December
2014
De juridische en
praktische knelpunten
voortkomend uit de
wens van onderzoekers
tot het koppelen van
data tussen biobanken
en registraties.
HARMONISATIE VAN DE REGELS EN PROCEDURE BIJ
EEN KOPPELVERZOEK
NAAM: ILEEN ROUWHORST
STUDENTNUMMER: 10465022
1
Abstract
Medische- en persoonsgegevens worden opgeslagen bij een tweetal instellingen, te weten biobanken en registraties. Biobanken bezitten een grote verzameling van lichaamsmateriaal die onder bepaalde voorwaarden voor onderzoek kunnen worden gebruikt. Het is van groot belang voor kennis over ziekten, om genetische en biologische data van het lichaamsmateriaal van een individu uit een biobank te koppelen aan de desbetreffende medische- en/of persoonsgegevens uit een registratie. In zowel de WBP, als in de WGBO als lex specialis op de WBP ontbreekt echter een expliciete bepaling speciaal voor koppelen. Nochtans kan er uit de WBP worden opgemaakt dat koppeling is toegestaan indien er maatregelen worden genomen die garanderen dat koppeling verenigbaar is met de doeleinden waarvoor de gegevens zijn afgenomen, oftewel wetenschappelijk onderzoek. Welke maatregelen de verenigbaarheid voldoende garanderen is niet geheel duidelijk. In de vorm van zelfregulering is geprobeerd de regels uit de WBP en WGBO te concretiseren wat betreft het gebruik van gegevens voor wetenschappelijk onderzoek. De Gedragscode Gezondheidsonderzoek FMWV/Federa verbiedt koppelen indien hierdoor identificatie tot de betrokkene tot stand kan worden gebracht. Dit
koppelverbod gaat verder dan de wet bedoeld heeft. Tevens staat dit verbod niet in lijn met de huidige praktijk. Deze juridische knelpunten hebben gevolgen voor de praktijk. Uit een analyse van
verschillende biobanken en registraties blijkt dat iedere biobank/registratie een koppelingsverzoek zelfstandig in behandeling neemt op basis van eigen criteria, zonder dat duidelijk is waar die verschillen op rusten. De onderzoeker moet hierdoor een verzoek tot koppelen bij elke instelling opnieuw indienen en hij moet hierbij aan andere criteria voldoen. Dit komt de efficiëntie niet ten goede. Het wordt aanbevolen om de procedure rondom koppelverzoeken te harmoniseren, zodat de commissies elkanders oordeel kunnen erkennen. Deze wederzijdse erkenning bevorderd
wetenschappelijk onderzoek omdat een koppelverzoek efficiënter wordt afgehandeld. In dit onderzoek wordt afsluitend een geharmoniseerd biobank- en registratiebeleid, passend binnen de bestaande privacywetgeving, gepresenteerd.
2
Inhoud
ABSTRACT ... 1
HOOFDSTUK 1. INLEIDING ... 3
1.1ONDERWERP ... 3
1.2OPBOUW VAN DE SCRIPTIE ... 4
1.3METHODE ... 4
HOOFDSTUK 2 BIOBANKEN EN ZORGREGISTRATIES ... 5
2.1BIOBANKEN ... 5
2.2REGISTRATIES... 5
2.3KOPPELEN ... 6
HOOFDSTUK 3. JURIDISCH KADER ... 7
3.1INCLUSIE EN EXCLUSIE CRITERIA ... 7
3.2ALGEMEEN WETTELIJK KADER ... 8
3.2.1 Wet Bescherming Persoonsgegevens ... 9
3.2.2 Wet Geneeskundige Behandelovereenkomst ... 13
3.3ZELFREGULERING ... 15
3.3.1 FMWV Gedragscode Gezondheidsonderzoek ... 15
3.4IS KOPPELEN TOEGESTAAN? ... 17
3.5JURIDISCHE KNELPUNTEN ... 17
HOOFDSTUK 4. PRAKTIJK ... 18
4.1PROCEDURE PRIVACY TOETSING ... 18
4.2REGISTRATIE INSTELLINGEN ... 18 4.2.1 CBS ... 18 4.2.2 PALGA ... 21 4.3BIOBANKEN ... 22 4.3.1 Lifelines ... 22 4.3.2 VUMC... 23 4.4PRAKTISCHE KNELPUNTEN ... 23 HOOFDSTUK 5. AANBEVELINGEN ... 24
5.1KOPPELCODE ALS BIJLAGE CODE GOED GEDRAG ... 24
5.2KOPPELCODE ... 25 HOOFDSTUK 6. CONCLUSIE ... 26 GERAADPLEEGDE LITERATUUR ... 28 BIJLAGE ... 33 BIJLAGE 1:PROJECTOVEREENKOMST CBS ... 33 BIJLAGE 2:KOPPELCODE ... 38 1. Definities: ... 38 2. Aanvraag ... 38 3. Toetsingscriteria ... 39 4. Uitgiftevoorwaarden ... 42
3
Hoofdstuk 1. Inleiding
1.1 Onderwerp
Dat medisch-wetenschappelijk onderzoek met lichaamsmateriaal van groot belang is voor meer kennis over ziekte en gezondheid staat buiten kijf.1 Het draagt bij aan verbetering van preventie, diagnostiek,
behandeling en alle aspecten die met het zorgproces gemoeid gaan.2 Medische- en persoonsgegevens
worden opgeslagen bij een tweetal instellingen, te weten biobanken en registraties.3 Biobanken bezitten
een grote verzameling van lichaamsmateriaal4 die onder bepaalde voorwaarden voor onderzoek kunnen
worden gebruikt. Het is van groot belang om genetische en biologische data van een individu uit een biobank te koppelen aan de desbetreffende medische- en/of persoonsgegevens uit een registratie.5
Koppeling helpt onderzoekers de genetische basis van een ziekte te identificeren. Dit biedt tevens meer inzicht in het risico voor individuen om een bepaalde ziekte te ontwikkelen. Bovendien is het mogelijk om verschillen in reactie op bepaalde medicijnen aan te tonen. Deze kennis kan bijdragen aan de ontwikkeling van op de patiënt afgestemde maatwerk behandelingen.6 Tot slot kan informatie worden
ingewonnen over de lange-termijn gezondheidsuitkomsten, bijvoorbeeld met behulp van het doodsoorzakenregister van het Centraal Bureau voor Statistiek (hierna: CBS).7
Zoals er in de literatuur over koppelen gesproken wordt, lijkt het koppelen van gegevens al lang in de praktijk voor te komen.8 Desalniettemin is het nog maar de vraag of dit wettelijk is toegestaan en zo
ja, onder welke voorwaarden. Hiernaast laat de efficiëntie van koppelen in de praktijk te wensen over.·
Door het ontbreken van voldoende specifieke wetgeving neemt iedere biobank en/of registratie een koppelingsverzoek zelfstandig in behandeling op basis van eigen criteria. De procedure rondom de aanvraag, toetsing en uitgifte is overal anders.9 Uit onderzoek blijkt dat er bij 27,9 procent van de
instellingen geen procedure is geregistreerd.10 De wens van onderzoekers tot koppelen leidt dan ook tot
verschillende knelpunten. De probleemstelling luidt als volgt:
“Tot welke juridische en praktische knelpunten leidt de wens van onderzoekers tot het koppelen van data tussen biobanken en registraties en welke oplossingsrichting is hiervoor denkbaar?”
1 Hansson, Elsevier 2006/3.
2 Brandsma e.a., Ned Tijdschr Geneeskd. 2010, p.1-3 3 Instellingen: Biobanken en registraties samen.
4 Gegevens: Lichaamsmateriaal en medische gegevens samen.
5 Zie o.a. Vink et al., Eur J Hum Genet 2010/1., Schelleman e.a., Pharmacogenomics J. 2006/1., Eussen e.a., ‘Pharmacoepidemiol Drug Saf’ 2010/12., Klungel e.a., Pharmacoepidemiol Drug Saf 2010., Hansson, British Journal of Cancer 2009/1, p.10-11
6 Callan & Gillespie, OECD Observer 2003/41. 7Pukkala 2008, p.127-164.
8 Zie o.a. Ursin 2010, HEC Forum, p.211-224., Kaufman e.a., Am J Hum Genet 2009/5., Ormond e.a., Am J Med Genet 2009/2.
9 Boeckhout, van Dijk & Legemate, Ned Tijdschr Geneesk 2011., Hoofdstuk 4; De praktijk. 10 De Groot e.a., BBMRI-NL 2014.
4 Om deze vraag te beantwoorden zijn de volgende deelvragen geformuleerd:
1. In hoeverre is koppelen onder de huidige wetgeving toegestaan?
2. Welke juridische knelpunten doen zich voor bij de wens tot het koppelen van gegevens? 3. Hoe wordt een verzoek tot koppelen in de praktijk door een biobank of registratie behandeld? 4. Welke praktische knelpunten doen zich voor bij de wens tot het koppelen van gegevens? 5. Welke oplossingsrichting is denkbaar?
