Sinds 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing, waarmee in de hele Europese Unie de privacywetgeving gelijk is getrokken. Dit heeft ook gevolgen voor het verzamelen en verwerken van persoonsgegevens in medisch-wetenschappelijk onderzoek. Om hierover duidelijkheid te bieden volgt hierna een overzicht met vragen en antwoorden over de AVG in relatie tot medisch-wetenschappelijk onderzoek.

Wat is de Algemene Verordening Gegevensbescherming?
De Algemene Verordening Gegevensbescherming (AVG) is de nieuwe privacywetgeving voor de hele Europese Unie. De AVG is ook wel bekend onder de Engelse naam General Data Protection Regulation (GDPR). Onder de AVG worden privacyrechten versterkt en uitgebreid, krijgen organisaties meer verantwoordelijkheden in het verzamelen en verwerken van persoonsgegevens, en krijgen alle Europese privacytoezichthouders dezelfde bevoegdheden.

Vanaf wanneer geldt de AVG?
De AVG is op 24 mei 2016 in werking getreden en is sinds 25 mei 2018 van toepassing. Tijdens deze overgangsperiode gold alleen de Wbp. Sinds 25 mei 2018 geldt de Wbp niet meer en geldt alleen de AVG.

Om welk type gegevens gaat het in de AVG?
De AVG gaat over ‘persoonsgegevens’. Alle gegevens die tot een persoon herleidbaar zijn, vallen in de categorie persoonsgegevens. Daarbij wordt een strenger regime gehanteerd voor ‘bijzondere persoonsgegevens’, zoals persoonsgegevens over gezondheid. Gecodeerde of gepseudonimiseerde persoonsgegevens zijn ook persoonsgegevens en vallen onder de AVG. Pas als persoonsgegevens volledig geanonimiseerd en dus niet (meer) herleidbaar zijn tot een persoon, dan is de AVG niet van toepassing. Aan ‘anonimisering’ worden hoge eisen gesteld. Meer informatie daarover is beschikbaar bij de Autoriteit Persoonsgegevens.  

Moeten proefpersonen opnieuw toestemming geven voor hun deelname aan onderzoek?
Nee. Ook nu wordt bij WMO-plichtig onderzoek al expliciete toestemming van de proefpersonen gevraagd voor de verwerking van hun persoonsgegevens in het kader van het onderzoek. Dit gebeurt op basis van een daarop afgestemde tekst in de PIF en de toestemmingsverklaring. Dit staat los van de toestemming voor deelname aan het WMO-plichtige onderzoek zelf. De toestemming voor de verwerking van persoonsgegevens moet uitdrukkelijk zijn gevraagd en dus niet zijn ‘afgeleid’ uit de toestemming voor deelname aan het WMO-plichtig onderzoek. De kwaliteit van de huidige verkregen toestemmingen is zodanig dat die voldoet aan de vereisten van de AVG. Het is dus niet nodig om proefpersonen die deelnemen of hebben deelgenomen aan (goedgekeurd) WMO-plichtig onderzoek opnieuw toestemming te vragen voor de verwerking van hun persoonsgegevens (een zogeheten ‘re-consent’).

Wordt de informatie over verwerking van persoonsgegevens in de PIF aangepast?
Ja. In de huidige model-PIF staat al informatie over hoe persoonsgegevens in het onderzoek worden verwerkt. Vanwege de AVG is het noodzakelijk dat die informatie wordt aangescherpt en verduidelijkt. Daarnaast is aanvulling van de te verstrekken informatie met contactgegevens van de ‘verwerkingsverantwoordelijke’, contactgegevens van de ‘functionaris voor de gegevensbescherming’ en een verwijzing naar een vindplaats voor informatie over de ‘rechten van betrokkenen’ noodzakelijk. Deze aanvullingen zijn verwerkt in de aangepaste tekst.

Op welke manier moeten proefpersonen worden geïnformeerd over hun nieuwe privacyrechten?
In de AVG is geregeld dat betrokkenen bij de verwerking van hun persoonsgegevens meer rechten krijgen dan voorheen, en dat betrokkenen daarover adequaat geïnformeerd moeten worden. Het heeft geen toegevoegde waarde om deze rechten op algemene wijze in de PIF te beschrijven of middels een bijlage aan de PIF te voegen. In de aangepaste tekst wordt daarom alleen verwezen naar betrouwbare informatie over dit aspect op de website van de Autoriteit Persoonsgegevens.

