Is GMW heiliger dan heilig?
Privacy heeft een prijskaartje
Als Hedderik van Rijn zijn eerstejaarsstudenten psychologie laat meedoen aan een onderzoek, en in dat jaar zit één man van 52, dan is via sociale media makkelijk te achterhalen wie dat is. Zelfs al krijgt zo iemand in de dataset geen naam maar een unieke code, dan nóg is het goed mogelijk hem te vinden. Zo veel eerstejaarsstudenten van 52 zijn er niet. Mag Van Rijn zijn data dan nog delen met collegawetenschappers?
Student en AVG?
Niet alleen onderzoekers krijgen te maken met de nieuwe Wet op gegevensbescherming. Ook studenten merken het. ‘We gaan zorgvuldiger om met gegevens van studenten’, zegt ‘functionaris voor de gegevensbescherming’ Arjen Deenen van de RUG. ‘We zijn strikter geworden op het delen van gegevens met derde partijen. Als het niet langer nodig is, verwijderen we gegevens. De richtlijnen daarvoor worden nu opgesteld of zijn opgesteld.’
Zo is er sinds kort een nieuwe roostergenerator. Op het oude rooster was te zien welke onderwijsruimtes, lokalen en onderzoeksruimtes door wie gereserveerd waren, met naam en studentennummer erbij. Dat is niet AVG-proof, en in de nieuwe roostergenerator zijn naam en nummer niet meer te zien.
Tentamencijfers mogen niet meer naar iedereen worden gemaild. ‘Toen ik studeerde, hingen de cijfers op een lijst in de faculteit met naam, studentennummer en cijfer. Dat doen we niet meer’, zegt Deenen.
Die vraag is sinds invoering van de AVG niet meer zo makkelijk te beantwoorden. Aan de ene kant is er vanuit de open science movement veel druk op wetenschappers om hun data te delen. Hun onderzoek moet immers worden gecontroleerd.
Aan de andere kant moeten persoonsgegevens worden beschermd. Maar als alle details, zoals seksuele voorkeur of religie, uit de dataset verdwijnen, wordt mogelijk belangrijke informatie weggegooid. ‘Daar zit een belangrijk vraagstuk’, zegt Jacob Jolij, afdelingshoofd van de afdeling onderzoeksondersteuning van de Faculteit Gedrags- en Maatschappijwetenschappen (GMW) en universitair docent experimentele psychologie.
AVG-proof
Het afgelopen jaar besteedde hij de helft van zijn tijd aan de AVG, een wet die de regels voor de verwerking van persoonsgegevens door bedrijven en overheidsinstanties in heel Europa standaardiseert. Vooral de sociale faculteit heeft zijn privacycoördinator hard nodig, zegt Jolij. ‘Al het onderzoek dat we hier doen – rond de duizend per jaar – gaat om persoonsgegevens. Het is geen overbodige luxe om iemand te hebben die daar al zijn tijd aan kan besteden.’
Want AVG-proof onderzoek doen kan best een uitdaging vormen. Denk aan onderzoeken met observaties in een klaslokaal. ‘Voor de AVG was toestemming geven passief, je doet mee aan een onderzoek tenzij je zegt dat je dat niet wil. Dat kan niet meer. Kinderen moeten nu een briefje mee naar huis nemen en ouders moeten toestemming geven. Dat briefje raakt kwijt of ouders vergeten het in te vullen. Dan heb je zo tien kinderen in een klas die niet meedoen.’
Is de RUG AVG-proof?
Sinds de wet op 25 mei 2018 in werking trad, moeten organisaties laten zien dat ze voldoen aan alle eisen die in de wet staan. Bedrijven die de wet overtreden, kunnen een boete krijgen van 4 procent van de jaarlijkse omzet. Als de universiteit de fout in gaat, is de maximale boete 20 miljoen euro.
De RUG heeft de afgelopen maanden hard gewerkt om privacybestendig te worden. Er zijn maar liefst zestig mensen mee bezig, waarvan er vijftig werken als privacy- of securitycoördinator.
