Paniek! Morgen gaat officieel de nieuwe Europese privacywet in, de Algemene verordening gegevensbescherming. Sinds een paar weken struikelen we over de cookiemeldingen op websites en slaan organisaties ons om de oren met smeekmails om hun nieuwsbrieven te mogen blijven sturen. Maar ook voor onderzoekers heeft de nieuwe wet gevolgen.
“De nieuwe wet geldt voor elk onderzoek dat met persoonsgegevens te maken heeft”, zegt privacyjurist van de VU Tom Paffen. “Bijvoorbeeld gegevens over het welzijn van mensen, over genetische kenmerken, over schoolprestaties, noem maar op. In de oude Wet bescherming persoonsgegevens stond al wat je met die gegevens mag doen en wat niet. Die regels veranderen niet, dus tachtig procent van wat in de nieuwe wet staat, hadden we al. We moeten nu alleen nog naar honderd procent.”
Privacy-event op de campus op 25 mei
Petra Tolen, Tom Paffen en Hilde van Wijngaarden geven vrijdag 25 mei presentaties over de verschillen tussen de oude en nieuwe privacywet en de gevolgen van de wet voor het delen van onderzoeksdata. Ze zijn vanaf 10 uur te vinden in de vrachtwagen van onderwijs-ICT-organisatie Surf op het campusplein, tijdens de Surf Research Roadshow. De 10 belangrijkste privacyregels bij onderzoek zijn alvast te vinden op VUnet.
Zijn collega Petra Tolen, met wie Paffen inmiddels twee jaar bezig is om de VU voor te bereiden op de nieuwe privacyregels, voegt toe: “Wat verandert, is dat een wetenschapper moet kunnen aantonen dat de gegevens juist gebruikt worden, dus de administratie moet in orde zijn. En onderzoekers moeten transparanter zijn over wat ze met de gegevens doen. Dat komt vaak overeen met ethische richtlijnen, dus veel mensen op de VU doen het al goed, maar het is nu ook officieel.”
Bestaande datasets
De nieuwe regels gelden niet alleen voor onderzoek dat loopt of dat in de startblokken staat, maar ook voor al bestaande datasets. Dat zou nog wel problemen kunnen opleveren. Hilde van Wijngaarden, directeur van de Universiteitsbibliotheek VU: “Het is een heel complex verhaal voor bijvoorbeeld het Tweelingenregister. Dat verzamelt al twintig jaar biomedische en psychologische gegevens van tweelingen. Het is juist die lange termijn die de grote meerwaarde vormt voor dit onderzoek. Maar ze kunnen moeilijk teruggaan naar alle mensen die hen twintig jaar geleden toestemming gaven om hun gegevens te gebruiken.”
Volgens Van Wijngaarden zal dat type onderzoek ingewikkelder worden door de wet. En ook samenwerken en onderzoeksgegevens delen worden lastiger. “Data met persoonsgegevens of die te herleiden zijn tot een persoon, mogen niet zomaar gedeeld worden. Maar als je het op de goede manier doet, is er nog wel veel mogelijk. Onderzoekers moeten niet bang zijn dat ze helemaal niks meer kunnen delen. Het is wel van belang van tevoren goed te inventariseren wat wel en niet mogelijk is.”
Data openbaar maken
De nieuwe privacywet druist wat dat betreft in tegen de trend in de wetenschap om onderzoeksdata openbaar te maken. Met open science willen wetenschappers hun onderzoek beter controleerbaar en repliceerbaar maken. Maar dat is mogelijk wel een inbreuk op de privacy van individuen die meededen aan dat onderzoek.
Geen toestemming
Een wetenschapper mag ook zonder toestemming persoonsgegevens verwerken, maar alleen als het wetenschappelijk belang gerechtvaardigd is en er geen sprake is van een onevenredige inbreuk op de privacy. “Dat gaat bijvoorbeeld om situaties waarin je niet wilt dat mensen weten dat je onderzoek aan het doen bent, bijvoorbeeld als je gedrag observeert op straat”, zegt privacyjurist Petra Tolen. “Maar dat mag alleen als de inbreuk op de privacy beperkt is.”
“We zitten nu in de situatie waarin we nog niet precies weten hoe de beleidsdoelen voor open science, waar bijvoorbeeld ook subsidievertrekkers steeds meer belang aan hechten, zich verhouden tot privacy”, zegt Van Wijngaarden. “Dat moeten we nog uitzoeken. Maar laat mensen dat vooral niet alleen gaan doen. Hulp is beschikbaar.”
Op de VU zijn inmiddels voor elke faculteit en dienst privacy champions aangesteld bij wie medewerkers langs kunnen als ze vragen hebben over privacy. Voor studenten die onderzoek doen, komt er ook aandacht. “We hebben ze wel op ons netvlies en we geven ook trainingen voor studenten”, zegt Tolen, “maar ze zijn nu niet de eerste doelgroep. We zijn nu eerst aan het zorgen dat alles goed geregeld is binnen de Stichting VU.”