Samenvatting van het voorlopige advies van de Europese Toezichthouder voor gegevensbescherming over de Europese ruimte voor gezondheidsgegevens

(De volledige tekst van dit advies is beschikbaar in het Engels, het Frans en het Duits op de EDPS-website www.edps.europa.eu)

(2021/C 99/09)

Tekst van de samenvatting

Op 19 februari 2020 heeft de Europese Commissie haar mededeling “Een Europese datastrategie” gepresenteerd. Deze mededeling beoogt de totstandbrenging van een gemeenschappelijke ruimte op het gebied van gezondheid, namelijk de Europese ruimte voor gezondheidsgegevens (“ERGG”), die wordt gepresenteerd als een essentieel instrument voor de preventie, opsporing en genezing van ziekten, voor het nemen van empirisch onderbouwde beslissingen en voor het verbeteren van de doeltreffendheid, toegankelijkheid en duurzaamheid van de gezondheidszorgstelsels.

De EDPS staat volledig achter de doelstellingen om de uitwisseling van gezondheidsgegevens te bevorderen en medisch onderzoek te stimuleren, maar benadrukt dat er bij de totstandbrenging van de ERGG van meet af aan waarborgen voor de gegevensbescherming moeten worden vastgesteld. Met dit voorlopige advies wijst de EDPS dan ook op de essentiële elementen waarmee vanuit het oogpunt van gegevensbescherming rekening moet worden gehouden bij de ontwikkeling van de ERGG.

De EDPS dringt aan op de vaststelling van een doordachte rechtsgrondslag voor de verwerkingsactiviteiten in het kader van de ERGG in overeenstemming met artikel 6, lid 1, AVG, en herinnert er tevens aan dat deze verwerking moet voldoen aan artikel 9 van de AVG voor de verwerking van bijzondere categorieën gegevens.

Gezien de gevoeligheid van de gegevens die binnen de ERGG moeten worden verwerkt, benadrukt de EDPS bovendien dat de grenzen die zijn gesteld aan een rechtmatige verwerking en een compatibele verdere verwerking van de gegevens, voor alle betrokken belanghebbenden glashelder moeten zijn. Daarom zijn transparantie en de publieke beschikbaarheid van informatie over de verwerking in de ERGG van cruciaal belang om het vertrouwen van het publiek in de ERGG te vergroten.

De EDPS roept de Commissie ook op om de taken en verantwoordelijkheden van de betrokken partijen te verduidelijken en duidelijk aan te geven welke categorieën gegevens aan de ERGG ter beschikking zullen worden gesteld. Daarnaast roept hij de lidstaten op mechanismen in te stellen om de geldigheid en de kwaliteit van de gegevensbronnen te beoordelen.

De EDPS onderstreept dat het van belang is de ERGG te voorzien van een alomvattende beveiligingsinfrastructuur, met inbegrip van zowel organisatorische als geavanceerde technische beveiligingsmaatregelen om de in de ERGG ingevoerde gegevens te beschermen. In dit verband herinnert hij eraan dat gegevensbeschermingseffectbeoordelingen een zeer nuttig instrument kunnen zijn om te bepalen welke risico’s de verwerkingsactiviteiten inhouden en welke risicobeperkende maatregelen moeten worden genomen.

De EDPS beveelt aan bijzondere aandacht te besteden aan het ethisch verantwoord gebruik van gegevens in het kader van de ERGG. Hiertoe stelt hij voor om rekening te houden met de bestaande ethische commissies en hun rol in het kader van de nationale wetgeving.

De EDPS is ervan overtuigd dat het welslagen van de ERGG zal afhangen van de instelling van een krachtig mechanisme voor datagovernance dat voldoende garanties biedt voor een rechtmatig, verantwoordelijk en ethisch verantwoord beheer dat verankerd is in de waarden van de EU, met inbegrip van de eerbiediging van de grondrechten. Het mechanisme voor datagovernance moet ten minste regelen welke entiteiten gegevens ter beschikking mogen stellen van de ERGG en welke entiteiten daarvan gebruik mogen maken, welke nationale contactpunten/vergunningverlenende autoriteiten van de lidstaten worden aangewezen en welke rol van de gegevensbeschermingsautoriteiten in dit verband toekomt.

De EDPS is geïnteresseerd in beleidsinitiatieven om “digitale soevereiniteit” tot stand te brengen en heeft de voorkeur voor de verwerking van gegevens door entiteiten die de Europese waarden delen, waaronder privacy en gegevensbescherming. Voorts dringt de EDPS er bij de Commissie op aan te zorgen dat de belanghebbenden die aan de ERGG deelnemen, en met name de verwerkingsverantwoordelijken, geen persoonsgegevens naar derde landen doorgeven tenzij betrokkenen wier persoonsgegevens worden doorgegeven, een beschermingsniveau genieten dat in wezen gelijkwaardig is aan het niveau dat binnen de Europese Unie wordt gewaarborgd.

