Met de grootschalige implementatie van elektronische patiëntendossiers (EPD’s) komen steeds meer gegevens binnen handbereik voor wetenschappelijk onderzoek. De voorwaarden die de wetgeving hieraan stelt worden in den lande op diverse manieren uitgelegd, waardoor er verschillende werkprocedures ontstaan. In deze bijdrage presenteren we de leidraad ‘Hergebruik van zorggegevens ten behoeve van wetenschappelijk onderzoek’, die de procedures binnen ons ziekenhuis beschrijft. Deze biedt praktische handvatten aan de (arts-)onderzoeker die voor concrete onderzoeksprojecten te maken heeft met hergebruik van EPD-gegevens. Tevens willen we de discussie voeden onder degenen die betrokkenen zijn bij de opzet of toetsing van procedures voor dergelijk hergebruik.

Inleiding

Via de registratie van zorggegevens in elektronische patiëntendossiers (EPD’s) beschikken we over waardevolle en betrouwbare gegevens over ziekte en gezondheid, en de effecten van preventie en behandeling. Het is van groot belang dat we de mogelijkheden tot hergebruik van zorggegevens optimaal benutten, zodat we die niet voor bijvoorbeeld wetenschappelijk onderzoek opnieuw hoeven te verzamelen. Hergebruik betekent niet alleen tijdwinst, kostenbesparing en minder belasting voor de patiënt, maar vergroot ook de kwaliteit en de eenduidigheid van de gegevens [1]. Zorggegevens kunnen echter niet zomaar voor wetenschappelijk onderzoek worden hergebruikt – het gebruik is gebonden aan de voorwaarden van de privacywetgeving, in het bijzonder de Europese Algemene Verordening Gegevensbescherming (AVG). De nu geldende wetgeving staat het hergebruik van gegevens voor onderzoek niet in de weg. De interpretatie verschilt echter aanzienlijk tussen de ziekenhuizen, wat verwarring onder onderzoekers creëert en bovendien de samenwerking bemoeilijkt. Door de invoering van de AVG – die de positie van privacywaakhond Autoriteit Persoonsgegevens aanzienlijk heeft versterkt – lijken de problemen bovendien in omvang toe te nemen.

Relevante wetgeving

Wat betreft het hergebruiken van patiëntgegevens zijn in beginsel twee wetten van belang: de op 25 mei 2018 in werking getreden AVG en de sinds 1995 in het Burgerlijk Wetboek opgenomen Wet op de geneeskundige behandelingsovereenkomst (WGBO). Daarnaast heeft de Federatie Medisch Wetenschappelijke Verenigingen de Code Goed Gedrag opgesteld [2], maar deze dateert van 2004 en is aan herziening toe. De inwerkingtreding van de AVG heeft voor de WGBO-bepalingen inzake hergebruik van patiëntgegevens voor medisch-wetenschappelijk onderzoek (artikel 7:457 en artikel 7:458 Burgerlijk Wetboek) geen gevolgen, aldus de regering [3]: die blijven ongewijzigd gelden.

De AVG en de WGBO hebben betrekking op handelingen met persoonsgegevens. Dit begrip dient (op grond van die wetgeving) ruim te worden uitgelegd. Zolang bepaalde gegevens, ook als ze zijn gepseudonimiseerd, door het gebruik van aanvullende gegevens of via spontane herkenning aan een natuurlijke persoon gekoppeld kunnen worden, zijn het persoonsgegevens en vallen ze onder de privacywetgeving. Pas als herleiding van gegevens naar personen, gelet op de stand van de techniek, een onredelijke inzet van tijd en middelen vergt, zijn de gegevens als anoniem te beschouwen en is genoemde wetgeving niet van toepassing [4].

De belangrijkste voorwaarden

Uitgangspunt bij het verzamelen en gebruiken van herleidbare persoonsgegevens voor wetenschappelijk onderzoek is dat patiënten daarvoor in principe hun toestemming moeten geven [5]. Omdat het toestemmingsvereiste vooral bij retrospectief onderzoek diverse problemen kan opleveren, bevat de WGBO twee uitzonderingen op die hoofdregel. Als het ‘in redelijkheid onmogelijk is om toestemming te vragen’, of wanneer het vragen van toestemming aan betrokken patiënten ‘in redelijkheid niet kan worden verlangd’, dan mogen de gegevens van die persoon onder specifieke voorwaarden toch voor onderzoek worden gebruikt.