1.2 Opbouw van de scriptie
In hoofdstuk 2 worden de begrippen biobank en zorgregistratie nader toegelicht. Tevens wordt er in dit hoofdstuk nader gekeken naar het begrip koppelen. Hoofdstuk 3 geeft antwoord op de eerste en tweede deelvraag door het relevant juridisch kader rondom het verstrekken en koppelen van gegevens te schetsen. Hierbij wordt onderscheidt gemaakt tussen het algemeen wettelijk kader en zelfregulering. Middels het juridisch kader worden vervolgens de juridische knelpunten gepresenteerd. In hoofdstuk 4 worden deelvraag drie en vier behandeld. Ter inventarisatie van de beoordeling van koppelverzoeken in de praktijk, worden de procedure en toetsingscriteria van een aantal biobanken en registraties in kaart gebracht. Naar aanleiding van deze analyse worden de praktische knelpunten gepresenteerd. Vervolgens wordt in hoofdstuk 5 de vijfde en tevens laatste deelvraag beantwoord, door een oplossing te bieden voor de juridische en praktische knelpunten. Deze oplossing bestaat uit een geharmoniseerde procedure en set voorwaarden genaamd de koppelcode, passend binnen de bestaande wetgeving. Afsluitend wordt er een conclusie getrokken.
1.3 Methode
Dit onderzoek betreft een literatuurstudie waarvoor een analyse van relevante wetten, richtlijnen, parlementaire stukken en literatuur heeft plaatsgevonden. Tevens is een praktijkonderzoek uitgevoerd voor de biobanken Lifelines en Biobank VU medisch centrum. Hiernaast zijn er twee instellingen geanalyseerd die persoonsgegevens verzamelen en beheren. Dit zijn het CBS en het Pathologisch Anatomisch Landelijk Geautomatiseerd Archief (hierna: PALGA). Een inventarisatie van de procedures die plaats vinden nadat een verzoek tot het verstrekken en/of koppelen van gegevens is ingediend, is uitgevoerd op basis van beschikbare informatie op de website van deze instellingen. Indien de informatie onvolledig was, is er contact opgenomen met de instelling. Op basis van analyse van de relevante wetgeving en het praktijkonderzoek is getracht een uniform toetsingskader op te stellen. Hierover dient te worden opgemerkt dat de koppelcode nog niet van toepassing is op iedere situatie. Zo is bijvoorbeeld het ethische dilemma terugkoppeling van toevalsbevindingen naar het individu achterwege gelaten. Hiernaast moet in acht worden genomen dat niet is gekozen voor een aselecte steekproef uit de in Nederland aanwezige biobanken en registraties. De geanalyseerde instellingen zijn geselecteerd vanwege hun bekendheid, kennis van zaken en onderlinge variëteit. Er is aangenomen dat de bekendste
5 instellingen hun zaken het best op orde hebben. Dit is noodzakelijk om de criteria en voorwaarden te gebruiken ter ontwikkeling van een koppelcode. De conclusies voortkomend uit de praktische analyse zijn daarom niet volledig representatief. Desalniettemin zijn de aanbevelingen van toepassing op alle in Nederland aanwezige biobanken en registraties, omdat deze passen binnen het juridisch kader.
Hoofdstuk 2 Biobanken en zorgregistraties
2.1 Biobanken
Een biobank bevat lichaamsmateriaal en daaraan gekoppelde gegevens, die beschikbaar zijn voor onderzoek.11 Sinds 1990 is het aantal biobanken flink gestegen.12 In Nederland zijn 200 biobanken bij
de overkoepelende BBMRI-NL-catalogus aangesloten, waaronder biobanken van universitair medische centra. 13
Afhankelijk van de omstandigheden waaronder gegevens zijn afgenomen komt data bij een categorie biobank terecht. Zo bezit een ‘de novo-biobank’ lichaamsmateriaal en gegevens die zijn afgenomen en verkregen voor wetenschappelijk onderzoek. Deelnemers aan het onderzoek dienen voorafgaand informed consent te geven voor het gebruik van hun lichaamsmateriaal. Tegenover ‘de novo-biobanken’ staan de ‘nader-gebruik-biobanken’. Deze bestaan uit lichaamsmateriaal en gegevens die zijn verkregen in het kader van een geneeskundige behandeling, zoals het stellen van een diagnose.
14 De verkrijging van dit materiaal geschiedt doorgaans op basis van de geen bezwaar regeling van de
WGBO.15
2.2 Registraties
Steeds meer gegevens worden opgeslagen in landelijke, regionale of gemeentelijke gegevensregistraties voor verschillende doeleinden. Zo bezit de gemeente onder andere gegevens over de woonplaats en de huwelijkse status van haar inwoners, bezitten openbaarvervoerbedrijven informatie over het reisgedrag van haar reizigers en bezit het RIVM uitslagen van hielprikonderzoeken. Dit is een kleine greep uit de data die over de Nederlandse bevolking wordt verzameld. Sommige gegevens mogen worden gebruikt voor onder andere medisch- en kwaliteitsonderzoek.16 Dit is afhankelijk van specifieke wetgeving of de
algemene privacywetgeving. Van belang is hierbij met welk doel gegevens zijn geregistreerd. Als gegevens voor zorg of onderzoek zijn afgenomen, betreft het een zorgregistratie, zoals PALGA en het Nederlands Instituut voor Onderzoek van de Gezondheidszorg (hierna: NIVEL).17 Een ander voorbeeld
11 biobanken.nl/over-biobanken/inleiding, geraadpleegd op: 22 oktober 2014. 12 Kang e.a., Genomics Inform 2013.
13 Nederlands knooppunt van de Biobanking and Biomolecular Resour-ces Research Infrastructure
(BBMRI-NL), bbmri.nl.
14 biobanken.nl/over-biobanken/inleiding, geraadpleegd op: 22 oktober 2014. 15 Artikel.7:458 en 7:467 BW.
16 Krabben, Onderzoek landelijke zorgregistraties 2005, p.5.
6 van een instelling die geschikte gegevens voor onderzoek bezit is het CBS. Haar taak is het van overheidswege verwerken en beheren van gegevensverzamelingen. Of de gegevens voor onderzoek mogen worden gebruikt is afhankelijk van een specifieke wet of de algemene privacywet, in dit geval de specifieke wet, namelijk de Wet op het CBS
2.3 Koppelen
‘Consent of anonimiseer’ is lang het ethische uitgangspunt geweest om privacy te waarborgen.18
Tegenwoordig wordt anonimiseren zo mogelijk vermeden omdat dit vanuit wetenschappelijk oogpunt ongunstig is. Wanneer gegevens anoniem zijn opgeslagen is het namelijk onmogelijk om gegevens van hetzelfde individu, afkomstig van verschillende instellingen, aan elkaar te koppelen. Pseudonimisatie is de beste keuze voor een donor die zijn identiteit geheim wenst te houden, omdat het enerzijds aan de behoefte van de donor voldoet en anderzijds wetenschappelijk onderzoek niet hindert.19 Van
gepseudonimiseerde persoonsgegevens is sprake indien zij geen direct identificeerbare gegevens zoals naam en adres bevatten, maar ook geen indirect identificeerbare gegevens, zoals volledige postcode of geboortedatum.20 Pseudonimisering dient te geschieden volgens de richtsnoer beveiliging
persoonsgegevens.21 De richtsnoer is ontwikkeld naar aanleiding van een uitspraak van het College
Bescherming Persoonsgegevens (hierna CBP), de toezichthouder van de Wet Bescherming Persoonsgegevens.· Uit de uitspraak volgt dat indien pseudonimisering wordt toegepast er geen sprake
is van verwerking van persoonsgegevens, als aan de onderstaande voorwaarden van het CBP is voldaan22
a. er wordt (vakkundig) gebruik gemaakt van pseudonimisering, waarbij de eerste encryptie plaatsvindt bij de aanbieder van de gegevens;
b. er zijn technische en organisatorische maatregelen genomen om herhaalbaarheid van de versleuteling ("replay attack") te voorkomen;
c. de verwerkte gegevens zijn niet indirect identificerend, en
d. in een onafhankelijk deskundig oordeel (audit) wordt vooraf en daarna periodiek vastgesteld dat aan de voorwaarden a, b en c is voldaan.
