Databeheer in Horizon Europa-gezondheidsprojecten: meer dan alleen nalevingschecklists

Het toenemende gebruik van datagestuurde technologieën in gezondheidszorgonderzoek heeft datagovernance getransformeerd van een marginaal compliance-onderwerp tot een centrale operationele uitdaging voor onderzoeksconsortia in heel Europa. Dit is met name zichtbaar in Horizon Europe-projecten die zich bevinden op het snijvlak van gezondheid, kunstmatige intelligentie, diagnostiek, klinisch onderzoek en digitale innovatie. 

Een voorbeeld hiervan is het Horizon Europe-project ONCOSCREEN, dat tot doel heeft een Europees “schild” tegen darmkanker te ontwikkelen door middel van nauwkeurigere, betaalbare en op risico gebaseerde screeningsmethoden. Het project combineert nieuwe diagnostische technologieën, door AI ondersteunde analytische tools, gedrags- en sociaaleconomische gegevens, mobiele gezondheidsapps en omgevingen voor besluitvormingsondersteuning om vroegere en meer gepersonaliseerde screenings- en preventiestrategieën voor darmkanker mogelijk te maken. 

Het ONCOSCREEN-ecosysteem integreert meerdere soorten retrospectieve en prospectieve gegevens, waaronder klinische, gedrags-, milieu- en levensstijlinformatie, en omvat een groot consortium van meerdere partners, bestaande uit klinische centra, universiteiten, technische partners, overheidsinstanties, patiëntenorganisaties, wetenschappelijke verenigingen en ondersteunende organisaties in heel Europa. 

Het project combineert verder verschillende onderling verbonden digitale, AI-gebaseerde en data-intensieve componenten die verschillende fasen van het traject voor screening en preventie van colorectale kanker ondersteunen. Deze variëren van nieuwe screeningtechnologieën en instrumenten voor risicostratificatie tot AI-ondersteunde analyses, patiëntgerichte applicaties, omgevingen voor data-integratie en besluitvormingsinstrumenten voor de planning van de gezondheidszorg en beleidsvorming. Samen creëren ze een sterk onderling verbonden ecosysteem dat preventie, vroege opsporing, data-analyse en optimalisatie van screening op bevolkingsniveau omvat. Meer informatie over het ONCOSCREEN-project, de doelstellingen, technologieën en klinische validatieactiviteiten is beschikbaar op de ONCOSCREEN-website. 

Dergelijke projecten omvatten vaak grootschalige verwerking van gevoelige gezondheidsgegevens, integratie van heterogene datasets, grensoverschrijdende samenwerking tussen meerdere organisaties en steeds complexere digitale en analytische infrastructuren. Tegelijkertijd wordt van hen verwacht dat ze voldoen aan steeds strengere eisen met betrekking tot niet alleen gegevensbescherming en cyberbeveiliging, maar ook onderzoeksethiek, AI-governance, interoperabiliteit, open wetenschap, transparantie en verantwoorde innovatie. 

In de praktijk wordt datagovernance in gezamenlijke EU-onderzoeksprojecten echter nog steeds vaak onderschat. Governance-activiteiten worden soms nog steeds voornamelijk gezien als administratieve verplichtingen die verband houden met projectresultaten, ethische goedkeuringen of documentatie inzake naleving van regelgeving. De operationele realiteit van grote gezamenlijke onderzoeksprojecten toont echter aan dat governance al snel een doorlopend en evoluerend proces wordt dat zich uitstrekt over de gehele levenscyclus van het project. 

Op basis van praktische ervaringen met gezondheidsonderzoeksprojecten in het kader van Horizon Europa, waaronder ONCOSCREEN, onderzoekt dit artikel enkele van de belangrijkste uitdagingen op het gebied van governance die zich voordoen in collaboratieve onderzoeks s en legt het uit waarom governance-documentatie niet mag worden behandeld als een statische nalevingsoefening. 

Verder dan 'papieren naleving' 

Veel Horizon Europe-projecten beginnen met een sterke wetenschappelijke en technische visie, maar relatief weinig aandacht voor de operationele complexiteit van datagovernance. Tijdens de voorbereiding van het voorstel worden governance-overwegingen vaak gereduceerd tot ethische vereisten, procedures voor geïnformeerde toestemming en de toekomstige opstelling van een Data Management Plan (DMP). Hoewel deze elementen ongetwijfeld belangrijk zijn, vormen ze slechts het begin van het governancewerk en niet de afsluiting ervan. 