Bij afwijking van het toestemmingsvereiste stellen zowel de WGBO als de AVG dat de inbreuk op de privacy van patiënten moet worden geminimaliseerd. Terbeschikkingstelling van gegevens is in principe alleen toegestaan indien de gevraagde gegevens worden gecodeerd [2]. De WGBO-wetgever omschrijft dat als ‘verstrekking van gegevens in zodanige vorm (…) dat herleiding tot individuele natuurlijke personen redelijkerwijs wordt voorkomen’ [6]. Daarnaast moeten de benodigde gegevens daadwerkelijk noodzakelijk zijn en moet het onderzoek een algemeen belang dienen.

Patiënten worden in het algemeen via een patiëntfolder en/of de ziekenhuiswebsite geïnformeerd over de mogelijkheid dat hun zorggegevens voor onderzoek worden hergebruikt. Zij hebben altijd het recht om hiertegen bezwaar aan te tekenen, tenzij de gegevens volledig zijn geanonimiseerd. Ook nadat hun gegevens zijn verwerkt, kunnen patiënten bezwaar maken. Dit impliceert overigens alleen dat ruwe gegevens vernietigd worden en niet dat gegevens uit de voor analyse bedoelde gegevensbestanden en onderzoeksresultaten verwijderd moeten worden [7]. Een alternatief voor vernietiging kan anonimiseren zijn. Gelet op de toenemende (online) beschikbaarheid van persoonlijke informatie over patiënten wordt het overigens wel steeds lastiger om een werkelijk geanonimiseerde gegevensset te realiseren (zie hierboven).

De procedure binnen onze ziekenhuizen

Binnen onze ziekenhuizen hebben wij deze regelgeving vertaald naar een werkprocedure ‘Hergebruik van zorggegevens ten behoeve van wetenschappelijk onderzoek’. Allereerst worden de randvoorwaarden benoemd en vervolgens leidt de onderzoeker uit een stroomdiagram (fig. 1) af welke procedure hij moet volgen.

Figuur 1
figure 1

Stroomdiagram voor hergebruik van gegevens uit zorgdossiers ten behoeve van wetenschappelijk onderzoek

Full size image

Randvoorwaarden

Voor elk onderzoek dient een expliciet ontwerp te zijn geformuleerd en mogen alleen de noodzakelijke gegevens worden verzameld. De onderzoeker wordt geacht de herleidbaarheid te minimaliseren, van gegevensvastlegging tot aan statistische analyse en publicatie. De gegevens worden bij voorkeur anoniem, en als dat niet mogelijk is gecodeerd, verzameld en gebruikt. Alleen indien strikt noodzakelijk mogen direct herleidbare gegevens worden gebruikt. Voor commercieel onderzoek bestaat geen ruimte om van het toestemmingsvereiste af te wijken.

Het stroomdiagram

Volledig anonieme gegevenssets (vraag I) mogen zonder verdere restrictie voor onderzoek worden gebruikt. Zonder bepaalde velden te aggregeren is een gegevensset echter niet snel als anoniem te kwalificeren. Zo zou een man van 42 jaar, uit een klein dorpje in Friesland die lijdt aan dementie en een psychiatrische stoornis, en die bekend is met een zeldzame genetische aandoening, via bestandsvergelijking mogelijk kunnen worden herkend.

Gecodeerde gegevens (vraag II) zijn ontdaan van persoonsidentificerende kenmerken, zoals geboortedatum, naam en patiëntnummer, en kunnen niet direct worden herleid tot individuele patiënten. Re-identificatie blijft echter mogelijk doordat een ‘derde partij’, een interne afdeling of een externe ‘versleuteldienst’ (trusted third party), het sleutelbestand beheert. Daardoor moeten gecodeerde gegevens nog steeds als persoonsgegevens worden beschouwd.

De onderzoeker moet toestemming aan patiënten hebben gevraagd (vraag IIa), nadat informatie is verstrekt over doel en inhoud van de gegevensverzameling, wie er toegang toe krijgt, de bewaartermijn en het eventuele voornemen om gegevens met andere onderzoekers te delen.

Mocht de onderzoeker in zijn rol als behandelaar al toegang hebben tot patiëntgegevens (vraag IIb), dan mag hij de gegevens van ‘zijn’ patiënten zonder hun uitdrukkelijke instemming voor ‘eigen wetenschappelijk onderzoek’ gebruiken, omdat hij dan immers het medisch beroepsgeheim niet schendt. Maar let wel: onder de vlag van ‘eigen wetenschappelijk onderzoek’ mogen niet álle medewerkers binnen een afdeling onderzoek doen met de gegevens van alle afdelingspatiënten; er dient daadwerkelijk sprake te zijn (geweest) van behandelcontact en een noodzaak om van de gegevens – vanwege uit te voeren geneeskundige handelingen – kennis te nemen [8].

