene voldoende te worden geïnformeerd over de mogelijke andere doeleinden en over zijn rechten, zoals het recht om bezwaar te maken.64 Meer over dit onderwerp in de volgende paragrafen.
2.3. Positie medische gegevens in de AVG
De AVG maakt een onderscheid tussen persoonsgegevens en bijzondere categorieën van persoonsgegevens.65 Bijzondere persoonsgegevens zijn gegevens die gezien hun aard extra gevoelig zijn voor de betrokkene. Veel medisch wetenschappelijk onderzoek wordt gedaan met gebruikmaking van gegevens die tijdens de behandeling van de patiënt beschikbaar zijn gekomen of die zijn afgenomen van een vrijwillige proefsubject. Deze gegevens kunnen dus bestaan uit ‘gewone’ persoonsgegevens, maar ook uit gezondheidsgegevens (o.a. gegevens uit een patiëntendossier, lichaamsmateriaal en DNA).66
Voor deze laatste soort gegevens geldt de volgende definitie: ‘persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder
gegevens over verleende gezondheidsdiensten waarmee informatie over zijn
gezondheidstoestand wordt gegeven’. 67 Het begrip gezondheid dient in deze context breed worden opgevat. In het Lindqvist arrest heeft het HvJ-EU bepaald dat gezondheidsgegevens alle gegevens omvat die de lichamelijke of geestelijke gezondheid van een persoon
63MvT Kamerstukken II, 2017/2018, 34851, nr. 3, p. 31-32; Ploem & Rigter & Gevers, 2020, p. 169. 64 Overweging 50 AVG.
65 Handbook 2018, p. 83-97. 66Leenen e.a. 2017, p. 222.
20
betreffen.68 Volgens het HvJ-EU kan de enkele ziekmelding door een werknemer aan de werkgever gezien worden als een gegeven over de gezondheid, ook al zegt dat niets over de aard van de aandoening.69 Het omvat dus niet alleen gegevens die een arts bij een medisch onderzoek of medische behandeling verwerkt, maar ook alle gegevens die de lichamelijke of geestelijke gezondheid van een persoon betreffen. Hieronder vallen o.a. medische gegevens (zoals o.a. hoogte van bloeddruk, ECG, medicatie) en gegevens waaruit conclusies over de gezondheid van de betrokkene kunnen worden gemaakt (gewicht, lengte70, calorieverbruik en activiteit71) dus ook onder.
2.4. Verwerkingen van gezondheidsgegevens in secundair onderzoek
Gezondheidsgegevens zijn bijzondere gegevens.72 De verwerking van dit soort gegevens is op grond van de AVG niet toegestaan. De reden voor deze specifieke bescherming is dat dit soort gegevens vanwege hun aard inbreuk kunnen maken op de fundamentele vrijheden of de persoonlijke levenssfeer van de betrokkene.73 Dit verbod is echter niet van toepassing
wanneer de onderzoeker de verwerking van gezondheidsgegevens kan baseren op één van de in de AVG alternatief genoemde rechtsgronden.74 In het kader van secundair onderzoek met gezondheidsgegevens zijn er twee rechtsgronden relevant.75 De eerste rechtsgrond
rechtvaardigt de verwerking van gezondheidsgegevens wanneer de betrokkene zijn
uitdrukkelijke toestemming heeft gegeven voor de verwerking van zijn gezondheidsgegevens (a-grond).76 De tweede rechtsgrond is de verwerking van gezondheidsgegevens die
noodzakelijk is met het oog op archivering in het algemeen belang, wetenschappelijk onderzoek of historisch onderzoek of statistische doeleinden. (j-grond).77 Een belangrijk vertrekpunt voor de onderzoeker is dus om te bepalen op welke grondslag de
gezondheidsgegevens nu wordt verwerkt. In deze paragraaf zullen deze rechtsgronden eerst
68Zie ook overweging 35, eerste volzin, AVG. 69ECLI:EU:C:2003:596 (Lindqvist), para 51.
70
https://www.autoriteitpersoonsgegevens.nl/nl/nieuws/gezondheidsprogrammas-voor-kinderen-en-jongeren-wat-mag-wel-en-niet (laatst geraadpleegd op d.d. 8 mei 2020).
71https://www.autoriteitpersoonsgegevens.nl/nl/nieuws/ap-nike-be%C3%ABindigt-overtredingen-hardloop-app
(laatst geraadpleegd op d.d. 8 mei 2020).
72Artikel 9 lid 1 AVG.
