Herziening van de UAVG

Auteur(s): Bron:
  • OpenRecht, 12 augustus 2020, JCDI:ALT556:1

Samenvatting

Een pleidooi voor het laten vervallen van de toestemmingsverplichting bij wetenschappelijk onderzoek.

Inleiding

De Uitvoeringswet bij de Algemene verordening gegevensbescherming (UAVG) wordt herzien.[1] De toepassing van artikel 24 UAVG blijkt in de praktijk voor wetenschappelijk onderzoek problematisch. Deze bepaling biedt de mogelijkheid om bijzondere persoonsgegevens te verwerken in het kader van wetenschappelijk of historisch onderzoek of voor statistische doeleinden[2] mits aan bepaalde voorwaarden wordt voldaan. Eén van die voorwaarden is dat expliciete toestemming als grondslag bij het verwerken van bijzondere persoonsgegevens in het kader van wetenschappelijk onderzoek niet mogelijk is of een onevenredige inspanning vergt. Ik zal in een aantal onderdelen uitwerken, waarom deze voorwaarde zou moeten komen te vervallen. 

Achtergrond

Bij het verrichten van wetenschappelijk onderzoek zijn persoonsgegevens vaak noodzakelijk. Het gaat dan om mensgebonden onderzoek dat al dan niet valt onder de reikwijdte van de Verordening betreffende klinische proeven[3] (VKP) en/of de Wet medisch-wetenschappelijk onderzoek met mensen (WMO). Te denken valt aan onderzoek op het gebied van de ontwikkelingen van nieuwe medicijnen. Maar ook in sociaalwetenschappelijk onderzoek zijn persoonsgegevens onontbeerlijk. In de meeste gevallen wordt daarbij met proefpersonen gewerkt of worden vragenlijsten afgenomen van deelnemers. In dit type onderzoek is al snel sprake van verzameling van bijzondere categorieën persoonsgegevens, en dan met name gezondheidsgegevens of gegevens over etnische achtergrond of religie. Het is op dit moment staande praktijk dat onderzoeksinstellingen expliciete toestemming als grondslag gebruiken voor het verwerken van bijzondere categorieën van persoonsgegevens die noodzakelijk zijn voor de uitvoering van de onderzoeksactiviteiten. Onderzoeksinstellingen hanteren daarbij het ‘model proefpersoneninformatie voor proefpersonen van 16 jaar en ouder (volwassenen)’[4] van de Centrale Commissie Mensgebonden Onderzoek of een eigen model dat daarvan is afgeleid. In dit model is toestemming als grondslag voor de verwerking van persoonsgegevens het uitgangspunt.

Ook de UAVG gaat ervan uit dat de verwerking van bijzondere persoonsgegevens ten behoeve van wetenschappelijk of historisch onderzoek of statistische doeleinden in de eerste plaats mogelijk is op basis van de uitdrukkelijke toestemming van de betrokkene op grond van artikel 9, tweede lid, onderdeel a van de Algemene verordening gegevensbescherming (AVG). In de tweede plaats biedt artikel 24 UAVG uitkomst wanneer de uitdrukkelijke toestemming van de betrokkene niet kan worden verkregen of een onevenredige inspanning vergt.[5]

Uit het advies van het Europees Comité voor gegevensbescherming (ECGB) over de vragen en antwoorden over de wisselwerking tussen de VKP en de AVG[6] en de recente richtsnoeren omtrent toestemming[7], alsmede de richtsnoeren inzake de verwerking van gezondheidsgegevens voor wetenschappelijk onderzoek in het kader van de COVID-19-uitbraak[8], volgt echter dat expliciete toestemming in veel gevallen niet kan worden gebruikt voor de verwerking van persoonsgegevens in wetenschappelijk onderzoek, omdat niet aan de voorwaarden voor rechtmatige toestemming kan worden voldaan. Daarnaast volgt uit deze adviezen en richtsnoeren dat toestemming complicaties en risico’s kan opleveren voor de goede uitvoering van het onderzoek wanneer onderzoekdeelnemers hun toestemming weer intrekken. Waarom niet aan de voorwaarden kan worden voldaan en welke complicaties en risico’s het vragen van toestemming oplevert bij de toepassing in wetenschappelijk onderzoek wordt verder uitgewerkt aan de hand van de volgende vragen:  
  1. Waarom is de grondslag expliciete toestemming in wetenschappelijk onderzoek problematisch?
  2. Wat zijn alternatieve grondslagen voor het verwerken van persoonsgegevens in wetenschappelijk onderzoek?