De eerste voorwaarde wordt gehandhaafd door de instelling zelf, die voorafgaand aan koppeling de gegevens intern codeert. Beveiliging door de bewarende instantie wordt immers opgelegd door de wet bescherming persoonsgegevens.23 De rest van de voorwaarden worden in ieder geval gehandhaafd
indien de instelling besluit een zogenaamde Trusted-Third Party (hierna: TTP), inschakelt om te
18 Laurie, BMJ 2008.
19 Boniolo, Paolo di Fiore, Pece, Bioethics 2012, p.97-98. 20 Zorg TTP 2013, p.3.
21 CBP Richtsnoer Beveiliging Persoonsgegevens 2013.
22 CBP 6 maart 2007, pseudonimisering risicoverevening,z2006-1382. 23 Artikel 13 WBP.
7 pseudonimiseren24. 63,7 procent van de instellingen pseudonimiseert, waarvan de helft een TTP
inschakelt. Zo´n TTP is een onafhankelijke partij die naar aanleiding van een koppelverzoek gegevens van een individu codeert, zodat de identiteit van dit individu voor de onderzoeker onbekend blijft. De codering wordt uitgevoerd door de (in)direct identificerende gegevens te verwijderen of te vervangen door een pseudoniem afgeleid van het betreffende gegeven. Deze afleiding is herhaalbaar waardoor de opgeslagen gegevens van een persoon van verschillende partijen kunnen worden geplaatst onder hetzelfde pseudoniem. Coderingen kunnen zowel omkeerbaar als onomkeerbaar worden toegepast, respectievelijk encryptie en pseudonimisatie genoemd. .25 Decryptie is alleen mogelijk via de TTP en is
transparant voor toezichthouders, zoals het CBP.26 Deze kunnen nagaan of voor decryptie een autorisatie
aanwezig was. Na coderen wordt een versleuteld bestand aan de onderzoeker verstrekt, waarin gegevens van verschillende bronnen aan elkaar gekoppeld zijn. Tevens is het mogelijk dat alleen de versleutelde bestanden aan de onderzoeker worden verstrekt zodat hij deze vervolgens zelf kan koppelen.27
Hoofdstuk 3. Juridisch kader
3.1 Inclusie en exclusie criteria
Slechts de wetten die van belang zijn voor koppelen worden hieronder besproken. Dit betreft de Wet Bescherming Persoonsgegevens (hierna: WBP) en de Wet Geneeskundige Behandelovereenkomst (hierna: WGBO).28 Bovendien wordt de Gedragscode Gezondheidsonderzoek behandeld, ontwikkeld
door de Stichting Federatie van Medisch Wetenschappelijke Verenigingen (FMWV) als vorm van zelfregulering.
De Wet Basisregistratie Personen is gericht op verwerking en verstrekking van persoonsgegevens door de overheid. 29 De overheid kan systematisch gegevens verstrekken ten behoeve
van statistisch en wetenschappelijk onderzoek aan de in de wet genoemde organen.30 Dit zijn onder
andere de instellingen waar deze scriptie zich op richt. Omdat dit proces plaatsvindt voordat biobanken of registraties gegevens verstrekken aan onderzoekers, wordt deze wetgeving hier buiten beschouwing gelaten.
De “Europese richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens” (hierna: de
24 De Groot e.a., BBMRI-NL 2014, p.8-14.
25 Beschrijving van de procedure bij ZorgTTP: Hans van Vlaanderen| Adviseur Zorg TTP 26 Artikel 60 WBP.
27 Zorg TTP 2013., Krabben, Onderzoek landelijke zorgregistraties 2005, p.16.
28 Opmerking: de WGBO is geen op zichzelf staande wet, maar een onderdeel van de bijzondere overeenkomst
uit het Burgerlijk Wetboek 7.
29 De Bot 2001/2.1.
8 richtlijn) is geïmplementeerd in de WBP.31 Door volledige implementatie wordt de richtlijn niet
afzonderlijk behandeld, maar wordt deze meegenomen in de bespreking van de WBP.
Momenteel is de “Europese verordening betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens” in voorbereiding. Deze beoogt de richtlijn te vervangen.32 Momenteel is onduidelijk of en, zo ja, wanneer
en met welke inhoud, deze in werking treedt.33 Deze scriptie richt zich op de huidige stand van zaken,
waardoor de Europese verordening in dit geval nog niet van belang is. Het verdient aanbeveling, indien de verordening in werking treedt, deze binnen dit kader nader te analyseren.
3.2 Algemeen wettelijk kader
De grondslag voor de bescherming van persoonsgegevens ligt in artikel 8, eerste lid, van het Europees Verdrag ter bescherming van de Rechten van de Mens en de fundamentele vrijheden (hierna: EVRM).34
Hierin wordt geformuleerd dat eenieder het recht heeft op respect voor zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie. Deze grondrechten zijn uitgewerkt in de Nederlandse Grondwet. De bescherming van de persoonlijke levenssfeer is sinds de herziening van de Grondwet in 1983, uitdrukkelijk geformuleerd als klassiek grondrecht, in artikel 10 lid 1. 35 De privacy concepten die
hierin besloten liggen betreffen onder meer het huisrecht, uitgewerkt in artikel 12 GW. Uit deze bepaling komt naar voren dat de overheid een woning niet zonder toestemming van een bewoner mag betreden als dit niet bij wet is bepaald. Tevens mag de overheid de post van burgers niet openmaken, tenzij dit is bepaald in de Postwet en de rechter hiervoor akkoord heeft gegeven. Dit privacy concept betreft het zogeheten briefgeheim, hetgeen is uitgewerkt in artikel 13 van de Grondwet. Het laatste privacy concept, en tevens meest relevant voor dit onderzoek, betreft de informationele privacy uitgewerkt in lid 2 en 3 van artikel 10 van de Grondwet.36 Hieronder valt respectievelijk de bescherming van het vastleggen en
verstrekken van persoonsgegevens en de aanspraak op kennisneming van over hen vastgelegde en gebruikte gegevens inclusief de mogelijkheid op verbetering van deze gegevens. Omdat de verwerking van persoonsgegevens ingrijpende gevolgen kan hebben voor de persoonlijke levenssfeer, heeft de wetgever ervoor gekozen geen ruim opgezette privacy bepaling op te nemen. In plaats hiervan wordt aan de wetgever opgelegd dat hij een regeling moet treffen betreffende de bescherming van
31 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende bescherming van
natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEU 95, L 281/31) en Kamerstukken II 1997/98, 25892, 3, p. 4-6 (MvT).
32 Voorstel voor een Verordening van het Europees Parlement en de Raad betreffende de bescherming van
natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, COM(2012)11.
33 Kamerstukken II 2011/12, 32761, 32.
34 Europees Verdrag tot bescherming van de rechten van de mens(Trb. 1951, 154). 35 Leidraad wet bescherming persoonsgegevens 2011, p. 20.
9 persoonsgegevens en de aanspraken die de desbetreffende burger hierop maakt.37 Hoewel grondrechten
voornamelijk aangeven wat de burger rechtens van de overheid mag verwachten, werkt het recht op privacy ook horizontaal. Dit houdt in dat het niet alleen de rechtsbetrekking tussen overheid en burger raakt, maar ook werkt tussen burgers onderling.38 Dit gegeven is van belang voor dit onderzoek, omdat
het onderzoek zich richt op de verwerking van persoonsgegevens door publiekrechtelijke rechtspersonen zoals het CBS en door privaatrechtelijke rechtspersonen zoals de meeste biobanken en registraties. De uitwerking van artikel 10 lid 2 en 3 GW is voornamelijk te vinden in de WBP en de WGBO.39
3.2.1 Wet Bescherming Persoonsgegevens
De WBP is van toepassing indien er sprake is van verwerking van een persoonsgegeven.Om de vraag te kunnen beantwoorden of de WBP op het specifieke geval van toepassing is zijn de begrippen verwerking en persoonsgegeven relevant. Een scala van handelingen met betrekking tot persoonsgegevens, zoals het verzamelen, bewaren, en verstrekken, valt onder het verwerkingsbegrip. 40
Degene die alleen of tezamen, het doel van en de middelen voor die verwerking vaststelt is de verantwoordelijke.41 Dit kan een natuurlijk persoon, rechtspersoon, bestuursorgaan of ieder ander zijn.
De wet legt bepaalde verplichtingen op aan de verantwoordelijke. Bovendien is de verantwoordelijke van belang voor degene op wie een persoonsgegeven betrekking heeft. Deze persoon, oftewel de betrokkene, moet weten wie hij kan aanspreken. In het geval van koppelen van gegevens, kan op verschillende momenten in het proces een andere verantwoordelijke worden aangewezen. De biobanken en registraties waar de onderzoeker een verzoek tot koppelen indient zijn beide verantwoordelijke wat betreft hun eigen opgeslagen persoonsgegevens. Het wordt ingewikkeld als de biobank of registratie besluit persoonsgegevens aan een onderzoeker te verstrekken. Volgens de Memorie van Toelichting op de WBP moet er dan worden gezocht naar degene die bepaalt of gegevens mogen worden verwerkt en zo ja, welke verwerking, van welke persoonsgegevens en voor welk doel. Tevens is van belang wie bepaald op welke wijze de gegevensverwerking zal plaatsvinden. Deze bevoegdheden liggen bij de biobank of registratie omdat zij uiteindelijk beslist of de gegevens, en onder welke voorwaarden, worden verstrekt aan een onderzoeker.42 Desalniettemin bepaalt de onderzoeker zelf, of de instelling waar hij
werkzaam, op welke wijze gegevensverwerking zal plaatsvinden. De verantwoordelijkheid wordt in elk geval overgeheveld aan de onderzoeker door de overeenkomst, bestaande uit uitgiftevoorwaarden, die de instelling met de onderzoeker afsluit. Op deze verhouding zijn de gewone regels uit het Burgerlijk
37 Kamerstukken II 1975/76, 13872, 1-5, p.39-42. 38 Verhey, 1992, p.101-103.
39 Kamerstukken II 1997/98, 25892, 3(MvT), p.7.
40 Art. 1 sub b WBP; verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met
betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens.
