TOELICHTING
PALGA Portal en de AVG
Met dit bericht willen we u informeren over de implicaties van de invoering van de AVG voor de PALGA Portal en het gebruik van pathologie data en materiaal voor wetenschappelijk onderzoek.
Wat is de AVG/GDPR?
Per 25 mei 2018 is de Algemene verordening gegevensbescherming (AVG, aka GDPR) van toepassing. De AVG is een Europese wet bedoeld om onze privacy te beschermen en schrijft voor hoe organisaties met persoonsgegevens om moeten gaan. Met de komst van de AVG vervalt de (Nederlandse) Wet bescherming persoonsgegevens (Wbp). De wet is in principe bedoeld voor alle organisaties die persoonsgegevens verwerken. Echter, zowel in de AVG als in de Nederlands uitvoeringswet (uAVG) staat een aantal uitzonderingen voor verwerkingen ten behoeve van wetenschappelijk onderzoek.
Wat verandert niet?
Er zijn belangrijke inhoudelijke overeenkomsten tussen de AVG en de huidige Wet Bescherming Persoonsgegevens. De beginselen van en rechtsgrondslagen voor de verwerking van persoonsgegevens zijn op hoofdlijnen hetzelfde gebleven. Dat geldt ook voor de werkingssfeer en de belangrijkste definities zoals de definitie van “verwerking” en “persoonsgegevens”. Voorts was de meldplicht datalekken in Nederland al geregeld of betreft het codificatie van jurisprudentie of al bestaande vaste interpretaties van het Europees gegevensbeschermingsrecht. Als het goed is, zijn organisaties op al die punten dan ook al compliant met de AVG. Aan veel van de bepalingen onder de AVG moet al voldaan worden krachtens de code Goed Gebruik, de WGBO en de ISO en NEN keurmerken.
Verandert de AVG de huidige regeling voor onderzoek op klinisch verkregen materiaal en data?
Nee. Zoals al aangestipt kennen de AVG en de uAVG een aantal uitzonderingen voor wetenschappelijk onderzoek die in essentie het zelfde zijn als die onder de huidige regeling (zie onder Toelichting). De wetgever heeft op dit punt expliciet gesteld dat de huidige regeling (in de WGBO) voor het gebruik van gegevens die zijn vergaard in het kader van een geneeskundige behandelingsovereenkomst voor wetenschappelijk onderzoek door de AVG geen afbreuk wordt gedaan. Als ‘lex specialis’ behoudt deze regeling onverkort zijn gelding. Dat geldt zowel voor de gegevens uit het medisch dossier als voor afgenomen lichaamsmateriaal. Dit betekent o.a. dat pathologie data en materiaal, vergaard i.k.v. diagnostiek, voor wetenschappelijk onderzoek gebruikt mogen worden zonder expliciete informed consent. Ook betekent het dat T-nummers met onderzoekers gedeeld mogen worden.
Toelichting: Onder de huidige regeling staan voor wetenschappelijke of statistische doeleinden twee wegen open. In de eerste plaats is verwerking van persoonsgegevens mogelijk op grond van uitdrukkelijke toestemming van de betrokkene. In de tweede plaats kunnen gegevens uit het medisch dossier aan een derde-onderzoeker worden verstrekt indien:
- het vragen van toestemming in redelijkheid niet mogelijk is en met betrekking tot de uitvoering van het onderzoek is voorzien in zodanige waarborgen, dat de persoonlijke levenssfeer van de patiënt niet onevenredig wordt geschaad, of
- het vragen van toestemming, gelet op de aard en het doel van het onderzoek, in redelijkheid niet kan worden verlangd en de hulpverlener zorg heeft gedragen dat de gegevens in zodanige vorm worden verstrekt dat herleiding tot individuele natuurlijke personen redelijkerwijs wordt voorkomen.
Daarbij is vereist dat het onderzoek een algemeen belang dient, niet zonder de desbetreffende gegevens kan worden uitgevoerd, en de betrokken patiënt tegen een verstrekking niet uitdrukkelijk bezwaar heeft gemaakt. Van een verstrekking moet aantekening worden gehouden in het dossier.
Wat verandert er wel?
Zowel onder de oude privacywet, als de code Goed Gebruik, de WGBO en de AVG was/is het vereist voor organisaties dat die transparant zijn over wat er gebeurt met persoonsgegevens en wie die gegevens verwerkt. Een belangrijk verschil is dat organisaties onder de AVG verplicht zijn hun naleving van de de AVG te kunnen aantonen (documentatieplicht). Het toezicht hierop wordt verscherpt. Dat betekent onder meer dat organisaties in een register onder meer moeten registreren welke gegevens ze verwerken, voor welk doel en wie waarvoor verantwoordelijk is. Pathologielaboratoria moeten dus kunnen laten zien met welke (categorieën van) ontvangers ze pathologie data gedeeld hebben en aan welke (categorieën van) ontvangers ze blokken uitgeleend hebben. Wanneer aanvragen via de PALGA Portal geadministreerd en afgehandeld worden, is dat een goed hulpmiddel om aan deze verplichting te voldoen.
En verder?
Organisaties zijn zelf verantwoordelijk voor hun naleving van de AVG. PALGA en de PALGA Portal hebben hun compliance gechecked en zijn AVG compliant. De verwachting is dat, ook na 25 mei, het nog tijd zal vergen voordat de precieze implicaties van de AVG zijn uitgekristalliseerd.
Meer informatie:
Prof. Folkert van Kemenade, WP4-BBMRI 2.0 project (palga portal)
Prof. Wim Timens, bestuurslid NVVP en lid Raad Wetenschap en Innovatie FMS
Zie ook de informatiebrief van PALGA dd 19 april
En de informatie op de ELSI service desk (ook in nieuwsbrief van 4-5-18)