1 Waarom is de grondslag expliciete toestemming in wetenschappelijk onderzoek problematisch?

Ten principale is het goed op te merken dat het vragen van toestemming voor de verwerking van persoonsgegevens voor wetenschappelijke onderzoeksactiviteiten los moet worden gezien van de praktijk om ‘geïnformeerde toestemming’ te vragen van onderzoekdeelnemers. Deze ‘geïnformeerde toestemming’ houdt grofweg in dat de patiënt, proefpersoon of onderzoekdeelnemer op de hoogte is gesteld waar het onderzoek over gaat, begrijpt wat van hem/haar verwacht wordt, wie het onderzoek uitvoert, of er eventuele risico’s aan het onderzoek kleven en dat altijd met deelname aan het onderzoek kan worden gestopt. Deze praktijk vloeit voort uit de Verklaring van Helsinki[9] en beantwoordt aan essentiële ethische vereisten van medische onderzoeksprojecten waarbij mensen betrokken zijn. Het is een maatregel om de bescherming van het recht op menselijke waardigheid en het recht op menselijke integriteit te waarborgen. ‘Geïnformeerde toestemming’ wordt niet alleen gehanteerd in medisch onderzoek maar ook in ander onderzoek waarbij met deelnemers of proefpersonen wordt gewerkt. Deze ‘geïnformeerde toestemming’ is dus niet bedoeld voor de naleving van de AVG.[10] Het eventueel laten vervallen van het vragen van expliciete toestemming voor de verwerking van bijzondere persoonsgegevens in wetenschappelijk onderzoek, raakt derhalve het vragen van ‘geïnformeerde toestemming’ niet.

Het vragen van expliciete toestemming voor de verwerking van persoonsgegevens wordt ingekaderd door de vereisten die de AVG daaraan stelt. Toestemming is een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuitdrukking. Voor wetenschappelijk onderzoek kan de voorwaarde dat de toestemming vrijelijk gegeven moet zijn problematisch zijn wanneer sprake is van een onevenwichtige machtsverhouding tussen de betrokkene en de onderzoeksinstelling. Het ECGB is van mening dat hiervan sprake is wanneer een deelnemer niet in goede gezondheid verkeert, of deelnemers tot een economische of sociaal achtergestelde groep behoren of wanneer zij zich in een situatie van institutionele of hiërarchische afhankelijkheid bevinden. De onderzoeksinstelling dient dus steeds te beoordelen in hoeverre sprake kan zijn van een afhankelijkheidsrelatie tussen de deelnemer en de context waarin het onderzoek plaatsvindt.[11] Er is al snel sprake van een afhankelijkheidsrelatie of een onevenwichtige machtsverhouding bij onderzoek met patiënten die lijden aan een bijzondere ziekte en die deelnemen aan onderzoek naar de ontwikkeling van nieuwe medicijnen tegen die ziekte of sociaalwetenschappelijk onderzoek met deelnemers in achterstandswijken, vreemdelingen of andere kwetsbare groepen mensen.