Hoe moeten proefpersonen aan lopend of afgesloten WMO-plichtig onderzoek worden geïnformeerd over hun nieuwe privacyrechten?
De PIF’s die voor lopend en afgesloten onderzoek zijn gehanteerd schieten mogelijkerwijs tekort op het punt van informatieverstrekking zoals vereist door de AVG. Dit betreft met name de informatie over de verwerkingsverantwoordelijke, de functionaris gegevensbescherming en de ‘rechten van betrokkenen’. Het is van belang om bij het alsnog informeren van (ex-) deelnemers over die punten, te kiezen voor een op de behoefte van de proefpersonen toegesneden vorm en middel en – waar mogelijk – aan te sluiten bij algemene informatiecampagnes over rechten onder de AVG. Vooralsnog is de CCMO geen voorstander van het individueel schriftelijk benaderen van die deelnemers met aanvullende informatie op dat punt. Naar onze inschatting zou ook met een combinatie van een algemene voorlichtingscampagne over de AVG en aangepaste informatie op websites van bij WMO-plichtig onderzoek betrokken partijen (instellingen en farmaceutische bedrijven) het gewenste resultaat kunnen worden bereikt.

Wat betekent de AVG voor gebruik van gegevens voor toekomstig onderzoek?
De AVG eist dat toestemming voor verwerking van persoonsgegevens (voldoende) specifiek is. Omdat op het moment waarop toestemming wordt gevraagd voor gebruik van persoonsgegevens voor toekomstig onderzoek veelal nog niet (voldoende) specifiek is wat dat toekomstige onderzoek inhoudt, kan er dan een probleem rijzen bij het verkrijgen van rechtsgeldige specifieke toestemming. Bij de totstandkoming van de AVG is dit onderkend als probleem en is aangegeven dat een rechtsgeldige toestemming voor ‘hergebruik’ van persoonsgegevens kan worden verleend, mits dat hergebruik voldoende afgebakend wordt. Dit kan bijvoorbeeld door afbakening van het onderzoeksgebied (bijvoorbeeld een specifieke aandoening en/of een specifieke behandelwijze) waarvoor de persoonsgegevens ‘hergebruikt’ mogen worden. In situaties waarin hergebruik van de persoonsgegevens buiten die afbakening valt, zal ofwel opnieuw toestemming moeten worden gevraagd, ofwel een beroep moeten worden gedaan op de uitzonderingsbepaling voor gebruik van persoonsgegevens voor wetenschappelijk onderzoek zonder toestemming van betrokkene.

Wanneer dient een verwerkingsovereenkomst te worden afgesloten?
Een verwerkingsovereenkomst is noodzakelijk als een ‘verantwoordelijke voor de gegevensverwerking’ de verwerking van persoonsgegevens (deels) opdraagt aan een andere partij. De opdracht moet dan specifiek betrekking hebben op de verwerking van persoonsgegevens en niet zien op andere activiteiten.
Een verwerkingsovereenkomst is bijvoorbeeld niet noodzakelijk als door een onderzoeker een extern laboratorium wordt ingeschakeld voor het doen van analyses op lichaamsmateriaal. Dan moeten bij het verlenen van de opdracht aan dat externe laboratorium wel afspraken worden gemaakt over de vertrouwelijke omgang met uit die analyses verkregen persoonsgegevens, maar hoeft niet te worden voldaan aan (alle) eisen die de AVG stelt aan een verwerkingsovereenkomst.
Bij WMO-plichtig onderzoek in opdracht van bijvoorbeeld een farmaceutisch bedrijf is de relatie tussen die opdrachtgever en de deelnemende centra er een van gezamenlijke verantwoordelijkheid, ook voor de verwerking van persoonsgegevens. Dat betekent wel dat er onderling afspraken moeten worden gemaakt over de wijze waarop persoonsgegevens worden verwerkt en de vertrouwelijkheid gewaarborgd wordt, maar dat dit geen verwerkingsovereenkomst hoeft te zijn die aan alle vereisten van de AVG moet voldoen. Momenteel buigt de werkgroep Clinical Trial Agreement (CTA) van de Dutch Clinical Trial Foundation (DCRF) zich over de aanpassingen die ter zake in het onderzoekscontract tussen opdrachtgever en deelnemend centrum moeten worden opgenomen.

Waar kan ik meer (algemene) informatie vinden over de AVG?
Meer (algemene) informatie over de AVG is beschikbaar op de website van de Autoriteit Persoonsgegevens.

De CCMO tekent bij bovenstaande aan dat zowel de aangepaste tekst van de PIF over de gegevensverwerking als de inzichten en overwegingen van de CCMO gebaseerd zijn op de op dit moment beschikbare informatie over de (interpretatie van de) AVG en de (vooralsnog schaarse) informatie over de interactie tussen de AVG en de wet- en regelgeving voor WMO-plichtig onderzoek. Dit betekent dat de CCMO niet kan uitsluiten dat de informatie die zij nu beschikbaar stelt op een later moment alsnog aangepast dient te worden. Als dat het geval is zal de CCMO dit alsnog actief onder de aandacht van belanghebbenden brengen.