Sinds de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) op 25 mei 2018, geldt in principe een uniform kader voor de verwerking van persoonsgegevens in de EU. Toch bestaan er aanzienlijke verschillen in interpretatie, vooral wanneer het gaat om het verwerken van gezondheidsgegevens voor wetenschappelijk onderzoek. De centrale vraag luidt: is daarvoor toestemming van de betrokkene vereist?

Uitzondering op het verbod

Artikel 9.1 AVG verbiedt in principe de verwerking van gezondheidsgegevens. Artikel 9.2 voorziet echter in uitzonderingen. Twee daarvan zijn relevant voor wetenschappelijk onderzoek:

• Artikel 9.2.a: de verwerking gebeurt met de uitdrukkelijke toestemming van de betrokkene.

• Artikel 9.2.j: de verwerking is noodzakelijk voor wetenschappelijk onderzoek, mits voldaan is aan de waarborgen van artikel 89 AVG (zoals minimale gegevensverwerking, bescherming van grondrechten, enz.).

In theorie biedt artikel 9.2.j AVG dus een zelfstandige rechtsgrond om gezondheidsgegevens te verwerken voor wetenschappelijk onderzoek, zonder dat toestemming vereist is — op voorwaarde dat de gegevens zoveel mogelijk geanonimiseerd of gepseudonimiseerd worden, en dat de verwerking evenredig is met het beoogde doel.

Ruimte voor nationale interpretatie

De AVG laat open wanneer en hoe gegevens voldoende gepseudonimiseerd of geanonimiseerd zijn, en wie dat evalueert. Deze leemte leidt ertoe dat lidstaten hierop eigen invulling geven. In Europa tekenen zich daarbij twee strekkingen af:

• Strekking zonder toestemmingsvereiste: o.a. België en het Verenigd Koninkrijk nemen het standpunt in dat toestemming niet vereist is voor gegevensverwerking, zolang voldaan is aan artikel 9.2.j en de bijkomende nationale vereisten (zoals die opgenomen in de Belgische wet van 30 juli 2018). De beoordeling van proportionaliteit en noodzaak ligt bij de verwerkingsverantwoordelijke, in overeenstemming met het verantwoordingsbeginsel van de AVG.

• Strekking met toestemmingsvereiste: o.a. Nederland, Frankrijk, Duitsland en Italië menen dat toestemming toch vereist is voor de verwerking van gezondheidsgegevens in het kader van wetenschappelijk onderzoek.

Belgisch standpunt: toestemming is niet alleen overbodig, maar zelfs riskant

In België wordt het gebruik van toestemming als rechtsgrond voor gegevensverwerking in dit kader niet alleen als overbodig beschouwd, maar zelfs actief afgeraden. De reden is dat een geldige toestemming volgens de AVG vrijelijk gegeven moet zijn (artikel 7 AVG, overwegingen 42 en 43). Bij deelname aan wetenschappelijk onderzoek is dit vaak niet het geval:

• De toestemming is doorgaans onlosmakelijk verbonden met de deelname zelf, wat de vrije keuze ondergraaft.

• Er bestaat meestal een afhankelijkheidsrelatie tussen patiënt en onderzoeker of instelling, wat het vrijwillige karakter bijkomend in vraag stelt.

Volgens dit standpunt is een op toestemming gebaseerde gegevensverwerking dus risicovol: als de toestemming nadien als ongeldig wordt beschouwd, verliest men ook de rechtsgrond voor de gegevensverwerking, wat ernstige gevolgen kan hebben voor het onderzoek.

Tot slot

Het Belgisch kader, gesteund door de nationale wetgeving en het advies 3/2019 van het Europees Comité voor Gegevensbescherming, vertrekt dus van de hypothese dat toestemming voor de verwerking van gezondheidsgegevens voor wetenschappelijk onderzoek niet vereist is — én dat het vragen ervan zelfs juridische risico’s inhoudt.

Noot: dit neemt niet weg dat voor de deelname aan het onderzoek wél toestemming vereist blijft. Die toestemming is vereist op grond van o.a. de wet van 7 mei 2004 (experimenten op de menselijke persoon) en de wet van 7 mei 2017 (klinische proeven).

Het artikel van Vijverman bevat zowel een Nederlandstalige als Franstalige versie en bespreekt in detail de interpretatie van artikel 9 AVG in combinatie met artikel 89 AVG, alsook de uiteenlopende standpunten binnen de Europese Unie, met bijzondere aandacht voor het Belgisch wettelijk kader (Wet van 30 juli 2018, BS 5 september 2018) en het advies 3/2019 van het Europees Comité voor Gegevensbescherming (EDPB).