EDPB-richtsnoeren over wetenschappelijk onderzoek

Op 15 april 2026 publiceerde het Europees Comité voor gegevensbescherming (EDPB) zijn ontwerprichtsnoeren (1/2026) over de verwerking van persoonsgegevens voor wetenschappelijke onderzoeksdoeleinden. De consultatie is inmiddels gesloten en de EDPB buigt zich nu over de ontvangen reacties, voordat de definitieve versie wordt vastgesteld.

Voor universiteiten, ziekenhuizen, farmaceutische en biotechnologiebedrijven, onderzoeksinstituten, technologiebedrijven, overheidsinstanties en publiek-private onderzoeksconsortia zijn deze ontwerprichtsnoeren een belangrijke ontwikkeling. De AVG bevat verschillende bepalingen die wetenschappelijk onderzoek faciliteren — maar wel voorwaardelijk: organisaties moeten aantonen dat hun activiteiten daadwerkelijk wetenschappelijk van aard zijn, en passende waarborgen treffen om de rechten en vrijheden van onderzoeksdeelnemers te beschermen.

Nu de consultatie is afgerond: wat kunnen organisaties verwachten, en welke stappen moeten zij nemen?

Waarom zijn deze richtsnoeren van belang?

Wetenschappelijk onderzoek leunt steeds sterker op het verzamelen, hergebruiken en bewaren van persoonsgegevens — denk aan gezondheids- en genetische gegevens, gegevens uit openbare of administratieve registers, en grote datasets voor AI-onderzoek.

De AVG erkent de maatschappelijke waarde hiervan en biedt daarom specifieke ruimte, zoals:

• het vermoeden dat verdere verwerking voor wetenschappelijk onderzoek verenigbaar is met het oorspronkelijke doel;
• de mogelijkheid om persoonsgegevens langer te bewaren voor onderzoeksdoeleinden; en
• de mogelijkheid om onder bepaalde voorwaarden te werken met brede toestemming.

Dit betekent niet dat onderzoekers zijn uitgezonderd van de AVG-verplichtingen. De ontwerprichtsnoeren leggen uit hoe de onderzoeksbepalingen moeten worden toegepast gedurende de looptijd van een project: van de opzet en de keuze van een grondslag, tot transparantie, gegevensdeling, opslag, publicatie van resultaten en de behandeling van verzoeken van betrokkenen.

Allereerst: is de activiteit daadwerkelijk wetenschappelijk?

Een organisatie kan niet volstaan met het label "onderzoek", "innovatie" of "R&D" om aanspraak te maken op de onderzoeksbepalingen van de AVG. De verwerking moet daadwerkelijk een wetenschappelijk onderzoeksdoel dienen.

De EDPB noemt zes indicatieve factoren om dat te beoordelen:

1. Een methodische en systematische aanpak
2. Naleving van relevante ethische normen
3. Verifieerbaarheid en transparantie
4. Autonomie en onafhankelijkheid
5. Een doelstelling die bijdraagt aan kennis en welzijn van de samenleving
6. Het potentieel om bestaande wetenschappelijke kennis uit te breiden of op een nieuwe manier toe te passen

Zijn alle factoren aanwezig, dan mag worden aangenomen dat het om wetenschappelijk onderzoek gaat. Ontbreekt een of meerdere factoren, dan moet de verwerkingsverantwoordelijke onderbouwen waarom de activiteit toch als zodanig kwalificeert.

Wetenschappelijk onderzoek is niet voorbehouden aan universiteiten, overheden of non-profitorganisaties — ook commerciële organisaties kunnen het verrichten, en een project blijft wetenschappelijk van aard ook als de resultaten later commercieel worden ingezet. Puur interne, commerciële analyses vallen er doorgaans buiten: de ontwerprichtsnoeren illustreren dit met een retailer die klantgedrag analyseert om marketing te verbeteren — niet gericht op onafhankelijk verifieerbare resultaten of uitbreiding van wetenschappelijke kennis, en dus geen wetenschappelijk onderzoek.

Het vermoeden van verenigbaarheid: een vrijbrief?

Worden persoonsgegevens die oorspronkelijk voor een ander doel zijn verzameld later gebruikt voor wetenschappelijk onderzoek, dan wordt vermoed dat die verdere verwerking verenigbaar is met het oorspronkelijke doel. Nuttig voor organisaties die bestaande datasets willen hergebruiken — denk aan een ziekenhuis dat behandelgegevens wil inzetten voor onderzoek.

Dankzij dit vermoeden hoeft de verenigbaarheidstoets van art. 6 lid 4 AVG niet te worden uitgevoerd. Dat betekent echter niet dat de verdere verwerking automatisch rechtmatig is. Organisaties moeten nog steeds:

• een geldige grondslag uit art. 6 AVG vaststellen;
• bij bijzondere persoonsgegevens, een uitzonderingsgrond uit art. 9 AVG vaststellen;
• voldoen aan de transparantie- en verantwoordingsplicht; en
• waarborgen treffen op basis van art. 89 lid 1 AVG.

