Het merkwaardige geval van toestemming in wetenschappelijk onderzoek: het verzoenen van GDPR-principes met nieuwe modellen voor data governance (Timelex)

Auteurs: Magdalena Kogut en Vaisakh Shaji (Timelex)

Het merkwaardige geval van toestemming in wetenschappelijk onderzoek: het verzoenen van GDPR-principes met nieuwe modellen voor data governance

Toestemming wordt traditioneel beschouwd als zowel een ethische waarborg als een wettelijke vereiste voor de verwerking van gezondheidsgegevens in wetenschappelijk onderzoek. Hoewel het verkrijgen van toestemming van de betrokkenen relatief eenvoudig is binnen een enkel onderzoeksproject, uitgevoerd door één instelling, betekent de toenemende aandacht in wetenschappelijk onderzoek voor artificiële intelligentie (AI) dat gezondheidsgegevens steeds vaker moeten worden gedeeld tussen instellingen over de grenzen heen, gebundeld worden voor onderzoek in het algemeen belang en gecombineerd worden met andere datasets voor de ontwikkeling van nieuwe AI-oplossingen. Deze ontwikkelingen beloven een betere diagnose, behandeling en voorspelling van ziekten. Ter bevordering van deze doelstellingen en voortbouwend op de EU-datastrategie, streven zowel de Data Governance Act (DGA) als de European Health Data Space (EHDS) ernaar de mogelijkheden voor het delen van gegevens uit te breiden, terwijl de basisprincipes voor de verwerking van persoonsgegevens zoals vastgelegd in de Algemene Verordening Gegevensbescherming (AVG) blijven worden nageleefd.

Deze nieuwe kaders stellen de traditionele rol van toestemming ter discussie en roepen belangrijke vragen op:

• Wanneer is toestemming vereist?
• Wanneer kunnen gegevens zonder toestemming worden hergebruikt voor onderzoek?
• Hoe verhouden begrippen als data-altruïsme (in de DGA) of secundair gebruik van gegevens (in de EHDS) zich tot de AVG?
• Welke verbeteringen zijn nodig om deze kaders coherent en werkbaar te maken?

Deze blog onderzoekt de veranderende rol van toestemming in de AVG, EHDS en DGA, identificeert spanningsvelden en suggereert mogelijkheden voor verduidelijking van de regelgeving.

Toestemming onder de AVG: specifiek, geïnformeerd en doelgebonden

Onder de AVG is toestemming een van de verschillende rechtsgrondslagen voor de verwerking van persoonsgegevens, die vaak wordt ingeroepen in onderzoeksprojecten waarvoor het gebruik van bijzondere categorieën persoonsgegevens vereist is. Toestemming moet aan de volgende vereisten voldoen:

• Vrij gegeven;
• Specifiek;
• Geïnformeerd;
• Ondubbelzinnig;
• En expliciet (in het geval van bijzondere categorieën persoonsgegevens, zoals gezondheidsgegevens).

De toestemming volgens de AVG verschilt van ethische toestemming, die in klinische studies vaak wordt verkregen via een formulier voor geïnformeerde toestemming. Terwijl ethische toestemming gebaseerd is op de bescherming van de menselijke waardigheid en vrijwillige deelname van een natuurlijke persoon aan onderzoek, legitimeert de toestemming volgens de AVG de verwerking van gegevens. De AVG vereist over het algemeen een duidelijke specificatie van het doel, wat uitdagingen met zich meebrengt in wetenschappelijk onderzoek, waar toekomstige onderzoeksrichtingen en mogelijk hergebruik van eerder verzamelde gegevens vaak onbekend zijn.

Brede toestemming in wetenschappelijk onderzoek

Overweging 33 van de AVG verduidelijkt dat een meer algemene beschrijving van het doel gerechtvaardigd kan zijn in wetenschappelijk onderzoek. Dit heeft geleid tot het concept van “brede toestemming”, dat vaak wordt gebruikt in biobanking en longitudinale studies. Echter:

• Brede toestemming moet nog steeds een algemeen onderzoeksgebied definiëren;
• Het kan niet volledig openstaande, niet-gespecifieerde toekomstige gevallen rechtvaardigen. Specifieke fasen van een onderzoeksproject waarvan reeds bekend is dat ze zullen plaatsvinden, kunnen bij aanvang worden vermeld;
• Maatregelen om privacy te beschermen blijven gedurende de gehele onderzoekscyclus verplicht;
• Toekomstig gebruik van persoonsgegevens moet nog steeds zoveel mogelijk aan de deelnemers aan het onderzoek worden meegedeeld.

