De Algemene Verordening Gegevensbescherming (AVG) bezorgt zorgprofessionals veel hoofdbrekens. Deels terecht, stelt Marc van Lieshout, senior onderzoeker bij TNO, want de wet is wel degelijk complex. Maar hij helpt behandelaars en onderzoekers ook om hun werk goed te doen, stelt hij. En lang niet alles wat aan kritiek over de AVG wordt gespuid, heeft daadwerkelijk iets met deze Europese verordening te maken.
De AVG zorgt voor veel discussie in de zorg. Het lijkt er soms bijna op dat privacy van patiëntgegevens met de komst van deze EU-wetgeving ‘ineens’ een item werd. Dat is geen terechte voorstelling van zaken, stelt Van Lieshout. De voorganger, de Data Protection Directive, stelde ook al strenge eisen aan de opslag en het gebruik van die gegevens. “Het is een misvatting dat de AVG een enorme aanscherping is ten opzichte van die DPD”, zegt hij. “Wat wel waar is, is dat de DPD een directive was die ieder land naar eigen inzicht heeft ingevuld, terwijl de AVG een wet is die rechtstreeks voor alle lidstaten van de EU geldt. Wat ook waar is, is dat in de AVG de boetebepaling veel hoger is dan in zijn voorganger. Het feit dat bij onjuist of oneigenlijk gebruik van patiëntgegevens een boete van twee tot vier procent van de omzet kan worden geclaimd van de partij die hiervoor verantwoordelijk is, heeft voor veel publiciteit gezorgd.”
Inhaalslag
Feitelijk heeft de EU met de komst van de AVG min of meer een inhaalslag gemaakt, concludeert Van Lieshout. “Voordien was privacy van persoonsgegevens weliswaar een zaak die moest worden geregeld maar die er toch maar een beetje bij kwam”, verduidelijkt hij. “Nu is het een onderwerp waarvoor veel meer aandacht wordt gevraagd. Dat heeft veel te maken met de mate waarin de digitale verwerking van persoonsgegevens om zich heen grijpt. De vraag of hierbij wel altijd juist met die gegevens wordt omgegaan, is hierdoor sterker gaan spelen.”
Op dit moment krijgen patiënten een DVD met foto’s mee die ze kunnen doorgeven aan een volgende behandelaar. “Digitalisering zou moeten bijdragen aan een makkelijke ontsluiting van die foto’s via een digitale infrastructuur, maar de activiteiten om dit netjes in te regelen lopen achter de ontwikkeling ervan aan”, zegt Van Lieshout bij dit voorbeeld. “Daaraan wordt hard gewerkt, bijvoorbeeld om behandelaars na toestemming van de patiënt rechtstreeks toegang te geven tot die beelden zodat de patiënt ze niet langer op een DVD hoeft over te dragen. Dat is een technisch ingewikkeld proces.”
Onterecht verwijt
Te vaak, stelt Van Lieshout, wordt het argument ‘Dat is de schuld van de AVG’ gebruikt. “Het bekendste voorbeeld hiervoor is dat de patiënt bij iedere volgende zorgverlener in zijn patient journey opnieuw zijn gegevens moet aanleveren. Dat heeft niets te maken met de AVG, maar met de WGBO, de Wet Geneeskundige Behandelingsovereenkomst. “Die berust op twee pijlers”, legt hij uit, “de zorgvuldigheid van de behandeling en het medisch beroepsgeheim van de arts. Als je als patiënt de stap zet van huisarts naar het ziekenhuis, ontstaat een nieuwe behandelrelatie, die toestemming van de patiënt vergt voor de behandeling. De betreffende behandelaar moet dan weer een dossier aanleggen. En als de behandelaar ook toegang wil tot de gegevens van de eerdere behandeling – van een andere behandelaar – dan moet de patiënt toestemming geven om die gegevens die door de andere behandelaar in diens dossier zijn opgenomen, beschikbaar te stellen aan de nieuwe behandelaar.”
Hier valt de AVG dus niets te verwijten. Sterker nog, stelt Van Lieshout, de AVG maakt op onderdelen juist positieve uitzonderingen voor de zorg. Gezondheidsgegevens zijn gevoelige gegevens en die mogen volgens de AVG in principe niet worden verwerkt. Maar de diagnose en de medische praktijk worden wel aangevoerd als uitzonderingen daarop. “De AVG is dus niet blind voor de praktijk”, zegt hij. “De lobby van de zorg is effectief gebleken om te zorgen dat de AVG op dit gebied geen barrières opwerpt.”