73 Overweging 51 AVG; zie ook artikel 8 EVRM, artikel 10 GW en artikel 17 IVBPR. 74 Artikel 9 lid 2 AVG.
75Ploem & Rigter & Gevers, 2020, p. 170; Halinan, 2020, p. 5-6. 76 Artikel 9 lid 2 onder a AVG.
21
inhoudelijk besproken worden. Daarna behandelt dit onderdeel de vraag welke grondslag nu het meest relevant is voor secundair onderzoek.
2.4.1. Uitdrukkelijke toestemming (a-grond).
Voor uitdrukkelijke toestemming geldt geïnformeerde toestemming als basisvereiste. De definitie van toestemming is als volgt: ‘elke vrije, specifieke, geïnformeerde en
ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt’.78 Verder geeft de AVG voorwaarden waaronder toestemming mag worden verleend.79 Een rechtsgeldige toestemming voldoet aan de volgende eisen: vrijelijk gegeven, specifiek, geïnformeerd en ondubbelzinnig.80
Ten eerste is vereist dat toestemming in vrijheid is gegeven, dus niet onder druk. Dat betekent dat er geen negatieve gevolgen mogen zijn voor de betrokkene voor het niet geven van
toestemming.81 Om ervoor te zorgen dat de toestemming vrijelijk wordt verleend mag er dus geen duidelijke wanverhouding bestaan tussen de betrokkene en de onderzoeker. De
toestemming wordt geacht niet vrijelijk te zijn verleend als er geen afzonderlijke toestemming kan worden gegeven voor verschillende persoonsgegevensverwerkingen. Verder mag
toestemming niet worden geacht vrijelijk te zijn verleend wanneer de betrokkene geen echte of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen.82 Oftewel het geven van toestemming moet dus vrijblijvend zijn. Zo mag het verlenen van toestemming bijvoorbeeld geen voorwaarde zijn voor een bepaalde dienst.
Ten tweede is vereist dat de toestemming specifiek moet worden verleend voor een bepaalde gegevensverwerking. Een algemene toestemming is daarom niet toegestaan. De toestemming van de betrokkene moet verleend worden met betrekking tot een of meer specifieke
doeleinden.83 Ook dient de betrokkene een keuze te hebben ten aanzien van elk van deze
78Artikel 4, onderdeel 11 AVG. 79 Artikel 7 AVG.
80 Handbook 2018, p. 112. 81 Richtsnoeren 05/2020, p. 7-15;
(https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/wp259_rev_0.1_nl.pdf) (laatst geraadpleegd op d.d. 9 mei 2020).
82 Overweging 43.
22
doeleinden.84 De eis van specifiek ziet dus slechts op de betreffende verwerking waarover de verklaring gaat. Voor elk ander soort verwerking dient de betrokkene opnieuw toestemming te geven.85
Ten derde is er vereist dat de betrokkene voorafgaand de toestemming behoorlijk is
geïnformeerd. Zo dient de betrokkene o.a. te worden geïnformeerd over de organisatie, het doel van de verwerking en informatie over welke gegevens er verwerkt gaan worden.86 Voorts stelt de onderzoeker voorafgaand de toestemming van de betrokkene een verklaring op in een begrijpelijke en gemakkelijke vorm. De informatie in de verklaring moet verder in een duidelijke en eenvoudige taal zijn geschreven.87
Ten vierde en laatste is er vereist dat de wilsuiting van de betrokkene ondubbelzinnig moet zijn. Er moet in ieder geval volstrekt duidelijk zijn dat de betrokkene toestemming heeft gegeven. Dit vergt altijd een actieve handeling van de betrokkene, bijvoorbeeld via een mondelinge of een schriftelijke verklaring.88 Uit het Planet49 arrest valt op te maken dat uit het passieve gedrag van de betrokken niet mag worden geconcludeerd dat de betrokkene wel of geen toestemming heeft gegeven. Volgens de HvJ-EU kan het stilzwijgen, het gebruik van reeds aangevinkte vakje of inactiviteit niet als een rechtmatige toestemming gelden.89
Voor bijzondere persoonsgegevens zoals gezondheidsgegevens gelden er naast bovenstaande vereisten van toestemming ook nog een extra voorwaarde. Zoals hierboven genoemd wordt er verder vereist dat de betrokkene de toestemming uitdrukkelijk heeft gegeven. Dit betekent dat de betrokkene een expliciete verklaring van toestemming moet geven. Dit komt neer op een extra stap om de toestemming van de betrokkene te bevestigen. Een manier is het
uitdrukkelijk, expliciet bevestigen van toestemming in een schriftelijke verklaring. In deze schriftelijke (digitale) verklaring kan de betrokkene dan ondertekenen met een (elektronische) handtekening. Een andere manier is ook om via tweestapsverificatie de toestemming
nogmaals te bevestigen.90
84Richtsnoeren 05/2020, p. 14.