De uitzonderingen op het toestemmingsvereiste bij gebruik van gecodeerde gegevens (IIc) zijn van toepassing wanneer de patiënt is overleden of vanwege verhuizing of andere redenen niet traceerbaar is (IIc-1), en gelden tevens voor onderzoek met zeer grote groepen patiënten (IIc-2) of wanneer een dusdanig selectieve respons wordt verwacht dat deze betrouwbare uitkomsten in de weg staat (IIc-3) [9, 10].

Direct herleidbare gegevens (vraag III) kunnen noodzakelijk zijn om patiënten voor aanvullend onderzoek te kunnen benaderen, om bestanden te koppelen of om gegevens te valideren. Zodra gegevens in het EPD opgezocht moeten worden is er per definitie sprake van herleidbaarheid. Zoals hierboven beschreven is in beginsel altijd toestemming vereist (vraag IIIa) en mag een behandelaar ook in herleidbare vorm ‘eigen onderzoek’ verrichten (vraag IIIb).

Uitzonderingen op het toestemmingsvereiste zijn op deze categorie van toepassing wanneer iemand overleden of onvindbaar is (IIIc-1) of als een selectie uit een patiëntenpopulatie wordt gemaakt met het doel hier een steekproef van patiënten uit te trekken aan wie vervolgens toestemming wordt gevraagd (IIIc‑2).

Vooral bij retrospectief onderzoek stuiten we op de situatie dat de onderzoeker geen geanonimiseerd bestand uit de zorgdossiers kan verkrijgen omdat de gegevens ongestructureerd zijn vastgelegd in verslagen, brieven of notities. Onderzoekers zijn dan genoodzaakt de gegevens eenmalig zelf in het EPD op te zoeken en in een eigen onderzoeksdatabase op te slaan. Als het vragen van toestemming ‘in redelijkheid niet kan worden verlangd’ staan wij deze werkwijze in onze ziekenhuizen toe, mits aan de volgende aanvullende voorwaarden is voldaan (IIIc-3):

  • Vóór het starten van de gegevensverzameling krijgen alle patiënten de mogelijkheid om bezwaar aan te tekenen, los van de al bestaande algemene bezwaarprocedure. Zij ontvangen een brief met uitleg over het doel van het onderzoek, de te hergebruiken gegevens, betrokken personen en instanties, en de bewaarduur. De patiënt moet laagdrempelig, per e‑mail of antwoordkaart, bezwaar kunnen maken en krijgt vier weken responstijd.

  • Een patiëntendossier wordt slechts eenmalig ingezien.

  • De gegevens worden in gecodeerde vorm overgenomen.

  • De duur van de gegevensverzameling bedraagt maximaal een half jaar.

  • Het sleutelbestand wordt binnen zes maanden overgedragen aan het data-extractieloket.

  • Een toetsingscommissie heeft het betreffende onderzoek getoetst.

Aanvraagprocedure

Na het doorlopen van het stroomdiagram dient de onderzoeker zijn aanvraag inclusief documentatie in bij het data-extractieloket. Na positieve beoordeling levert dit loket het gegevensbestand, of kent het toegang tot het EPD toe. Omdat langs deze weg wordt vastgesteld of het beoogde hergebruik gelet op de privacywetgeving geoorloofd is, wordt tevens voldaan aan het principe van accountability waartoe de AVG verplicht.

Tot slot

De meeste patiënten zullen met het feit dat hun medische gegevens voor specifieke onderzoeksprojecten worden gebruikt geen probleem hebben, maar zij dienen hiervan wel op de hoogte te zijn en moeten hiervoor in principe toestemming hebben gegeven. In sommige situaties kan het vragen van toestemming echter onmogelijk zijn of een onredelijke inspanning vergen. De WGBO laat ruimte voor onderzoek in dergelijke situaties onder een aantal duidelijke randvoorwaarden. Wij stellen onze procedure als concretisering van deze randvoorwaarden voor. Uitgangspunt daarbij is dat de ruimte die de wetgever voor wetenschappelijk onderzoek heeft gecreëerd optimaal wordt benut, maar ook dat zo goed mogelijk recht wordt gedaan aan de privacybelangen van patiënten.