Hergebruik van reeds verzamelde datasets (secundair gebruik)
Bij wetenschappelijk onderzoek komt het regelmatig voor dat data die voor een ander onderzoek verzameld, wordt hergebruikt bij een nieuw onderzoek. Dit noemt men secundair gebruik. De AVG bevat hierover specifieke regelgeving.
Het gebruik van een reeds bestaande dataset is op basis van de AVG vanwege het belang van wetenschappelijk onderzoek toegestaan onder bepaalde voorwaarden zoals passende waarborgen, technische en organisatorische maatregelen, pseudonimisering etc. Themabeleid privacy & Bescherming Persoonsgegevens) Bij hergebruik van reeds bestaande datasets zullen waar mogelijk alleen geanonimiseerde of gepseudonimiseerde gegevens gedeeld worden, waarbij de onderzoeker het koppelbestand niet ontvangt.
Indien er sprake is van bijzondere persoonsgegevens (art. 9 lid 2 sub j AVG) dan geldt er nog een aanvullende toets bij wetenschappelijk onderzoek: alleen toegestaan indien noodzakelijk- en evenredig en als er passende maatregelen worden getroffen.
Tenslotte geldt op basis van artikel 14 lid 5b van de AVG het recht van betrokkene om direct geïnformeerd te worden over de verwerking als persoonsgegevens niet van betrokkene zijn ontvangen, tenzij dit onevenredig veel inspanning vergt. In dit laatste geval dienen de betrokkenen openbaar te worden geïnformeerd (door middel van privacy statement).
| Anonimiseren of Pseudonimiseren | Bij gebruik van reeds bestaande datasets dienen persoonsgegevens zoveel mogelijk geanonimiseerd te worden. Indien de primaire dataset geanonimiseerd is, is deze richtlijn niet meer van toepassing en hoeft ook het verwerkingsregister niet bijgewerkt te worden. Indien anonimiseren niet mogelijk is dan dienen persoonsgegevens zoveel mogelijk gepseudonimiseerd te worden. |
| Dataminimalisatie |
Indien herleidbare persoonsgegevens noodzakelijk zijn voor wetenschappelijk onderzoek:
|
| Beveiliging | Indien persoonsgegevens gebruikt worden in onderzoek dan dienen deze adequaat beveiligd verwerkt te worden |
| Informatieverplichting | De respondenten hebben een recht op informatie en dienen goed geïnformeerd te worden. |
| Registratie | Onderzoek dient vastgelegd te worden in een verwerkingsregister. |
Het vaststellen van rechtmatigheid en doelbinding
Indien in een wetenschappelijk onderzoek persoonsgegevens verwerkt worden dan dient ten eerste de zogenaamde rechtmatigheid en ten tweede doelbinding te worden vastgesteld. Hierna dienen de zogenaamde materiële vereisten in acht te worden genomen om te zorgen dat zorgvuldig met persoonsgegevens wordt omgegaan.
Rechtmatigheid
- Hebben we een wettelijke grondslag voor verwerking?
Doelbinding
- Wat willen we gaan doen?
Materiële vereisten
- Gaan we zorgvuldig met de persoonsgegevens om?
Verwerkingsgrondslag
Bij secundair gebruik van reeds verzamelde datasets moet onderscheid worden gemaakt tussen een aantal scenario’s om te bepalen welke verwerkingsgrondslag van toepassing kan zijn.
- Initiële dataverzameling is gebaseerd op toestemming:
- Toestemming voor hergebruik voor toekomstig onderzoek & nieuw onderzoek s in onderzoeksgebied waarvoor toestemming is gegeven Themabeleid Privacy & Bescherming Persoonsgegevens – Wetenschappelijk onderzoek 14 Versie 1.0 – mei 2018.
- Toestemming voor hergebruik in toekomstig onderzoek & nieuw onderzoek in ander onderzoeksgebied
- Geen toestemming voor hergebruik voor toekomstig onderzoek.
- Initiële dataverzameling is niet gebaseerd op toestemming, maar een andere verwerkingsgrondslag.
Toestemming hergebruik binnen HETZELFDE onderzoeksgebied
De verwerkingsgrondslag is toestemming maar de onderzoeker hoeft geen nieuwe toestemming te vragen. Wel geldt een informatieplicht.
- Als contactgegevens van betrokkene beschikbaar zijn: persoonlijk informeren indien dit geen onevenredige inspanning vergt.
- Als contactgegevens niet beschikbaar zijn: openbaar informeren
Let op: bij toestemming mag een respondent deze altijd intrekken. Indien dit gebeurt dan mag de data van deze respondent niet meer gebruikt worden voor vervolgonderzoek voor die te herleiden zijn.