41 Artikel 1 sub d WBP
10 Wetboek van toepassing. De Code Goed Gedrag wijst de het hoofd van de instelling aan waar de onderzoeker hiërarchisch verantwoording aan dient af te leggen.43 Wie nu uiteindelijk verantwoordelijke
is in de zin van de WBP is niet geheel duidelijk. De wetgever erkent het probleem van het vaststellen van één verantwoordelijke als er meerdere actoren bij de verwerking betrokken zijn.44 Daarom is de
constructie van gedeelde verantwoordelijkheid ontwikkeld. Dit lijkt het geval te zijn indien de onderzoeker bestanden ontvangt naar aanleiding van een koppelverzoek. Twee soorten van verantwoordelijkheid zijn mogelijk als verschillende verwerkingen (min of meer) geïntegreerd zijn, zonder dat een gemeenschappelijke verantwoordelijk aanwezig is. Er kan sprake zijn van één verantwoordelijke per (deel-)verwerking. Een andere mogelijkheid is dat elk van de verantwoordelijken aansprakelijk is voor het geheel van de gegevensverwerkingen. Dit wordt gezamenlijke verantwoordelijkheid genoemd.45 In sommige situaties koppelt de onderzoeker zelf, soms wordt er een
TTP ingeschakeld, of één van de biobanken/registraties koppelt zelf. Het is afhankelijk van de specifieke situatie wie uiteindelijk welke verantwoordelijkheid heeft. Hierover zijn alleen speculaties mogelijk, omdat het antwoord onvoldoende uit de wet, of uit een uitspraak van het CBP, naar voren komt.
Het begrip persoonsgegeven is het andere begrip die van belang is om de vraag te kunnen beantwoorden of de WBP van toepassing is. Een persoonsgegeven is elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon.46 Een persoon is identificeerbaar indien zijn
identiteit redelijkerwijs, zonder onevenredige inspanning, vastgesteld kan worden. Indien pseudonimisering wordt toegepast is er geen sprake van verwerking van persoonsgegevens, als aan de eerdergenoemde voorwaarden van het CBP wordt voldaan.47 Zodra deze voorwaarden onvoldoende in
acht worden genomen, is er opnieuw sprake van een persoonsgegeven en dus is de WBP van toepassing ten aanzien van die gegevens. Als gepseudonimiseerd wordt met behulp van een TTP, wordt aan de vier voorwaarden van het CBP voldaan, waardoor de WBP niet van toepassing is.48 Toch wordt er in de
praktijk niet altijd een TTP ingeschakeld.49 De scheidslijn tussen wel of geen persoonsgegeven en dus
tussen wel of niet van toepassing zijn van de WBP blijkt dus erg dun te zijn.50
De WBP onderscheid twee soorten persoonsgegevens, namelijk persoonsgegevens in het algemeen of bijzondere persoonsgegevens.51 Gezondheidsgegevens vallen onder de categorie bijzondere
persoonsgegevens.52 De voorwaarden van beide categorieën werken uitdrukkelijk cumulatief.53 In eerste
instantie volgt uit artikel 16 WBP een verbod op verwerking van persoonsgegevens betreffende
43 Gedragscode Gezondheidsonderzoek met gegevens 2004, p.22. 44 Kamerstukken II 1997/98, 25892, 3(MvT), p.55.
45 Kamerstukken II 1997/98, 25892, 3(MvT), p.58 46 Artikel 1 sub a WBP.
47 CBP 6 maart 2007, pseudonimisering risicoverevening,z2006-1382. 48 M.C. Ploem 2004, p.245.
49 De Groot e.a., BBMRI-NL 2014. 50 M.C. Ploem 2004, p.230.
51 Respectievelijk: Hoofdstuk 2.1 en Hoofdstuk 2.2 WBP. 52 Artikel 16 WBP.
11 gezondheid. Echter biedt artikel 21 WBP uitzonderingsmogelijkheden voor gezondheidsgegevens indien de verwerking geschied door de in lid 1 aangewezen personen en instanties. Het verwerken van persoonsgegevens voor wetenschappelijk onderzoek valt niet onder deze bepaling. Voorts wordt deze mogelijkheid geboden door artikel 23 WBP. In het algemeen geldt dat verwerking is toegestaan, onder de waarborgen van hoofdstuk 2.1 van de WBP; indien de betrokkene uitdrukkelijk toestemming heeft gegeven.54 Als het vragen van toestemming onmogelijk blijkt of een onevenredige inspanning kost, kan
hier volgens artikel 23 lid 2 aan voorbij worden gegaan. Dit is enkel mogelijk indien persoonsgegevens worden verwerkt ten behoeve van wetenschappelijk onderzoek of statistiek en aan de volgende voorwaarden wordt voldaan:
a) Het onderzoek dient een algemeen belang.
b) De verwerking voor het desbetreffende onderzoek of de betreffende statistiek is noodzakelijk. c) Er is bij de uitvoering voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de
betrokkene niet onevenredig wordt geschaad.
Op koppelen is de algemene regeling over verenigbaar gebruik van toepassing.55 Artikel 9 lid 1
bepaalt dat persoonsgegevens niet verder mogen worden verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. Of er sprake is van onverenigbaarheid moet worden beoordeeld aan de hand van factoren uit artikel 9 lid 2 sub a t/m e. In de eerste plaats moet er zoveel mogelijk verwantschap bestaan tussen het doel waarvoor de verantwoordelijke de gegevens overweegt te gebruiken en het doel waarvoor de gegevens zijn verkregen. Ten tweede is de aard van gegevens van belang. Bij het koppelen tussen biobanken en registraties worden voornamelijk gezondheidsgegevens gebruikt welke gevoelig van aard zijn. Hierdoor is snel sprake van onverenigbaar gebruik. Ten derde dient het gevolg dat de verwerking op de betrokkene heeft, zo klein mogelijk te zijn. Als gegevens worden gebruikt voor beslissingen over de betrokkene, dan is er eerder sprake van onverenigbaar gebruik dan wanneer gegevens worden gebruikt voor wetenschappelijk onderzoek.56 In de meeste
gevallen wordt de betrokkene bij wetenschappelijk onderzoek namelijk niet meer geconfronteerd met de verwerking van zijn of haar gegevens. Voorts is van belang op welke wijze de gegevens zijn verkregen.57 Als de betrokkene zijn gegevens zelf heeft afgestaan wordt verenigbaar gebruik eerder
aangenomen. De laatste factor betreft de mate waarin jegens de betrokkene wordt voorzien in passende waarborgen. Hierbij kan men denken aan maatregelen ten behoeve van het veilig bewaren van de persoonsgegevens.
Historisch, statistisch of wetenschappelijk onderzoek wordt in artikel 9 lid 3 WBP als wettelijk verenigbaar doeleinde aangewezen. Oftewel, koppeling voor wetenschappelijk onderzoek wordt als
54 Artikel 23 lid 1 sub a WBP. 55 Artikel 9 WBP.
56 Hooghiemstra & Nouwt, 2007, p.79-81. 57 Artikel 9 lid 2 sub d WBP
12 verenigbaar beschouwd ook al zijn de gegevens niet oorspronkelijk verzameld voor wetenschappelijk onderzoek. Voorts blijkt uit de Memorie van Toelichting dat “gegevens kunnen worden gekoppeld wanneer ten minste aan de eis is voldaan dat de doeleinden waartoe de gegevens oorspronkelijk zijn verzameld, met elkaar verenigbaar zijn.”58 In artikel 9 lid 3 is aldus de voorwaarde opgenomen dat de
verantwoordelijke de nodige maatregelen moet hebben getroffen om te verzekeren dat de verdere verwerking uitsluitend geschiedt ten behoeve van deze specifieke doeleinden.59 De Europese richtlijn
95/46 bepaalt dat deze maatregelen voornamelijk moeten voorkomen dat de gegevens worden gebruikt voor maatregelen of besluiten tegen een persoon.60 Volgens de Memorie van Toelichting moet hierbij
gedacht worden aan een functionele scheiding tussen toepassing en onderzoek. Dit kan worden bereikt door juridische maatregelen, zoals het vastleggen van deze scheiding in een aanmeldingsformulier, een gedragscode of het opstellen van een contract waarin staat vastgelegd waarvoor de gegevens nader mogen worden gebruikt.61 In de praktijk gebeurt dit door middel van een overeenkomst tussen de
onderzoeker en de biobank of registratie.62 Hiernaast wordt er in de Memorie van Toelichting benoemd
dat er organisatorische of technische maatregelen mogelijk zijn.63 Welke maatregelen hiermee bedoeld
worden is onduidelijk. Niettemin komt uit de tekst naar voren dat de persoonlijk levenssfeer in ieder geval niet onevenredig mag worden geschaad. Dit komt overeen met de informationele privacy uit artikel 10 GW. De informationele privacy wordt onder andere beschermt door persoonsgegevens in overeenstemming met de WBP te beveiligen.64 Dit betreft onder andere maatregelen betreffende
geheimhouding en beveiliging. Hoe de verwerker hier het best uitvoer aan kan geven wordt beschreven in de CBP richtsnoer beveiliging persoonsgegevens.