Het vermoeden van verenigbaarheid ziet uitsluitend op de doelbinding. Het is geen zelfstandige grondslag en legitimeert geen verstrekking of hergebruik van gegevens die anderszins onrechtmatig zou zijn.

Brede toestemming: nuttig, maar niet grenzeloos

Onderzoekers weten bij het verzamelen van persoonsgegevens vaak nog niet welke precieze projecten, hypothesen of methoden zullen volgen — alleen het algemene onderzoeksterrein. De ontwerprichtsnoeren erkennen daarom dat toestemming zich in bepaalde gevallen mag uitstrekken tot een afgebakend onderzoeksgebied in plaats van één specifiek project: "brede toestemming".

Brede toestemming is geen vrijbrief voor elk denkbaar toekomstig gebruik. Het onderzoeksgebied moet zinvol worden omschreven, en hoe breder de toestemming, hoe steviger de waarborgen eromheen moeten zijn, zoals:

• onafhankelijke ethische toetsing;
• extra en doorlopende transparantie;
• strikte voorwaarden voor toegang en gebruik;
• beperkingen aan de geldigheidsduur van de toestemming; en
• de mogelijkheid om per onderzoeksgebied afzonderlijk toestemming te geven.

Ook "dynamische toestemming" komt aan bod: deelnemers worden bij elk nieuw project of elke nieuwe fase opnieuw benaderd, en kunnen — bijvoorbeeld via een digitaal portaal of privacydashboard — telkens een nieuwe keuze maken.

Ethische toestemming ≠ AVG-toestemming

Maak onderscheid tussen toestemming om deel te nemen aan onderzoek op grond van ethische, medische of sectorale vereisten, en toestemming als grondslag onder de AVG.

Iemand kan ethisch toestemmen om mee te doen aan een klinische studie, terwijl de verwerking van diens gegevens in werkelijkheid steunt op een wettelijke verplichting of een taak van algemeen belang. Een ondertekend deelnameformulier voldoet dus niet automatisch aan de AVG-eisen voor geldige toestemming. Dit onderscheid hoort terug te komen in toestemmingsformulieren, informatiebrieven, privacyverklaringen en interne documentatie — ook het factsheet van de EDPB raadt aan om ethische deelnametoestemming en AVG-toestemming strikt gescheiden te houden.

Toestemming is niet altijd de beste grondslag

Toestemming oogt deelnemervriendelijk, maar is problematisch bij machtsongelijkheid of kwetsbare deelnemers — denk aan patiënten, kinderen of werknemers.

De ontwerprichtsnoeren noemen alternatieve grondslagen. Organisaties kunnen mogelijk terugvallen op een "taak van algemeen belang" als hun onderzoek onder specifieke Unie- of nationale wetgeving valt. Ook "gerechtvaardigd belang" behoort tot de mogelijkheden, zelfs bij commercieel gefinancierd onderzoek — al blijft een belangenafweging dan verplicht.

Kortom: er is geen one-size-fits-all-grondslag voor wetenschappelijk onderzoek.

Extra zorgvuldigheid bij bijzondere gegevens

Onderzoek draait vaak om gezondheids-, biometrische of andere bijzondere gegevens. Dan volstaat een grondslag uit art. 6 AVG niet — er is ook een uitzonderingsgrond uit art. 9 lid 2 AVG nodig.

De uitzonderingsgrond voor onderzoek uit art. 9 lid 2 sub j AVG staat doorgaans niet op zichzelf: de verwerking moet steunen op Unie- of nationale wetgeving die proportionele en passende waarborgen biedt. Bij internationaal onderzoek betekent dit rekening houden met verschillende nationale regels per land. Ontbreekt zulke wetgeving, dan kan uitdrukkelijke toestemming soms uitkomst bieden.

Transparantie is geen momentopname

Een privacyverklaring die aan het begin van een langlopend onderzoek wordt verstrekt, is niet per definitie de hele looptijd toereikend. Bij langdurige verwerking moeten organisaties deelnemers actief op de hoogte houden van relevante wijzigingen — bijvoorbeeld via een onderzoekswebsite, privacydashboard, deelnemersportaal, nieuwsbrief of patiëntenorganisatie.

Uitzonderingen op de transparantieverplichting moeten restrictief worden uitgelegd. Zelfs wanneer individuele kennisgeving echt niet haalbaar is, moeten organisaties alternatieven overwegen, zoals het online publiceren van informatie of communicatie via relevante organisaties.

