Doelbinding is essentieel binnen de AVG

De bron- of oorspronkelijke data die hiervoor gebruikt worden zijn met een specifiek doel verzameld, bijvoorbeeld in verband met de behandeling van een patiënt of vanwege de financiering van de zorg. Dit is met name van belang binnen de zorg. Daar zijn de meeste gegevens immers gevoelig, zoals de diagnose en wat de patiënt nog wel en niet kan. Medische gegevens zijn bijzondere persoonsgegevens waardoor organisaties deze gegevens alleen mogen gebruiken als aan bijzondere voorwaarden wordt voldaan.

Het voor een specifiek doel verzamelen van gegevens heet in juridische termen ‘doelbinding’. Doelbinding is essentieel binnen de AVG en houdt in dat persoonsgegevens alleen verzameld mogen worden voor een ‘welbepaald, uitdrukkelijk omschreven en gerechtvaardigd’ doel (artikel 5 lid 1 sub a AVG). Het doel waarbinnen gegevens verzameld zijn, bepaalt welk gebruik is toegestaan en welk gebruik niet. Er mogen bijvoorbeeld niet méér persoonsgegevens verzameld en gebruikt worden dan nodig is voor een specifiek doel en persoonsgegevens mogen niet langer bewaard worden dan nodig is voor het doel. Het doel beperkt ook de mogelijkheid om persoonsgegevens die eenmaal voor een bepaald doel verzameld zijn, voor een ander doel te gebruiken. Dit lijkt dus in eerste instantie tegenstrijdig met de principes achter BI, waar juist over doelen en schotten van applicaties heen gekeken wordt. Er is een aantal redenen waarom dit in veel gevallen niet zo is.

Uitzonderingen

BI, de AVG en doelbinding zijn in de volgende gevallen meestal niet in strijd met elkaar: wanneer de gecombineerde data gebruikt worden voor de evaluatie van de zorg, voor financiële en kwaliteitsverantwoording in het kader van de eigen bedrijfsvoering, voor het verbeteren van de zorg of de doelmatigheid van de zorg. Er zijn ook speciale uitzonderingen in de AVG opgenomen als het gaat om wetenschappelijk onderzoek, archief/historisch en statistisch onderzoek. Al zal iedere zorginstelling erop toe moeten zien dat er ook aan een aantal praktische voorwaarden wordt voldaan en dat de systemen goed zijn ingericht. Denk hierbij bijvoorbeeld aan het bijhouden van logs van gebruikers binnen een BI-omgeving.

Informed consent, directe toestemming van de patiënt of cliënt, biedt veelal geen uitkomst. Er wordt immers vaak teruggekeken en men kan niet altijd precies van tevoren inschatten welke bronsystemen aan elkaar gekoppeld worden. Soms worden BI-tools ingezet om onbekende en nieuwe verbanden te vinden, hiervoor kan sowieso geen toestemming gevraagd worden omdat men nog niet weet welke gegevens gecombineerd gaan worden.

Onderzoek

Hoe verder? Wat verstaat men binnen het kader van de AVG bijvoorbeeld onder statistisch onderzoek? En wat betekent wetenschappelijk onderzoek precies, wat valt er wel en niet onder binnen de context van de zorg? Juristen wijzen erop dat de huidige privacywetgeving ook al duidelijke eisen stelt en dat doelbinding ook de kern van de huidige Wet bescherming persoonsgegevens (Wbp) is en van andere bestaande privacyregelgeving. In de AVG staan tien uitzonderingen op het verbod om bijzondere persoonsgegevens, verbonden aan een specifiek doel zoals medische behandeling, te verwerken. Dat betekent dat het verbod niet voor u geldt wanneer u zich kunt beroepen op één van de tien grondslagen voor het verwerken van ‘gewone’ persoonsgegevens. Dit is bijvoorbeeld het geval wanneer het gebruik van persoonsgegevens noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verantwoordelijke rust. De uitzonderingen zijn in het zorgdomein relatief snel van toepassing (eerder dan andere sectoren), maar hoe stel je vast welk belang wordt gediend met een bepaalde onderzoeksvraag? Dat betekent dat je bijvoorbeeld binnen de organisatie een proces moet inrichten om de legitimiteit van BI-vragen vast te stellen. Dit mede omdat technische maatregelen, zoals een autorisatiestructuur die je in bronsysteem/applicatie kunt toepassen, niet zo eenduidig zijn voor BI omdat de doelbinding per vraag kan verschillen.

Kritisch

Samengevat biedt de AVG ook in de context van BI een mooie aanleiding om nog eens kritisch naar de eigen datahuishouding te kijken en om de volwassenheid van de datavoorzieningen extra kritisch tegen het licht te houden.

Voor actuele informatie over de uitzonderingen op het verwerken van bijzondere persoonsgegevens zie: https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/avg-nieuwe-europese-privacywetgeving/mag-u-persoonsgegevens-verwerken

Met dank aan mijn collega's Robert Veen en Jeroen van Oostrum voor hun bijdrage aan deze blog.