Privacyrechtelijke vragen

Bij het gebruik en de ontwikkeling van big data en AI-systemen spelen, wanneer de data tevens persoonsgegevens bevat, privacy-rechtelijke vragen. Het kan dan gaan om duidelijk identificerende gegevens, maar ook om gegevens die in combinatie (met de grote hoeveelheid andere gegevens die worden samengebracht) mogelijk tot identificatie van personen kunnen leiden.

Allereerst staan de uitgangspunten van big data op enigszins gespannen voet met enkele beginselen van artikel 5 AVG. Big data eist datamaximalisatie, waar op basis van artikel 5 AVG dataminimalisatie nagestreefd dient te worden. Daarnaast is ook het transparantiebeginsel niet altijd eenvoudig in lijn te brengen met het gebruik van grote hoeveelheden gegevens uit verschillende bronnen die mogelijk op zichzelf geen identificerende gegevens bevatten, maar samengevoegd informatie tot stand brengen die tot personen herleidbaar is. Het probleem van transparantie speelt ook bij AI-systemen, omdat moeilijk te doorgronden kan zijn hoe het algoritme tot een bepaalde conclusie komt.

Een interessant initiatief om privacy-beperkingen het hoofd te bieden wanneer men van meerdere bronnen gebruik wenst te maken, betreft de Personal Health Train (PHT).

Personal Health Train | Health-RI en Onderzoeksrapport: Toepassing van de Personal Health Train in de zorg | Rapport | Zorginstituut Nederland.

Dit systeem neemt als uitgangspunt dat data niet vanuit verschillende bronnen naar de ontwikkelaar of onderzoeksinstantie gaat, maar dat de onderzoeksvraag de verschillende databronnen (‘stations’) langs gaat. Gevoelige data blijven dan in de bronbestanden, die door het onderzoeksalgoritme ‘bezocht’ worden. De data wordt daarbij aangeboden volgens de principes van FAIR (Findable, Accessible, Interoperable and Reusable).

Par 2.1 Verdiepend onderzoek PHT door Pels Rijcken op verzoek van ZIN.

Hoewel in veel gevallen nog altijd sprake zal zijn van de verwerking van gezondheidsgegevens, is de impact met gebruikmaking van dit systeem veel kleiner. In het onderzoeksrapport “Toepassing van de Personal Health Train in de Zorg”, worden de privacyrechtelijke randvoorwaarden voor de inzet van de PHT nader uitgewerkt.

Pels Rijcken & Droogleever Fortuijn N.V., Van Graafeiland, M., & Bontje, N. (2020, oktober). Toepassing van de Personal Health Train in de zorg. Zorginstituut Nederland. https://www.zorginstituutnederland.nl/publicaties/rapport/2020/10/07/pels-rijcken-rapport-toepassing-pht-in-de-zorg#:~:text=De%20PHT%20heeft%20potentie%20als,veel%20vraagstukken%2C%20waaronder%20juridische%20uitdagingen.

Verder worden AI-systemen getraind door ze te voeden met de werkelijkheid. Daarbij kan het gaan om longscans, foto’s van huidaandoeningen en verwondingen (al dan niet voorzien van aanvullende informatie over de cliënt), maar ook om informatie die tot een bepaalde psychische diagnose heeft geleid. Bij het ter beschikking stellen van gegevens is het van belang dat de verschafte gegevens daadwerkelijk anoniem zijn (zie daarover Hoofdstuk 7), waarbij ook van belang is te onderkennen dat anonimisering zelf ook een verwerking is (zie daarover meer in Hoofdstuk 2), dan wel dat voor de verwerking (in het kader van wetenschappelijk onderzoek) een deugdelijke zelfstandige grondslag bestaat (zie daarvoor Hoofdstuk 5).

Als een medisch hulpmiddel dat AI toepast in gebruik wordt genomen, is denkbaar dat cliëntgegevens die door het AI-systeem worden beoordeeld dienen te worden geüpload op servers van de leverancier. Voor de aanbieder zal het wenselijk zijn om het AI-systeem – terwijl het ingezet wordt – verder te vervolmaken met de informatie die het systeem dient te beoordelen. Dat is een ander doel dan het oorspronkelijke doel, de zorgverlening aan de cliënt. Voor ingebruikname van een dergelijk systeem dient de zorgaanbieder zich rekenschap te geven van de uitwisseling van (bijzondere) persoonsgegevens die het gebruik van het systeem meebrengt.