85
https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/mag-u-persoonsgegevens-verwerken#wanneer-mag-u-zich-baseren-op-de-grondslag-toestemming-6331 (laatst geraadpleegd op d.d. 9 mei
2020).
86 Richtsnoeren 05/2020, p. 15-17. 87Overweging 43 AVG.
88Overweging 32 AVG.
89ECLI:EU:C:2019:801 (Planet49), para 72. 90 Richtsnoeren 05/2020, p. 20-21.
23 2.4.2. Archivering in algemeen belang of wetenschappelijk doeleinden (j-grond)
Uit de j-grond volgt dat op basis van een algemeen belang of wetenschappelijke doeleinden van het verwerkingsverbod kan worden afgeweken, mits Unierechtelijk of lidstatelijk recht hierin voorziet en er passende waarborgen worden geboden ter bescherming van
persoonsgegevens en andere grondrechten.91 Een beroep op deze rechtsgrond volstaat dus alleen als aan deze twee voorwaarden is voldaan.92
De twee voorwaarden van de AVG staan nader uitgewerkt in de UAVG en de WGBO.93 De bepaling uit de WGBO bevat regels voor het gebruik van gegevens die zijn verkregen in het kader van een geneeskundige behandelingsovereenkomst voor wetenschappelijk onderzoek. Het artikel is ten dele van gelijke strekking als de bepaling in artikel 24 UAVG en geldt als lex specialis. Het bijzondere karakter van de WGBO is eigenlijk ook alleen van toepassing wanneer er sprake is van een rechtsverhouding tussen arts en patiënt. Deze regeling kan dus niet zonder meer worden toegepast op alle vormen van secundair onderzoek.94 In zulk specifieke situatie gelden er, naast onderstaande hoofdregels van artikel 24 UAVG, nog de bijkomende voorwaarden. Ten eerste is verstrekking van gezondheidsgegevens alleen mogelijk wanneer het onderzoek niet zonder de desbetreffende gegevens kan worden
uitgevoerd.95 Ten tweede heeft de betrokken patiënt tegen een verstrekking niet uitdrukkelijk bezwaar gemaakt.96 Verder geldt nog de voorwaarde dat er bij een verstrekking een
aantekening wordt gemaakt in het medisch dossier.97
Op basis van dit regime kan de uitdrukkelijke toestemming uitblijven wanneer het vragen van toestemming onmogelijk blijkt of wanneer het een onevenredige inspanning kost.98 Het vragen van toestemming is onmogelijk als de betrokkene bijvoorbeeld is overleden of omdat de betrokkene niet meer te achterhalen is. Denk hierbij ook aan de situatie waarbij er direct medisch gehandeld moet worden en er geen mogelijkheid is om de betrokkene om
toestemming te vragen. Onder onevenredig gaat het om de situatie dat het vragen van toestemming onevenredig psychisch belastend zou zijn voor de betrokkene.Verder kan het
91Overweging 51 AVG. 92Halinan 2020, p. 6.
93 Artikel 24 UAVG jo. 7:458 BW.
94 MvT Kamerstukken II, 2017/2018, 34851, nr. 3, p. 91. 95Artikel 7:458 lid 2 onder b BW.
96 Artikel 7:458 lid 2 onder c BW. 97Artikel 7:458 lid 3 BW. 98Artikel 24 onder c UAVG.
24
vragen van toestemming ook onevenredig zijn wanneer de vereiste inspanning in geen verhouding staat tot het doel dat daarmee wordt gediend. Daarbij kan bijvoorbeeld worden gedacht aan de situatie waarin een grote groep personen moet worden benaderd voor een onderzoek.99 Daaronder wordt echter niet begrepen dat het vragen van toestemming voor het onderzoek te duur zou maken of het onderzoek daardoor te lang zou duren. Het gaat hier in beginsel dus om de situatie dat het vragen van toestemming onevenredig psychisch belastend zou maken voor de betrokkene.100 Naast de vereisten van onmogelijkheid en onevenredigheid, moet er nog voldaan zijn aan drie bijkomende cumulatieve voorwaarden: (1) het onderzoek moet een algemeen belang dienen;101 (2) de verwerking moet noodzakelijk zijn voor het wetenschappelijk onderzoek of historisch onderzoek of statistische doeleinden
overeenkomstig artikel 89, eerste lid, AVG;102 en (3) bij de uitvoering moet worden voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.103
2.4.3. Bepalen van de rechtsgrondslag van de gegevensverwerking
Hierboven zijn zojuist de a-grond en de j-grond inhoudelijk besproken. Ten aanzien van deze rechtsgronden schrijft de AVG geen rangorde tussen de rechtsgronden voor.104 Zoals blijkt, bieden beide rechtsgronden een mogelijkheid voor onderzoekers om gezondheidsgegevens te mogen verwerken. Het is nu dus noodzaak om te bepalen welke grondslag nu het meest relevant is voor het nader gebruik van gezondheidsgegevens voor wetenschappelijk oogmerk. Hierover bestaat enige discussie in de literatuur. Aan de ene kant zijn er een aantal schrijvers erover eens dat de a-grond de rechtsgrondslag moet zijn.105 Aan de andere kant zijn er ook schrijvers die juist menen dat de j-grond de voorkeur moet krijgen.106 Mijns inziens dient de a-grond de voorkeur te krijgen en wel om de volgende redenen.