Voorbeeld:
- Een onderzoeker gebruikt voor een vervolgonderzoek binnen hetzelfde onderzoeksgebied de data van een eerder onderzoek. Dit eerdere onderzoek is gebaseerd op toestemming en de respondent is ermee akkoord gegaan dat zijn gegevens worden gebruikt in toekomstige onderzoeken.
Toestemming hergebruik ANDER onderzoeksgebied
De verwerkingsgrondslag is toestemming. Omdat bij het primaire onderzoek geen toestemming is gevraagd voor dit onderzoeksgebied dient indien die redelijkerwijs mogelijk is, alsnog gevraagd te worden.
- Als de contactgegevens van een respondent beschikbaar zijn: persoonlijk toestemming vragen
- Als de contactgegevens niet beschikbaar zijn: de verwerkingsgrondslag is gerechtvaardigd belang. In verband met recht op informatie openbaar informeren.
Voorbeeld:
- Een onderzoeker gebruikt voor een vervolgonderzoek binnen een ander onderzoeksgebied de data van een eerder onderzoek. Dit eerdere onderzoek vond plaats in het onderzoeksgebied marketing en aan respondent is toestemming gevraagd voor hergebruik maar alleen binnen het onderzoeksgebied marketing. Het nieuwe onderzoek vindt plaats binnen onderzoeksgebied rechten.
Geen toestemming voor hergebruik
De verwerkingsgrondslag is in principe toestemming maar zou in uitzonderingsgevallen ook een van de andere grondslagen zoals boven vermeld kunnen zijn (bijvoorbeeld gerechtvaardigd belang). De onderzoeker dient alsnog toestemming te vragen voor het hergebruik van deze data als dit mogelijk is.
Voorbeeld:
- Een onderzoeker gebruikt voor een vervolgonderzoek de data van een eerder onderzoek. Bij dit eerdere onderzoek is geen toestemming gevraagd voor hergebruik. Indien het mogelijk is (beschikking over contactgegevens) dan dient onderzoeker alsnog toestemming te vragen. Indien dit niet mogelijk is dan kan een andere verwerkingsgrondslag zoals gerechtvaardigd belang van toepassing zijn, waarbij de onderzoeker een zorgvuldige afweging moet maken tussen het belang van het onderzoek en het privacy belang van de betrokkene. Hij dient deze afweging vast te leggen in de vragenlijst Onderzoek.
Primaire dataset NIET op basis van TOESTEMMING
De verwerkingsgrondslag voor hergebruik van data zou in dit geval gerechtvaardigd belang kunnen zijn, waarbij de onderzoeker een afweging dient te maken tussen het belang van het wetenschappelijk onderzoek en het privacy belang van de betrokkene. Hij dient deze afweging vast te leggen in de vragenlijst onderzoek.
Bijzondere persoonsgegevens
Bijzondere persoonsgegevens mogen volgens de AVG alleen onder strikte voorwaarden verwerkt worden. Voor wetenschappelijk onderzoek geldt onder voorwaarden een opheffing van het verbod op het verwerken van bijzondere persoonsgegevens.
- Als bij het initiële onderzoek toestemming is gegeven voor bijzondere persoonsgegevens én toestemming voor hergebruik van de data in hetzelfde/bepaalde onderzoeksgebied:
- geen nieuwe toestemming nodig indien binnen aangegeven onderzoekgebied. Wel informeren.
- Als bij het initiële onderzoek GEEN toestemming is gegevens voor bijzondere persoonsgegevens of hergebruik (voor een ander onderzoeksgebied of nieuw onderzoek):
- toestemming vragen voor bijzondere persoonsgegevens tenzij hierboven vermelde uitzondering geldt (onderzoeker dient toepassing uitzondering gemotiveerd vast te leggen)
- Als bij het initiële onderzoek om OPENBARE gegevens ging:
- geen specifieke toestemming in verband met openbaarheid nodig.
Let op: de informatieverplichting is altijd van toepassing
Doelbinding
Het tweede vereiste is: er moet sprake zijn van een welbepaald, duidelijk omschreven doel.
- Als bij wetenschappelijk onderzoek gebruikt wordt gemaakt van een bestaande dataset die persoonsgegevens bevat dan wordt dit doel altijd als verenigbaar beschouwd met het originele doel waarvoor dataset verzameld werd.
- Het doel van de nieuwe verwerking van persoonsgegevens is: het uitvoeren van wetenschappelijk onderzoek als bedoeld in de Wet op het Hoger onderwijs en Wetenschappelijk onderzoek en de Gedragscode Wetenschapsbeoefening.