Toezichthouder Arjen Deenen maakt jaarrapportages en adviseert en informeert het college van bestuur over de AVG. Klaar is de RUG nog niet, zegt hij, maar wel goed op weg. ‘We kunnen laten zien wat we doen en waar we naartoe werken’, zegt hij. Voor boetes hoeft Groningen dus niet bang te zijn.
Hoe ze daarmee om moeten gaan? Het is nog altijd niet helemaal duidelijk. ‘Codes zijn er nog niet’, zegt Jolij. ‘Het is aan de onderzoekers om het handen en voeten te geven. Maar daar moet je tijd voor hebben en de werkdruk is al hoog. Onderzoekers hebben het druk met lesgeven en publicaties, dan komt de AVG er nog bij.’
Volop kritiek
En dan is er ook nog een nieuw research portal. Onderzoekers moeten nu elk onderzoeksvoorstel registreren voor het naar de ethische commissie gaat. ‘Dat registeren van onderzoek is door het college van bestuur verplicht gesteld. Voorheen regelden ethische commissies dat’, zegt Jolij.
Niet voor niets klinkt er volop kritiek op de werkvloer. ‘Het is veel extra werk en het is niet altijd duidelijk waarom we dit moeten doen’, zegt Van Rijn. ‘Behalve dan omdat we geen boete willen krijgen. Het voelt raar dat bedrijven als Google en Facebook veel ernstige dingen doen. Ik ken geen wetenschapper die de privacy van proefpersonen wil schenden. Dat willen we niet, maar waar ligt de grens? De wetgeving gaat erg ver.’
Andere faculteiten in het land gaan veel minder ver
Tegelijk ontbreekt jurisprudentie en dat maakt dat de universiteit voorzichtig is. Een boete zou kunnen oplopen tot twintig miljoen euro.
En dus klagen onderzoekers. Vanwege de werkdruk die het portal met zich meebrengt, maar ook omdat GMW het ‘braafste jongetje van de klas’ zou zijn. Andere faculteiten in het land zouden veel minder ver gaan. ‘We begrijpen dat er wetten en regels zijn’, zei socioloog Michael Maes in de faculteitsraad. ‘Maar niet dat je telkens voor je iets doet toestemming moet krijgen.’
Heiliger dan heilig
Ook Van Rijn vindt GMW ‘erg voorzichtig’. ‘Veel wetenschappers krijgen het idee dat we moeten uitgaan van de meest strikte interpretatie van de wet. Het gevoel leeft dat wij als onderzoekers heiliger dan heilig moeten zijn. Het kan natuurlijk zo zijn dat over vijf jaar behalve de RUG alle universiteiten boetes hebben gekregen. De vraag is hoe groot die kans is. Dat al het extra werk daadwerkelijk nodig is, dat gevoel is er nog niet.’
De faculteit heeft echter bewust gekozen voor deze invulling, zegt portefeuillehouder middelen Rita Landeweerd. ‘We lopen inderdaad voor’, zegt ze. ‘Op centraal niveau wordt er binnen de universiteit gewerkt aan een AVG-proof portal. Maar onze inschatting was dat als we daarop hadden gewacht, het ingewikkelder was geworden. In het research portal kan aanmelden, opslag en toetsing van de ethische commissie in één stap. Daardoor is er geen dubbel werk.’
Proactief zijn wreekt zich nu een beetje
De faculteit is misschien voorzichtig, maar ‘met persoonsgegevens kan je niet voorzichtig genoeg zijn’, zegt Landeweerd. ‘Wij hebben proactief gehandeld en dat wreekt zich nu een beetje, maar ik denk dat andere faculteiten dit ook nog gaan doen.’
Tijdbesparing
Ook Jolij stelt dat het portal juist tijdsbesparing oplevert. ‘Zeker een half uur. Alle ethische aanvragen worden opgeslagen in een database. Wat onderzoekers niet zien, is de structuur die erachter ligt. Het duurt nog even voor ze daar de vruchten van plukken.’
Toch begrijpt Jolij de weerstand. ‘Het kost extra tijd en moeite en dat komt bovenop het werk dat ze al moeten doen. Ik hoop dat ze begrijpen dat we ze niet pesten.’