In de eerste plaats is de a-grond in beginsel vrijwel altijd van toepassing voor secundair onderzoek, terwijl het regime van de j-grond niet voor ieder onderzoek bruikbaar is. Uit de
99 Leenen e.a. 2017, p. 224.
100Beleidslijn COVID-19 2020, p. 3. 101 Artikel 24 onder b UAVG. 102Artikel 24 onder a UAVG. 103 Artikel 24 onder d UAVG. 104 Richtsnoeren 03/2020, p. 6.
105Peloquin 2020, p. 702; Halinan 2020, p. 6-7. 106 Ploem & Rigter & Gevers, 2020, p. 177.
25
MvT blijkt namelijk dat eerst de uitdrukkelijke toestemming (lees: a-grond) het uitgangspunt moet zijn. Pas in het geval waarbij het vragen van uitdrukkelijke toestemming onmogelijk of onevenredig is, dan dient de verwerking past te worden gebaseerd op de j-grond.107 Oftewel in de situaties waarbij het vragen van toestemming gewoon mogelijk is, dient de a-grond naar mijn mening de voorkeur te krijgen voor de j-grond.
In de tweede plaats zijn de twee rechtsgronden uiteenlopend van rechtskarakter. De a-grond is rechtstreeks toepasselijk op basis van de AVG zelf en behoeven dan ook geen omzetting in nationale kaderwetten. De a-grond vormt met andere woorden een directe grondslag voor het opheffen van het verwerkingsverbod van gezondheidsgegevens. Daarentegen heeft de j-grond een Unirechtelijke- of lidstatelijke rechtsbasis nodig om het verbod op te heffen.108 Dit betekent dat lidstaten binnen de EU vooralsnog de ruimte hebben om eigen uitzonderingen te creëren voor de j-grond. Een probleem is dus dat elk lidstaat mogelijk verschillende
randvoorwaarden en uitzonderingen stelt aan de twee criteria van de j-grond. Dit probleem is in het bijzonder groot voor grensoverschrijdend secundair onderzoek. Tot op heden zijn er immers geen duidelijke richtsnoeren over hoe de j-grond invulling geeft aan secundair
onderzoek. Het risico is daarmee dus groot dat er vooralsnog een scheuring ontstaat tussen de wetgeving in de verschillende EU-lidstaten.109 Daarmee schept de j-grond het probleem dat onderzoekers die grensoverschrijdend onderzoek doen binnen de Eu-zone bepaalde gegevens mogelijk niet kunnen gebruiken voor hun onderzoek, omdat deze niet aan de desbetreffende nationale wet- en regelgeving voldoen. De a-grond heeft dit probleem echter niet, omdat de voorwaarden immers rechtstreeks gelden voor alle lidstaten binnen de EU.
Tenslotte is er een belangrijke discussie gaande over de vraag of het principe van
toestemming langs de strenge meetlat van de AVG moet worden gelegd. In de literatuur wordt namelijk beargumenteerd dat de maatstaf van toestemming gebaseerd moet worden op basis van de WGBO, indien de onderzoeker kiest voor de j-grond.110 Gelet op de WGBO geldt per slot van rekening ook het uitgangspunt dat toestemming van de patiënt moet worden gevraagd voor de verstrekking van zijn patiëntengegevens aan de onderzoeker.111 De WGBO stelt verder geen nadere vormvereisten voor zolang de patiënt adequaat is geïnformeerd over het
107 MvT Kamerstukken II, 2017/2018, 34851, nr. 3, p. 91. 108 MvT Kamerstukken II, 2017/2018, 34851, nr. 3, p. 36. 109Halinan 2020, p. 6.
110Artikel 24 UAVG jo. 7:457 BW; Ploem & Rigter & Gevers, 2020, p. 177. 111Artikel 7:457 BW.
