Algemene verordening gegevensbescherming (AVG)

Om welk type gegevens gaat het in de AVG?

De AVG gaat over ‘persoonsgegevens’. Alle gegevens die tot een persoon herleidbaar zijn, vallen in de categorie persoonsgegevens. Gecodeerde of gepseudonimiseerde persoonsgegevens zijn ook persoonsgegevens en vallen onder de AVG. Pas als persoonsgegevens volledig geanonimiseerd en dus niet (meer) herleidbaar zijn tot een persoon, dan is de AVG niet van toepassing. Aan ‘anonimisering’ worden hoge eisen gesteld. Meer informatie daarover is beschikbaar bij de Autoriteit Persoonsgegevens. 

Moeten proefpersonen opnieuw toestemming geven voor verwerking van hun persoonsgegevens in het onderzoek?

Nee. Ook nu wordt bij WMO-plichtig onderzoek al expliciete toestemming van de proefpersonen gevraagd voor de verwerking van hun persoonsgegevens in het kader van het onderzoek. Dit gebeurt op basis van een daarop afgestemde tekst in de PIF en de toestemmingsverklaring. Dit staat los van de toestemming voor deelname aan het WMO-plichtige onderzoek zelf. De toestemming voor de verwerking van persoonsgegevens moet uitdrukkelijk zijn gevraagd en dus niet zijn ‘afgeleid’ uit de toestemming voor deelname aan het WMO-plichtig onderzoek. De kwaliteit van de huidige verkregen toestemmingen is zodanig dat die voldoet aan de vereisten van de AVG. Het is dus niet nodig om proefpersonen die deelnemen of hebben deelgenomen aan (goedgekeurd) WMO-plichtig onderzoek opnieuw toestemming te vragen voor de verwerking van hun persoonsgegevens (een zogeheten ‘re-consent’).

Is de informatie over de verwerking van persoonsgegevens in de PIF aangepast?

Ja. In de voorgaande model-PIF stond al informatie over hoe persoonsgegevens in het onderzoek worden verwerkt. Vanwege de AVG is het noodzakelijk dat die informatie wordt aangescherpt en verduidelijkt. Daarnaast is aanvulling van de te verstrekken informatie met contactgegevens van de ‘verwerkingsverantwoordelijke’, contactgegevens van de ‘functionaris voor de gegevensbescherming’ en een verwijzing naar een vindplaats voor informatie over de ‘rechten van betrokkenen’ noodzakelijk. Deze aanvullingen zijn verwerkt in de huidige model-PIF. Zie ook de toelichting.

Op welke manier moeten proefpersonen worden geïnformeerd over hun nieuwe privacyrechten?

In de AVG is geregeld dat betrokkenen bij de verwerking van hun persoonsgegevens meer rechten krijgen dan voorheen, en dat betrokkenen daarover adequaat geïnformeerd moeten worden. Het heeft geen toegevoegde waarde om deze rechten op algemene wijze in de PIF te beschrijven of middels een bijlage aan de PIF te voegen. In de huidige model-PIF wordt daarom alleen verwezen naar betrouwbare informatie over dit aspect op de website van de Autoriteit Persoonsgegevens. Zie ook de toelichting.

Moet er voor proefpersonen die op of na 25 mei 2018 in een lopende studie worden geïncludeerd een aangepaste PIF worden gemaakt?

Nee. Bij een PIF die is goedgekeurd door een erkende METC voordat de AVG van toepassing werd, gaat de CCMO ervan uit dat die versie voldoet aan de AVG. Die versie kan dus ook worden gebruikt voor nog nieuw te includeren proefpersonen. Wel is het van belang om alle proefpersonen op gepaste wijze te voorzien van de vereiste aanvullende informatie (contactgegevens verwerkingsverantwoordelijke en functionaris gegevensbescherming, en vindplaats nadere informatie over ‘rechten van betrokkene’). Die ‘gepaste wijze’ kan zijn dat de proefpersonen bij contactmomenten worden geattendeerd op de vindplaats van dergelijke informatie en – desgewenst – dergelijke informatie ook op schrift ontvangen. Het verdient aanbeveling om te documenteren hoe en wanneer deze aanvullende informatie aan de proefpersonen is verstrekt. De wijze waarop de aanvullende informatie wordt verstrekt hoeft niet als amendement of notificatie aan de METC te worden voorgelegd.

Hoe moeten deelnemers aan lopend of afgesloten WMO-plichtig onderzoek worden geïnformeerd over hun nieuwe privacyrechten?