Vanwege deze beperkingen staat brede toestemming over het algemeen niet toe dat downstreamverwerkers (d.w.z. andere verwerkers dan de oorspronkelijke ontvanger van de gegevens) persoonsgegevens hergebruiken voor wetenschappelijk onderzoek dat niet duidelijk was voorzien toen de betrokkenen hun toestemming gaven. Bovendien kan de toestemming onder de AVG later door de betrokkenen worden ingetrokken, waardoor de verwerkers verplicht zijn de gegevens uit de onderzochte gegevenspool te verwijderen. Dit brengt de integriteit van het onderzoek in gevaar en kan de resultaten ervan beïnvloeden. Vanuit een breder perspectief is het gebruik van toestemming als basis voor de verwerking van gegevens in wetenschappelijk onderzoek arbeidsintensief, aangezien het de voortdurende opslag en het beheer van toestemmingsformulieren vereist. Het kan ook leiden tot vertekende datasets, aangezien personen die ervoor kiezen om toestemming te geven, mogelijk niet representatief zijn voor de bredere bevolking. Bovendien kunnen er vragen rijzen over de vraag of toestemming in alle omstandigheden werkelijk vrijwillig is.

Het EHDS en de verschuiving naar systematische toegang in plaats van toestemming

Toen het ontwerp van de EHDS werd gepubliceerd, was het oorspronkelijke doel om hergebruik van elektronische gezondheidsgegevens die voor gezondheidszorgdoeleinden waren verzameld, ook mogelijk te maken voor wetenschappelijk onderzoek (zogenaamd “secundair gebruik”) onder privacywaarborgen, maar zonder dat de patiënt toestemming mot geven. Tijdens de wetgevingsprocedure leidde dit oorspronkelijke voorstel tot veel discussie. In de definitieve versie van de EHDS, die in maart 2025 is gepubliceerd, blijkt uit de regels van hoofdstuk IV van de EHDS duidelijk dat er wel degelijk wordt afgestapt van toestemming voor secundaire gebruiksdoeleinden, in combinatie met de mogelijkheid voor patiënten om een opt-out te geven. De verordening schaft echter de bestaande AVG-vereisten voor de verwerking van elektronische gezondheidsgegevens niet af en vervangt deze evenmin. Zo blijven de transparantiebepalingen van artikel 14 van de AVG van toepassing en moeten patiënten, als betrokkenen, via privacyverklaringen of andere toegankelijke documentatie worden geïnformeerd over de verwerking van gegevens.

In het kader van secundair gebruik in het kader van de EHDS kunnen (en moeten) houders van gezondheidsgegevens toegang verlenen tot de elektronische gezondheidsgegevens waarover zij beschikken, wanneer instanties voor toegang tot gezondheidsgegevens daarom verzoeken overeenkomstig de bepalingen van de verordening. In die zin biedt de EHDS een juridische grondslag voor de wettelijke verplichting van de gegevenshouders om de gegevens te delen. De bedoeling van de EHDS is om te evolueren naar een op governance gebaseerd model waarin toezicht en technische waarborgen centraal staan.

Het sui generis recht op een opt-out

Om de individuele autonomie te behouden, introduceert de EHDS een apart opt-outmechanisme dat:

• natuurlijke personen in staat stelt om zonder opgave van redenen bezwaar te maken tegen secundair gebruik van hun elektronische gezondheidsgegevens;
• geen afweging door een verwerkingsverantwoordelijke vereist, en;
• beperkte uitzonderingen omvat die door de lidstaten zijn vastgesteld, zoals voor wetenschappelijk onderzoek om belangrijke redenen van algemeen belang, mits passende maatregelen worden genomen om de grondrechten van natuurlijke personen te beschermen.

Dit EHDS-mechanisme betekent een verschuiving van voorafgaande toestemming naar keuze achteraf. Het mag ook niet worden verward met het uitoefenen van het recht op bezwaar op grond van artikel 21 van de AVG. Met andere woorden, de gezondheidsgegevens van een EU-patiënt die zijn verzameld door het ziekenhuis waar hij is behandeld, kunnen en zullen worden hergebruikt voor onderzoek, tenzij de patiënt besluit af te zien van deelname en deze keuze kenbaar maakt zoals bepaald in zijn land.

De DGA en data-altruïsme

Om de zaken nog ingewikkelder te maken, stelt een ander EU-rechtsinstrument, de DGA, een kader vast voor data-altruïsme, waardoor individuen vrijwillig hun gegevens kunnen delen met Data Altruism Organisations (DAO’s) voor doelstellingen van algemeen belang, zoals:

• Volksgezondheid;
• Wetenschappelijk onderzoek;
• Klimaatactie;
• Overheidsbeleid.

In tegenstelling tot de EHDS is de DGA expliciet gebaseerd op GDPR-conforme toestemming voor de verwerking van persoonsgegevens door DAO’s. Op hun beurt moeten die DAO’s:

• Moeten non-profit en transparant zijn;
• Mogen alleen gegevens verwerken voor doeleinden van algemeen belang die in de toestemming zijn gespecificeerd;
• Moeten tools bieden waarmee toestemming kan worden gegeven en gemakkelijk kan worden ingetrokken;
• Ervoor zorgen dat gegevenshouders zowel de doeleinden als het governance model begrijpen.