26
onderzoek. Zo is deze vorm van toestemming vormvrij en kan het zelfs mondeling
geschieden.112 Zonder verder heel diep in te gaan in deze vorm van toestemming, komt de maatstaf erop neer dat deze minder strikt is dan de meetlat van de AVG.113 Mijns inziens is het echter niet correct dat deze maatstaf uit de WGBO als uitgangspunt voor toestemming dient te gelden. Vooropgesteld moet worden dat de AVG een gelaagd systeem kent. Dit betekent dat er naast de uitzonderingsgrond voor de verwerking van bijzondere gegevens er ook sprake moet zijn van een algemene rechtsgrond (beginsel van rechtmatigheid).114
Bovendien kan toestemming, volgens de EDPB, alleen een passende rechtsgrond zijn wanneer de toestemming wordt verkregen met volledige naleving van de AVG. Als de vereisten uit de AVG dus niet nageleefd kunnen worden, dan is er volgens de richtlijnen sprake van een niet-rechtsgeldige grond voor de verwerking.115 In dat kader benadrukt de EDPB ook dat de strikte maatstaf van toestemming van toepassing zijn voor andere bepalingen in de AVG.116
Aangezien de verordening een bindende rechtskracht heeft, hebben de verbindende bepalingen van de AVG dus voorrang boven het nationale recht.117 Verder wordt er in de literatuur beargumenteerd dat de toestemming uit de WGBO als een verdere invulling moet worden gezien van de door de j-grond vereiste ‘passende waarborgen’. Deze argumentatie is naar mijn mening ook niet logisch. Het regime van de AVG is immers bindend en
uitzonderingen zijn alleen mogelijk als dit uitdrukkelijk in de verordening staat omschreven. Vanwege dit bindend rechtskarakter kan mijns inziens de maatstaf uit de WGBO juist niet worden gezien als passende waarborgen. Zo laat een strikte lezing van de j-grond niet zien dat uitzonderingen of nadere invullingen voor de eisen van uitdrukkelijke toestemming zijn toegestaan in nationale wet- en regelgeving. Bovendien is de AVG duidelijk over de manier waarop toestemming dient te worden gegeven en volgens mij dienen deze normen voor toestemming globaal te gelden als minimale vereisten en niet de normen uit de WGBO.
Uit dit alles blijkt dat mijns inziens de a-grond de voorkeur dient te krijgen als grondslag voor de verwerking van gezondheidsgegevens in secundair onderzoek. Al met al moet de
onderzoeker dus nagaan of de toestemming van de betrokkene voldoet aan alle vereisten voor
112Leenen e.a. 2017, p. 223-224.
113 Ploem & Rigter & Gevers, 2020, p. 172; Leenen e.a. 2017, p. 223-224. 114Artikel 6 jo. 9 AVG.
115Richtsnoeren 05/2020, p. 3. 116Richtsnoeren 05/2020, p. 22.
27
het verkrijgen van een rechtsgeldige uitdrukkelijke toestemming. Deze maatstaf dient mijns inziens rechtstreeks te worden afgeleid uit de AVG.118
2.5. De positie van brede toestemming onder de AVG
De essentie van secundair gebruik is dat gezondheidsgegevens wordt toegepast voor andere doelen dan waarvoor het oorspronkelijk is afgenomen of is vrijgekomen. Wanneer
onderzoekers medische gegevens willen hergebruiken voor eventueel toekomstig secundair onderzoek, dan verlangen ze doorgaans brede toestemming van de betrokkene. Met deze vorm van toestemming hoeven onderzoekers niet opnieuw contact te zoeken wanneer ze de medische gegevens willen hergebruiken voor secundair onderzoek.119 Voor zolang de uitdrukkelijke toestemming de rechtsgrond is voor het onderzoek, dan dient deze brede toestemming in beginsel te voldoen aan bovengenoemde normen uit de AVG. Als er niet is voldaan aan deze vereisten van uitdrukkelijke toestemming, dan mag er op basis van deze a-grond geen gezondheidsgegevens worden verwerkt. Hoewel brede toestemming aan de meeste vereisten van de a-grond voldoet, staat deze brede toestemming echter op gespannen voet met de specificiteitseis.120
Toch wordt er in de AVG een zekere mate van flexibiliteit verschaft voor de mate van
specificering van toestemming in het kader van wetenschappelijke onderzoeksdoeleinden. Zo is het toegestaan dat de betrokkene toestemming geeft voor bepaalde terreinen van het
wetenschappelijk onderzoek, mits de erkende ethische normen voor wetenschappelijk
onderzoek in acht worden genomen.121 Deze brede toestemming moet binnen de AVG echter restrictief worden opgevat. Uit de richtsnoeren van de EDPB blijkt namelijk dat
rechtsoverweging 33 de specificatie-eis van de AVG niet buiten toepassing laat.122Het is vanwege deze restrictieve uitleg dat een onderzoeksinstituut dus – met enige flexibiliteit – vooralsnog moet voldoen aan de voorwaarden zoals bepaald in de AVG. Dit betekent dat wetenschappelijke onderzoeksprojecten in beginsel alleen persoonsgegevens op basis van toestemming mogen omvatten als een dergelijk project een goed omschreven doel heeft. Voor gevallen waarin de doeleinden voor gegevensverwerking binnen een wetenschappelijk
118 Artikelen 4 onderdeel 11 jo. 6, eerste lid, onder a jo. 7 jo. 9 lid 2 onder a AVG. 119Ploem & Rigter & Gevers, 2020, p. 172; Leenen e.a. 2017, p. 177.