De PIF’s die voor lopend en afgesloten onderzoek zijn gehanteerd schieten mogelijkerwijs tekort op het punt van informatieverstrekking zoals vereist door de AVG. Dit betreft met name de informatie over de verwerkingsverantwoordelijke, de functionaris gegevensbescherming en de ‘rechten van betrokkenen’. Het is van belang om bij het alsnog informeren van (ex-) deelnemers over die punten, te kiezen voor een op de behoefte van de proefpersonen toegesneden vorm en middel en – waar mogelijk – aan te sluiten bij algemene informatiecampagnes over rechten onder de AVG. Vooralsnog is de CCMO geen voorstander van het individueel schriftelijk benaderen van die deelnemers met aanvullende informatie op dat punt. Naar onze inschatting zou ook met een combinatie van een algemene voorlichtingscampagne over de AVG en aangepaste informatie op websites van bij WMO-plichtig onderzoek betrokken partijen (instellingen en farmaceutische bedrijven) het gewenste resultaat kunnen worden bereikt.

Wat betekent de AVG voor gebruik van gegevens voor toekomstig onderzoek?

De AVG eist dat toestemming voor verwerking van persoonsgegevens (voldoende) specifiek is. Omdat op het moment waarop toestemming wordt gevraagd voor gebruik van persoonsgegevens voor toekomstig onderzoek veelal nog niet (voldoende) specifiek is wat dat toekomstige onderzoek inhoudt, kan er dan een probleem rijzen bij het verkrijgen van rechtsgeldige specifieke toestemming. Bij de totstandkoming van de AVG is dit onderkend als probleem en is aangegeven dat een rechtsgeldige toestemming voor ‘hergebruik’ van persoonsgegevens kan worden verleend, mits dat hergebruik voldoende afgebakend wordt. Dit kan bijvoorbeeld door afbakening van het onderzoeksgebied (bijvoorbeeld een specifieke aandoening en/of een specifieke behandelwijze) waarvoor de persoonsgegevens ‘hergebruikt’ mogen worden. In situaties waarin hergebruik van de persoonsgegevens buiten die afbakening valt, zal ofwel opnieuw toestemming moeten worden gevraagd, ofwel een beroep moeten worden gedaan op de uitzonderingsbepaling voor gebruik van persoonsgegevens voor wetenschappelijk onderzoek zonder toestemming van betrokkene.

Wanneer dient een verwerkingsovereenkomst te worden afgesloten?

Een verwerkingsovereenkomst is noodzakelijk als een ‘verantwoordelijke voor de gegevensverwerking’ de verwerking van persoonsgegevens (deels) opdraagt aan een andere partij. De opdracht moet dan specifiek betrekking hebben op de verwerking van persoonsgegevens en niet zien op andere activiteiten.
Een verwerkingsovereenkomst is bijvoorbeeld niet noodzakelijk als door een onderzoeker een extern laboratorium wordt ingeschakeld voor het doen van analyses op lichaamsmateriaal. Dan moeten bij het verlenen van de opdracht aan dat externe laboratorium wel afspraken worden gemaakt over de vertrouwelijke omgang met uit die analyses verkregen persoonsgegevens, maar hoeft niet te worden voldaan aan (alle) eisen die de AVG stelt aan een verwerkingsovereenkomst.
Bij WMO-plichtig onderzoek in opdracht van bijvoorbeeld een farmaceutisch bedrijf is de relatie tussen die opdrachtgever en de deelnemende centra er een van gezamenlijke verantwoordelijkheid, ook voor de verwerking van persoonsgegevens. Dat betekent wel dat er onderling afspraken moeten worden gemaakt over de wijze waarop persoonsgegevens worden verwerkt en de vertrouwelijkheid gewaarborgd wordt, maar dat dit geen verwerkingsovereenkomst hoeft te zijn die aan alle vereisten van de AVG moet voldoen. Momenteel buigt de werkgroep Clinical Trial Agreement (CTA) van de Dutch Clinical Trial Foundation (DCRF) zich over de aanpassingen die ter zake in het onderzoekscontract tussen opdrachtgever en deelnemend centrum moeten worden opgenomen.

Waar kan ik meer (algemene) informatie vinden over de AVG?

Meer (algemene) informatie over de AVG is beschikbaar op de website van de Autoriteit Persoonsgegevens.

De CCMO tekent bij bovenstaande aan dat zowel de aangepaste tekst van de PIF over de gegevensverwerking als de inzichten en overwegingen van de CCMO gebaseerd zijn op de op dit moment beschikbare informatie over de (interpretatie van de) AVG en de (vooralsnog schaarse) informatie over de interactie tussen de AVG en de wet- en regelgeving voor WMO-plichtig onderzoek. Dit betekent dat de CCMO niet kan uitsluiten dat de informatie die zij nu beschikbaar stelt op een later moment alsnog aangepast dient te worden. Als dat het geval is zal de CCMO dit alsnog actief onder de aandacht van belanghebbenden brengen.