Privacywetgeving en wetenschappelijk onderzoek

Huisartsen krijgen met enige regelmaat van onderzoekers de vraag of ze de gegevens van hun patiënten ter beschikking willen stellen voor wetenschappelijk onderzoek. Het gaat daarbij veelal om onderzoek waaraan patiënten zelf geen actieve bijdrage hoeven te leveren, maar waarbij de onderzoekers gebruikmaken van persoonsgegevens die reeds zijn verzameld en in elektronische dossiers zijn opgeslagen. Voor huisartsen en onderzoekers is niet altijd duidelijk welke regels daarvoor precies gelden. Is het verzamelen en gebruiken van patiëntgegevens alleen mogelijk als de betreffende patiënten daarvoor expliciete toestemming hebben gegeven (‘opt-in’) of is dat ook mogelijk wanneer patiënten – voordat het onderzoek aanvangt – zijn gewezen op de mogelijkheid om daartegen bezwaar te maken (‘opt-out’)? Die onduidelijkheid lijkt door de in 2018 in werking getreden nieuwe Europese gegevensbeschermingswet in de vorm van de Algemene verordening gegevensbescherming (AVG) nog groter geworden.1

In deze bijdrage zetten wij de belangrijkste spelregels voor het ter beschikking stellen van patiëntgegevens voor wetenschappelijk onderzoek op een rijtje. Daarnaast laten we aan de hand van een voorbeeld van retrospectief onderzoek naar de verbetering van triage bij de klacht ‘pijn op de borst’ zien hoe deze regels in de praktijk uitpakken.

Juridisch kader

Om te beginnen is het van belang erop te wijzen dat het juridische kader voor de terbeschikkingstelling van patiëntgegevens voor wetenschappelijk onderzoek alleen van toepassing is als de betreffende gegevens ‘herleidbaar’ zijn in de zin van de hierna te bespreken wetgeving (die wetgeving is niet meer van toepassing als de gegevens onomkeerbaar zijn geanonimiseerd).2 Een tweede belangrijke kanttekening is dat het toepasselijke juridische kader niet alleen uit de AVG bestaat (zoals sommigen sinds de inwerkingtreding van de nieuwe Europese wet op het terrein van de gegevensbescherming denken), maar ook (nog steeds) uit nationale ‘sectorspecifieke’ wetgeving.3 In de medische sector betreft het de Wet op de geneeskundige behandelingsovereenkomst (WGBO), die deel uitmaakt van het Burgerlijk Wetboek (BW). Op het terrein van medisch-wetenschappelijk onderzoek met patiëntgegevens is ten slotte sprake van zelfregulering, in de vorm van de code Goed Gedrag van Federa/COREON). Deze gedragscode vertaalt de uitgangspunten en voorwaarden die uit de AVG en de WGBO voortvloeien in concrete, op de praktijk toegesneden spelregels (de code wordt momenteel herzien).4

De AVG

Een veelgehoorde zorg binnen de onderzoekswereld is dat de AVG de Nederlandse spelregels voor het gebruik van patiëntgegevens voor wetenschappelijk onderzoek aanzienlijk zou hebben aangescherpt. Dit is een misverstand. De AVG bevat – in grote lijnen – dezelfde principes en regels voor gegevensverwerking als de eerdere Europese richtlijn (over gegevensbescherming) uit 1995 en de daarop gebaseerde Wet bescherming persoonsgegevens (Wbp). Die wet is ingetrokken op het moment dat de AVG in werking trad. Verder laat de AVG nog steeds ruimte voor aanvullende sectorspecifieke wetgeving in de lidstaten, zoals de hierna te bespreken WGBO. Waarom wordt dan toch vaak gedacht dat de spelregels voor het gebruik van zorggegevens voor onderzoek door de AVG strenger zijn geworden?

Dit heeft vermoedelijk te maken met het feit dat het systeem van toezicht en handhaving aanzienlijk is verzwaard. Daardoor kunnen nationale toezichthouders bij niet-naleving of schending van de AVG, de Uitvoeringswet AVG en de sectorspecifieke wetgeving forse boetes opleggen aan ‘verwerkingsverantwoordelijken’, zoals ziekenhuizen en huisartsenpraktijken. Ook moeten deze verwerkingsverantwoordelijken op uitvoeriger wijze dan voorheen transparant zijn over hun gegevensverwerking via een documentatieplicht (een ‘verwerkingenregister’). Wanneer grote risico’s voor de bescherming van gegevens te verwachten zijn, hebben ze bovendien de plicht tot uitvoering van een ‘gegevensbeschermingseffectbeoordeling’ (een zogenaamde data protection impact assessment (DPIA)).5 Die laatste plicht is overigens zonder meer aan de orde bij de verwerking van gevoelige gegevens, zoals gezondheidsgegevens.