Weliswaar kan in dit soort gevallen het criterium onder c van artikel 24 UAVG zo worden gelezen dat, in geval sprake is van een machtsverhouding tussen de deelnemer en de onderzoeksinstelling, toestemming vragen onmogelijk blijkt en dat dan de weg openstaat om artikel 24 UAVG als grondslag te gebruiken voor de verwerking van bijzondere persoonsgegevens. Het is immers niet duidelijk of met de bewoording ‘het vragen van uitdrukkelijk toestemming onmogelijk blijkt’ alleen wordt bedoeld dat het daadwerkelijk uitvoeren van het vragen van toestemming onmogelijk blijkt, of dat het vragen van toestemming in juridische zin onmogelijk blijkt, omdat niet aan alle  voorwaarden in de AVG voor rechtmatige toestemming (vrijelijk gegeven) kan worden voldaan. Ervan uitgaande dat de wetgever deze laatste ruime interpretatie toestaat, dan nog levert artikel 24, onderdeel c UAVG, problemen op in onderzoekssituaties waarbij aan alle voorwaarden die de AVG stelt aan toestemming kan worden voldaan. Artikel 24 UAVG lijkt dan immers te verplichten dat uitdrukkelijke toestemming de grondslag voor de verwerking van bijzondere persoonsgegevens moet zijn. Het ECGB heeft herhaaldelijk aangegeven dat krachtens de AVG, indien toestemming wordt gebruikt als de wettelijke basis voor de verwerking van persoonsgegevens, personen die toestemming te allen tijde moeten kunnen intrekken (artikel 7, lid 3 AVG) en dat op deze vereiste geen uitzondering bestaat voor wetenschappelijk onderzoek.[12] In de regel geldt dat het intrekken van de geïnformeerde toestemming geen afbreuk doet aan de rechtmatigheid van de overeenkomstig de AVG verleende toestemming (artikel 7, lid 3 AVG); de verwerkingsverantwoordelijke dient de betrokken verwerkingsactiviteiten echter te stoppen en indien er geen andere wettelijke basis voor bewaring met het oog op verdere verwerking is, moeten de gegevens door de verwerkingsverantwoordelijke worden gewist (zie artikel 17, lid 1, onder b, en lid 3, AVG).[13, 14, 15] Nu volgens het ECGB bij intrekking van de toestemming de verdere verwerking moet worden gestaakt en de gegevens moeten worden gewist indien er geen andere wettelijke basis daarvoor is, kan dit tot problemen leiden voor de goede uitvoering van wetenschappelijk onderzoek. De verplichte staking en mogelijke wissen van onderzoeksgegevens kan grote gevolgen voor de bruikbaarheid van de onderzoeksgegevens en de doorlooptijd van het onderzoek hebben. Het kan zelfs zo ver gaan dat het onderzoek opnieuw moet worden uitgevoerd waardoor onderzoeksresultaten langer op zich laten wachten omdat door de intrekking van de toestemming de onderzoeksgegevens niet meer voldoende representatief zijn om daarop conclusies te kunnen trekken. Deze potentiële consequenties bemoeilijken het vragen van expliciete toestemming in de onderzoekspraktijk en zouden doorslaggevende redenen moeten zijn om de verwerking van bijzondere persoonsgegevens voor wetenschappelijke onderzoeksdoeleinden niet primair afhankelijk te laten zijn van de toestemming van de onderzoekdeelnemer zodat onderdeel c van artikel 24 UAVG zou moeten komen te vervallen. Overigens moet daarbij worden opgemerkt dat ook na het laten vervallen van dit onderdeel in artikel 24 UAVG het nog steeds mogelijk blijft om op basis van expliciete toestemming in onderzoekssituaties persoonsgegevens te verwerken indien er echt geen andere grondslag kan worden gevonden voor de onderzoeksinstelling. Deze mogelijkheid blijft immers intact op basis van artikel 9, tweede lid, onder a AVG.