De EDPS roept de lidstaten op ervoor te zorgen dat het recht op gegevensoverdraagbaarheid in de specifieke context van de ERGG, daadwerkelijk wordt toegepast en dat daarvoor de nodige technische voorschriften worden uitgewerkt. In dit verband is hij van mening dat een analyse nodig kan van de eventuele behoefte om de waarborgen van de AVG te integreren in andere regelgevingswaarborgen, zoals die bijvoorbeeld door het mededingingsrecht of ethische richtsnoeren worden geboden.

I. INLEIDING EN REIKWIJDTE VAN HET ADVIES

1. Op 19 februari 2020 heeft de Europese Commissie (“de Commissie”) haar mededeling over “Een Europese datastrategie” gepresenteerd ( 1 ) . Deze mededeling maakt deel uit van een pakket documenten, dat onder meer een mededeling getiteld “De digitale toekomst van Europa vormgeven” ( 2 ) en een witboek over “kunstmatige intelligentie – een Europese benadering op basis van excellentie en vertrouwen” omvat ( 3 )

2. Een van de belangrijkste initiatieven van de Europese datastrategie (“datastrategie”) is het creëren van gemeenschappelijke Europese dataruimten in strategische sectoren en gebieden van algemeen belang, met het doel overheidsdiensten en bedrijven meer mogelijkheden te bieden om toegang te krijgen tot hoogwaardige gegevens, groei te stimuleren en waarde te creëren. Meer in het algemeen sluiten de verschillende initiatieven van de datastrategie aan bij het streven van de Commissie om te waarborgen dat “[...] Europa een van de koplopers van de data-agile economie kan blijven, en tegelijk de fundamentele waarden die de basis vormen van de Europese samenleving kan eerbiedigen en bevorderen” ( 4 )

3. De EDPS heeft zijn advies 3/2020 over de Europese datastrategie (“Advies 3/2020”) uitgebracht in juni 2020 ( 5 ) , na een informele raadpleging over een ontwerpversie van de Commissie in januari 2019. In advies 3/2020 wordt de visie van de EDPS op de datastrategie uiteengezet en wordt met name ingegaan op bepaalde relevante concepten vanuit het oogpunt van gegevensbescherming, waaronder het begrip “openbaar belang”, open data, het gebruik van gegevens voor wetenschappelijk onderzoek, data-bemiddelaars, data-altruïsme en internationale gegevensuitwisseling.

4. De EDPS merkt op dat e-gezondheid een belangrijk gebied van algemeen belang is waar de datastrategie van de Commissie voorziet in de totstandbrenging van een gemeenschappelijke ruimte, namelijk de Europese ruimte voor gezondheidsgegevens (“ERGG”). Volgens de datastrategie zal de ERGG van essentieel belang zijn voor de preventie, opsporing en genezing van ziekten en voor empirisch onderbouwde beslissingen om de doeltreffendheid, toegankelijkheid en duurzaamheid van de gezondheidszorgstelsels te verbeteren ( 6 )

5. Tijdens zijn recente bijeenkomst van oktober 2020 toonde de Europese Raad zich ook ingenomen met “[...] de Europese datastrategie, die de mondiale digitale ambities van de EU om een echte Europese concurrerende data-economie op te bouwen ondersteunt, en de Europese waarden en een hoog niveau van gegevensbeveiliging, gegevensbescherming en privacy waarborgt. Hij benadrukt de noodzaak om data van hoge kwaliteit eenvoudiger beschikbaar te maken en om een betere uitwisseling en bundeling van gegevens alsook interoperabiliteit te bevorderen en mogelijk te maken. De Europese Raad is verheugd over de totstandbrenging van gemeenschappelijke Europese gegevensruimten in strategische sectoren, en verzoekt de Commissie in het bijzonder prioriteit te geven aan de ruimte voor gezondheidsgegevens, die uiterlijk eind 2021 moet zijn opgezet” ( 7 )

6. De EDPS staat volledig achter de doelstellingen om de uitwisseling van gezondheidsgegevens te bevorderen en onderzoek naar nieuwe preventieve strategieën, behandelingen, geneesmiddelen en medische hulpmiddelen aan te moedigen, maar benadrukt ook dat van meet af aan waarborgen voor de gegevensbescherming moeten worden vastgesteld. In de context van de COVID-19-pandemie ziet de Europese Unie meer dan ooit de noodzaak dat de beginselen van de algemene verordening gegevensbescherming volledig worden toegepast. In overeenstemming met de recente conclusies van de Europese Raad herinnert de EDPS aan de grondrechten op gegevensbescherming en privacy, en dringt hij erop aan dat gegevensbeschermingsbeginselen worden geïntegreerd in toekomstige e-gezondheidsoplossingen, die binnenkort een centrale rol zullen vervullen in alle Europese e-gezondheidssystemen. In dit verband benadrukt de EDPS dat gegevensbeschermingswaarborgen moeten worden ingebed in de kern van de komende ERGG teneinde de eerbiediging van de grondrechten van personen te garanderen, met inbegrip van het recht op privacy en bescherming van persoonsgegevens als bedoeld in de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie (“het Handvest”).

