De Europese Commissie heeft op 19 november 2025 een voorstel voor twee verordeningen gepubliceerd: de ‘Digital Omnibus’ en de ‘Digital Omnibus on AI’. Deze hebben tot doel om in één keer onderdelen van meerdere wetten die relevant zijn rondom digitalisering (waaronder de Algemene Verordening Gegevensbescherming [AVG] en de AI Act) aan te passen, om versnippering en overlap van regelgeving zo veel mogelijk te voorkomen. En om belemmeringen voor innovatie weg te nemen. In de vorige bijdrage in ICT&health zijn wij al ingegaan op wat deze voorstellen betekenen voor de begrippen ‘persoonsgegevens’ en ‘bijzondere categorieën van persoonsgegevens’ uit de AVG. In deze bijdrage beschrijven we waarom deze voorstellen van belang zijn voor het uitvoeren van wetenschappelijk onderzoek en het ontwikkelen van AI-tools in de zorgsector.
De wijzigingen in de Digitale Omnibus zien onder andere op het gebruik van persoonsgegevens voor wetenschappelijk onderzoek op grond van de AVG. Vanwege het gevoelige karakter van gezondheidsgegevens is dit zeker voor de zorgsector relevant. Gezien het grote belang van wetenschappelijk onderzoek en de bijdrage die hierdoor geleverd wordt aan de ontwikkeling van zorgtechnologie, waaronder AI, zijn in de voorstellen een versoepeling van de regels voorzien voor het gebruik van data voor wetenschappelijk onderzoek en het ontwikkelen en trainen van AI.
Wetenschappelijk onderzoek
Met de Digital Omnibus wil de Europese Commissie tegemoetkomen aan de onduidelijkheid die bestaat ten aanzien van de voorwaarden waaronder persoonsgegevens verwerkt mogen worden in het kader van wetenschappelijk onderzoek.1 Om deze onduidelijkheid weg te nemen, voegt de Digital Omnibus een definitie toe aan de bestaande definitiebepaling in de AVG.2 Bepaald is dat onder wetenschappelijk onderzoek ieder onderzoek wordt verstaan dat ook innovatie ondersteunt, zoals technologische ontwikkeling en demonstratie.3 Het onderzoek en de technologische ontwikkeling moeten worden uitgevoerd in academische, industriële omgevingen, waaronder ook kleine en middelgrote ondernemingen kunnen vallen.4
In het verlengde van deze definitiebepaling bepaalt de Digital Omnibus ook dat het verwerken van persoonsgegevens voor wetenschappelijke doeleinden een gerechtvaardigd belang vormt in de zin van art. 6 lid 1 sub f AVG.5 De tekst van art. 5 lid 1 sub b AVG (waar het doelbindingsbeginsel in is vastgelegd) zal worden aangepast ter verduidelijking.
Op grond van het doelbindingsbeginsel (art. 5 lid 1 sub b AVG [nieuw]) is de verdere verwerking van persoonsgegevens op grond van wetenschappelijk onderzoek verenigbaar met het oorspronkelijke verwerkingsdoel, en hoeft hiervoor dus niet aan de voorwaarden van art. 6 lid 4 AVG te worden getoetst.6
Impact op zorgsector
Voor de zorgsector betekent dit dat er in de toekomst geen discussie meer hoeft te worden gevoerd over het antwoord op de vraag of gewone persoonsgegevens mogen worden verwerkt voor wetenschappelijke doeleinden wanneer toestemming voor de verwerking van persoonsgegevens van de personen wiens persoonsgegevens het betreft, ontbreekt.
Er kan dan immers teruggevallen worden op de grondslag van gerechtvaardigd belang van art. 6 lid 1 sub f AVG, mits de verwerking aan alle voorwaarden van deze grondslag voldoet. Deze aanpassingen bieden daarmee de mogelijkheid aan onderzoekers om persoonsgegevens die eerder voor een ander doeleinde zijn verwerkt, te gebruiken voor het uitvoeren van wetenschappelijk onderzoek.