120 Richtsnoeren 05/2020, p. 30. 121Overweging 33.
28
onderzoeksproject niet kunnen worden gespecificeerd, staat overweging 33 als uitzondering toe dat het doel op een meer algemeen niveau kan worden omschreven. De onderzoeker dient in zulk geval andere manieren te vinden om ervoor te zorgen dat zo goed mogelijk wordt voldaan aan de eisen voor toestemming, waaronder de geldende ethische normen voor wetenschappelijk onderzoek. Daarbij is het de hoofdregel dat de onderzoeker voldoende transparant moet zijn en het beginsel van dataminimalisatie zo veel mogelijk moet respecteren.123
Een gebrek aan specificatie van een doel kan dus door het onderzoeksinstituut worden gecompenseerd door tijdig voldoende informatie te geven aan de betrokkene, zodat deze in ieder geval weet waarvoor deze toestemming geeft.124 Een andere mogelijkheid voor de onderzoeker is om regelmatig informatie te verstrekken over de ontwikkeling van het doel. Dit geeft de betrokkene voldoende mogelijkheid om uiteindelijk kennis te nemen van de stand van zaken, hetgeen hem of haar in staat stelt om te kunnen beslissen. Een uitgebreid
onderzoeksplan dat de betrokkene kan inzien voordat hij toestemming verleent, kan ook bijdragen tot het compenseren van een gebrek aan specificatie van doeleinden. In dit onderzoeksplan moeten de onderzoeksvragen en werkwijze zo duidelijk mogelijk worden beschreven. Wel is het cruciaal dat de verwerkingsverantwoordelijke in staat is te bewijzen welke informatie voor de betrokkene beschikbaar was op het moment dat ze toestemming verleenden. Daarnaast moet de betrokkene altijd de mogelijkheid hebben om deze
toestemming in te trekken.125
Het is vooral de eis van transparantie wat problematisch is voor secundair onderzoek. Zo beschikt een onderzoeker doorgaans over geen tot weinig informatie over een mogelijk toekomstig onderzoek. Daarnaast zou dit betekenen dat de betrokkene regelmatig opnieuw door een onderzoeksinstituut benadert moet worden.126 Dit vergt veel administratieve inspanningen die uiteindelijk ten koste zal gaan van het behalen van het daadwerkelijk doen van medisch wetenschappelijk onderzoek.127 Het is dus de vraag of de constructie van brede toestemming, zoals gesteld in de AVG, bruikbaar is voor het veld. Niettemin laat de AVG de constructie van brede toestemming voor wetenschappelijk onderzoek toe. Er bestaat tot op
123Artikel 89 lid 1 AVG; Ploem & Rigter & Gevers, 2020, p. 172; Leenen e.a. 2017, p. 177. 124Peloquin 2020, p. 700.
125Richtsnoeren 05/2020, p. 31. 126 Kaye e.a. 2014, p. 141- 146.
29
heden echter grote onduidelijkheid over hoe deze toestemming nu door de ethische standaarden voor wetenschappelijk onderzoek moet worden ingevuld.128
2.6. Tussenconclusie
‘Wat bepaalt de AVG met betrekking tot ‘brede toestemming’ voor de verwerking van gezondheidsgegevens?’
In dit hoofdstuk is er verdedigd dat de AVG een prominente positie heeft als het gaat om de verwerking van gezondheidsgegevens voor medisch-wetenschappelijk onderzoek. Ook is gesteld dat de reikwijdte van de AVG strekt tot de verwerking van persoonsgegevens.129 Bij het verrichten van medisch-wetenschappelijk onderzoek wordt veelvuldig
gezondheidsgegevens van de betrokkene door de onderzoeker verwerkt. Dit soort persoonsgegevens worden in de AVG gerekend tot bijzondere persoonsgegevens.