Dan rest de vraag wanneer er sprake is van historisch, statistisch of wetenschappelijk onderzoek. Zowel in de WBP als in de richtlijn worden deze begrippen niet nader toegelicht. De aanbeveling van de Raad van Europa inzake de bescherming van persoonsgegevens verzameld en verwerkt voor statistische doeleinden, geeft een definitie van de drie begrippen.65 Aangezien wetenschappelijk
onderzoek het voornaamste doel is van koppelen, zal hier enkel dit begrip worden toegelicht. Uit de aanbeveling volgt dat “wetenschappelijk onderzoek ertoe strekt wetmatigheden, gedragsregels en oorzakelijk verbanden vast te stellen die alle personen op wie zij betrekking hebben, overstijgen. Aldus is wetenschappelijk onderzoek erop gericht om globale verschijnselen te omschrijven.” Hieronder valt bevolkingsonderzoek met het oog op de bescherming en bevordering van de volksgezondheid. Of
58 Kamerstukken II 1997/98, 25892, 3(MvT), p.93. 59 Artikel 9 lid 3 WBP.
60Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende bescherming van
natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEU 95, L 281/31).Artikel 6 lid 1 sub b in verband met overweging 29.
61 Kamerstukken II 1997/98, 25892, 3(MvT), p.92-93 62 Hoofdstuk 4.
63 Respectievelijk; artikel 10 lid 2 WBP, artikel 23 lid 2 WBP.
64 CBP Richtsnoer Beveiliging Persoonsgegevens 2013, p.8: de artikelen 12 t/m 14 WBP
65 Aanbeveling Raad van Europa, nr. R 97 (18) 30 september 1997, Betreffende de bescherming van
13 onderzoek als wetenschappelijk kan worden aangemerkt is afhankelijk van het doel en de methode. Een onderzoek met louter commerciële doeleinden zal zodoende niet onder wetenschappelijk onderzoek vallen.66
Tot slot moet er antwoord worden gegeven op de vraag of de grondslagen voor rechtmatige verwerking uit artikel 8, zoals de ondubbelzinnige toestemming, tevens van toepassing zijn. De algemene voorwaarden uit hoofdstuk 2 van de WBP gelden immers cumulatief. Hier kan ontkennend op worden geantwoord, aangezien artikel 8 gericht is op primaire verwerking en artikel 9 juist geldt voor verdere verwerking. Hiernaast biedt artikel 23 voor bijzondere persoonsgegevens zoals gezondheidsgegevens, mogelijkheid tot verwerking zonder ondubbelzinnige toestemming, indien het onderzoek aan aanvullende voorwaarden voldoet.67 De overige algemene voorwaarden zijn onverkort
van toepassing.68
Concluderend kan worden gesteld dat koppeling met persoonsgegevens door de WBP wordt toegestaan indien er maatregelen worden genomen die garanderen dat koppeling verenigbaar is met de doeleinden waarvoor de gegevens zijn afgenomen. Wetenschappelijk onderzoek wordt door de wet als een verenigbaar doeleinde aangewezen. Of sprake is van wetenschappelijk onderzoek moet in ieder individueel geval worden beoordeeld. Een voorbeeld van wetenschappelijk onderzoek is bevolkingsonderzoek die beoogt de volksgezondheid te beschermen en te bevorderen. Daarnaast wordt in artikel 9 lid 3 de verplichting aan de verantwoordelijke opgelegd de nodige voorzieningen te treffen ten einde te verzekeren dat de verdere verwerking uitsluitend geschiedt ten behoeve van deze specifieke doeleinden. Juridische maatregelen behoren tot de mogelijkheid om aan deze verplichting te voldoen. Een voorbeeld van zo’n juridische maatregel is een gedragscode of een contract waarin de voorwaarden worden vastgelegd waarvoor de gegevens nader mogen worden gebruikt. Daarenboven moeten er technische en/of organisatorische maatregelen worden genomen. Het lijkt alsof hier beveiligingsmaatregelen mee worden bedoeld. Deze maatregelen worden echter al door de wet in artikel 12 tot en met 14 van de WBP aan de verantwoordelijke opgelegd.
3.2.2 Wet Geneeskundige Behandelovereenkomst
De WGBO regelt de bijzondere overeenkomst tussen arts en patiënt. Het gaat hier om verwerking van gegevens en lichaamsmateriaal door de hulpverlener. De hulpverlener kan deze gegevens in sommige gevallen zelf gebruiken voor onderzoek of verstrekken aan derden ten behoeve van door hen uit te voeren onderzoek. De grondslag voor het gebruik van lichaamsmateriaal voor nader gebruik biobanken ligt in artikel 7:467 BW.
66 Aanbeveling Raad van Europa, nr. R 97 (18) 30 september 1997, Betreffende de bescherming van
persoonsgegevens verzameld en verwerkt voor statistische doeleinden.
67 De voorwaarden uit artikel 23 lid 2 WBP.
14 Lid 1: Van het lichaam afgescheiden anonieme stoffen en delen kunnen worden gebruikt voor medisch
statistisch of ander medisch wetenschappelijk onderzoek voor zover de patiënt van wie het lichaamsmateriaal afkomstig is, geen bezwaar heeft gemaakt tegen zodanig onderzoek en het onderzoek met de vereiste zorgvuldigheid wordt verricht. Dit lid is de grondslag van de verzameling van
lichaamsmateriaal in nader gebruik biobanken.
Lid 2: Onder onderzoek met van het lichaam afgescheiden anonieme stoffen en delen wordt verstaan
onderzoek waarbij is gewaarborgd dat het bij het onderzoek te gebruiken lichaamsmateriaal en de daaruit te verkrijgen gegevens niet tot de persoon herleidbaar zijn. Hieruit blijkt dat koppelen alleen is
toegestaan indien her identificatie onmogelijk is. Hiervoor moet er gepseudonimiseerd worden onder de voorwaarden van het CBP.
De grondslag voor het gebruik van gegevens uit het medisch dossier door sommige zorgregistraties ligt in artikel 7: 457 in combinatie met 7:458 BW. In eerste instantie bestaat een verbod voor het delen van persoonsgegevens, indien toestemming van de patiënt ontbreekt.69 Hier wordt echter een uitzondering
op gemaakt wanneer de gegevens uit het medisch dossier gebruikt worden ten behoeve van statistiek of wetenschappelijk onderzoek op het gebied van volksgezondheid.70 Artikel 7:458 lid 1 bepaalt dat
gegevens alleen mogen worden verstrekt indien:
a) Het vragen van toestemming in redelijkheid niet mogelijk is en met betrekking tot de uitvoering van het onderzoek is voorzien in zodanige waarborgen, dat de persoonlijke levenssfeer van de patiënt niet onevenredig wordt geschaad.
b) Het vragen van toestemming, gelet op de aard en het doel van het onderzoek, in redelijkheid niet kan worden verlangd en de hulpverlener zorg heeft gedragen dat de gegevens in zodanige vorm worden verstrekt dat herleiding tot individuele natuurlijke personen redelijkerwijs wordt voorkomen.
Daarnaast moet het onderzoek een algemeen belang dienen en niet zonder de desbetreffende gegevens kunnen worden uitgevoerd. Tot slot mag de betrokken patiënt niet uitdrukkelijk bezwaar hebben gemaakt.
De WGBO bepaalt niet iets specifiek over koppelen. Wel dient herleiding tot individuele personen redelijkerwijs te worden voorkomen. Hieruit kan worden opgemaakt dat gegevens zoveel mogelijk gecodeerd of anoniem moeten worden gebruikt. Omdat de WBP de algemene privacywetgeving is, dient de WGBO in het licht van de WBP gelezen te worden. De WBP als lex generalis biedt ruimte aan de WGBO om aanvullende regels te stellen met betrekking tot het verwerken van medische gegevens door hulpverleners, zoals de artikelen 7:457, 7:458 en 7:467 doen.71
69 Artikel 7:457 BW. 70 Artikel 7:458 BW.
71 H.J.J. Leenen, J.K.M. Gevers & J. Legemaate, Handboek Gezondheidsrecht deel 1, Den Haag: Boom
15
3.3 Zelfregulering
3.3.1 FMWV Gedragscode Gezondheidsonderzoek
De gedragscode Gezondheidsonderzoek (hierna de Code Goed Gedrag) is opgesteld door de Stichting Federatie van Medisch Wetenschappelijke Verenigingen (FMWV). Het is een concretisering van de regels uit de WGBO en de WBP omtrent het verwerken van persoonsgegevens bij gezondheidsonderzoek, aldus het CBP.72 Het lijkt alsof de Code Goed Gedrag is bedoeld voor de
verantwoordelijke en de onderzoeker, omdat de meeste artikelen naar hen gericht zijn.73 Er worden geen
verplichtingen opgelegd aan de verstrekker van gegevens, oftewel de biobanken en registraties.