2 Wat zijn alternatieve grondslagen voor het verwerken van persoonsgegevens in wetenschappelijk onderzoek?

Het ECGB geeft aan dat als alternatief voor toestemming van de betrokkene, de rechtsgronden voor de verwerking van persoonsgegevens uit hoofde van artikel 6, eerste lid, onder e (taak van algemeen belang) of f (gerechtvaardigd belang) van de AVG geschikter zijn.[16, 17] De grondslag taak van algemeen belang kan worden gebruikt wanneer de uitvoering van de onderzoeksactiviteiten rechtstreeks valt onder het mandaat, de opdracht en de taken die een openbare of particuliere onderzoeksinstantie heeft op basis van de Nederlandse wetgeving. Deze grondslag kan worden gebruikt door universiteiten of publieke onderzoeksinstellingen zoals TNO. Voor alle andere gevallen kan volgens het ECGB de grondslag worden gevonden in het gerechtvaardigd belang van de onderzoeksinstelling.[18] Wanneer van deze grondslagen gebruik wordt gemaakt, betekent dit uiteraard ook dat onderzoekdeelnemers dan geen gebruik meer kunnen maken van hun recht om toestemming in te trekken. Deelnemers worden hierdoor echter niet in hun rechten benadeeld. Ook wanneer niet op basis van expliciete toestemming bijzondere persoonsgegevens worden verwerkt in het kader van wetenschappelijk onderzoek is er nog steeds sprake van afdoende gegevensbescherming doordat de onderzoeksinstelling in beginsel nog steeds mensen over de verwerking van hun gegevens moet informeren[19] en hen daarbij moet wijzen op hun privacy rechten waaronder het recht om bezwaar te maken tegen de verwerking van hun gegevens.

Voor het gebruik van bijzondere persoonsgegevens dient volgens het ECGB gebruik te worden gemaakt van artikel 9, tweede lid, onder j AVG hetgeen nader uitgewerkt moet zijn in nationale wetgeving. Wanneer we echter deze redenering van het ECGB volgen, dan zou de huidige Nederlandse uitwerking van die bepaling in artikel 24 UAVG nog steeds geen uitkomst bieden omdat in dat artikel als voorwaarde wordt gesteld dat pas van de uitzondering die artikel 9, tweede lid, onder j AVG biedt gebruik kan worden gemaakt wanneer het vragen van uitdrukkelijke toestemming onmogelijk blijkt of  een onevenredige inspanning vergt. Zo wordt de onderzoeker steeds weer eerst langs de grondslag toestemming geleid hetgeen niet wenselijk is. Zoals hiervoor aangegeven, gaat het er dus met name om dat expliciete toestemming door de Nederlandse wetgever niet meer als eerste optie moet worden gebruikt door het laten vervallen van onderdeel c van artikel 24 UAVG. Het laten vervallen van dit onderdeel betekent dan ook dat  de Nederlandse uitwerking van artikel 9, tweede lid, onderdeel j AVG in lijn wordt gebracht met de meest recente adviezen en richtsnoeren van het ECGB.[20]

Conclusie

Uit de verplichting in artikel 24, onderdeel c UAVG volgt dat onderzoeksinstellingen expliciete toestemming als eerste optie als grondslag moeten hanteren voor het verwerken van bijzondere persoonsgegevens in wetenschappelijk onderzoek. Pas wanneer het vragen van expliciete toestemming onmogelijk blijkt of een onevenredige inspanning vergt, kan pas van de uitzonderingsmogelijkheid van artikel 9, tweede lid, onder j AVG gebruik worden gemaakt in Nederland. De verplichting om eerst te onderzoeken of toestemming gevraagd kan worden, levert complicaties op wanneer onvoldoende zeker is of aan de voorwaarden die de AVG stelt aan toestemming kan worden voldaan. Deze complicaties kunnen zich voordoen wanneer met kwetsbare groepen wordt gewerkt waardoor niet aan het vereiste van vrijelijk gegeven toestemming kan worden voldaan. Daarnaast levert het recht van onderzoekdeelnemers om hun toestemming in te trekken complicaties op voor de voortgang van het onderzoek omdat de persoonsgegevens dan niet meer verder mogen worden verwerkt en moeten worden gewist. Intrekking van toestemming kan daardoor nadelige gevolgen hebben voor de bruikbaarheid van onderzoeksgegevens, onderzoeksresultaten en de doorlooptijden van wetenschappelijk onderzoek.

