OVEREENKOMST IN HET KADER VAN EEN RETROSPECTIEVE STUDIE BINNEN DE DIENST [naam dienst]
OVEREENKOMST IN HET KADER VAN EEN RETROSPECTIEVE STUDIE BINNEN DE DIENST [naam dienst]
Voor de uitvoering van een studie in het kader van een masterproef aan de faculteit geneeskunde van de [naam onderwijsinstelling] worden afspraken gemaakt tussen ondergetekenden omtrent onderstaande punten om conform de principes van de toepasselijke wetgeving op het vlak van privacy op Europees en Belgisch niveau te handelen.
Az Damiaan waarvan de maatschappelijke zetel gevestigd is te Xxxxxxxxxxxxxxx 000, 0000 Xxxxxxxx, rechtsgeldig vertegenwoordigd door xxx. X. Xxxxxx, voorzitter van de Raad van Bestuur, en xxx. X. Xxxxxxxxxxx, ondervoorzitter van de Raad van Bestuur
De hoofdarts, dokter Xxxxxx Xxxxxxxx
De arts-assistent in opleiding, dokter [voornaam] [naam]
De stagemeester, dokter [voornaam] [naam]
Het diensthoofd van de dienst [naam dienst], dokter [voornaam] [naam]
Rekening houdend met de bestaande regelgeving, worden onderstaande punten in dit afsprakenkader opgenomen.
Afspraken m.b.t. de verwerkingsverantwoordelijke
Algemene Verordening Gegevensbescherming: rechtmatigheid van de verwerking van gezondheidsgegevens
Belgische kaderwet privacy
Maatregelen met het oog op de bescherming van de persoonlijke levenssfeer
Algemeen afsprakenkader
Inzage medische dossiers versus therapeutische relatie
Hoewel de Algemene Verordening Gegevensbescherming (hierna: AVG) en de Belgische kaderwet privacy een aantal generieke bepalingen omvatten, zijn er toch nog grijze zones op vlak van wetenschappelijk onderzoek waardoor een volledig afgelijnd afsprakenkader op dit moment ontbreekt. De onderstaande afspraken zijn daarom aan verandering onderhevig, rekening houdend met de evoluties in de voornoemde regelgeving en eventuele rechtsleer die in de toekomst zal ontstaan. Partijen kunnen in het kader daarvan steeds een addendum onderschrijven, dat zal gevoegd worden aan onderhavige overeenkomst.
Afspraken m.b.t. de verwerkingsverantwoordelijke
De initiatiefnemer van dit onderzoek, op vraag van arts-assistent in opleiding dokter [voornaam] [naam], is de dienst [naam van dienst] van het AZ Damiaan Oostende. De dienst [naam van dienst] bepaalt met andere woorden doel en middelen van de studie. De doelstelling wordt als volgt omschreven [vul hier het doel van de studie in].
De dienst [naam dienst] wenst in het kader van voormelde studie het patiëntendossier van [aantal bij benadering] patiënten te laten raadplegen door dokter [voornaam] [naam], assistent in opleiding verbonden aan de dienst, via het elektronisch patiëntendossier KWS.
De dienst [naam] treedt daarom op als verwerkingsverantwoordelijke, zoals bepaald in de definitie van art.4, 7) AVG en neemt daartoe ook de verantwoordelijkheden op zoals bepaald in de AVG.
Algemene Verordening Gegevensbescherming: rechtmatigheid van de verwerking van gezondheidsgegevens
De verwerking van gezondheidsgegevens zoals bepaald in deze studie moet gebeuren conform de bepalingen in art.9 AVG. Dit artikel bepaalt dat de verwerking van gegevens over gezondheid verboden is, tenzij aan bepaalde voorwaarden is voldaan, waaronder bijvoorbeeld wetenschappelijk of historisch onderzoek.
“de verwerking is noodzakelijk met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de belangen van de betrokkene.”
Dit artikel stelt dus dat gezondheidsgegevens op een rechtmatige manier kunnen verwerkt worden op basis van de voorwaarde bepaald in art. 9, j) AVG.
In de memorie van toelichting staat echter expliciet vermeld: “Er moet nog onderstreept worden dat andere reglementeringen een toestemming vereisen, bijvoorbeeld de Verordening 536/2014 betreffende klinische proeven of nog de Richtlijn 2004/23 betreffende menselijke weefsels en cellen.” (Memorie van toelichting – stuk 3126/001, p.210).
Uit het bovenstaande kunnen we besluiten dat de verwerking van persoonsgegevens in de voornoemde studie als rechtmatig kan beschouwd worden op basis van art.9, j) AVG. De dienst [naam dienst] is verantwoordelijk voor de correcte naleving van de regelgeving m.b.t. klinische studies en andere regelgeving indien van toepassing. Dit kan impliceren dat er alsnog toestemming vereist is van de patiënten, ook al is dit niet vereist in termen van de AVG voor wat betreft rechtmatige verwerking.
Belgische kaderwet privacy
De Belgische kaderwet privacy bevat een aantal bepalingen rond wetenschappelijk onderzoek. Onderstaande bepalingen dienen hierbij in het bijzonder in acht genomen te worden.
Verplichting om een register van verwerkingsactiviteiten bij te houden (art.30 AVG) waarin verantwoording is opgenomen rond de keuze tussen anonieme, gepseudonimiseerde of niet-gepseudonimiseerde gegevens.
