Brussel, COMMISSIE VOOR DE BESCHERMING VAN DE PERSOONLIJKE LEVENSSFEER BERAADSLAGING Nr 19 / 2004 van 14 juni 2004

Transcriptie

1 KONINKRIJK BELGIE Brussel, Adres : Hallepoortlaan 5-8, B-1060 Brussel Tel. : +32(0)2/ commission@privacy.fgov.be Fax.: : +32(0)2/ COMMISSIE VOOR DE BESCHERMING VAN DE PERSOONLIJKE LEVENSSFEER BERAADSLAGING Nr 19 / 2004 van 14 juni 2004 O. Ref. : SA2 / RN / 2004 / 026 BETREFT : Beraadslaging betreffende de aanvraag om toegang door de Katholieke Universiteit Leuven Faculteit geneeskunde Departement Moleculair en Cardiovasculair Onderzoek Studiecoördinatiecentrum Hypertensie en Cardiovasculaire revalidatie tot bepaalde informatiegegevens van het Rijksregister van de natuurlijke personen in het kader van een prospectief bevolkingsonderzoek aangaande de invloed van omgevingsfactoren en erfelijke voorbeschiktheid op het ontstaan van cardiovasculaire aandoeningen, in het bijzonder hypertensie. De Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen; Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, inzonderheid artikel 31bis; Gelet op de wet van 25 maart 2003 tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen en van de wet van 19 juli 1991 betreffende de bevolkingsregisters en de identiteitskaarten en tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, inzonderheid art. 19, 3; Gelet op het Koninklijk Besluit van 17 december 2003 tot vaststelling van de nadere regels met betrekking tot de samenstelling en de werking van bepaalde sectorale comités opgericht binnen de Commissie voor de bescherming van de persoonlijke levenssfeer, inzonderheid artikel 18; Gelet op de aanvraag van de faculteit Geneeskunde van de Katholieke Universiteit Leuven, departement Moleculair en Cardiovasculair Onderzoek, Studiecoördinatiecentrum Hypertensie en Cardiovasculaire revalidatie, ontvangen op 18 maart 2004, en aangevuld door inlichtingen ontvangen op 11 mei 2004 en 18 mei 2004; Gelet op het juridisch en technisch advies van de Federale Overheidsdienst Binnenlandse Zaken, ontvangen op 3 juni 2004; DEL 19/ / 8

2 Gelet op het verslag van de voorzitter; Brengt op 14 juni 2004 volgende beslissing, na deliberatie uit: I. VOORWERP VAN DE AANVRAAG In het kader van een prospectief bevolkingsonderzoek Noorderkempen dat sedert 1985 loopt verzoekt het studiecoördinatiecentrum Hypertensie en Cardiovasculaire revalidatie van het Departement Moleculair en Cardiovasculair Onderzoek van de Faculteit geneeskunde van de Katholieke Universiteit Leuven toegang tot de informatiegegevens bedoeld in artikel 3, eerste lid, 5, 6 en 9, en tweede lid van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen. II. ONDERZOEK VAN DE AANVRAAG A. TOEPASSELIJKE WETGEVING. - Wet van 8 augustus Overeenkomstig art. 5, lid 1, 2 van de wet van 8 augustus 1983 wordt de machtiging om toegang te verkrijgen van de informatiegegevens bedoeld in artikel 3, eerste en tweede lid verleend door het sectoraal comité van het Rijksregister (de Commissie) aan openbare en private instellingen van Belgisch recht voor de informatie die zij nodig hebben voor het vervullen van taken van algemeen belang die hen zijn toevertrouwd door of krachtens een wet, een decreet of een ordonnantie of voor taken die uitdrukkelijk als zodanig erkend worden door het voormelde sectoraal comité. De Katholieke Universiteit Leuven, die als dergelijke instelling dient te worden beschouwd, komt aldus in aanmerking om te worden gemachtigd mededeling te verkrijgen van de informatiegegevens opgenomen in het Rijksregister, gelet op het feit dat het beoogde onderzoek dient te worden beschouwd als een taak van algemeen belang. - Wet van 8 december 1992 (WVP). Op grond van art. 4 van de wet van 8 december 1992 vormen de informatiegegevens van het Rijksregister persoonsgegevens, waarvan de verwerking slechts is toegelaten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De persoonsgegevens dienen bovendien toereikend, ter zake dienend en niet overmatig te zijn, uitgaande van de doeleinden waarvoor zij worden verwerkt. DEL 19/ / 8