Te gedetailleerd
De AVG valt ook niets te verwijten over het feit dat de Wabvpz, de Wet algemene bepaling verwerking persoonsgegevens in de zorg, nog maar slechts ten dele is ingevoerd. Toenmalig minister Bruno Bruins trok kort voor zijn aftreden een streep door het onderdeel dat het voor patiënten mogelijk maakt om in detail invloed te hebben op hun zorggegevens. “Specifiek gaat het bij dit onderdeel over de heel gedetailleerde toestemming van de patiënt om gegevens over hem die een zorgaanbieder tot zijn beschikking heeft beschikbaar te stellen aan een derde partij, waarbij nog niet duidelijk is wanneer raadpleging van die gegevens gaat plaatsvinden”, legt Van Lieshout uit. “Terecht stelde Bruins dat dit veel te gedetailleerd is en technisch niet uitvoerbaar.”
Ook weer geen reden om te zeggen: ‘Die AVG is veel te complex’, stelt Van Lieshout. “Die Wabvpz is specifiek voor Nederland”, zegt hij.
Coulant als het om onderzoek gaat
Wel speelt de AVG een rol in medisch-wetenschappelijk onderzoek. “Ze is daarin best coulant”, stelt Van Lieshout, “in die zin dat ze je als onderzoeker vrijwaart van een aantal verplichtingen. Ze doet dit in het besef dat je als onderzoeker aan de start van een onderzoekstraject nog niet altijd exact het doel van je onderzoek kunt omschrijven of nog niet kunt aangeven hoe lang je patiëntgegevens nodig hebt.”
Anoniem is niet altijd anoniem
Een ander punt dat aandacht verdient is het anonimiseren van persoonsgegevens. De AVG is hierin uitgesproken: als ze volledig geanonimiseerd zijn, zijn het geen persoonsgegevens meer en vallen ze dus niet onder de AVG. “Maar de Autoriteit Persoonsgegevens en de gezamenlijke Europese toezichthouders zijn hier strenger in”, zegt Van Lieshout. “Gegevens waarvan je aanneemt dat die anoniem zijn, zijn bij matching met gegevens uit andere bronnen toch wel weer te koppelen aan een bepaalde persoon, stelt ze. De stellingname: ‘Ik anonimiseer mijn gegevens gewoon en dan kan ik met mijn onderzoek beginnen’, is dus te simpel gedacht. Gegevens écht anonimiseren is in de regel een doodlopende weg, de Autoriteit Persoonsgegevens heeft vooralsnog geen procedures geschetst die hier automatisch toe leiden. Daarop zit iedereen te wachten. We kunnen onszelf immers de vraag stellen of herleiding van personen uit geanonimiseerde gegevens op een gegeven moment praktisch nog mogelijk is. Voor gegevensbeheer bestaan geavanceerde protocollen die – als je ze organisatorisch en technisch goed afstemt – herleiding van geanonimiseerde gegevens echt heel erg lastig maken. De Personal Health Train is een bekend voorbeeld van zo’n protocol.”
Het is bovendien een voorbeeld dat ook in een ander perspectief interessant is binnen het bestek van de AVG-discussie. Van Lieshout legt uit: “We gaan steeds meer richting de PGO, de persoonlijke gezondheidsomgeving, waaraan het Medmij certificaat is gekoppeld. Met het PGO wordt het bijvoorbeeld interessant om in het kader van leefstijlonderzoek – waarin wij met TNO heel actief zijn – met zo’n Personal Health Train te kijken naar de resultaten van onderzoek. De insteek hierbij is dan nadrukkelijk de privacy van de betreffende patiënten te borgen. Deze aanpak stelt ons in staat om binnen de contouren van de AVG dergelijk onderzoek uit te voeren.”
Streng maar rechtvaardig
Een lang en complex verhaal, geeft Van Lieshout toe. Maar ook een verhaal dat de AVG in een meer correcte context plaatst dan soms gebeurt. “De AVG is streng, maar biedt toch wel degelijk mogelijkheden. Er goed mee omgaan helpt je als behandelaar of onderzoeker om je werk goed te organiseren.”
Over Marc van Lieshout
Van Lieshout werkt als senior onderzoeker bij TNO. Zijn werk is enerzijds gericht op de ontwikkeling van een data-infrastructuur die leefstijlonderzoek mogelijk maakt, in samenwerking met onder andere het LUMC. Anderzijds werkt TNO met Holland Health Data aan de ontwikkeling van spelregels voor het versterken van de eigen regie van individuen. “We weten dat mensen best bereid zijn data beschikbaar te stellen voor wetenschappelijk onderzoek als daarmee het algemeen belang gediend is”, zegt hij. “Maar we weten ook dat ze argwanend zijn en dus willen we ze het vertrouwen geven dat hierin zorgvuldig wordt gehandeld.”
Naast zijn werk bij TNO is Van Lieshout managing director van iHUN, een interdisciplinair onderzoekscentrum van de Radboud Universiteit om onderzoek naar digitaliseringsprocessen te versterken en verbeteren, met name gericht op beveiliging, privacy en data-governance.
Tekst: Frank van Wijck