Rechten van betrokkenen blijven bestaan

De AVG staat beperkingen op de rechten van betrokkenen toe binnen wetenschappelijk onderzoek, maar die beperkingen zijn beperkt en moeten per geval worden beoordeeld. Een verzoek tot verwijdering kan bijvoorbeeld worden afgewezen als verwijdering het onderzoek onmogelijk zou maken of de doelstellingen ernstig zou schaden.

Dat vraagt meer dan aantonen dat verwijdering onhandig, kostbaar of methodologisch ongewenst is. Een organisatie moet aantonen dat er serieuze impact op het onderzoek is, én dat passende waarborgen zijn genomen. Organisaties kunnen zich dus niet verschuilen achter een algemeen beleid dat stelt dat verwijdering of andere rechten simpelweg niet gelden voor onderzoeksgegevens.

Gepseudonimiseerde gegevens zijn persoonsgegevens

De ontwerprichtsnoeren benadrukken het verschil tussen anonimisering en pseudonimisering. Gepseudonimiseerde gegevens blijven persoonsgegevens en vallen dus gewoon onder de AVG — noem ze daarom nooit "anoniem" in privacyverklaringen, onderzoeksprotocollen of samenwerkingsovereenkomsten.

Kan het onderzoeksdoel worden bereikt met anonieme data, dan heeft anonimisering de voorkeur. Zijn identificatoren toch nodig, dan moeten de gegevens in beginsel worden gepseudonimiseerd. Direct identificeerbare gegevens gebruik je alleen wanneer dat strikt noodzakelijk en proportioneel is — een afweging die je al bij de opzet van het project maakt, als onderdeel van een risicoanalyse of, indien verplicht, een DPIA.

Duidelijke rolverdeling bij onderzoekssamenwerkingen

Bij wetenschappelijk onderzoek zijn vaak meerdere partijen betrokken — universiteiten, ziekenhuizen, sponsors, laboratoria, technologieleveranciers. Deze partijen moeten helder vastleggen wie welke AVG-rol vervult: verwerkingsverantwoordelijke, verwerker of gezamenlijke verwerkingsverantwoordelijken.

De ontwerprichtsnoeren benadrukken dat deze verantwoordelijkheden vroegtijdig moeten worden beoordeeld en vastgelegd — niet pas in de laatste fase van de contractonderhandelingen. De rolverdeling raakt immers tal van andere compliance-onderwerpen, zoals de grondslag, de privacyverklaring en de beveiligingsverplichtingen.

Wat kunnen organisaties nu al doen?

De consultatie is gesloten en de definitieve richtsnoeren laten mogelijk nog even op zich wachten. Toch is er geen reden om te wachten met een kritische blik op de eigen praktijk:

• Breng relevante onderzoeksprojecten in kaart — welke projecten steunen (of gaan steunen) op de onderzoeksbepalingen uit de AVG?
• Onderbouw het wetenschappelijke karakter — toets elk project aan de zes factoren en leg uit waar iets ontbreekt.
• Herzie de grondslag — bevestig de grondslag uit art. 6 AVG en, waar nodig, de uitzonderingsgrond uit art. 9.
• Herzie de toestemming — houd AVG-toestemming gescheiden van ethische toestemming, en beoordeel of brede of dynamische toestemming passend is.
• Beoordeel herleidbaarheid en waarborgen — zijn direct identificeerbare gegevens echt nodig, of kan het ook met anonieme of gepseudonimiseerde gegevens?
• Update de informatievoorziening — zorg dat deelnemers gedurende langlopende of veranderende projecten geïnformeerd blijven.
• Verduidelijk de rollen — leg verantwoordelijkheden van verwerkingsverantwoordelijken en verwerkers vast vóórdat de verwerking start.
• Bereid je voor op verzoeken van betrokkenen — beoordeel verzoeken zoals verwijdering of bezwaar per geval, in plaats van ze standaard af te wijzen.

En nu verder?

De EDPB buigt zich nu over de consultatiereacties en kan de richtsnoeren op basis daarvan nog aanpassen. De definitieve tekst kan op onderdelen verschuiven of verder worden verduidelijkt. De rode draad blijft echter overeind: de AVG is bedoeld om verantwoord wetenschappelijk onderzoek mogelijk te maken, maar die flexibiliteit is geen vrijbrief. Verantwoording, noodzakelijkheid en passende waarborgen blijven nodig.

Organisaties doen er goed aan de ontwerprichtsnoeren nu al als praktische leidraad te hanteren, in plaats van te wachten op de definitieve tekst. De richtsnoeren scheppen geen vrijbrief voor de AVG-verplichtingen — ze bieden juist een helderder kader om ambitieus, datagedreven onderzoek te doen, met behoud van bescherming voor de onderzoeksdeelnemers.

Heeft u vragen over de impact van de EDPB-richtsnoeren op uw onderzoeksprojecten? Neem gerust contact met ons op voor een assessment op maat.