De juridische grondslag van de gedragscode is te vinden in artikel 25 WBP.74 Dit artikel bepaalt
dat gedragscodes werking hebben indien bij besluit goedgekeurd door het CBP. De verantwoordelijke en de onderzoeker zijn hierdoor gebonden aan de Code Goed Gedrag. Een goedkeuring van het CBP geldt voor een termijn van maximaal vijf jaar, hierna moet de Code Goed Gedrag opnieuw worden gekeurd. Aangezien de huidige gedragscode voor het laatst in 2004 is goedgekeurd, dient het CBP hier weer een oordeel over te geven.75
De Code Goed Gedrag noemt de mogelijkheid tot koppelen expliciet. Alvorens deze benoeming wordt toegelicht, dient te worden opgemerkt dat de WBP en WGBO enkel spreken over persoonsgegevens terwijl de Code Goed Gedrag tevens anonieme gegevens behandelt. Onder persoonsgegevens vallen zowel direct identificerende als indirect identificerende gegevens, in de WBP wordt dit de geïdentificeerde of identificeerbare persoon genoemd.76 Anonieme gegevens worden in de
WBP niet als persoonsgegevens beschouwd, daarom is de WBP hierop niet van toepassing. In tabel 1 wordt de juridische status van gecodeerde gegevens samengevat.77
72CBP, Goedkeuring Gedragscode Gezondheidsonderzoek, Stcrt. 2004, 82/p. 22.
73 Verantwoordelijke: artikel 1 sub f gedragscode: de natuurlijke persoon, rechtspersoon of ieder ander die of het
bestuursorgaan dat, alleen of tezamen met anderen het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt en binnen wiens organisatie de onderzoeker werkzaam is. Als verantwoordelijke in de zin van deze Code kan in de regel worden beschouwd het hoofd van de vakgroep of van het
onderzoeksinstituut of van een dergelijke eenheid aan wie de onderzoeker hiërarchisch verantwoording verschuldigd is.
74 Ploem 2004, p. 232.
75 CBP, Goedkeuring Gedragscode Gezondheidsonderzoek, Stcrt. 2004, 82/p. 22. 76 Gedragscode Gezondheidsonderzoek met gegevens 2004, Artikel 1 sub m en n. 77 Ploem 2004, p.231.
16
Tabel 1: Juridische status van gecodeerde gegevens
Artikel 3.2 van de Code Goed Gedrag bepaalt over anonieme gegevens dat geen koppeling mag plaatsvinden als hierdoor de identiteit van de betrokkene achterhaald kan worden. Hetzelfde geldt voor zowel indirect als direct identificerende persoonsgegevens.·,· Uit deze artikelen en impliciet uit artikel
5.4 volgt het zogenaamde koppelverbod.78 Omdat de Code Goed Gedrag stelt dat met gebruik van een
indirect identificerend gegeven zonder moeite en tijd de identiteit van een individu achterhaald kan worden, mag door koppeling geen direct identificerend gegeven, maar ook geen indirect identificerende gegeven ontstaan, tenzij uitdrukkelijk toestemming is gegeven.79 Concluderend kan worden gesteld dat
koppeling is toegestaan als de identiteit van de betrokkene hierdoor niet direct of indirect herleidbaar wordt.
Hieruit volgt de vraag wanneer er sprake is van herleidbaarheid. Uitgangspunt hierbij is dat een persoon identificeerbaar is indien zijn identiteit redelijkerwijs en zonder onevenredige inspanning vastgesteld kan worden. Volgens de Memorie van Toelichting op de WBP spelen hierbij twee factoren een rol, namelijk de aard van de gegevens en de mogelijkheid om de identificatie tot stand te brengen. De eerste factor omvat de herkenbaarheid van een bepaald gegeven voor de identiteit van de betrokkene.80 De tweede factor is van toepassing op de ontvanger en diens mogelijke middelen om de
identiteit van de betrokkene te achterhalen.81 Deze factoren lijken te impliceren dat er al snel sprake is
van identificeerbaarheid, vooral door mogelijkheden van de ontvanger om identificatie tot stand te brengen. Indien pseudonimisering wordt toegepast binnen de regels van het CBP is geen sprake is van verwerking van persoonsgegevens. De identiteit van de betrokkene is dan ook niet direct of indirect herleidbaar.
78 Gedragscode Gezondheidsonderzoek met gegevens 2004, p.28.
79 Vragen en antwoorden bij de codes goed gebruik en goed gedrag versie 20 december 2004, p. 5. 80 Kamerstukken II 1997/98, 25892, 3 (MvT), p.47-49.
17
3.4 Is koppelen toegestaan?
Zoals eerder genoemd is de Code goed gedrag een concretisering van de regels uit de WGBO en de WBP omtrent het gebruik van medische gegevens voor onderzoek. Hierdoor zouden er in principe geen strijdigheden moeten zijn. Als die er wel zijn heeft de wet voorrang op de Code Goed Gedrag. De WBP staat koppeling met persoonsgegevens toe, indien er maatregelen worden genomen die garanderen dat koppeling slechts geschiedt met wetenschappelijk onderzoek als doel. De Code Goed Gedrag lijkt koppeling ook toe te staan, ook al wordt er van een koppelverbod gesproken. Identificatie dient dan wel te worden vermeden. Koppeling onder de Code Goed Gedrag is dan enkel mogelijk met gepseudonimiseerde gegevens. Omdat koppeling in de Code Goed Gedrag geheel verboden wordt als er identificatie kan plaatsvinden en de WBP koppeling van identificerende gegevens rechtvaardigt door het nemen van bepaalde maatregelen, lijkt de Code Goed Gedrag verder te gaan dan de wet.
Het is echter mogelijk dat de Code Goed Gedrag met het koppelverbod bedoelt dat de onderzoeker geen handelingen, zoals koppeling, mag verrichten met als doel de identiteit te achterhalen. In één van de bepalingen omtrent koppelen staat immers dat de onderzoeker geen handelingen mag verrichten zoals koppeling, bedoeld om tot herleiding van de betrokkene te komen.82 Als dit met het
koppelverbod bedoeld wordt, is het alsnog onduidelijk waar dit toe leidt. Het lijkt te suggereren dat koppeling wel is toegestaan als de onderzoeker de identificatie niet bedoeld heeft. Maar is identificatie (door koppeling of anderszins) niet gewoon identificatie, los van de bedoeling? De WBP spreekt nergens over de bedoeling en geeft ook nergens aan dat indien de bedoeling tot identificatie ontbreekt er dan geen sprake is van een persoonsgegeven.
Uit zowel de Code Goed Gedrag als uit de WBP, kan zodoende de conclusie worden getrokken dat koppeling van gegevens is toegestaan zonder toestemming van de betrokkene. Er bestaat echter een verschil tussen beide regelingen voor het soort gegeven. In de WBP betreft het een persoonsgegeven terwijl de Code Goed Gedrag vereist dat de gegevens gepseudonimiseerd zijn.
3.5 Juridische knelpunten
Er is bewust voor gekozen geen aparte bepaling omtrent koppelen in de WBP op te nemen, omdat het begrip daar niet eenduidig genoeg voor is.83 Koppeling valt voorts onder de algemene regels uit de WBP
over het verenigbaar gebruik. Hoewel hieruit de conclusie kan worden getrokken of koppeling is toegestaan, ontbreekt het aan specifieke voorwaarden waaronder koppeling is toegestaan. Er worden alleen een aantal voorbeelden genoemd in de Memorie van Toelichting. Als deze maatregelen onduidelijk zijn en dus niet in acht kunnen worden genomen, kan zomaar koppeling van
82 Gedragscode Gezondheidsonderzoek met gegevens 2004, artikel 5.2. 83 Kamerstukken II 1997/98, 25892, 3(MvT), p.93.
18 persoonsgegevens zonder toestemming plaatsvinden.84 Hier komt bij dat indien koppeling in strijd is
met de wet, het voor de betrokkene vaak onduidelijk is wie hier verantwoordelijk voor is, door de vele actoren die betrokken zijn. Er is getracht via zelfregulering meer duidelijkheid te verschaffen over het gebruik van gegevens voor wetenschappelijk onderzoek door middel van de Code Goed Gedrag. Helaas is deze richtlijn niet benut om de koppelvoorwaarden verder uit te lichten. Het bevat zowaar een koppelverbod welke strookt met de bedoeling die de WBP lijkt te hebben en met de praktijk en de behoefte om te koppelen uit belang voor onderzoek. Tevens richt de Code Goed Gedrag zich tot de onderzoeker en ontbreekt het aan voldoende toetsingscriteria voor de biobanken en registraties. Tot slot moet de Code Goed Gedrag opnieuw worden goedgekeurd door het CBP om weer werking te hebben.
Hoofdstuk 4. Praktijk
4.1 Procedure privacy toetsing
In Nederland bestaan verschillende biobanken en registraties die gegevens bevatten. Iedere instelling heeft een eigen toetsingscommissie die aanvragen tot verstrekking van gegevens behandelt.85 Om de
procedure rondom privacy toetsing te inventariseren wordt hieronder een aantal organisaties uitgelicht. Belangrijke en overeenkomstige voorwaarden worden vervolgens verzameld ten behoeve van de ontwikkeling van een geharmoniseerde procedure. De wetenschappelijke toetsing van het onderzoek zelf wordt hier buiten beschouwing gelaten.
4.2 Registratie instellingen
4.2.1 CBS
Het CBS is een zelfstandig bestuursorgaan, welke door de overheid wordt gefinancierd om gegevensverzamelingen te beheren. Haar taak is het van overheidswege verrichten van statistisch onderzoek ten behoeve van praktijk, beleid en wetenschap, om deze statistieken vervolgens openbaar te maken.86 Om deze taak optimaal uit te voeren krijgt het CBS een ruime toegang tot gegevens uit de
databases van verschillende instellingen.87 Vanwege de grote verantwoordelijkheid die het CBS draagt,
is de wet op het CBS als lex specialis in de wet opgenomen. Deze wet biedt waarborgen voor verwerking en verstrekking van persoonsgegevens door het CBS.
