Het delen van persoonsgegevens binnen de UGent

Onderzoeksdata met persoonsgegevens kunnen onder bepaalde voorwaarden binnen de UGent gedeeld worden met met collega-onderzoekers (binnen of buiten je eigen onderzoeksproject) voor een verdere verwerking of hergebruik. Het is belangrijk om deze doorgifte van data te documenteren en te motiveren in het AVG register. Vergeet ook niet om voor elke nieuwe verwerking door jezelf of door collega-onderzoekers binnen de UGent het AVG-register opnieuw in te vullen.

Wat zijn de voorwaarden voor hergebruik van persoonsgegevens?

• Er moeten voldoende technische en organisatorische maatregelen genomen worden zoals pseudonimisering van de data, beperking van de toegang tot de data, encryptie, …
• Het beginsel van minimale gegevensverwerking moet gerespecteerd worden (verzamel niet meer persoonsgegevens dan nodig en geef ook niet meer persoonsgegevens door dan nodig).
• Als het onderzoeksdoel van het hergebruik bereikt kan worden met anonieme gegevens, heeft dat absoluut de voorkeur.
• Het hergebruik moet binnen het verwachtingspatroon van de betrokkenen vallen.
• Indien de gegevens oorspronkelijk verzameld werden op basis van de toestemming van de betrokkene, moet er ook toestemming gevraagd zijn voor hergebruik.

Het delen van persoonsgegevens buiten de UGent

Indien de data gedeeld worden met personen buiten de UGent is het noodzakelijk om tot een overeenkomst te komen. Hierin wordt zowel de inhoud van de doorgifte besproken als wat er met de data mag en zal gebeuren. Op basis van de rollen die de betrokken instellingen of personen opnemen in de verwerking van persoonsgegevens  tijdens of na je onderzoek worden een aantal mogelijke overeenkomsten onderscheiden:

• Indien je binnen een onderzoeksproject samenwerkt met een verwerker of indien je zelf de rol van verwerker opneemt, moet er een verwerkersovereenkomst opgesteld worden. In een verwerkersovereenkomst wordt vastgelegd hoe de persoonsgegevens kunnen worden verwerkt, wie toegang heeft en voor welk exacte doel ze gebruikt kunnen worden. Bijvoorbeeld: in het kader van industrie gesponsord onderzoek is de farmaceutische firma sponsor van de klinische studie en zal deze optreden als verwerkingsverantwoordelijke. Bijgevolg zijn UGent en/of UZ Gent verwerker(s).
• Indien naast de UGent nog een andere onderzoeker, instelling of organisatie verwerkingsverantwoordelijke is (dwz. gezamenlijke of aparte verwerkingsverantwoordelijke) dien je in (een addendum bij) de  consortiumovereenkomst of samenwerkingsovereenkomst vast te leggen wie waarvoor wel of niet verantwoordelijk is.
• Wanneer (persoons)gegevens worden overgedragen tussen twee onderzoekers, instellingen of organisaties waarbij de  andere partij de gegevens opnieuw gebruikt voor eigen doeleinden wordt een data transfer agreement opgesteld. Net zoals in een verwerkersovereenkomst wordt in de data transfer agreement vastgelegd hoe de persoonsgegevens kunnen worden verwerkt, wie toegang heeft en voor welk exacte doel ze gebruikt kunnen worden. Bij een doorgifte naar een derde land, moet er in de data transfer agreement vermeld worden dat het een incidentele doorgifte betreft voor die studie en dat de patiënt uitdrukkelijk en geïnformeerd toestemde met deze doorgifte van persoonsgegevens.
• Wanneer andere onderzoekers je data (die persoonsgegevens bevatten) na je onderzoek willen hergebruiken zal er een data use agreement (DUA) opgesteld worden. In deze overeenkomst wordt duidelijk vastgelegd onder welke voorwaarden jouw data hergebruikt kunnen worden.

Voor het opstellen van deze contracten kan je contact op nemen met de juridische ondersteuningsdienst van TechTransfer.

Naast de rollen die de onderzoekers, instellingen en organisaties opnemen, kan ook het land waarin deze onderzoekers, instellingen of organisaties  gevestigd zijn, bepaalde eisen of voorwaarden stellen aan de  doorgifte van data. Bekijk zeker de onderzoekstip over doorgifte naar andere landen of internationale organisaties.