BLOG: Persoonlijke data gebruiken voor ziektepreventie: waar ligt de grens?

Gezondheidsgegevens zijn een belangrijk onderdeel van activiteiten om risico's voor de volksgezondheid te monitoren en te verminderen. Maar hoe zit het dan met privacy?

Whitney Naomi van den Brand, adviseur bij L2P, zet de mogelijkheden en aandachtspunten op een rij.

Het gebruik van persoonlijke data, zoals gezondheidsgegevens, stelt overheden en gezondheidsorganisaties in staat om uitbraken van ziekten te monitoren en de volksgezondheid te beschermen.

De Algemene verordening persoonsgegevens (AVG) stelt strikte eisen aan de verwerking van medische persoonsgegevens. Vooral als de betrokkene geen expliciete toestemming heeft gegeven. Toch zijn er wettelijke grondslagen voor de verwerking van persoonsgegevens over de gezondheid van individuen. Hoe werkt dat precies? Wat is er nodig voor een betrouwbare en verantwoorde werkwijze? Ik zet de mogelijkheden en randvoorwaarden op een rij.

Wettelijke grondslagen voor de verwerking van gezondheidsgegevens

De AVG regelt dat de verwerking van gezondheidsgegevens alleen is toegestaan op grond van een grondslag. Toestemming van de betrokkene is zo'n grondslag. Maar als het gaat om gegevensverwerkingen in het kader van de volksgezondheid, dan is het meestal geen optie om alle betrokkenen te vragen om expliciete toestemming. Er is in veel gevallen wel een beroep mogelijk op een wettelijke grondslag, zonder dat er toestemming van een betrokkene is vereist.

In deze context zijn de meest relevante AVG-grondslagen:
· Het algemene belang van de volksgezondheid. Het is publieke gezondheidsinstellingen, zoals het Rijksinstituut voor
  Volksgezondheid en Milieu (RIVM), toegestaan om gezondheidsgegevens te verwerken zonder toestemming van
  betrokkenen als dit noodzakelijk is voor de aanpak van ernstige bedreigingen voor de volksgezondheid. Voorbeelden
  van zo'n aanpak zijn de monitoring van een pandemie en de uitvoering van vaccinatiecampagnes.

· De vitale belangen van betrokkenen. Er zijn situaties denkbaar waarin betrokkenen niet in staat zijn om
  toestemming te geven, zoals bij ongelukken. In deze gevallen kan de verwerking van gezondheidsgegevens
  toch gerechtvaardigd zijn, als dit noodzakelijk is met het oog op de vitale belangen van de persoon.

De AVG staat overigens ook de verwerking van persoonsgegevens voor wetenschappelijk of statistisch onderzoek toe. Er is dan geen toestemming vereist, mits er passende waarborgen zijn genomen om de privacy van betrokkenen te beschermen, zoals anonimisering of pseudonimisering.

Het betrouwbare en verantwoorde gebruik van gezondheidsgegevens

Er zijn dus wettelijke mogelijkheden om gezondheidsgegevens te gebruiken zonder toestemming van de betrokkene. Toch is er nog regelmatig discussie over de betrouwbaarheid en de ethische aspecten van deze werkwijze. De kernvraag is of de rechten van betrokkenen voldoende worden beschermd.

Er zijn daarbij drie aandachtspunten:

· Transparantie en communicatie. Het is belangrijk dat organisaties actief en open communiceren over het wat,
  waarom en hoe van het gebruik van gezondheidsgegevens.

· Technische en organisatorische maatregelen voor informatiebeveiliging. Organisaties zijn verplicht om aan te tonen
  dat de juiste maatregelen zijn genomen om persoonsgegevens te beveiligen.

· Ethische afwegingen. Het gebruik van gezondheidsgegevens is niet alleen een juridisch vraagstuk, maar roept ook
  ethische vragen op. Organisaties staan voor de opgave om zorgvuldig af te wegen of de verwerking echt
  noodzakelijk is. Zijn er misschien alternatieven die minder ingrijpend zijn voor de privacy (en andere grondrechten)
  van burgers?

Voorbeelden uit de praktijk: waar ging het mis?

Er zijn verschillende gevallen bekend waarin het gebruik van gezondheidsgegevens zonder toestemming niet goed verliep.

· App om COVID-19 te monitoren. In onder meer Noorwegen en Singapore zijn in 2020 tracing apps ingezet om de
  verspreiding van COVID-19 te monitoren. De Noorse privacytoezichthouder oordeelde dat de verwerking van
  persoonsgegevens in de zogenoemde Smittestopp-app onrechtmatig was, omdat er te veel data werden verzameld
  en opgeslagen.

· Datalek bij de GGD. In 2021 is ontdekt dat persoonsgegevens van miljoenen Nederlanders, die de gemeentelijke
  gezondheidsdiensten (GGD's) tijdens de coronapandemie verzamelden, mogelijk in verkeerde handen zijn
  terechtgekomen. Het datalek ontstond doordat callcenter medewerkers de persoonsgegevens verkochten van
  mensen die bij een GGD een afspraak hadden gemaakt voor een coronatest of -vaccinatie, of die betrokken waren
  bij bron- en contactonderzoek.

Bij L2P adviseren we een organisatie die overweegt om gezondheidsgegevens te verwerken zonder toestemming van de betrokkenen om te starten met een data protection impact assessment (DPIA). Met het assessment breng je vooraf de risico’s voor betrokkenen in kaart, zodat je vervolgens de juiste voorzorgsmaatregelen neemt.

De juiste balans

Het is duidelijk dat het gebruik van medische persoonsgegevens soms van vitaal belang is voor de volksgezondheid. Het is belangrijk dat de verwerking altijd zorgvuldig plaatsvindt. Dat betekent in de eerste plaats dat een organisaties voldoet aan de wettelijke vereisten van de AVG. Daarnaast spelen er ethische afwegingen rond de privacy van betrokkenen. Verder is het noodzakelijk om passende (technische en organisatorische) maatregelen te nemen om de data te beveiligen.

Uiteindelijk is iedereen gebaat bij een juiste balans tussen de bescherming van de volksgezondheid en privacy. Een betrouwbare en verantwoorde verwerking van persoonsgegevens legt immers de basis voor een effectieve inzet van medische informatie én voor het publieke vertrouwen in de gezondheidszorg.