De WGBO

De WGBO bevat voor het gebruik van patiëntgegevens de belangrijkste regels. Die gegevens vallen onder het medisch beroepsgeheim en de WGBO bevat daarover – in aanvulling op de AVG – specifieke regels (te vinden in artikel 7:457 BW). Uit deze bepaling volgt dat expliciete toestemming van patiënten nodig is om hun gegevens ter beschikking te mogen stellen voor wetenschappelijk onderzoek. Op grond van artikel 7, lid 1 AVG moet de behandelaar schriftelijk of elektronisch kunnen aantonen dat die toestemming is gegeven (de toestemming zelf mag ook mondeling worden gegeven). De WGBO bepaalt echter ook via artikel 7:458 BW (dat niet ten gevolge van de AVG is komen te vervallen) dat behandelaars kunnen afwijken van het ‘toestemmingsvereiste’.610 Dit kan in de volgende twee situaties (zie [bijlage 1] voor de wettekst):

a. Het vragen van toestemming is ‘in redelijkheid niet mogelijk’, denk hierbij aan gevallen waarbij patiënten zijn overleden of onvindbaar zijn.7

b. Het vragen van toestemming kan ‘gelet op de aard en het doel van het onderzoek in redelijkheid niet worden verlangd’: het onderzoek betreft zulke grote aantallen patiënten dat redelijkerwijs niet van de behandelaars kan worden gevraagd dat inspanningen worden gedaan om alle betrokkenen te bereiken; of het vragen van toestemming zou, in uitzonderlijke omstandigheden, leiden tot een selectieve respons met vertekende onderzoeksresultaten als reëel gevolg.

De ruimte om af te wijken van het toestemmingsvereiste is gekoppeld aan vier – cumulatief geldende – voorwaarden:9

1. Het onderzoek dient een algemeen belang.
2. Het onderzoek kan niet zonder de betreffende gegevens worden uitgevoerd.
3. De patiënt heeft tegen terbeschikkingstelling van zijn gegevens voor medisch-wetenschappelijk onderzoek niet uitdrukkelijk bezwaar gemaakt.
4. Er is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de patiënt niet onevenredig wordt geschaad.

Nadere toelichting op de WGBO-voorwaarden zijn te vinden in [bijlage 2]. Ten slotte bepaalt artikel 7:458 BW dat de behandelaar in het medische dossier van de patiënt moet noteren dat diens gegevens ter beschikking zijn gesteld voor wetenschappelijk onderzoek.10 Wij verwijzen voor een grafische uitwerking van het voorgaande naar het stroomschema in [bijlage 3].

Terug naar de praktijk

U krijgt als huisarts het verzoek van een onderzoeker om gegevens te verstrekken voor onderzoek naar het verbeteren van de triage bij pijn op de borst op de huisartsenpost waaraan u verbonden bent. Op zich staat u welwillend tegenover dit verzoek, maar u vraagt zich wel af of u deze gegevens zomaar mag verstrekken. Moet u daarvoor geen toestemming aan al uw patiënten vragen?

Aanvankelijk wilden de onderzoekers dit ook, maar er dienden zich twee problemen aan. Ten eerste zal een deel van de patiënten overleden zijn (mogelijk ten gevolge van de aandoening die met de pijn op de borst samenhing) of zijn ze vanwege een verhuizing niet meer te traceren. Deze patiënten kon dus geen toestemming worden gevraagd, terwijl hun gegevens zeker niet mogen ontbreken in de analyse van het triageproces.

Bij de patiënten die niet waren overleden, speelde een ander probleem. Dat hield niet zozeer in dat het een onredelijke inspanning van huisartsen zou vergen om patiënten aan te schrijven, respectievelijk hen over het onderzoek te informeren. Het ‘onredelijke’ zat hem in het binnen een bepaald tijdsbestek verkrijgen van voldoende respons (patiënten moeten de toestemmingsverklaringen immers ondertekenen en terugsturen). Natuurlijk zijn er onder de non-responders altijd patiënten die een toestemmingsverklaring bewust niet terugsturen omdat ze besloten hebben niet aan het onderzoek mee te werken. De meeste patiënten zullen echter geen bezwaar hebben tegen het delen van hun gegevens voor onderzoeksdoeleinden, maar een aantal van hen zal vergeten de kaart terug te sturen of vindt dat te veel moeite.1113

Dit probleem stelde de onderzoekers voor een dilemma. Enerzijds meenden ze een valide reden te hebben om – onder de vlag van de tweede uitzonderingsgrond (toestemming vragen kan ‘in redelijkheid niet worden verlangd’) – van het toestemmingsvereiste af te wijken. Anderzijds realiseerden ze zich dat ze daarmee de wet mogelijk wat ruimer uitlegden dan de wetgever tot nu toe bedoeld heeft [bijlage 1 en 2]. Uiteindelijk vonden de onderzoekers een beroep op de tweede uitzonderingsgrond verdedigbaar, maar alleen onder strikte naleving van de ‘randvoorwaarden’ die dan van toepassing zijn. Daarom stelden ze eerst vast dat het onderzoek een algemeen belang diende, dat de gevraagde gegevens daadwerkelijk noodzakelijk waren voor het onderzoek en dat deze voorafgaand aan hun terbeschikkingstelling op adequate wijze waren gecodeerd.1415

