Blog: Big data - the computer says?

In Nederland is onlangs een big data doorbraakproject van start gegaan, met de zorg als een van de toepassingsgebieden. Net zoals we in 2011 een behoorlijke politieke en maatschappelijke discussie voerden over het EPD, komt nu ook de discussie over medische gegevens en de voor- en nadelen van big data op gang. Itte Overing en Lisette Meij, juridisch adviseurs bij ICTRecht, zetten verschillende juridische (en soms ook ethische) onderwerpen van discussie voor je op een rij.

In Engeland is het landelijk en centraal georganiseerd verzamelen van data al vol op gang. Na enige uitstel vanwege protesten van verontruste patiënten start de National Health Service (NHS) binnenkort met pilots in de zorg onder de noemer ‘care.data’. Dit moet een enorme database met medische gegevens worden. Het doel is snel en adequaat kunnen handelen in acute (medische) situaties en verschillende ziektebeelden met elkaar kunnen vergelijken.

In Nederland zijn we nog niet bezig met het vullen van een database ter verbetering van de zorg op zo’n grote schaal. Wel wordt er gesproken over de mogelijkheden en onmogelijkheden en zijn er projecten op een kleinere schaal zoals Lifelines. De belofte van big data in de zorg is groot, volgens experts.

Niet zonder uitdrukkelijke toestemming

Het eerste onderwerp van discussie bij het gebruik van medische gegevens bij big data toepassingen is de regelgeving rondom het verwerken van persoonsgegevens. Zolang de (medische) gegevens herleidbaar zijn tot een persoon, is er sprake van het verwerken van persoonsgegevens. In dat geval is de Wet bescherming persoonsgegevens (Wbp) van toepassing.

Voor medische persoonsgegevens geldt een strenger regime dan voor andere persoonsgegevens. Deze gegevens mogen buiten de in de wet genoemde uitzonderingen enkel gebruikt worden met uitdrukkelijke toestemming van de persoon van wie de gegevens verwerkt worden. Met ‘uitdrukkelijke toestemming’ wordt bedoeld dat de toestemming uit vrije wil en door middel van een actieve handeling wordt gegeven. Ook moet de persoon weten waarvoor er toestemming gegeven wordt. Er moet dus uitleg gegeven worden waarvoor de persoonsgegevens gebruikt gaan worden. Denk in de online wereld aan het laten aanvinken van een checkbox.

Op Europees niveau geldt (nu nog) de Europese Richtlijn. Deze is door de lidstaten geïmplementeerd in hun eigen wetgeving, bij ons met name in de Wbp. Bij wet mag door een lidstaat van de richtlijn worden afgeweken in het kader van het algemeen belang.

Op Europees niveau geldt nu (nog) de Europese richtlijn

Als voorbeeld: in Engeland bevat de ‘care.data’-database medische persoonsgegevens, al worden deze eerst gepseudonimiseerd. Naam en adres worden niet opgenomen, geboortedatum, postcode, geslacht en NHS-nummer worden wél opgenomen. Dit is meer dan genoeg informatie om te weten om wie het gaat. Een NHS-nummer op zichzelf zou zelfs al voldoende zijn om herleiding naar een individu mogelijk te maken.

Om deze patiëntgegevens te mogen verwerken is er in Engeland dan ook een speciale wet aangenomen op grond waarvan patiëntgegevens gedeeld mogen worden en patiënten gevolgd mogen worden gedurende een behandeling. De Engelse wet kent wel beperkingen: er mag alleen gedeeld en geanalyseerd worden indien de gezondheidszorg daar baat bij heeft. Patiënten konden hun medische gegevens in eerste instantie alleen uit de database houden door gebruik te maken van een ‘opt out’-regeling. Na kritiek is dit aangepast: er wordt een ‘opt out by default’-regeling gehanteerd. Met andere woorden, een ‘opt in’-regeling. Dit is dus vergelijkbaar met de toestemming die je in Nederland moet geven aan zorgaanbieders om je medische gegevens via het Landelijk SchakelPunt (LSP) te versturen.

In Nederland bestaat zo’n wettelijke uitzondering niet om medische persoonsgegevens te mogen verwerken. Wel is er een uitzondering ten behoeve van wetenschappelijk onderzoek. Bij het opstellen van de voorwaarden om van die uitzondering gebruik te mogen maken is er geen rekening gehouden met de mogelijkheden (en risico’s) van big data. Wij zijn dan ook van mening dat deze uitzondering op de regel dat er uitdrukkelijke toestemming moet worden gevraagd, hier niet toe te passen is. Moeten er dus ook nieuwe regels worden opgesteld om de risico’s van big data te managen? Het zou mijn voorkeur hebben eerst een maatschappelijke discussie te voeren middels de doorbraakprojecten en de uitkomsten daarvan te verwerken. De huidige wetgeving maakt het immers niet onmogelijk, er is alleen toestemming nodig.