3 B. FINALITEIT. De toegang tot bepaalde informatiegegevens van het Rijksregister wordt gevraagd naar aanleiding van een bevolkingsonderzoek Noorderkempen, m.i.b. Noord-Limburg, dat sedert 1985 loopt. Het is een onderzoek met een prospectief karakter waarvan het doel erin bestaat om na te gaan welke rol omgevingsfactoren en erfelijke voorbeschiktheid spelen in het ontstaan van cardiovasculaire aandoeningen, in het bijzonder hypertensie. Teneinde het doel van dit onderzoek te realiseren moeten de personen die aan het onderzoek meewerken, kunnen gevolgd worden. Hieruit volgt dat het nagestreefde doeleinde een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doeleinde betreft in de zin van art. 4, 1, 2 van de wet van 8 december C. PROPORTIONALITEIT. C.1. Ten opzichte van de gegevens De informatiegegevens tot dewelke toegang wordt gevraagd, namelijk de hoofdverblijfplaats, de plaats en datum van overlijden en de gezinssamenstelling (art. 3, eerste lid, 5, 6 en 9 van de wet van 8 augustus 1983) zijn noodzakelijk om de personen die meewerken aan het onderzoek en die dus instemden dat hun gezondheidstoestand zou gevolgd worden. - Het gegeven adres is noodzakelijk om contact te kunnen blijven houden met de personen die aan het onderzoek meewerken. Het onderzoek strekt zich uit over een tijdspanne van enkele tientallen jaren. Tijdens die periode zijn heel wat deelnemers aan het onderzoek verhuisd zonder aan de onderzoekers hun nieuw adres door te geven. Het is dus voor het onderzoek noodzakelijk dat dit contact kan hersteld worden. Voor dit gegeven wordt toegang gevraagd tot de actuele gegevens en de historische gegevens tot op de datum van de eerste deelname. Dit betekent maximaal tot Het gegeven plaats en datum van overlijden. Tijdens de looptijd van het onderzoek zullen een aantal deelnemers aan dit onderzoek overlijden. In het kader van het onderzoek is het belangrijk om de onmiddellijke en onderliggende doodsoorzaak te kennen. Daartoe moeten de ICD-codes (International Classification of Diseases) opgevraagd worden. De overlijdensdatum is één van de elementen om deze codes op een geanonimiseerde wijze te kunnen opvragen naast het nummer van de overlijdensakte. Dit laatste gegeven is evenwel een informatie die niet in het Rijksregister is opgenomen. Voor dit gegeven wordt toegang tot de actuele en historische gegevens gevraagd. Dit is een gegeven dat niet evolueert. Ofwel staat het niet ingevuld omdat de betrokkene nog in leven is ofwel is het ingevuld omdat de betrokkene overleden is. Andere mogelijkheden zijn er niet. Toegang tot het actuele gegeven is dus voldoende. - Het gegeven samenstelling van het gezin. Gelet op het element erfelijke voorbeschiktheid in het onderzoek en het feit dat de staaltrekking per familie gebeurde, is het voor het onderzoek relevant dat de wijzigingen in de gezinssituatie kunnen nagegaan worden. DEL 19/ / 8