Daarnaast gaven de onderzoekers een bijzondere invulling aan de eis dat de betrokken patiënten tegen verstrekking van hun gegevens geen bezwaar hebben gemaakt (zie voorwaarde c. van artikel 7:458, lid 2 BW in [bijlage 1]). Deze hield in dat de onderzoekers niet louter terugvielen op de algemene informatiefolder die patiënten bij aanvang van hun behandelrelatie ontvangen (en die hen onder andere wijst op hun bezwaarmogelijkheid voor onderzoek), maar dat ze de huisartsenpost iedere potentiële deelnemer een zogenaamde ‘bezwaarbrief’ lieten sturen. Deze brief beschreef globaal wat het (doel van het) onderzoek was en welke gegevens zouden worden verzameld. In de brief was een retourkaart bijgesloten die de patiënt bij bezwaar binnen dertig dagen kon retourneren. Vervolgens werden de gecodeerde gegevens van patiënten die binnen die periode geen bezwaar hadden gemaakt – en dus geen antwoordkaart hadden teruggestuurd – aan de onderzoekers ter beschikking gesteld. Overigens kunnen patiënten op ieder gewenst moment bezwaar maken tegen onderzoek met hun gegevens, dus ook na het verstrijken van zo’n termijn. Reeds gebruikte gegevens kunnen dan alleen niet meer uit onderzoek worden ‘teruggehaald’.

Pleidooi voor een ruime uitleg van de tweede uitzonderingsgrond

Aanvankelijk had de regering bij de totstandkoming van de WGBO (in de jaren negentig van de vorige eeuw) slechts één uitzondering op het toestemmingsvereiste voor ogen, namelijk wanneer het in redelijkheid niet mogelijk is om toestemming te vragen. Op aandringen van de onderzoekswereld, die zich vanwege de invoering van de WGBO over de voortgang van het wetenschappelijk onderzoek ernstige zorgen maakte, is toen op de valreep een tweede uitzondering aan artikel 7:458 BW toegevoegd.16 Hiervoor gaven wij al aan dat bij de tweede uitzondering kan worden gedacht aan onderzoeken met dusdanig grote aantallen patiënten dat redelijkerwijs niet van zorgverleners en onderzoekers kan worden gevergd dat ze inspanningen doen om al die patiënten te bereiken, en waarbij het vragen van toestemming zou leiden tot een selectieve respons en daardoor een vertekend beeld van het onderzoeksresultaat.17 Een principiële vraag is nu of afwijken van het toestemmingsvereiste ook gerechtvaardigd is wanneer het belangrijkste knelpunt is dat binnen de looptijd en financiering van het onderzoek niet voldoende respons zal worden behaald. Dit betreft zeker geen uitzonderlijke situatie: dit probleem zal zich bij veel retrospectief onderzoek aandienen. Wij zouden alles bijeengenomen willen pleiten voor een bevestigend antwoord, maar vinden een dergelijke uitleg alleen gerechtvaardigd indien patiënten individueel over het onderzoek worden geïnformeerd en de mogelijkheid krijgen tegen het onderzoek bezwaar te maken, zoals ook in de casus gebeurde (zie ook categorie IIe en IIId van het in [bijlage 3] opgenomen stroomschema). Dit bezwaarsysteem wordt ook wel ‘opt-out plus’ of een ‘aangekleed geen-bezwaarsysteem’ genoemd. De essentie daarvan is dat patiënten specifiek – en dus in aanvulling op algemene informatie over het gebruik van patiëntgegevens voor research – over een onderzoek worden geïnformeerd en een laagdrempelige mogelijkheid krijgen om tegen deelname aan dat onderzoek bezwaar te maken.1819 Eerder onderzoek laat zien dat deze vorm onder artsen en patiënten draagvlak heeft.1113

Conclusie

Ten gevolge van de AVG is er maatschappijbreed meer aandacht gekomen voor (een juiste) naleving van wetgeving ter bescherming van persoonsgegevens. Dit laatste geldt zeker wanneer binnen de zorgverlening verzamelde patiëntgegevens gedeeld en gebruikt gaan worden voor wetenschappelijk onderzoek. Niet de AVG, maar de WGBO bevat hiervoor de belangrijkste spelregels. Uit die regels volgt dat zorgverleners die behandelgegevens met wetenschappelijk onderzoekers delen, hun patiënten daarvoor uitdrukkelijk om toestemming moeten vragen. Enkele uitzonderingen in de WGBO bieden de ruimte om van dat uitgangspunt af te wijken. Die dienen enerzijds ten volle te worden benut, maar anderzijds moet aan de voorwaarden die dan gelden op een zo goed mogelijke wijze invulling worden gegeven. Daaraan wordt op passende wijze, en in overeenstemming met het uitgangspunt van ‘informationele zelfbeschikking’, vormgegeven wanneer patiënten achteraf individueel en laagdrempelig bezwaar kunnen maken tegen het gebruik van hun gegevens voor een specifiek wetenschappelijk onderzoek.