Een toetsingscommissie van het CBS beoordeeld een aanvraag tot gegevensverstrekking aan de hand van onderstaande wettelijke voorwaarden. Naar aanleiding van deze toetsing brengt de commissie een advies uit aan de directeur-generaal. Deze toetst vervolgens onafhankelijk, maar in de praktijk wordt het advies van de commissie gevolgd.88 De relevante artikelen uit de wet op het CBS worden hieronder
84 De waarborgen uit artikel 23 lid 2 WBP zijn onverkort van toepassing. 85 Hoofdstuk 4.2 + Hoofdstuk 4.3.
86 Artikel 3 wet op het CBS. 87 Artikel 33 wet op het CBS.
19 toegelicht omdat veel bepalingen een goed voorbeeld bieden voor correcte privacy toetsingscriteria. De wet op het CBS maakt een onderscheid tussen twee soort gegevens. Daarom wordt hieronder eerst de verstrekking van gegevens in het algemeen behandeld en daarna de verstrekking van gegevens uit het doodsoorzakenregister. In deze bespreking van het wettelijk kader wordt de procedure in de praktijk verwerkt.
Procedure aanvraag gegevens en toetsingscriteria
In eerste instantie bestaat er een verbod tot verstrekking van persoonsgegevens aan anderen dan degenen die de taak van het CBS uitvoeren.89 Hier zijn artikel 39 t/m 42 van de wet op het CBS uitzonderingen
op. Allereerst moet de desbetreffende instelling waar de onderzoeker werkzaam is toegang hebben gekregen van de directeur-generaal van het CBS. Deze toegang wordt enkel verleend aan de in artikel 40 lid 2 van de wet op het CBS aangewezen organisaties of instellingen, meestal voor een langere periode. Voorts dient er voor ieder nieuw project een aanvraag te worden ingediend.90 Hiervoor geldt
als voorwaarde dat toegang tot of verstrekking van gegevens enkel mogelijk is ten behoeve van statistisch of wetenschappelijk onderzoek. Alleen zodanig gecodeerde gegevens die identificatie tot afzonderlijke personen, huishoudens, ondernemingen of instellingen onmogelijk maken, worden verstrekt.91 Hiernaast dient de verzoeker voldoende maatregelen te hebben getroffen om te voorkomen
dat de verzameling van gegevens voor doeleinden anders dan statistisch of wetenschappelijk onderzoek wordt gebruikt.92
Voor de gegevens uit het doodsoorzakenregister bestaat een andere regeling dan voor de rest van de persoonsgegevens. Het CBS ontvangt gegevens uit een tal van bronnen. Eén van die bronnen is de arts of gemeentelijk lijkschouwer die op grond van artikel 12a van de wet op de lijkbezorging opgave moet doen van de doodsoorzaak ten behoeve van statistiek en de daarmee samenhangende gegevens.93
Hieruit ontstaat het doodsoorzakenregister. Gegevens uit dit register worden enkel verstrekt ten behoeve van wetenschappelijk onderzoek op het terrein van de volksgezondheid. Hiernaast moeten de gegevens afkomstig zijn van personen die in een wetenschappelijk onderzoek waren betrokken.94 Vereist is dat de
desbetreffende persoon toestemming voor verstrekking moet hebben gegeven of de onderzoeker moet voldoende kunnen aantonen dat:
a) het vragen van toestemming bij leven van de betrokkene in redelijkheid niet mogelijk was of kon worden gevergd (hierbij neemt de directeur-generaal de belangen van de betrokkene als
89 Artikel 37 lid 2 wet op het CBS
90cbs.nl/nl-NL/menu/informatie/beleid/zelf-onderzoeken/default.htm, geraadpleegd op 1 oktober 2014. 91 Artikel 41 wet op het CBS.
92 Artikel 42 wet op het CBS.
93 Artikel. 12a wet op de lijkbezorging in verband met artikel 2 besluit vaststelling formulier opgave
doodsoorzaak.
20 uitgangspunt. In de ministeriële regeling “verstrekking gegevens doodsoorzaken CBS” worden hiervoor verschillende voorbeelden genoemd);
b) niet gebleken is dat de betrokkene bij leven bezwaar heeft gemaakt tegen het verwerken van diens persoonsgegevens ten behoeve van wetenschappelijke onderzoek;
c) het onderzoek een algemeen belang dient;
d) het onderzoek niet zonder de desbetreffende gegevens kan worden uitgevoerd; e) het onderzoek overigens voldoet aan daaraan redelijkerwijs te stellen eisen.
Indien de directeur-generaal besluit de gevraagde gegevens te verstrekken, sluit hij met de verantwoordelijke een overeenkomst over het gebruik van de gegevens.95 Hier kunnen nadere
voorwaarden in worden opgenomen.96
De wet op het CBS bevat geen bepaling over het koppelen van gegevens. Desalniettemin volgt uit de toelichting op artikel 42a dat “verstrekking door het CBS van doodsoorzaakgegevens er toe kan leiden dat doodsoorzaken op individueel niveau aan patiënten hun onderzoeksgegevens kunnen worden gekoppeld. Hiermee worden niet alleen de belangen van de wetenschap en de volksgezondheid gediend, maar ook de positie van Nederland als kennisland.”97 Bovendien blijkt uit het beleid van het CBS dat
koppelen in sommige situaties wel is toegestaan. 98 Hiervoor moet een onderscheidt worden gemaakt
tussen twee soorten gegevensverstrekking, namelijk:
a) Verstrekking van gegevens ten behoeve van statistisch of wetenschappelijk onderzoek waaraan passende maatregelen zijn genomen om herkenning van afzonderlijke personen, huishoudens, ondernemingen of instellingen te voorkomen.99
b) Verstrekking van doodsoorzaakgegevens waarvoor bij leven toestemming is gegeven door de betrokkene, of waarvoor de onderzoeker moet kunnen aantonen dat de uitzonderingsbepalingen uit de wet op het individuele geval van toepassing is.100
Gegevens onder a) mogen niet door de aanvragende onderzoekers zelf worden gekoppeld, het CBS neemt immers passende maatregelen om herkenning te voorkomen. Voorafgaand aan verstrekking door het CBS kan wel koppeling plaatsvinden binnen het CBS. Het CBS koppelt dan de gegevens van de onderzoeker aan CBS data. Nadat maatregelen zijn genomen om herkenning te voorkomen wordt dit koppelbestand verstrekt aan de onderzoeker. Gegevens onder b) mogen binnen de beperkingen van artikel 42a wel door de aanvragende onderzoekers worden gekoppeld. Het betreft hier de koppeling van doodsoorzaakgegevens van personen die in een wetenschappelijk onderzoek waren betrokken aan data van de onderzoeker.
95 Regeling verstrekking gegevens doodsoorzaken CBS, Stcrt. 2007, 165/p.4, Artikel 4 lid 5. 96 Artikel 42a lid 3 wet op het CBS.
97 Kamerstukken II 2002/03, 28277, 10.
98 CBS, Voorschriften bestandsformaat en uploadprocedure 2013. 99 Artikel 41 wet op het CBS.
21
Uitgifte-voorwaarden
Zoals eerder gezegd wordt er afsluitend een projectovereenkomst afgesloten. Hierin zijn voorwaarden opgenomen over de beschikbaarstelling en gebruik van bestanden, geheimhouding, publicatie en vergoeding en betaling. De projectovereenkomst is te vinden in bijlage 1.
4.2.2 PALGA
Het Pathologisch-Anatomisch Landelijk Geautomatiseerd Archief beheert een landelijke databank van pathologie-uitslagen, de PALGA-databank.
Procedure aanvraag gegevens
De onderzoeker dient een “cohort-zoekvraag”, waarbij het doel vermeld dient te worden. Een cohort zoekvraag is een zoekvraag waarbij de gegevens van een cohort onder bepaalde privacy voorwaarden worden gekoppeld met de PALGA-databank.101
Privacy toetsingscriteria
De privacy commissie beoordeelt de aanvraag in het licht van de privacyrichtlijnen.102 Hieruit volgt dat
gegevensverstrekking ten behoeve van wetenschappelijk onderzoek is toegestaan indien:
a) de verstrekking in overeenstemming is met het doel van de PALGA informatie databank; b) het aannemelijk is dat de te verstrekken gegevens relevant zijn voor het door de aanvrager
beoogde doel;
c) het aannemelijk is dat de aanvrager een verantwoord gebruik zal maken van de te verstrekken gegevens;
d) de te verstrekken gegevens niet herleidbaar zijn tot de betrokkene, tenzij hiervoor schriftelijke toestemming is verkregen;
e) de verstrekking de continuïteit van de PALGA informatie databank niet in gevaar brengt; Op basis van bindend advies van de Privacy commissie beslist het bestuur van PALGA over de gegevensverstrekking. Vervolgens worden de persoonsgegevens van het cohort opgestuurd naar de
Trusted-Third Party ZorgTTP. Deze versleutelt de cohortgegevens zodat pseudoniemen hiervan
uiteindelijk weer bij PALGA terecht komen. Indien een aanvraag tot koppeling is ingediend, koppelt PALGA tot slot de pseudoniemen van het cohort aan de pseudoniemen in de PALGA-databank. Dit gekoppelde bestand wordt uiteindelijk aan de aanvrager verleend.103
101 palga.nl/zoekvraag/zoekvragen.htm (geraadpleegd op 30 oktober 2014). 102 Privacyrichtlijn PALGA, niet openbaar.
