Hoe kan je met een brede toestemmingsvraag voor een cohortstudie voldoen aan de specificiteitseis van de AVG?

Deze FAQ is gebaseerd op een vraag die ingediend is bij de ELSI Servicedesk. De volgende context is van toepassing. U dient zelf in te schatten of het antwoord ook op uw situatie van toepassing is. 

Context

• Het cohort dat de vraag stelde is opgezet voordat de AVG van kracht werd. Het doel is veel data te verzamelen om daarna onderzoekers de kans te bieden hier een onderzoeksvraag bij te vormen.
• Er is aan deelnemers een brede toestemming gevraagd, er is vooraf een algemeen doel gedefinieerd, geen zeer specifiek doel. De vraag was of de toestemmingsvraag wel voldoende specifiek was, en daarmee nog voldeed aan de AVG.
• Er is toetsing: alle aanvragen worden getoetst door een datamanager en panel van experts verbonden aan de instelling, er wordt dan tevens getoetst of de aanvraag in lijn ligt met het doel van het cohort en voldoet aan verdere voorwaarden.

Antwoord

De vraag is: kan een brede toestemming voldoen aan de eisen van AVG (in het bijzonder aan de eis van specificiteit)? Hier is veel discussie over. Enerzijds is er overweging 33 in de AVG, die aangeeft dat het voor betrokkenen mogelijk moet zijn om voor bepaalde terreinen van wetenschappelijk onderzoek toestemming te geven (1). Anderzijds heeft de European Data Protection Board (EDPB) aangegeven dat deze overweging restrictief moet worden uitgelegd (2). Dit geldt in het bijzonder als bijzondere persoonsgegevens worden verwerkt, waar gegevens omtrent de gezondheid onder vallen. 

In januari 2022 is de herziene versie van de Gedragscode Gezondheidsonderzoek gepubliceerd (3). De gedragscode volgt de lijn van de EPPB en gaat er in hoofdstuk 5 vanuit dat een eenmalige brede toestemming op zichzelf niet voldoende is. De code gaat er echter ook niet vanuit dat er meermaals toestemming moet worden gevraagd (het mag wel), maar vult de eis van specificiteit in door op meerdere momenten in het onderzoeksproces informatie te bieden aan de deelnemers. Op deze manier wordt de specificiteit verder ingevuld, en kunnen deelnemers indien gewenst hun toestemming ook weer intrekken of bezwaar maken als zij niet achter de specifiekere doelen staan. Conclusie is dus dat beschikbaar stellen van verzamelde gegevens op basis van een brede toestemming is toegestaan, mits er op meerdere momenten informatie geboden wordt aan deelnemers, zodat zij hun toestemming in kunnen trekken of bezwaar kunnen maken indien zij dat specifieke doel niet onderschrijven.

Overigens is opnieuw toestemming vragen volgens de Gedragscode wel verplicht als het gaat om onderzoek (of toepassingen) met bijzondere privacyrisico’s of consequenties, zie norm 4.5.3 (3). Dat is bijvoorbeeld een aanmerkelijk risico op individuele bevindingen, doorgifte naar landen buiten EU en waar geen passend beschermingsniveau kan worden gegarandeerd, zuiver commercieel onderzoek en onsterfelijke cellijnen, zie norm 4.4.3 (3).

Daarnaast moet uiteraard worden voldaan aan een aantal voorwaarden voor verantwoord hergebruik van persoonsgegevens, zoals het treffen van technische en organisatorische maatregelen om de gegevens te beschermen (denk bijvoorbeeld aan dataminimalisatie en pseudonimisatie, zie de FAQ’s over data delen en de FAQ’s over gegevensbescherming).

Een voorbeeld van een andere cohortstudie met gegevens omtrent de gezondheid vind je bij Lifelines (4). Ook zij vullen de eis van specificiteit in door op later moment meer informatie te bieden door middel van de website en nieuwsbrieven.

Bronnen

1. AVG, overweging 33
2. European Data Protection Board - Guidelines 05/2020 on consent under Regulation 2016/679
3. COREON - Gedragscode Gezondheidsonderzoek (januari 2022)
4. Website Lifelines – Privacyverklaring (laatst geraadpleegd op 17-02-2026)

Voor het laatst gewijzigd op 10-12-2025