De DGA vereist ook de opstelling van een Europees toestemmingsformulier voor data-altruïsme, met het oog op harmonisatie in de hele EU.

In het kader van de Digital Omnibus-voorstellen van de Europese Commissie om het digitale regelgevingskader coherenter te maken, zou de DGA echter worden opgenomen in de Data Act, met behoud van de kern van het altruïsme-kader: de verwerking van persoonsgegevens op basis van toestemming. De Commissie stelt met name voor om de huidige DGA-vereiste van een Europees toestemmingsformulier voor data-altruïsme te schrappen (een analyse van andere voorgestelde wijzigingen in de Digital Omnibus is hier beschikbaar). Aangezien de Digital Omnibus nog niet is aangenomen, blijft deze blog verwijzen naar de DGA in zijn huidige vorm.

Uitdagingen die voortvloeien uit de wisselwerking tussen DGA, EHDS en AVG Zowel de EDHS als de DGA zijn gebaseerd op de gegevensverwerkingsbeginselen van de AVG. De EHDS is echter een verticale, sectorspecifieke verordening, terwijl de DGA is ontworpen als horizontale wetgeving. Dit verschil leidt tot complexiteit, waaronder:

Algemeen belang van data-altruïsme: Hoewel data-altruïsme onder de DGA gebaseerd is op het begrip toestemming uit de AVG, is het doel van het verzamelen van gegevens door DAO het mogelijk maken van toekomstige, nog niet gespecificeerde onderzoeksprojecten. De uitdaging is dus om het doel zodanig te formuleren dat het toekomstige plannen omvat, hergebruik van gegevens door toekomstige gebruikers mogelijk maakt, die op het moment van het verkrijgen van toestemming nog niet bekend zijn, en ook trouw blijft aan de beginselen van toestemming uit de AVG.

Interactie met EHDS: De algemene vereisten voor data-altruïsme onder de DGA sluiten mogelijk niet aan bij het doel van EHDS en roepen praktische vragen op, zoals:

• Zou een DAO in aanmerking komen als houder van gezondheidsgegevens onder de EHDS, waardoor het delen van gegevens voor secundair gebruik op basis van een wettelijke verplichting in plaats van toestemming verplicht zou worden?
• Zou dit betekenen dat door de betrokkenen gedoneerde gegevens beschikbaar zouden kunnen worden gesteld voor elk secundair gebruik, zelfs als de toestemming bedoeld was voor bepaalde altruïstische doeleinden?

Een inconsistente toepassing van de DGA en de EHDS dreigt dan ook het vertrouwen in beide systemen te ondermijnen.

Complexiteit met betrekking tot de juridische status: Het is waarschijnlijk dat openbare instellingen, organisaties en non-profitorganisaties zouden kunnen trachten deel te nemen aan activiteiten op het gebied van data-altruïsme, parallel aan hun traditionele taken op het gebied van de gezondheidszorg. In dergelijke gevallen zou dit structurele gevolgen kunnen hebben, waardoor een opsplitsing van de taken nodig zou zijn om te voldoen aan de vastgestelde rechtsgrondslag, aangezien onder de AVG toestemming een van de rechtsgronden voor verwerking kan zijn, terwijl onder de DGA toestemming de expliciete grond is voor de verwerking van persoonsgegevens door DAO’s.

De weg vooruit

Elk rechtsstelsel benadert het hergebruik van gezondheidsgegevens op een andere manier: de AVG via doelbinding, de DGA via vrijwillige gegevensuitwisseling en modulaire toestemming en de EHDS via een door governance gestuurd model voor secundair gebruik met een sui generis opt-outrecht. Hoewel ze gemeenschappelijke doelstellingen hebben, werken ze volgens een verschillende logica, wat tot praktische en conceptuele spanningen leidt. Uit de nieuwe regelgevende kaders voor data governance op Europees niveau blijkt dat het in een complex, onderling verbonden onderzoeksecosysteem niet houdbaar is om uitsluitend op toestemming te vertrouwen als middel om de verwerking van gegevens voor gezondheidsonderzoek te legitimeren.

Om de AVG, het EHDS en de DGA te laten samenwerken, zijn transversale maatregelen nodig die aansluiten bij de ambitie van de EU om verantwoord hergebruik van gegevens te bevorderen. Het voorgestelde digitale omnibuspakket biedt een belangrijke kans om dit te bereiken. Voor de gezondheidszorgsector ligt het potentieel ervan in het verminderen van onduidelijkheid over toestemmingsvereisten, het harmoniseren van mechanismen voor hergebruik van gegevens, het verduidelijken van de werking van transparantie-, intrekkings- en opt-outrechten in parallelle regelingen, en het tot stand brengen van een meer samenhangende aanpak van data governance.

Bron: Timelex