22
Uitgifte voorwaarden104
- De geleverde gegevens en de verkregen resultaten worden niet gebruikt en gepubliceerd voor enig doel anders dan hierboven aangegeven.
- De geleverde gegevens en de verkregen resultaten worden niet doorgegeven aan derden en niet verbonden aan dit onderzoek.
- De geleverde gegevens worden 5 jaar na publicatie vernietigt.
- Er worden geen handelingen verricht waarmee, indien er (onbedoeld) indirect identificerende gegevens zonder toestemming van de betrokkene geleverd zijn, de identiteit van de betrokkene herleid kan worden
- Elke publicatie of een deel daarvan dat betrekking heeft op de gegevensverstrekking wordt aan Stichting PALGA voorgelegd ter beoordeling alvorens het daadwerkelijk gepubliceerd wordt.
- De aanvrager conformeert zich aan de Code Goed Gedrag van de FMVW/FEDERA. - Er wordt zorg gedragen voor een zorgvuldige fysieke en logistieke beveiliging van de
gegevens. Daartoe zijn voorzieningen getroffen ter voorkoming van: a) onachtzaamheid of opzettelijk verkeerd gebruik van de gegevens; b) verlies van verstrekte gegevens;
c) ongeoorloofde toegang tot of inzage in de verstrekte gegevens.
4.3 Biobanken
4.3.1 Lifelines
Lifelines is een biobank waar zowel genetische, (bio-) medische, psychologische en sociale gegevens worden opgeslagen als wel gegevens over leefstijl en omgeving. Deze gegevens zijn afkomstig van een cohort van drie generaties van ten minste 165.000 Nederlanders die minimaal dertig jaar worden gevolgd. Middels deze informatie beoogt Lifelines inzicht te verkrijgen in de factoren die bepalen of iemand al dan niet gezond ouder wordt.105
Procedure aanvraag gegevens
Iedere onderzoeker mag een aanvraag indienen als het onderzoek binnen het thema van Lifelines past, oftewel gezond ouder worden. De onderzoeker moet wel aangesloten zijn bij een afdeling of instelling die bevoegd is om het voorgestelde onderzoek uit te voeren. Hierbij moet men denken aan: UMC’s, Universiteiten, algemene ziekenhuizen, en wetenschappelijke instellingen.106
104 palga.nl/palga/palga_lzv.nsf/AF?OpenForm&type=nietpatholoog (geraadpleegd op 30 oktober 2014). 105 lifelines.nl/lifelines-research/lifelines-in-general (geraadpleegd op 31 oktober 2014).
23
Privacy toetsingscriteria
De wetenschappelijke kwaliteit van het onderzoek wordt getoetst door de wetenschappelijk commissie. Als dit voldoende is wordt de aanvraag doorgestuurd naar het onderzoeksbureau, welke de afgifte van gegevens en publicaties controleert. Voorts wordt een contract verstrekt waarin staat onder welke voorwaarden en binnen welke termijn je gebruik mag maken van de gepseudonimiseerde gegevens. Eén van deze voorwaarden is dat gegevens enkel mogen worden gebruikt voor wetenschappelijk onderzoek. Hiernaast dienen de gegevens gecodeerd te zijn of volledig anoniem.De rest van de voorwaarden wordt momenteel opgesteld. 107
Uitgifte voorwaarden108
Alle manuscripten moeten eerst worden goedgekeurd door het Onderzoeksbureau voordat publicatie is toegestaan.
Resultaten mogen niet in de media worden gebracht voordat ze zijn gepubliceerd in een wetenschappelijk tijdschrift of zijn vastgelegd in een wetenschappelijke vergadering.
Alleen de resultaten die zijn verkregen uit de goedgekeurde aanvraag voor het gebruik van gegevens mogen worden gepubliceerd.
Er moet correct naar Lifelines worden gerefereerd. Tevens moet Lifelines op een bepaalde manier omschreven worden. Hoe dit moet is te vinden op de website.
In de titel of in de samenvatting van de publicatie moet Lifelines genoemd worden.
4.3.2 VUMC
De organisatie biobank VUmc wordt gevormd door novo- of nader gebruik-biobank units van de afdelingen Klinische Chemie, Hematologie, Pathologie en Klinische Genetica. Hiernaast zijn er innamepunten op verschillende locaties binnen en buiten het VUmc.109 Het VUmc conformeert zich aan
de Code Goed Gedrag. Hierop baseert zij ook de toetsing betreffende aanvraag, toetsing en uitgifte.110
4.4 Praktische knelpunten
Uit bovenstaande beschrijvingen komt naar voren dat alle instellingen uiteenlopende voorwaarden van toepassing achten, zonder dat duidelijk is waar die verschillen op berusten. Hierdoor loopt de gehele procedure vertraging op. Dit is te wijten aan een aantal voorname knelpunten. Ten eerste bestaan er verschillen tussen de aanvraagprocedure. Zo is een onderzoeker bij de ene instelling wel bevoegd om een aanvraag in te dienen en een onderzoeker bij de andere instelling niet. Dit is afhankelijk van het
107 Marie-José Bonthuis Jurist | Functionaris voor de Gegevensbescherming van Lifelines. 108 Marie-José Bonthuis Jurist | Functionaris voor de Gegevensbescherming van Lifelines. 109 vumc.nl/afdelingen/BiobankVUmc/ (geraadpleegd op 3 november 2014).
24 soort instelling waar hij werkzaam is en van het doel van zijn onderzoek.111 Tevens moet de onderzoeker
werkzaam zijn bij een afdeling of instelling die bevoegd is om het voorgestelde onderzoek uit te voeren. Welke afdelingen of instellingen dit precies betreft, is niet altijd duidelijk.112 De onderzoeker kan door
deze verschillen geen uniforme aanvraag indienen bij de instellingen van de te koppelen gegevens. Ten tweede kennen instellingen grote verschillen in de toetsingsprocedure. De instellingen beoordelen naar aanleiding van intern opgestelde reglementen. In sommige gevallen ontbreekt een dergelijk reglement zelfs.113 Derhalve is voor de onderzoeker vaak onduidelijk welke waarborgen hij van tevoren in acht
moet nemen. De onduidelijkheden komen voort uit het feit dat de criteria verschillen, ontbreken, in ontwikkeling zijn of niet openbaar beschikbaar zijn. Het is mogelijk dat de regeling intern wel compleet is en zich conformeert aan de wet, maar als deze niet openbaar wordt gesteld, is dit moeilijk te controleren. Dit doet de transparantie niet ten goede en het maakt het voor de onderzoeker lastig om zich goed voor te bereiden. Daar komt nog bij dat de eigenlijke toetsing inefficiënter verloopt als een reglement in ontwikkeling is of ontbreekt. Bovendien ontbreekt in bijna alle gevallen een specifieke regeling omtrent koppeling van gegevens. Zowel voor de instelling als voor de onderzoeker is uniformiteit gewenst om de hierboven beschreven vertragingen te voorkomen. Tot slot zijn er organisaties die stellen te toetsen conform de Code Goed Gedrag.114 De Code Goed Gedrag richt zich
echter voornamelijk tot de onderzoeker en in sommige gevallen tot de verantwoordelijke, op het moment dat hij in het bezit is van de gegevens.115 Van deze verplichtingen kunnen wel een aantal toetsingscriteria
worden afgeleid, maar onduidelijkheid blijft bestaan wat betreft de aanvraagprocedure. Tevens ontbreken er veel criteria voor een volledige toetsing, zoals de criteria voor koppelen.
Hoofdstuk 5. Aanbevelingen
5.1 Koppelcode als bijlage Code Goed Gedrag
Zoals uit de praktijk blijkt kan de huidige situatie leiden tot onduidelijkheid voor deelnemers,
rechtsongelijkheid voor onderzoekers en hindernissen voor onderzoekssamenwerkingen.
Harmonisering van het biobank- en registratiebeleid is daarom urgent.116 Als de verschillende
commissies inzicht hebben in elkanders procedure en idealiter deze procedure ook nog overeenkomt, kan wetenschappelijk onderzoek worden bevorderd middels wederzijdse erkenning. Als biobanken en registraties elkaars procedure vertrouwen, kunnen zij de goedkeuring tot verstrekking van gegevens en
111 Lifelines accepteert bijvoorbeeld alleen aanvragen van onderzoeken die het gezond ouder worden als doel
hebben gesteld.
112 Bijvoorbeeld bij Lifelines. 113 VUMC
114 VUMC
115 Met uitzondering van artikel 2.7 gericht tot de hulpverlener en artikel 5.2 gericht tot de verantwoordelijke van
de Gedragscode Gezondheidsonderzoek met gegevens 2004.
