Hoe verwerk je persoonsgegevens in onderzoek rechtmatig?
Om persoonsgegevens te mogen gebruiken in onderzoek, dien je ervoor te zorgen dat de verwerking daarvan rechtmatig is ten aanzien van degenen van wie je persoonsgegevens verwerkt (ook wel betrokkenen genoemd). Op deze pagina vind je waar je aan moet denken om dit voor elkaar te krijgen.
Verwerkingsgrondslag
Om rechtmatig persoonsgegevens te kunnen verwerken, dient er volgens de AVG een verwerkingsgrondslag van toepassing te zijn. Een van de wettelijke verwerkingsgrondslagen voor wetenschappelijk onderzoek is toestemming van de respondent. In uitzonderingsgevallen kunnen er echter ook andere verwerkingsgrondslagen van toepassing zijn. Indien bijzondere persoonsgegevens bij wetenschappelijk onderzoek verwerkt worden, dient hiervoor expliciete toestemming gegeven te worden. Ook hier zijn uitzonderingen op mogelijk. Maar ook als er geen toestemming nodig is op basis van de AVG, kiest Tilburg University er om ethische redenen voor om, indien dit redelijkerwijs mogelijk is, wel informed consent te vragen aan respondenten voor nieuwe datasets en bij hergebruik van bestaande datasets.
Het vragen van toestemming kan worden gecombineerd met de informed consent die nodig is vanuit ethisch oogpunt om de respondent niet te veel te belasten met de diverse formulieren. In het informed consent formulier dient onder andere de volgende informatie te worden opgenomen: de inhoud van de studie, duur, mogelijke consequenties, risico’s en rechten die de respondent heeft. Meer informatie hierover kan gevonden worden op de website van de Ethics Review Boards.
Wanneer het vragen van toestemming en informed consent niet mogelijk is (omdat je bijvoorbeeld geen contactgegevens hebt van de betrokkenen) of als dat een onevenredige inspanning zou vergen, dan is het ook mogelijk om persoonsgegevens te verwerken op grond van het algemeen belang van het uitvoeren van wetenschappelijk onderzoek. Dit kan bijvoorbeeld het geval zijn wanneer er sprake is van secundaire data of webscraping. De onderbouwing dat er sprake is van deze onmogelijkheid of onevenredige inspanning voor het vragen van toestemming zal dan wel goed gemotiveerd in de aanvraag voor de ERB opgenomen moeten worden. Ook dient er te zijn voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad (bijvoorbeeld door de gegevens te pseudonimiseren of anonimiseren). Daarnaast zullen de betrokkenen op een andere wijze geïnformeerd moeten worden. Dat doe je bijvoorbeeld door middel van een privacy statement, dat kan worden gepubliceerd via onze website.
Andere partij(en) betrokken bij verwerking
Zoals gezegd ben je als onderzoeker bij Tilburg University verantwoordelijk voor de juiste omgang met persoonsgegevens. Dat betekent ook dat er, als onderzoeksdata met persoonsgegevens gedeeld worden met andere onderzoekers, instellingen of organisaties, afspraken gemaakt moeten worden met deze partijen over hoe zij met de data moeten omgaan. Mogelijk moet er een onderzoeksovereenkomst en/of verwerkersovereenkomst afgesloten worden. Ook voor de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte moet mogelijk een aparte overeenkomst worden gesloten.
Voor alle bovenstaande situaties zijn modelovereenkomsten beschikbaar en de Data Representative van het Research Support Team kan je hierbij helpen. Meer informatie vind je op onze algemene pagina over het maken van afspraken met derden bij doorgifte van gegevens.