7. Het doel van dit voorlopige advies is bij te dragen aan de werkzaamheden van de Commissie met betrekking tot de toekomstige ERGG, met name door te bepalen welke essentiële elementen vanuit het oogpunt van gegevensbescherming in aanmerking moeten worden genomen bij de ontwikkeling van de ERGG. Dit voorlopige advies moet worden gelezen in samenhang met andere relevante adviezen van de EDPS, waaronder het advies over de Europese datastrategie ( 8 ) , het voorlopige advies over wetenschappelijk onderzoek ( 9 ) , het advies over open data ( 10 ) , het advies over het witboek van de Europese Commissie over kunstmatige intelligentie ( 11 ) en het advies van de EDPS over het voorstel voor een herschikking van de richtlijn inzake het hergebruik van overheidsinformatie ( 12 ) . Er zij op gewezen dat dit voorlopige advies niet bepalend is voor een eventueel toekomstig advies van de EDPS dat kan worden uitgebracht overeenkomstig artikel 42 van Verordening (EU) 2018/1725 over de desbetreffende toekomstige wetgevingsvoorstellen van de Commissie.

IV. CONCLUSIES EN AANBEVELINGEN

In het licht van het voorgaande formuleert de EDPS de volgende aanbevelingen:

46. De EDPS staat achter het initiatief om een gemeenschappelijke Europese ruimte voor gezondheidsgegevens tot stand te brengen en erkent de sleutelrol ervan bij het verbeteren van de toegang tot en de kwaliteit van de gezondheidszorg door de bevoegde autoriteiten te helpen bij het nemen van empirisch onderbouwde beleidsbeslissingen en door wetenschappelijk onderzoek te bevorderen. De EDPS dringt er echter op aan dat parallel aan de werkzaamheden voor de totstandbrenging van de ERGG de nodige waarborgen voor de gegevensbescherming worden vastgesteld.

47. Hij herinnert eraan dat voor alle verwerkingsactiviteiten die het gevolg zijn van de totstandbrenging van de ERGG een solide rechtsgrondslag nodig is in overeenstemming met de EU-wetgeving inzake gegevensbescherming, met name artikel 6, lid 1, AVG en artikel 9 AVG betreffende de verwerking van bijzondere categorieën gegevens.

48. De EDPS is van mening dat het toekomstige wetgevingsinitiatief inzake de ERGG ook moet bijdragen tot een vermindering van de huidige versnippering van de regels die van toepassing zijn op de verwerking van gezondheidsgegevens en wetenschappelijk onderzoek, en dus ook gericht moet zijn op het waarborgen van een rechtmatig en ethisch verantwoord gebruik en hergebruik van de gegevens binnen de ERGG.

49. De EDPS pleit ervoor dat alle belanghebbenden die betrokken zijn bij het ERGG-proces meer duidelijkheid krijgen over grenzen die zijn gesteld aan een rechtmatige verwerking en een compatibele verdere verwerking van de gegevens en dat voor meer transparantie met betrekking tot de verwerkte gegevens wordt gezorgd door de voorwaarden voor hergebruik openbaar te maken.

50. De EDPS acht het van essentieel belang dat er duidelijke regels voor de lidstaten worden vastgesteld voor de identificatie van de verwerkingsverantwoordelijken in de context van de ERGG ten aanzien van wie personen hun gegevensbeschermingsrechten kunnen uitoefenen, in overeenstemming met de huidige wetgeving (AVG en Verordening 2018/1725).

51. De EDPS dringt erop aan dat de belangrijkste betrokken actoren en de categorieën gegevens die binnen de ERGG worden verwerkt , duidelijk worden geïdentificeerd, en acht het van fundamenteel belang dat de Europese gegevensbeschermingsautoriteitenduidelijk worden betrokken bij het toezicht op en de naleving van de gegevensbeschermingsvoorschriften.

52. Hij dringt aan op de vaststelling van een alomvattende beveiligingsinfrastructuur, met inbegrip van zowel organisatorische als geavanceerde technische beveiligingsmaatregelen om de gevoelige gegevens die in de ERGG worden opgenomen, te beschermen.