4 Voor dit gegeven wordt toegang tot de actuele en historische gegevens gevraagd. De methodologie van het onderzoek vereist een staaltrekking per familie. Bijgevolg is het belangrijk om de wijzigingen in de gezinssituatie te kunnen nagaan. Alhoewel het voor dit gegeven niet uitdrukkelijk werd opgegeven, gaat de Commissie ervan uit dat de historiek van dit gegeven eveneens teruggaat tot de eerste deelnamen zijnde Hieruit dient te worden afgeleid dat gevolg wordt gegeven aan art. 4, 1, 3 WVP. Vanzelfsprekend kan een eventuele machtiging tot toegang tot de gegevens vermeld in artikel 3, eerste lid, 5, 6 en 9, en tweede lid (uitz. voor eerste lid, 6 ) van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, uitsluitend betrekking hebben op de personen die deelnemen aan het onderzoek van de aanvrager. Dit betekent dat indien inzake een machtiging tot toegang wordt verstrekt, de aanvrager aan de diensten van het Rijksregister een lijst houdende de identiteit van de personen die aan het onderzoek deelnemen moet verstrekken vooraleer die toegang operationeel wordt. C.2. Ten opzichte van de duur en de frequentie waarvoor de toegang gevraagd wordt Er wordt toegang tot het Rijksregister gevraagd voor een periode van 10 jaar. Hieruit kan afgeleid worden dat het onderzoek dat in 1985 van start ging omstreeks 2014 zal afgerond worden zodat het in het totaal een periode van ca 30 jaar zal omvatten. De eventuele invloed van de omgevingsfactoren en de erfelijke voorbeschiktheid op het ontstaan van hypertensie, is immers een element dat pas na het verloop van een zekere tijd zal kunnen onderkend worden. De Commissie stelt vast dat in het licht van het doeleinde waarvoor de toegang wordt gevraagd, de periode voor dewelke toegang gevraagd wordt, noodzakelijk is voor de verwezenlijking van het doeleinde (art. 4, 1, 3 WVP). Er wordt voor elk van de geviseerde gegevens 1 keer per jaar een toegang gevraagd. Dit laat de aanvrager toe om jaarlijks zijn persoonsgegevens bij te werken (art. 4, 1, 4 WVP) en in functie van die aangepaste gegevens bijkomende onderzoeksverrichtingen te stellen, noodzakelijk voor de verwezenlijking van het doeleinde (art. 4, 1, 3 WVP). C.3. Ten opzichte van de bewaartermijn De aanvrager stelt als bewaartermijn van de gegevens ten minste 20 jaar voor. Hierbij wordt niet aangegeven of die termijn ingaat vanaf het ogenblik dat het bewaarde gegeven wordt verkregen dan wel of hij ingaat vanaf het ogenblik dat het onderzoek wordt afgesloten. Zoals hiervoor onder punt C.2. werd aangestipt, wordt een toegang tot de informatiegegevens van het Rijksregister gedurende een periode van 10 jaar gevraagd, waaruit kan afgeleid worden dat het onderzoek omstreeks 2014 zal worden beëindigd. De Commissie stelt vast dat de door de aanvrager vooropgestelde bewaringstermijn van de persoonsgegevens van minstens 20 jaar te lang is rekening houdend zowel met de vermoedelijke duur van het onderzoek als met de verwezenlijking van de doeleinden waarvoor zij worden verkregen en bijgevolg niet in overeenstemming is met artikel 4, 1, 5 WVP. De Commissie is van oordeel dat een bewaringstermijn die eindigt 2 jaar na het verstrijken van de periode voor dewelke de toegang tot de informatiegegevens van het Rijksregister DEL 19/ / 8

5 wordt gevraagd, gepast is. Het laat de onderzoekers de tijd om conclusies te trekken en rapporten op te stellen. De aanvrager verwijst naar de Good Clinical Practice regelgeving om de vooropgestelde bewaartermijn te rechtvaardigen. De Europese richtlijn nr. 2001/20/EC dd 4 april 2001 betreffende de onderlinge aanpassing van de wettelijke en bestuursrechterlijke bepalingen van de lidstaten inzake de toepassing van goede klinische praktijken bij de uitvoering van klinische proeven met geneesmiddelen voor menselijk gebruik (Publicatieblad Europese Gemeenschappen, 2001, L121, blz. 34) is in casu niet van toepassing. Artikel 1.1. van deze richtlijn zegt uitdrukkelijk dat de richtlijn specifieke bepalingen vaststelt voor de uitvoering van klinische proeven, met inbegrip van gespreid uitgevoerde proeven, op mensen in verband met geneesmiddelen. Uit de aanvraag blijkt dat de onderzoekers geen klinische proeven op mensen uitvoeren in verband met geneesmiddelen. Ze beperken zich tot het opvolgen van de gezondheidstoestand met het oog op het onderzoek van de eventuele invloed van omgevingsfactoren en de erfelijke voorbeschiktheid op hypertensie. De aanvrager merkt verder op dat de gegevens geanonimiseerd worden en op confidentiële wijze verwerkt worden conform aan de verklaring van Helsinki. Basisprincipe 21 van deze verklaring luidt als volgt : «The right of research subjects to safeguard their integrity must always be respected. Every precaution should be taken to respect the privacy of the subject, the confidentiality of the patient s information and to minimize the impact of the study on the subject s physical and mental integrity and on the personality of the subject.». Dit basisprincipe maakt enkel gewag van respect voor de privacy van de deelnemer en de vertrouwelijkheid van de informatie m.b.t. de patiënt. Er worden geen begrippen gedefinieerd, noch aangestipt wat dit concreet inhoudt. De aanvrager zegt wel dat deze gegevens geanonimiseerd worden maar het is niet duidelijk of de gegevens geanonimiseerd zijn in de zin van artikel 1, 5, van het koninklijk besluit van 13 februari 2001 ter uitvoering van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens. Gelet op het feit dat de toegang tot een aantal informatiegegevens van het Rijksregister gevraagd wordt om persoonsgegevens te actualiseren, wijst dit erop dat de gegevens niet in een anonieme vorm worden bijgehouden daar ze nog steeds in verband kunnen gebracht worden met een geïdentificeerd of identificeerbare persoon. De opgevraagde gegevens zullen uitsluitend binnen de onderzoeksgroep gebruikt worden en zullen nooit aan derden meegedeeld worden. D. BEVEILIGING. D.1. Consulent inzake informatieveiligheid De Commissie herinnert eraan dat overeenkomstig artikel 10 van de wet van 8 augustus 1983 de begunstigde van een machtiging een consulent inzake informatieveiligheid en bescherming van de persoonlijke levenssfeer moet aanduiden die onder meer de functie vervult van aangestelde voor de gegevensbescherming (artikel 17 bis van de WVP). De identiteit van deze consulent dient aan het sectoraal comité te worden meegedeeld. De aanvrager deelde de identiteit van de consulent inzake informatieveiligheid mee aan de Commissie en verschafte dienaangaande de volgende inlichtingen: - hij is jurist sedert 1983 en is vertrouwd met de wetgeving ter bescherming van de persoonsgegevens en het Rijksregister - als adviseur van de rector heeft hij als taak adviseren m.b.t. het beleid inzake maatregelen ter bescherming van de persoonlijke levenssfeer evenals adviseren bij het DEL 19/ / 8

