2.8 Waaraan moet ik denken wanneer ik samenwerk met anderen of mijn data deel?

Onderzoeksdata met persoonsgegevens kunnen binnen je eigen instelling gedeeld worden met onderzoekers binnen je eigen onderzoeksproject of met collega-onderzoekers waarmee je data deelt voor een verdere verwerking of hergebruik van de onderzoeksdata. Het is wel belangrijk om deze doorgifte van data te documenteren en motiveren in het register. Vergeet ook niet om voor elke nieuwe verwerking door jezelf of door collega-onderzoekers binnen je eigen instelling het register opnieuw in te vullen.

Indien de data gedeeld worden met personen buiten je eigen instelling is het vaak noodzakelijk om een contract op te stellen. Op basis van de rollen die deze instellingen of personen opnemen in de verwerking van persoonsgegevens (zie 2.4) tijdens of na je onderzoek worden een aantal mogelijke overeenkomsten onderscheiden:

• Indien je binnen een onderzoeksproject samenwerkt met een verwerker of indien je zelf de rol van verwerker opneemt, moet er een verwerkersovereenkomst opgesteld worden. In een verwerkersovereenkomst wordt vastgelegd hoe de persoonsgegevens kunnen worden verwerkt, wie toegang heeft en voor welk exacte doel ze gebruikt kunnen worden.
• Indien naast de eigen instelling nog een andere organisatie of instelling verwerkingsverantwoordelijke is (dwz. gezamenlijke verwerkingsverantwoordelijke) dien je in (een addendum bij) het  consortium agreement vast te leggen wie verantwoordelijk is voor het verstrekken van informatie aan de betrokkenen en voor de uitoefening van de rechten van de betrokkenen.
• Wanneer (persoonlijke) gegevens worden overgedragen tussen twee instellingen waarbij de  andere partij de gegevens opnieuw gebruikt voor de eigen doeleinden wordt een data transfer agreement opgesteld. Net zoals in een verwerkersovereenkomst wordt vastgelegd hoe de persoonsgegevens kunnen worden verwerkt, wie toegang heeft en voor welk exacte doel ze gebruikt kunnen worden.
• Wanneer andere onderzoekers je data (die persoonsgegevens bevatten) na je onderzoek willen hergebruiken zal er een licentie of user agreement opgesteld worden. In deze overeenkomsten wordt duidelijk vastgelegd onder welke voorwaarden jouw data hergebruikt kunnen worden.

Naast de rollen die de instellingen en personen opnemen, kan ook het land waarin deze personen of instellingen gevestigd zijn, ervoor zorgen dat er voor de transfer van data een overeenkomst opgesteld moet worden. Aangezien de AVG enkel van toepassing is binnen de EER, bieden andere landen in het algemeen geen passend beschermingsniveau (behalve indien er een adequaatheidsbesluit is). Transfer van persoonsgegevens naar deze landen is volgens de AVG dan ook enkel mogelijk mits passende waarborgen. Het opstellen van een overeenkomst is hier één van de mogelijkheden (zie 2.7).   

Belangrijk om te vermelden is dat het hier meestal gaat om standaardcontracten die opgesteld werden door de Europese Commissie. Hierbij is het niet toegestaan om zelf aanpassingen te doen.