Uit de inventarisatie van de in dit deel besproken privacynormen blijkt dat er bij iedere
verwerking van gezondheidsgegevens een aantal grondslagen dient te worden nageleefd. Voor toekomstig hergebruik van gezondheidsgegevens is toestemming in het bijzonder relevant. Daarenboven moet de toestemming zijn gericht op één of meer specifieke doelstellingen.130 Voorts is de toestemming voor de verwerking van gezondheidsgegevens alleen rechtmatig131 als is voldaan aan vijf voorwaarden, te weten: vrijelijk gegeven, specifiek, geïnformeerd, ondubbelzinnig en een expliciete verklaring van de betrokkene.132
Voor toekomstig wetenschappelijk-onderzoek is het vaak lastig om specifieke informatie te verschaffen. Daarom biedt de AVG de mogelijkheid tot een bredere toestemming.133 Deze uitzondering moet restrictief worden opgevat. Daarbij aantekenend geldt de voorwaarde dat de brede toestemming een goed omschreven doel in de verklaring moet bevatten. Ingeval dit niet mogelijk is, dan is het voor onderzoekscentra mogelijk om het doel op een meer
algemeen niveau te omschrijven. Bovendien is geboden dat het gebrek aan specificatie dient
128 Mostert 2018, p. 61. 129Artikel 1 onder b AVG.
130Artikel 5 onder b jo. 6 lid 1 onder a AVG. 131 Artikel 9 lid 1 AVG.
132Artikel 9 lid 2 onder a AVG. 133Overweging 33 AVG.
30
te worden gecompenseerd met passende waarborgen. Voornoemde waarborgen worden nader ingevuld door de ethische en procedurele verplichtingen voor medisch onderzoek.
Niettemin, is toestemming in bepaalde gevallen niet vereist voor het nader gebruik van medische gegevens. Het gaat hier om de situatie waarbij het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning vergt voor de betrokkene.134 Al met al moet men er dus bedacht op zijn dat toestemming één grondslag is voor de verwerking van gezondheidsgegevens, maar niet de enige grondslag.
31
3. Aard en reikwijdte van het begrip brede toestemming binnen de
context van medisch wetenschappelijk onderzoek
In het voorgaande hoofdstuk is besproken dat voor de verwerking van medische gegevens een grondslag is vereist. Onderzoekscentra mogen dus pas medische gegevens verwerken op het moment dat ze dit kunnen rechtvaardigen op grond van de AVG. Ook is uit het vorige hoofdstuk gebleken dat de uitdrukkelijke toestemming uit één van deze grondslagen bestaat. In medisch onderzoek bestaat deze toestemming uit verschillende varianten of modellen, waaronder brede toestemming. Om een oordeel te geven over een correct gebruik van brede toestemming binnen de AVG, is het derhalve noodzakelijk om een deugdelijk beeld te verkrijgen rondom dit model. Zodra er een duidelijk beeld is ontstaan naar de positie van dit fenomeen, zal de brede toestemming nader uitgediept worden.
In het voorliggende hoofdstuk zal brede toestemming als onderwerp centraal staan. Dit hoofdstuk behandelt allereerst de voornaamste modellen van geïnformeerde toestemming die gebruikt worden in medisch onderzoek (§3.1). Daarna worden de belangen en kanttekeningen van brede toestemming voor medisch onderzoek geschetst (§3.2). Vervolgens wordt er
gekeken naar de vereisten van brede toestemming zoals die voor medisch onderzoek gelden (§3.3). Dit hoofdstuk wordt tenslotte afgesloten met een conclusie (§3.4).
3.1. Modellen van geïnformeerde toestemming in medisch onderzoek.
Brede toestemming is één van de meest gebruikte modellen van geïnformeerde toestemming in medisch onderzoek. Naast dit model zijn er nog drie andere voorname modellen in de omloop, te weten: studie-specifieke toestemming, gelaagde toestemming en dynamische toestemming.135 Voor de bespreking zullen deze modellen eerst kort worden besproken. Daarna wordt beargumenteerd waarom brede toestemming nu de voorkeur verdient voor onderzoekers wanneer het gaat om het hergebruiken van medische gegevens voor toekomstig medisch onderzoek.32 3.1.1. Studie-specifieke toestemming
De studie-specifieke toestemming is de verklaring van de betrokkene waarbij hij of zij toestemming geeft voor de verwerking van zijn persoonsgegevens voorafgaand een medisch onderzoek. Deze toestemming gaat over de betreffende studie waaraan de betrokkene aan deelneemt.136 Door gebruik te maken van studie-specifieke toestemming kan de onderzoeker in de meest eenvoudige manier ervoor zorgen dat de doelen van geïnformeerde toestemming zijn ontmoet in medisch onderzoek.