6 indienen van concrete dossiers bij de commissie voor de bescherming van de persoonlijke levenssfeer - hij is lid van de staf van het rectoraat evenals lid van de ICTS-raad die overkoepelend binnen de instelling het informaticabeleid adviseert - hij waarborgt autonoom en zelfstandig de respectering van de wetgeging binnen de instelling en staat individuele onderzoekers bij met het oog op het respecteren van de wetgeving - hij volgde de afgelopen jaren geregeld bijscholing o.a. bij professor Dumortier - hij zal die taak deeltijds uitoefenen naast zijn taak - binnen de universiteit als juridisch adviseur van het rectoraat, voor de dienst onderwijsbeleid en voor de dienst internationale relaties ; - tijdelijk raadgever op het kabinet van de Vlaamse Minister voor Binnenlandse aangelegenheden, cultuur, jeugd en ambtenarenzaken. M.b.t. het informatieveiligheidsbeleid deelde de aanvrager het volgende mee: - Er bestaan regels en een beleid met betrekking tot de technische afscherming van het netwerk. Er werd aan de Commissie geen enkel document of inlichting verschaft waaruit zulks blijkt. - Er bestaan regels en een beleid ter inhoudelijke vrijwaring van het deontologisch gebruik van het netwerk. Dit werd geconcretiseerd in: - een gedragslijn voor het personeel inzake het gebruik van de ICT-middelen aan de K.U.Leuven (die op de website van de K.U.Leuven kan geraadpleegd worden); - de oprichting van de Commissie netwerkdeontologie die waakt over het gebruik van ICT-middelen (samenstelling, bevoegdheden kunnen eveneens op de website van de K.U.Leuven geraadpleegd worden). - Binnen het LUDIT-budget (LUDIT is de dienst die de informaticatoepassingen coördineert voor de K.U.Leuven) is voor 2004 een bedrag van meer dan euro voorzien voor de veiligheidproblematiek. - De Commissie stelt evenwel vast dat geen informatie werd verschaft betreffende het bestaan van een informatieveiligheidsplan dat betrekking heeft op de beveiliging van de verzamelde gegevens in het kader van het concreet voorliggende onderzoek. D.2. Technische veiligheidsmaatregelen De aanvrager maakt enkel gewag van het bestaan van regels en een beleid tot de technische afscherming van het netwerk. Er wordt aan de Commissie geen enkel document of inlichting verschaft waaruit zulks blijkt. Over het bestaan van andere technische veiligheidsmaatregelen wordt met geen woord gerept. D.3. Personen die toegang hebben tot de informatiegegevens en lijst van deze personen De Commissie wijst op de verplichting verwoord in de bepalingen van art. 12 van de wet van 8 augustus 1983 en herinnert eraan dat de lijsten van de personen voor wie de machtiging geldt ter beschikking van de Commissie moeten worden gehouden. DEL 19/ / 8

