Primaire vs. secundaire verwerking

Wanneer je binnen je onderzoek persoonsgegevens rechtstreeks van de betrokkenen verzamelt met een specifieke doelstelling voor ogen, gaat het om een primair gebruik van persoonsgegevens.

Bij verder of secundair gebruik van persoonsgegevens worden, in een onderzoeksproject, de persoonsgegevens niet rechtstreeks bij de betrokkenen verzameld. Het hergebruiken van onderzoeksgegevens, die je zelf hebt verzamelt in een bepaald onderzoek, voor een ander onderzoek is ook een verder of secundair gebruik van persoonsgegevens. In deze gevallen maak je namelijk  gebruik van persoonsgegevens die aanvankelijk voor een ander doeleinde of onderzoeksproject werden verwerkt.

Enkele voorbeelden van secundair of verder gebruik zijn:

• de persoonsgegevens werden eerder door jou verzameld voor een ander onderzoeksproject, maar je wil deze hergebruiken in een volgend onderzoek om ze voor een andere onderzoeksvraag te verwerken;
• de persoonsgegevens werden verzameld in het kader van een ander onderzoeksproject aan de UGent;
• de persoonsgegevens werden eerder verzameld door een derde partij van wie je de gegevens ontvangt voor gebruik in jouw onderzoek.

Gepseudonimiseerde gegevens

Opgelet! Indien je gepseudonimiseerde gegevens ontvangt (jij of de instelling van wie je de gegevens ontvangt kunnen de betrokken personen wel nog identificeren, bijvoorbeeld door gebruik te maken van een sleutel, code of aanvullende informatie), dan blijf je onderworpen aan de regels van de Algemene Verordening Gegevensbescherming (AVG).

Enkel indien je de gegevens anoniem ontvangt, vallen verwerkingen met deze gegevens niet onder de AVG/privacywetgeving. Anoniem betekent dat de betrokkenen door geen enkele persoon en op geen enkele wijze nog kunnen geïdentificeerd worden.

Verenigbaarheid met oorspronkelijke doeleinden

In de eerste plaats vereist de AVG dat, ook bij secundaire verwerking van persoonsgegevens, de verwerking in het kader van jouw onderzoek gebaseerd is op één van de zes rechtsgronden uit de AVG. Bij verwerking van bijzondere categorieën van persoonsgegevens dient er bovendien een uitzonderingsgrond uit artikel 9 AVG van toepassing te zijn.

Indien de oorspronkelijke verwerking berustte in de toestemming van de betrokkene(n), dien je na te gaan of deze toestemming ook het doel van het secundair gebruik of hergebruik (nl. wetenschappelijk onderzoek) dekt.

Wanneer de oorspronkelijke toestemming de verdere verwerking (voor wetenschappelijk onderzoek) niet dekt, dan zal je een andere rechtsgrond dienen te zoeken voor deze verdere verwerking.

In de tweede plaats mogen verzamelde gegevens niet verder op een met de oorspronkelijke doeleinden onverenigbare wijze worden verwerkt. Als onderzoeker dien je dus, in het geval van secundaire verwerking, een verenigbaarheidstoets uit te voeren.

De AVG bepaalt wel een “vermoeden van verenigbaarheid” wanneer gegevens verder worden verwerkt met het oog op wetenschappelijk onderzoek. Dit betekent dat, wanneer  persoonsgegevens verder verwerkt worden voor wetenschappelijk onderzoek, de verenigbaarheid wordt verondersteld. De verwerking met het oog wetenschappelijk onderzoek dient wel onderworpen te zijn aan passende waarborgen in overeenstemming met deze AVG voor de rechten en vrijheden van de betrokkene (artikel 89 AVG).

Het is echter het aangeraden om, ook bij wetenschappelijk onderzoek, na te gaan of het verder gebruik binnen het verwachtingspatroon van de betrokkene(n) valt. Er kan daarbij op de volgende punten worden gelet:

• Het verband tussen het oorspronkelijk doel en het nieuwe doel;
• De context waarin de gegevens zijn verzameld;
• De soort en aard van de gegevens (betreffen het gevoelige gegevens?);
• De mogelijke gevolgen van het secundair gebruik (wat zijn de gevolgen voor de betrokkene?);
• Het bestaan van voldoende technische en organisatorische maatregelen (zo dient er bij voorkeur met anonieme gegevens gewerkt te worden en dienen gegevens zo snel als mogelijk gepseudonimiseerd te worden).

Indien het gebruik niet binnen het verwachtingspersoon van de betrokkene(n) valt, zullen de gegevens niet rechtmatig verder verwerkt kunnen worden.

We raden je aan om bij een verdere verwerking van persoonsgegevens de informatie die bezorgd werd aan de betrokkenen en eventueel de toestemming grondig na te lezen. Dit laat je toe om te evalueren of de verwerking van persoonsgegevens (in het kader van een nieuw onderzoeksproject of een nieuwe onderzoeksvraag) verenigbaar is met de doeleinden waarvoor de gegevens oorspronkelijk verzameld werden.

Transparantie

Ook bij een verder gebruik van persoonsgegevens blijft het belangrijk om transparant te zijn naar de betrokkenen. Zo moeten de betrokken ook bij een verdere verwerking van hun persoonsgegevens over deze nieuwe verwerking geïnformeerd worden. Hierop bestaat echter een “uitzondering” in het kader van een wetenschappelijk onderzoek: als het verstrekken van de informatie onmogelijk blijkt of onredelijk veel inspanning zou vergen, dan kan je afwijken van de informatieverplichting. In dat geval moeten er wel nog steeds technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen en om minimale gegevensverwerking te garanderen.

Meer informatie

• Onderzoek en privacy