Verplichting om een DPO aan te stellen
Verschillende reglementen inzake onderzoek leggen het advies van de ethische commissie op met inbegrip van privacyaspecten1
Maatregelen met het oog op de bescherming van de persoonlijke levenssfeer
“De verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden is onderworpen aan passende waarborgen in overeenstemming met deze verordening voor de rechten en vrijheden van de betrokkene. Die waarborgen zorgen ervoor dat er technische en organisatorische maatregelen zijn getroffen om de inachtneming van het beginsel van minimale gegevensverwerking te garanderen. Deze maatregelen kunnen pseudonimisering2 omvatten, mits aldus die doeleinden in kwestie kunnen worden verwezenlijkt door verdere verwerking die de identificatie van betrokkenen niet of niet langer toelaat, moeten zij aldus worden verweznlijkt.” (art.89, lid 1 AVG)
Op basis van bovenstaand artikel moeten passende technische en organisatorische maatregelen genomen worden om het beginsel van minimale gegevensverwerking te garanderen.
In de memorie van toelichting wordt bij wijze van voorbeeld verwezen naar onderstaande maatregelen:
pseudonimisering
toestemming (toestemming wordt hier niet als voorwaarde voor rechtmatige verwerking gekozen, maar als passende maatregel)
Algemeen afsprakenkader
Ten slotte gelden nog een aantal algemene afspraken waaraan de arts-assistent zich moet houden met het oog op een veilige gegevensverwerking.
Arts-assistent in opleiding dokter [voornaam] [naam] verbindt er zich toe om:
alle vertrouwelijke informatie (beroepsgeheimen, zakengeheimen of geheimen in verband met persoonlijke of vertrouwelijke aangelegenheden) waarvan hij of zij kennis krijgt, niet bekend te maken aan derden op eender welke wijze, zowel gedurende de periode waarin hij of zij als arts-assistent werkzaam is binnen Az Damiaan als na het beëindigen van die periode.
de medische gegevens enkel te consulteren volgens de noodzaak van zijn / haar masterproef
deze gegevens anoniem3 te publiceren
de verkregen gegevens op geen enkele manier op te slaan op persoonlijke devices tenzij in anonieme vorm
het eindwerk ter inzage voor te leggen aan de studiemeester ( Dr.[voornaam] [naam])
enkel te werken met de hem toegekende user-ID en deze op geen enkele wijze te delen met derden
Az Damiaan onmiddellijk in te lichten mocht hij of zij een gegevens/datalek vaststellen over de bij Az Damiaan verkregen info
te zorgen voor de passende veiligheidsmaatregelen op de eigen pc/laptop/ … onder meer door paswoordbeveiliging, virusscan, de nodige updates uit te voeren, clean desk en clear screen principe te hanteren, …
Inzage in het medisch dossier versus therapeutische relatie
De dienst [naam] vraagt – ten behoeve van haar arts-assistent in opleiding – inzage in de medische dossiers van ongeveer [aantal] patiënten via KWS, waarbij de arts-assistent in opleiding evenwel niet met elk van die patiënten een therapeutische relatie kan aantonen. De toegang tot een patiëntendossier zonder het bestaan van een therapeutische relatie is verboden. Dit verbod is niet van toepassing wanneer een andere toelaatbaarheidsgrond voor de toegang4 bestaat.
Een inzage met toepassing van de toelaatbaarheidsgrond zoals hieronder beschreven omvat een zekere vorm van risico-acceptatie, waarvan de ondertekenende partijen zich ten volle bewust zijn en er mee instemmen door ondertekening van dit document.
Toelaatbaarheidsgrond
De toegang tot patiëntengegevens voor wetenschappelijk onderzoek kan slechts plaatsvinden na goedkeuring door het Ethische Comité. De functionaris voor gegevensbescherming wordt op de hoogte gesteld van deze onderzoeken en waakt over de toepassing van de principes van informatieveiligheid en privacy. In het kader hiervan kan de DPO, op eenvoudig verzoek, de nodige inlichtingen inwinnen bij de dienst [naam]. De dienst verbindt er zich toe de opgevraagde informatie zo snel mogelijk te bezorgen.
Aldus overeengekomen en in zesvoud opgemaakt te Oostende op .. /.. /2020.
Voor AZ Damiaan
Xxx. X. Xxxxxx Xxx. X. Xxxxxxxxxxx
(voorzitter Raad van Bestuur) (ondervoorzitter Raad van Bestuur)
De hoofdarts
Xx. Xxxxxx Xxxxxxxx
De arts-assistent in opleiding
Dokter [voornaam] [naam]
Voor de dienst [naam dienst]
Dokter [voornaam] [naam] Dokter [voornaam] [naam]
(De stagemeester) Diensthoofd [naam dienst]
Dokter [voornaam] [naam]
dienst [naam dienst]
1 Memorie van Toelichting (stuk 3126/001, p.204)
2 Pseudonimisering: het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld (art.4, 5) AVG).
3 Anonimisering: bij anonimisering worden alle vormen van identificatie verwijderd op een wijze die (her-)identificatie definitief en onomkeerbaar onmogelijk maakt. Het is nadien niet meer mogelijk om nog de koppeling te maken tussen de nog bewaarde gegevens en een natuurlijk persoon. De mogelijkheid van de onderzoekers om aan de bron van de informatie nog aanvullende vragen te stellen over de ontvangen informatie, is dan ook sterk beperkt. (Bron: Zorgnet Icuro, informatienota 2018/35)
4 Toegangen in het kader van wetenschappelijk onderzoek moeten steeds gemotiveerd worden in het EPD