In ons vorige artikel hebben we gekeken naar de specifieke rollen onder de Algemene Verordening Gegevensbescherming (AVG) bij het uitvoeren van een clinical trial en de verantwoordelijkheden en verplichtingen van de verschillende partijen in een clinical trial. Maar welke rol je ook hebt onder de AVG, elke partij moet persoonsgegevens kunnen beoordelen en beschermen. In dit artikel leggen we uit hoe je persoonsgegevens kunt beoordelen binnen de regels van de AVG en hoe je deze kunt beschermen. 

Beoordelen van persoonsgegevens 

De AVG heeft persoonsgegevens gedefinieerd als ‘alle informatie met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon’. [1] Dit betekent dat informatie zoals de naam, het adres en het telefoonnummer van de betrokkene wordt beschouwd als zijnde persoonsgegevens, maar ook informatie zoals een IP-adres. De definitie van persoonsgegevens strekt zich ook uit tot clinical trials, omdat je tijdens een clinical trial toegang hebt tot een database met informatie zoals de locatie, de diagnose van de klinische deelnemers en de resultaten van de clinical trial. Dit wordt beschouwd als persoonlijke gegevens omdat het gemakkelijk is om een persoon te identificeren op basis van deze informatie. De definitie van persoonsgegevens is dus zeer ruim, aangezien zij van toepassing kan zijn op zowel directe als indirecte identificatie van een persoon. 

Reguliere en speciale categorieën van persoonsgegevens 

De verzamelde persoonsgegevens kunnen worden onderverdeeld in twee categorieën. De eerste categorie bevat reguliere persoonsgegevens en de tweede categorie bevat speciale categorieën persoonsgegevens. Reguliere persoonsgegevens zijn bijvoorbeeld naam, adres en leeftijd. Speciale categorieën van persoonsgegevens zijn gevoeliger van aard, omdat ze bijvoorbeeld raciale of etnische afkomst, genetische gegevens, of biometrische gegevens omvatten, die gebruikt kunnen worden voor de unieke identificatie van een betrokkene en gezondheidsgegevens. [2]

De AVG heeft genetische gegevens, biometrische gegevens en gezondheidsgegevens specifieke definities gegeven, die allemaal persoonsgegevens bevatten. Genetische gegevens zijn gedefinieerd als ‘de overgeërfde of verworven genetische kenmerken van een natuurlijke persoon die unieke informatie verschaffen over de fysiologie of de gezondheid van die natuurlijke persoon en die met name voortkomen uit een analyse van een biologisch monster van die natuurlijke persoon’. [3] Biometrische gegevens zijn gedefinieerd als ‘een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedrag gerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens’. [4] En gezondheidsgegevens zijn gedefinieerd als ‘de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven’. [5]

De verwerking van bijzondere categorieën persoonsgegevens is in beginsel verboden. Dit verbod op de verwerking is niet van toepassing als de betrokkene uitdrukkelijk toestemming heeft gegeven dat zijn of haar persoonsgegevens mogen worden verwerkt. 

Het is duidelijk dat tijdens een clinical trial zowel reguliere als speciale categorieën van persoonsgegevens worden verzameld en verwerkt. De gegevens die worden verzameld en verwerkt, variëren van de naam en het adres van de klinische deelnemer tot de monsters die tijdens lichamelijk onderzoek zijn verzameld. Daarom wordt een combinatie van gezondheidsgegevens, genetische gegevens en basisgegevens van de klinische deelnemer verzameld en verwerkt. 

Hoe gegevens te beschermen 

Een van de belangrijkste verplichtingen en verantwoordelijkheden binnen een clinical trial is dat alle partijen die betrokken zijn bij een clinical trial ervoor moeten zorgen dat persoonsgegevens adequaat worden beschermd. 

Dit is met name relevant voor speciale categorieën van persoonsgegevens. Men kan zeggen dat deze categorie een hoger beschermingsniveau vereist, aangezien het effect van wanbeheer van speciale categorieën gegevens veel groter kan zijn dan dat van basisgegevens. Als speciale categorieën van persoonsgegevens verkeerd worden verwerkt of misbruikt, kan dit een rimpeleffect hebben, variërend van het intrekken van de ziektekostenverzekering van de klinische deelnemer tot het drastisch verhogen van de maandelijkse premie. Ook kan het een impact hebben op de carrière van de klinische deelnemer. Daarom moeten alle partijen ervoor zorgen dat alle persoonsgegevens adequaat worden beschermd. 

Pseudonimisering 

De meest voorkomende manier om dit te bereiken is door middel van pseudonimisering. Pseudonimisering is de wijziging van persoonsgegevens, zodat de betrokkene niet direct kan worden geïdentificeerd zonder verdere informatie, die afzonderlijk wordt opgeslagen. Pseudonimisering komt in verschillende vormen, die door de verschillende partijen kunnen worden geïmplementeerd binnen een clinical trial. Pseudonimisering kan plaatsvinden in de vorm van: 

• encryptie met een geheime sleutel; 
• hash/salted hash; 
• keyed-hash functie met een opgeslagen sleutel; 
• deterministische encryptie of keyed-hash functie met verwijdering van de sleutel; 
• tokenisatie.
  
  

Het is ook belangrijk dat de AVG nog steeds van toepassing is op persoonsgegevens die gepseudonimiseerd zijn, omdat het nog steeds mogelijk is een persoon met die gegevens te identificeren. 

Anonimisering

Anonimisering wordt ook genoemd als een manier om ervoor te zorgen dat persoonsgegevens voldoende worden beschermd. Dit is echter niet correct. Anonimisering voorkomt heridentificatie en maakt een veel breder gebruik van de informatie mogelijk. Anonimisering komt in principe neer op het verwijderen van de persoonsgegevens. Als u de persoonlijke gegevens na anonimisering opnieuw wilt identificeren, moeten verschillende gegevenssets worden gecombineerd om te proberen de gegevens opnieuw te identificeren. Het is ook erg belangrijk op te merken dat de AVG niet van toepassing is op geanonimiseerde persoonsgegevens. 

Bij een clinical trial zijn verschillende partijen betrokken, die elk bepaalde verplichtingen en verantwoordelijkheden hebben waaraan moet worden voldaan. Je moet niet alleen per rol en per partij bepalen wat voor soort gegevens je gaat verwerken, maar je moet die gegevens ook adequaat beschermen. Dat is misschien nog wel belangrijker in een clinical trial dan waar dan ook, omdat je werkt met medische gegevens van mensen, die gevoelig van aard zijn. Daarom moet zorgvuldig worden nagedacht over de beoordeling en bescherming van persoonsgegevens. We raden ten zeerste aan om bij elke clinical trial een analyse uit te voeren om de verplichtingen en verantwoordelijkheden van elke partij te bepalen en hoe de persoonsgegevens voldoende kunnen worden beschermd. 

Lees ook ons white paper voor een volledig overzicht van de verantwoordelijkheden en verplichtingen van de verschillende partijen in een clinical trial.

[1] Article 4(1) General Data Protection Regulation, EU 2016/679
[2] Article 4(13) General Data Protection Regulation, EU 2016/679
[3] Article 4(14) General Data Protection Regulation, EU 2016/679
[4] Article 4(15) General Data Protection Regulation, EU 2016/679
[5] Article 29 Data Protection Working Party Opinion 05/2014 on Anonymization Techniques