Overigens ziet dit alleen op de verwerking van ‘gewone’ persoonsgegevens, en niet op de verwerking van bijzondere persoonsgegevens zoals medische gegevens. Om bijzondere persoonsgegevens rechtmatig te verwerken voor wetenschappelijke doeleinden wanneer dit niet verenigbaar is met het oorspronkelijke doel waarmee de persoonsgegevens in eerste instantie verwerkt zijn, zal dus nog altijd een van de uitzonderingen op het verwerkingsverbod van bijzondere persoonsgegevens van art. 9 lid 2 AVG van toepassing moeten zijn.7
'Het is de vraag of de wijzigingen daadwerkelijk in Europese verordeningen terecht gaan komen'
De relevante uitzonderingen daarbij zijn uitdrukkelijke toestemming (art. 9 lid 2 sub a AVG) en noodzakelijkheid voor wetenschappelijk onderzoek (art. 9 lid 2 sub j AVG). In de Nederlandse Uitvoeringswet AVG (UAVG) heeft de Nederlandse wetgever in art. 24 ten aanzien van art. 9 lid 2 sub j AVG bepaalt dat die laatste uitzondering alleen mag worden gebruikt als het vragen van uitdrukkelijke toestemming onmogelijk is of een onevenredige inspanning kost, het onderzoek een algemeen belang dient én de persoonlijke levenssfeer van de persoon wiens bijzondere persoonsgegevens worden verwerkt, niet onevenredig wordt geschaad.
Omdat de Digital Omnibus een ruime definitie hanteert van het begrip wetenschappelijk onderzoek, sluit de definitie niet uit dat het wetenschappelijk onderzoek ook gericht kan zijn op het bevorderen van een commercieel belang. Dat betekent dat ook commerciële bedrijven die AI-systemen ontwikkelen ten behoeve van de zorgsector, (mogelijk) rechtmatig persoonsgegevens kunnen verwerken door een beroep te doen op het gerechtvaardigd belang van art. 6 lid 1 sub f AVG. Zij zullen dan wel aannemelijk moeten kunnen maken dat deze persoonsgegevens verwerkt worden vanuit wetenschappelijke doeleinden.
Trainen AI-model
De Digital Omnibus biedt bovendien een rechtmatige grondslag voor de verwerking van persoonsgegevens in het kader van data die noodzakelijk zijn voor de ontwikkeling en exploitatie van een AI-systeem. De Digital Omnibus voegt art. 88 quater toe aan de AVG. In dit nieuwe artikel is bepaald dat deze verwerking van persoonsgegevens in principe kan worden gebaseerd op de verwerkingsgrondslag ‘noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde’ van art. 6 lid 1 sub f AVG.
In principe, omdat deze regel niet geldt wanneer Europees of nationaal recht bepaalt dat voor de verwerking van de persoonsgegevens toestemming nodig is en wanneer de belangen en fundamentele rechten van de betrokkenen zwaarder wegen dan de belangen van de verwerkingsverantwoordelijke. Dit is in het bijzonder het geval wanneer de betrokkene een kind is.8
Bovendien moeten er organisatorische, technische en veiligheidsmaatregelen worden getroffen die de rechten en vrijheden van de personen wiens persoonsgegevens worden verwerkt zo veel mogelijk waarborgen. Daarnaast moet het beginsel van minimale gegevensverwerking gerespecteerd worden.9 Dat betekent dat zo min mogelijk persoonsgegevens verwerkt moeten worden.
Ook moet het transparantiebeginsel gerespecteerd worden.10 Dat beginsel houdt in dat het voor natuurlijke personen transparant moet zijn dát hun persoonsgegevens worden verwerkt en in hoeverre ze worden verwerkt. Bovendien bevat art. 88 quater AVG (nieuw) dat personen wiens gegevens verwerkt worden het onvoorwaardelijke recht hebben om bezwaar daartegen te maken.11,12
Afsluiting
De Digital Omnibus en Digital Omnibus on AI zullen – als ze in de huidige vorm als verordening in werking zullen treden – de mogelijkheden voor de zorgsector om (bijzondere) persoonsgegevens te verwerken en ook te gebruiken voor de training van AI-modellen verruimen. Vanuit innovatieperspectief valt dat toe te juichen. Het is daarbij van belang te vermelden dat de voorgestelde wijzigingen niet door iedereen positief ontvangen zijn.
Diverse maatschappelijke organisaties hebben de spreekwoordelijke noodklok geluid, omdat de Digital Omnibus en de Digital Omnibus on AI een bedreiging zouden vormen voor de (digitale) grondrechten van Europeanen.13-16 Het is daarom de vraag of de voorgestelde wijzigingen in de Digital Omnibus en de Digital Omnibus on AI daadwerkelijk in Europese verordeningen terecht gaan komen. Voor de zorgsector is het van belang de ontwikkelingen op dit terrein de komende tijd te (blijven) volgen.
