In de huidige vorm geeft de Autoriteit Persoonsgegevens niet het groene licht voor de Wet actualisering lichaamsmateriaalwetgeving. Het wetsvoorstel is niet helder over welke persoonsgegevens er straks mogen worden verzameld door het nationale meldpunt voor orgaanhandel. Het meldpunt krijgt daardoor mogelijk meer gegevens in handen dan redelijk of noodzakelijk is.
Dat schrijft de toezichthouder in een wetgevingsadvies aan het kabinet.
Minister wil illegale handel in organen halt toeroepen
In november 2022 klopte het ministerie van Volksgezondheid, Welzijn en Sport aan bij de Autoriteit Persoonsgegevens met het verzoek om advies te geven over de Wet actualisering lichaamsmateriaalwetgeving. Het wetsvoorstel stelt aanvullende regels over kwaliteits- en veiligheidswaarborgen voor orgaandonatie en orgaantransplantatie. De memorie van toelichting stelt dat de wetgeving soms onjuist wordt geïnterpreteerd en toegepast, onduidelijkheden bevat en niet goed aansluit op de praktijk.
Het ministerie komt met het voorstel om een nationaal meldpunt te creëren waarbij zorgverleners melding kunnen doen van een orgaantransplantatie bij een persoon die buiten de keten van orgaandonatie en -transplantatie heeft plaatsgevonden. Zo wil de minister van Volksgezondheid voorkomen dat organen illegaal worden aangeboden en verkocht op de zwarte markt.
In het wetsvoorstel staat dat het meldpunt “alle noodzakelijke persoonsgegevens” mag verwerken, waaronder gegevens over de gezondheid van een patiënt. Verder moeten instanties als verkrijgingsorganisaties en transplantatiecentra gegevens verstrekken aan het orgaancentrum die nodig zijn om haar taak goed uit te voeren.
Onduidelijkheid over verzamelen persoonsgegevens
Het conceptvoorstel is echter onduidelijk over de vraag welke persoonsgegevens er straks verzameld mogen worden door het nationale meldpunt voor orgaanhandel. Stel dat de wachtlijst voor een orgaan te lang is in Nederland en een patiënt besluit om een orgaantransplantatie in het buitenland te ondergaan. Het idee is dat zij zich in de toekomst bij een Nederlandse arts kunnen melden als er zich complicaties voordoen.
De betreffende arts kan vervolgens hiervan melding maken bij het nationaal meldpunt. Medewerkers van het meldpunt kunnen vervolgens beleid opstellen om illegale transplantaties tegen te gaan. “Onduidelijk is echter welke persoonsgegevens het meldpunt gaat verzamelen van mensen die mogelijk zo’n transplantatie hebben ondergaan. Dit is een belangrijk punt, want een transplantatie is bij uitstek een persoonlijke, privacygevoelige aangelegenheid”, meent de Autoriteit Persoonsgegevens.
AP adviseert om wetsvoorstel aan te scherpen
De toezichthouder meent dat het wetsvoorstel op dit punt tekortschiet. De memorie van toelichting noemt weliswaar concrete voorbeelden van persoonlijke gegevens die verzameld worden, zoals de transplantatiedatum en type orgaan dat een patiënt heeft gekregen. “Maar de toelichting maakt niet duidelijk welke gegevens er niet mogen worden verzameld.”
Daardoor is het denkbaar dat het meldpunt meer persoonsgegevens in handen krijgt dan redelijkerwijs mag worden verwacht. “De inmenging moet in het recht op bescherming van persoonsgegevens beperkt blijven tot het strikt noodzakelijke, in die zin dat het doel niet redelijkerwijs even doeltreffend kan worden bereikt op een andere wijze, die de grondrechten van de betrokkenen minder aantast (subsidiariteit). En de inmenging mag niet onevenredig zijn aan dat doel, wat met name een afweging impliceert van het belang van het doel en de ernst van de inmenging (proportionaliteit)”, zo schrijft de Autoriteit Persoonsgegevens in haar advies (pdf).
De privacywaakhond geeft de minister van Volksgezondheid de opdracht om duidelijker te verwoorden welke persoonsgegevens er wel en niet mogen worden verzameld door het meldpunt. Verder moeten de proportionaliteit en subsidiariteit “deugdelijk worden onderbouwd” in een aparte privacyparagraaf in de memorie van toelichting. Tot slot moet er expliciet in de wet staan dat het orgaancentrum alleen geaggregeerde aantallen in het jaarverslag mag vermelden, en dus geen persoonsgegevens.