Uit bovenstaand betoog volgt dat het ECGB in diverse adviezen en richtsnoeren te kennen heeft gegeven dat toestemming niet de meest geschikte grondslag is voor de verwerking van bijzondere persoonsgegevens in wetenschappelijk onderzoek. Het ECGB geeft bruikbare alternatieve grondslagen om de verwerking van persoonsgegevens in het kader van wetenschappelijk onderzoek op te baseren, te weten taak van algemeen belang of gerechtvaardigd belang. Voor de verwerking van bijzondere persoonsgegevens kan volgens het ECGB de uitzondering voor wetenschappelijk onderzoek worden gebruikt zoals vervat in artikel 9, tweede lid, onderdeel j AVG dat nader uitgewerkt moet zijn in nationale wetgeving. Om deze door het ECGB aandragen oplossing ook in Nederland effectief toe te kunnen passen, zonder belemmerd te worden door de voorwaarde van toestemming in onderdeel c van artikel 24, is het noodzakelijk om dit onderdeel te laten vervallen. Deze voorwaarde belet onderzoeksinstellingen namelijk ervan om in lijn met de hiervoor genoemde adviezen en richtsnoeren van het ECGB gebruik te maken van de uitzondering die artikel 9, tweede lid, onderdeel j AVG onderzoeksinstellingen biedt.

Eindnoten

1. De internetconsultatie voor de herziening van de Verzamelwet gegevensbescherming, zoals ze naar de UAVG verwijzen stond open tot 14 juli 2020.

2. In dit artikel wordt wetenschappelijk of historisch onderzoek of statistische doeleinden voor het gemak verder aangeduid met ‘wetenschappelijk onderzoek’.

3. Verordening (EU) nr. 536/2014 van het Europees Parlement en de Raad van 16 april 2014 betreffende klinische proeven met geneesmiddelen voor menselijk gebruik en tot intrekking van Richtlijn 2001/20/EG (PB L 158 van 27 mei 2014).

4. E1/E2. Model proefpersoneninformatie voor proefpersonen van 16 jaar en ouder (volwassenen), CCMO.nl.

5. Kamerstukken II 2017-2018, 34 851 nr. 3 (Memorie van Toelichting bij de UAVG), p. 50.

6. Advies 2/2019 over de vragen en antwoorden over de wisselwerking tussen de verordening betreffende klinische proeven (VKP) en de algemene verordening gegevensbescherming (AVG) (artikel 70, lid 1, onder b), vastgesteld op 23 januari 2019. 

7. Guidelines 05-2020 on consent under Regulation 2016/679, EDPB.europa.eu.

8. Richtsnoeren 3/2020 inzake de verwerking van gezondheidsgegevens voor wetenschappelijk onderzoek in het kader van de Covid-19-uitbraak, EDPB.europa.eu.

9. World Medical Association, Declaration of Helsinki – Ethical principles for medical research involving human subjects , WMA.net.

10. Zie Advies 2/2019 van het ECGB, paragraaf 16.

11. Zie Advies 2/2019 van het ECGB, paragraaf 20.

12. Zie o.a. Richtsnoeren van de Groep artikel 29 inzake toestemming overeenkomstig Verordening 2016/679, 28 november 2017, WP259, p.35.

13. Zie Advies 2/2019 van het ECGB inzake VKB, paragraaf 23.

14. Zie Guidelines 05/2020 inzake consent, paragraaf 163.

15. Zie Richtsnoeren 3/2020 inzake Covid-19, paragraaf 22.

16. Zie Advies 2/2019 van het ECGB inzake VKB, paragraaf 25.

17. Zie Guidelines 05/2020 inzake consent, paragraaf 154.

18. Zie voetnoten 15 en 16.

19. Overigens biedt artikel 14, lid 5, onderdeel b AVG onderzoeksinstellingen een uitzonderingsgrond voor de informatieverplichting indien de gegevens niet direct bij onderzoekdeelnemers worden verzameld en wanneer aan bepaalde voorwaarden wordt voldaan.

20. Gerefereerd wordt aan de adviezen en richtsnoeren genoemd in voetnoten 5, 6 en 7.

Titel, auteur en bron

Titel

Herziening van de UAVG

Auteur(s)

Remy van den Boom

Bron

OpenRecht, 12 augustus 2020, JCDI:ALT556:1

Permanente link

Huidige versie

https://www.openrecht.nl?jcdi=JCDI:ALT556:1