3.1.2. Gelaagde toestemming
De gelaagde toestemming stelt de deelnemende betrokkene in staat om uit een aantal opties zijn eigen voorkeuren op te geven. De betrokkene kan dus specifiek aangeven waarover hij of zij toestemming geeft. Dit model verplicht deelnemers niet om in te stemmen met bepaalde onderdelen van het onderzoeksproject en versterkt het vermogen van deelnemers om hun wensen kenbaar te maken.137 De toestemmingsprocedures zijn gevarieerd en gelaagd en hebben doorgaans betrekking op specifieke ziekten, categorieën van ziekten, soort onderzoek of onderzoeksgebieden.138 Via het gelaagde toestemmingsmodel hebben onderzoekers het geprobeerd om de tekortkomingen van studie-specifieke toestemming op te vangen. Zo beperkt gelaagde toestemming de administratieve lasten voor wetenschappers door de
formulieren middels checklists meer te standaardiseren. De betrokkene heeft door deze opties een grotere keuzevrijheid om te bepalen welke gegevens voor het onderzoek beschikbaar wordt gesteld.139
3.1.3. Dynamische toestemming
Dynamische toestemming is een relatief nieuw model. Dit is een model waarbij betrokken deelnemers aan wetenschappelijk onderzoek op een interactieve manier en op meerdere momenten hun toestemming kunnen geven voor het gebruik van hun persoonsgegevens en/of lichaamsmateriaal. De betrokkenen worden continu op de hoogte gehouden over nieuwe ontwikkelingen van het onderzoeksproject. Via dit model is het voor de betrokkenen mogelijk
136 Mikkelsen e.a. 2019, p.2. 137 Bunnik 2013, p. 597-599.
138Wolf & Lo 2004, p. 1; Haga 2008, p. 505-544. 139 Mikkelson e.a. 2019, p. 4.
33
om toestemming te geven voor nieuwe (sub)projecten en zij kunnen hun voorkeuren desnoods aanpassen.140 Het model maakt gebruik van moderne IT- en communicatiesystemen om zo betere procedures te ontwikkelen om toestemming te verkrijgen van de betrokkene.141 In de literatuur wordt dit model ook wel het nieuwe model van de 21ste eeuw genoemd en het beoogt de autonomie van de betrokkene over zijn persoonsgegevens beter te waarborgen.142
3.1.4. Brede toestemming
Brede toestemming is een vorm van toestemming waarin de betrokkene toestemming geeft voor het gebruik van gegevens voor meer in algemene termen omschreven onderzoek.143 Brede toestemming is ontwikkeld binnen de biomedische sector. Wetenschappers kwamen er snel achter dat studie-specifieke toestemming – praktisch gezien – ontoereikend was om persoonsgegevens te hergebruiken voor toekomstig onderzoek. Zo was het bijna onmogelijk om deze toestemming te reproduceren voor biomedisch onderzoek. Via het nieuw brede toestemmingsmodel was het voortaan mogelijk om deze moeilijkheden op te lossen, terwijl de waarborgen van geïnformeerde toestemming enigszins gegarandeerd kunnen blijven.144 Met gebruikmaking van brede toestemming hoeft de betrokkene immers slechts eenmalig te onderhandelen met de onderzoeker of onderzoekscentrum.145 Deze toestemming kan o.a. betrekking hebben op de extractie van biomedische gegevens – waaronder genetisch materiaal, medische gegevens en gegevens over de levensstijl van de betrokkene; de opslag van dit materiaal en daarbij behorende gegevens; en het toekomstig hergebruik van deze gegevens voor ongespecificeerde onderzoeksdoelstellingen.146
3.1.5. Brede toestemming als meest geschikte model voor secundair onderzoek
Uit het voorgaande kan worden afgeleid dat er globaal een onderscheid gemaakt kan worden tussen primair en secundair onderzoek (zie paragraaf 2.1.4). In het licht van secundair onderzoek heeft de onderzoeker de voorkeur om brede toestemming te gebruiken. Deze prominente positie is voornamelijk te danken aan de praktische bruikbaarheid van brede
140https://elsi.health-ri.nl/servicedesk/toestemmings-en-bezwaarprocedures/wat-dynamisch-consent (laatst geraadpleegd op 7 april 2020). 141 Steinsbekk e.a. 2013, p 898. 142 Budin-Ljøsne 2017, p. 7-8. 143 Leenen e.a. 2017, p. 227. 144Hendriks 1997, p. 89 -100. 145Hallinan 2020, p. 2.