7 In dit verband stipt de Commissie aan dat het de voorkeur verdient dat de personen die gemachtigd zullen zijn de toegang tot of mededeling van de informatiegegevens te verkrijgen, niet meer op basis van organieke criteria zouden worden aangeduid, maar dat hiervoor functionele criteria worden aangewend. Het is bijgevolg beter de formule aan te houden dat de machtiging geldt voor de personen die ingevolge hun ambtuitoefening en hun functieomschrijving genoodzaakt zijn de informatiegegevens te gebruiken. Dit houdt bijvoorbeeld concreet in dat de machtiging kan gelden voor bepaalde (ondergeschikte) medewerkers binnen een organisatie, maar niet voor het diensthoofd. Uit de aanvraag blijkt dat de personen die toegang tot de informatiegegevens van het Rijksregister zullen verkrijgen, beperkt is tot de leider van het onderzoek en een wetenschappelijke onderzoeker. De namen van deze personen worden meegedeeld van zodra eventuele machtiging operationeel wordt. Uit deze vaststelling, evenals het feit dat deze personen een overeenkomst dienen te ondertekenen, waarin zij zich ertoe verbinden om: - enerzijds de deontologische regels verbonden aan hun functie als wetenschappelijk onderzoeker in acht te nemen, in het bijzonder het vertrouwelijke karakter van de informatiegegevens te bewaren, en - anderzijds er over te waken dat bij de verspreiding van gegevens en de publicatie van de onderzoeksresultaten de identificatie van de natuurlijke personen onmogelijk is, volgt dat is voldaan aan de vereisten gesteld in art. 12, 2 van de wet van 8 augustus 1983, in de mate dat deze effectief worden uitgevoerd. E. ALGEMENE OPMERKING M.B.T. HET ONDERZOEK De machtiging tot toegang tot deze gegevens van het Rijksregister vormt slechts één schakel in het onderzoek. De Commissie stelt zich wel vragen bij andere schakels in dit onderzoek : - er wordt niet vermeld hoe de personen die reeds hun medewerking verlenen gerekruteerd werden en evenmin, zo er nog personen aan het onderzoek zullen toegevoegd worden, hoe die zullen gerecruteerd worden; - er wordt niet aangetoond of de volwassen gezinsleden die aan het onderzoek deelnemen daar schriftelijk in toestemden (art. 7, 2, a), WVP); - de wijze van opvragen van de doodsoorzaken en de eventuele codering ervan OM DEZE REDENEN, De Commissie Machtigt de faculteit Geneeskunde van de Katholieke Universiteit Leuven, departement Moleculair en Cardiovasculair Onderzoek, Studiecoördinatiecentrum Hypertensie en Cardiovasculaire revalidatie om in het kader in het kader van een prospectief bevolkingsonderzoek aangaande de DEL 19/ / 8

8 invloed van omgevingsfactoren en erfelijke voorbeschiktheid op het ontstaan van cardiovasculaire aandoeningen, in het bijzonder hypertensie om : 1 de mededeling van de informatiegegevens van het Rijksregister met het oog op het verkrijgen van de informatiegegevens bedoeld in artikel 3, eerste lid, 5, ten einde de schriftelijke toestemming te bekomen van de personen van die aan dit onderzoek meewerken; 2 na voorlegging aan het Rijksregister van de lijst van de personen die hun schriftelijke toestemming hebben verleend, eenmaal per jaar toegang te verkrijgen van de informatiegegevens bedoeld in artikel 3, eerste lid, 5, 6 en 9, en tweede lid (met uitzondering van eerste lid, 6 ), van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, en dit voor een periode van 10 jaar. Deze machtiging zal evenwel slechts uitwerking krijgen nadat de Commissie, op basis van de door de aanvrager verstrekte stukken en inlichtingen heeft vastgesteld dat : - de aanvrager zich er uitdrukkelijk toe verbindt de door de Commissie toegestuurde lijst met betrekking tot de minimale veiligheidsvereisten waarheidsgetrouw in te vullen en ondertekend terug te bezorgen aan de Commissie ; - de aanvrager zich er uitdrukkelijk toe verbindt de persoonsgegevens niet langer te bewaren dan 12 jaar. De secretaris De voorzitter (get.) J. BARET (get.) P. THOMAS DEL 19/ / 8