Herleidbare gegevens

Als medische gegevens geen persoonsgegevens zijn, dan heb je geen toestemming nodig voor het verwerken. Het volledig anonimiseren van de medische data is echter niet realistisch. Er zijn immers maar een gering aantal gegevens nodig om de medische gegevens te herleiden naar een persoon. Stel je voor dat er sprake is van een unieke ziekte waarvan er twee patiënten in heel

Nederland zijn, en het enig aanvullende gegeven dat beschikbaar is, is een postcode. In dat geval kunnen dit ruim voldoende gegevens zijn om te herleiden naar een persoon. Of neem de recent gepubliceerde database van Vektis met alle declaratiegegevens van Nederlandse burgers. In dat databestand zijn de eerste drie cijfers van de postcode achtergehouden wanneer het postcodegebied zo klein is, dat het opnemen van de volledige postcode zou kunnen resulteren in herleidbaarheid naar individuele verzekerden.

Als we in Nederland op grote schaal medische gegevens willen verzamelen in een database ten behoeve van de verbetering van de gezondheidszorg, dan geldt nu gewoon dat er uitdrukkelijke toestemming moet worden gegeven door patiënten.

De toestemming wordt gegeven voor één bepaald doel

In het verlengde van het vorige punt geldt het volgende: persoonsgegevens mogen slechts gebruikt worden voor het doel waarvoor ze verzameld zijn. De toestemming wordt dus altijd voor één bepaald doel en voor de verwerking door één bepaalde verantwoordelijke (bedrijf of instelling of persoon) gegeven.

Een complicerende factor is dat het bij big data toepassingen vooraf niet duidelijk is wie er allemaal onderzoek gaat doen met gebruik van de database en ook niet voor welk specifiek onderzoek er gebruik gemaakt gaat worden van de database.

Hoe om te gaan met recht van inzage, correctie en verwijdering bij big data?  (foto: Google)

Stel nou dat je toch vooraf een doel weet vast te stellen. Waar leg je de grenzen dan (en wie bewaakt die grenzen)? Misbruik van een care-database moet te allen tijde worden voorkomen. Een zorgverzekeraar of de politie zou bijvoorbeeld gebruik willen maken van de database. Dit kan echter als gevolg hebben dat de informatie wordt ingezet voor bijvoorbeeld profileringsdoeleinden. Er kan een bepaald profiel van een persoon opgesteld worden (leefwijze, gezondheidsrisico’s et cetera) om hier vervolgend bepaalde gevolgen aan te verbinden (denk aan een hogere verzekeringspremie).

Bewaartermijnen

Een volgend punt van aandacht zijn de verschillende wettelijke bewaartermijnen die binnen de zorg gelden. Hoe moet hiermee worden omgegaan als de gegevens zijn opgenomen in een grote database? Als er geen wettelijke bewaarplicht is vastgesteld, stelt de wet dat er verwerkt mag worden zolang de verwerking noodzakelijk is. De bewaartermijn hangt in dat geval af van het doel waarvoor gegevens zijn opgenomen.

Als het gaat om een doel in het kader van de verbetering van de gezondheidszorg en er expliciete toestemming is gegeven voor de verwerking middels een big data database, dan zou je kunnen stellen dat de termijn onbeperkt is. Juist het terug kunnen kijken in de historie en de veelheid aan informatie geeft tenslotte de waarde van een database met medische informatie. De geijkte bewaartermijnen voor bijvoorbeeld patiëntdossiers zijn voor dit doeleinde niet van toepassing. Althans, dit is niet expliciet opgenomen in wet- en regelgeving.

Mogelijk is het niet hard te maken dat het noodzakelijk is om gegevens écht eindeloos te bewaren. We zouden ons voor kunnen stellen dat hier wordt aangesloten bij de bewaartermijn zoals die op grond van de Archiefwet geldt voor een deel van de door academische ziekenhuizen verwerkte medische persoonsgegevens: 115 jaar.

Recht van inzage, correctie en verwijdering

Ook moet er nagedacht worden over hoe om te gaan met het recht van inzage, correctie en verwijdering. Een patiënt heeft het recht zijn eigen medische gegevens in te zien, te corrigeren en/of te laten verwijderen. Deze rechten van de betrokkenen (hier patiënt) ten aanzien van zijn of haar persoonsgegevens zijn vastgelegd in de Wbp. Het zal niet eenvoudig zijn gegevens te verwijderen. Gegevens zijn gebruikt ten behoeve van analyses of zijn bijvoorbeeld meerdere malen gebackupt.

Kwantiteit versus kwaliteit

Tenslotte moet er goed worden nagedacht over of kwantiteit ook kwaliteit zal betekenen in de zorg. Weliswaar zijn wij geen medisch specialist, maar het idee dat bij een acuut opspelende ziekte een paar steekwoorden in een database getypt worden en hieruit een diagnose en advies voor een behandeling volgen, lijkt ons geen wenselijk toekomstscenario. Natuurlijk mist bij voorgaande opmerking elke nuance. Toch moet er vooraf worden nagedacht over waarborgen om te voorkomen dat dankzij de database een ‘the computer says’ manier van werken in de gezondheidszorg wordt veroorzaakt. Zeker nu de zorg onder druk staat door meerdere bezuinigingen.

[accordion]
[acc title="Foto credits:"]Sébastien Bertrand (http://www.flickr.com/photos/tiseb/)[/acc]
[/accordion]