53. Hij herinnert aan de essentiële rol van gegevensbeschermingseffectbeoordelingen en beveelt aan om, waar mogelijk, de resultaten van dergelijke beoordelingen openbaar te maken om vertrouwen en transparantie te versterken.

54. De EDPS dringt aan op de instelling van een krachtig mechanisme voor gegevensbeheer dat voldoende garanties biedt voor een rechtmatig, verantwoordelijk en ethisch verantwoord beheer van de gegevens die binnen de ERGG worden verwerkt.

55. Hij geeft de voorkeur aan de verwerking van gegevens door entiteiten die de Europese waarden delen, waaronder de waarden van privacy en gegevensbescherming.

56. Hij spreekt zich met klem uit voor de totstandbrenging van gegevenssoevereiniteit, waarbij in Europa gegenereerde gegevens worden omgezet in waarde voor Europese bedrijven en individuen en worden verwerkt in overeenstemming met de EU-regels en -voorschriften.

57. Hij verzoekt de Commissie ervoor te zorgen dat de belanghebbenden die aan de ERGG deelnemen, en met name de verwerkingsverantwoordelijken, geen persoonsgegevens naar derde landen doorgeven, tenzij betrokkenen wier persoonsgegevens worden doorgegeven een beschermingsniveau genieten dat in wezen gelijkwaardig is aan het niveau dat binnen de Europese Unie wordt gewaarborgd.

58. Hij verzoekt de Commissie er in haar wetgevingsvoorstel voor te zorgen dat de lidstaten de toepassing van het recht op gegevensoverdraagbaarheid waarborgen samen met de uitwerking van de nodige technische voorschriften in de ERGG die de betrokkenen de mogelijkheid bieden om dat recht daadwerkelijk uit te oefenen.

59. De EDPS beveelt aan een analyse uit te voeren van de eventuele behoefte om de waarborgen van de algemene verordening gegevensbescherming te integreren in andere regelgevingswaarborgen, zoals die bijvoorbeeld in het mededingingsrecht of ethische richtsnoeren worden geboden.

Brussel, 17 november 2020. Wojciech Rafał WIEWIÓROWSKI

(1) COM 2020 66 final https://ec.europa.eu/transparency/regdoc/rep/1/2020/NL/COM-2020-66-F1-NL-MAIN-PART-1.PDF

(2) COM(2020) 67 final, https://ec.europa.eu/transparency/regdoc/rep/1/2020/NL/COM-2020-67-F1-NL-MAIN-PART-1.PDF

(3) COM(2020) 65 final, https://ec.europa.eu/info/sites/info/files/commission-white-paper-artificial-intelligence-feb2020_nl.pdf

(4) COM (2020) 66 final https://ec.europa.eu/transparency/regdoc/rep/1/2020/NL/COM-2020-66-F1-NL-MAIN-PART-1.PDF, blz. 2.

(5) Advies 3/2020 van de EDPS over de Europese datastrategie https://edps.europa.eu/sites/edp/files/publication/20-06-16_opinion_data_strategy_en.pdf

(6) COMM 2020 66 final https://ec.europa.eu/transparency/regdoc/rep/1/2020/NL/COM-2020-66-F1-NL-MAIN-PART-1.PDF, blz. 22.

(7) See https://data.consilium.europa.eu/doc/document/ST-13-2020-INIT/en/pdf

(8) Advies 3/2020 van de EDPS over de Europese datastrategie https://edps.europa.eu/sites/edp/files/publication/20-06-16_opinion_data_strategy_en.pdf

(9) Voorlopig advies van de EDPS over gegevensbescherming en wetenschappelijk onderzoek (in het Engels): https://edps.europa.eu/sites/edp/files/publication/20-01-06_opinion_research_en.pdf

(10) Advies van de EDPS over het “Open-datapakket” van de Europese Commissie, met inbegrip van een voorstel voor een richtlijn tot wijziging van Richtlijn 2003/98/EG inzake het hergebruik van overheidsinformatie, een mededeling over open data en Besluit 2011/833/EU van de Commissie betreffende het hergebruik van documenten van de Commissie (in het Engels): https://edps.europa.eu/sites/edp/files/publication/12-04-18_open_data_en.pdf

(11) Advies 4/2020 van de EDPS over het Witboek van de Europese Commissie over kunstmatige intelligentie — Een Europese benadering op basis van excellentie en vertrouwen https://edps.europa.eu/sites/edp/files/publication/20-06-19_opinion_ai_white_paper_en.pdf

(12) Advies 5/2018 van de EDPS over het voorstel voor een herschikking van de richtlijn inzake het hergebruik van overheidsinformatie (in het Engels):https://edps.europa.eu/sites/edp/files/publication/18-07-11_psi_directive_opinion_en.pdf