Privacyschending bij NIPT test?

Veel ophef vandaag over mogelijke schending van de privacy na uitvoering van de NIPT test door een Belgisch bedrijf. De NIPT test (het acronym staat voor Niet Invasieve Prenatale Test) is een bloedtest waarmee bij zwangere vrouwen een verhoogd risico op de syndromen van Down, Edwards en Pateau voor het ongeboren kind kan worden vastgesteld. In Nederland is de test vooralsnog alleen beschikbaar voor vrouwen voor wie al een verhoogd risico geldt (op grond van andere tests of het medisch dossier). Pas in april 2017 kan de test door Nederlandse laboratoria breder worden aangeboden.

Veel vrouwen laten de test daarom via hun Nederlandse ziekenhuis uitvoeren in een Belgisch laboratorium. De ophef betreft nu het Belgische bedrijf Gendia, dat sommige vrouwen na de test een aanbieding zou hebben gestuurd voor een preventief kankeronderzoek. Die aanbiedingen zouden zijn verzonden naar vrouwen die op de bij de test behorende vragenlijst hadden ingevuld dat er kanker voorkwam in hun familie.

Is dat een schending van de privacywetgeving?

Gendia vindt zelf van niet. Maar minister Schippers heeft gezegd dat ze dit nu laat onderzoeken door de Autoriteit Persoonsgegevens. Naar mijn mening wordt dat een kort onderzoekje en zal het antwoord vervolgens vermoedelijk “ja” luiden. Enige voorzichtigheid is wel geboden: het betreft hier een Belgisch bedrijf en dat is onderworpen aan het Belgische recht. Dat Belgische privacy-recht komt echter net als het Nederlandse voort uit de Europese Privacyrichtlijn en behoort derhalve sterk met het Nederlandse overeen te stemmen. Ik durf er dus toch wel iets van te zeggen.

Het benaderen van de vrouwen voor een onderzoek is een gevolg van het verwerken van persoonsgegevens (concreet: het adressenbestand van de onderzochte vrouwen en hun beantwoording van de vragenlijst). Persoonsgegevens mogen alleen worden verwerkt voor een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doel. Het betreft hier bovendien deels medische gegevens (de antwoorden): dat zijn bijzondere persoonsgegevens en die mogen alleen bij uitzondering worden verwerkt. Zo’n uitzondering is er bijvoorbeeld natuurlijk voor medische beroepsbeoefenaren in het kader van een behandeling (NL: artikel 23 Wbp; Richtlijn artikel 8, lid 3). Dat is hier echter niet aan de orde.

Maar er is óók de uitzondering van de uitdrukkelijke toestemming van de betrokkene (in casu: de patiënt) (NL: artikel 23, lid 1 sub a Wbp; Richtlijn artikel 8, lid 2 sub a)). In Nederland is vereist dat die toestemming dan niet alleen uitdrukkelijk maar ook behoorlijk geïnformeerd is verstrekt.

Als dat in België ook geldt, gaat het daar waarschijnlijk mis voor het Belgische bedrijf. Om rechtmatig de aanbieding voor het preventieve onderzoek te hebben kunnen verzenden, moet de patiënt bij het invullen van de vragenlijst dan zijn meegedeeld dat deze ook zou worden gebruikt voor het doen van aanbiedingen op basis van de ingevulde antwoorden. En daar moet de patiënt haar uitdrukkelijke akkoord op hebben gegeven. Gezien de ophef die is ontstaan is aan deze voorwaarde vermoedelijk niet voldaan.

Je kunt je overigens zelfs nog afvragen of in de vragenlijst wel gevraagd had mogen worden naar het voorkomen van kanker in de familie. Als dat niet nodig was in het kader van het bloedonderzoek dat ging plaatsvinden is het antwoord reeds daarop: neen. Immers: dan zouden persoonsgegevens worden verzameld die in het kader van deze verwerking niet nodig zijn (NL: artikel 11 WBP; Richtlijn artikel 6 lid c spreken van “niet ter zake dienend of bovenmatig”).

Ik verwacht dat de Autoriteit spoedig van zich zal laten horen.