In de praktijk evolueert governance al snel verder dan 'papieren naleving'. Naarmate projecten vorderen, moeten consortia steeds meer operationele vragen aanpakken met betrekking tot pseudonimisering, gegevenstoegang, het delen van gegevens, interoperabiliteit, AI-governance, toewijzing van verantwoordelijkheden, langdurige bewaring, secundair gebruik en beveiligingsarchitectuur. 

Deze evolutie is vooral zichtbaar in gezamenlijke gezondheidsprojecten waarbij meerdere klinische locaties, technische partners, universiteiten, kmo's en ondersteunende organisaties betrokken zijn die in verschillende rechtsgebieden actief zijn. Dergelijke projecten combineren vaak retrospectieve klinische datasets, nieuw gegenereerde onderzoeksgegevens, gedragsinformatie, sociaaleconomische gegevens, milieu-informatie en output die is gegenereerd via AI-ondersteunde analysetools. 

Bijgevolg kan het beheer realistisch gezien niet statisch blijven. Datastromen evolueren, technische architecturen worden geavanceerder, er kunnen bijkomende datasets worden geïntegreerd, de structuren van consortia kunnen veranderen en er kunnen tijdens de implementatie nieuwe regelgevende of ethische vragen opduiken. 

Bijgevolg blijft de governance-documentatie die tijdens de eerste maanden van een project wordt opgesteld, zelden in haar oorspronkelijke vorm toereikend tot de voltooiing van het project. 

De operationele complexiteit van collaboratieve gezondheidsecosystemen 

De governance-uitdagingen die gepaard gaan met Horizon Europe-gezondheidsprojecten hangen nauw samen met de complexiteit van de ecosystemen zelf. 

Projecten met AI-gestuurde diagnostiek of gepersonaliseerde geneeskunde vereisen vaak de integratie van heterogene datasets afkomstig van meerdere bronnen en belanghebbenden. Deze kunnen bestaan uit elektronische patiëntendossiers, gegevens gegenereerd door klinische studies, beeldvormingsgegevens, laboratoriumresultaten, informatie van draagbare apparaten, gedragsgegevens verzameld via mobiele applicaties, of sociaal-economische en milieudatasets die worden gebruikt voor risicostratificatie. 

Vanuit technisch oogpunt zijn dergelijke projecten in toenemende mate afhankelijk van onderling verbonden infrastructuren, waaronder datameren, dashboards, AI-modellen, gefedereerde omgevingen, cloudgebaseerde systemen en mobiele applicaties. Gegevens kunnen via meerdere verwerkingslagen worden uitgewisseld tussen klinische locaties, analytische tools, visualisatieomgevingen en beslissingsondersteunende systemen. 

Vanuit het oogpunt van governance creëert dit echter een zeer dynamische omgeving waarin meerdere belanghebbenden bijdragen aan verschillende aspecten van gegevensverzameling, -beheer, -analyse atie en besluitvorming. Het waarborgen van duidelijke governanceafspraken, effectieve coördinatie en een gedeeld begrip van verantwoordelijkheden wordt daarom net zo belangrijk als het aanpakken van de onderliggende juridische kwalificatie van verwerkingsactiviteiten. 

In veel gezamenlijke onderzoeksprojecten dragen meerdere partners bij aan het bepalen van de doeleinden en essentiële middelen van de verwerking, zelfs wanneer niet elke partner rechtstreeks toegang heeft tot persoonsgegevens. Klinische partners kunnen gegevens verzamelen en pseudonimiseren, terwijl technische partners analytische tools ontwikkelen of datasets verwerken binnen gecontroleerde onderzoeksomgevingen. Andere partners kunnen ondersteuning bieden op het gebied van governance, verspreiding of ethisch toezicht zonder rechtstreeks deel te nemen aan de operationele gegevensverwerking. 

Dit leidt tot bestuursstructuren die aanzienlijk verschillen van de meer rechttoe rechtaan regelingen voor gegevensverwerking die men gewoonlijk tegenkomt in traditionele commerciële relaties. 

Regelingen voor gezamenlijk verwerkingsverantwoordelijkheid, regels voor toegangsbeheer, procedures voor het delen van gegevens en governance-workflows worden daardoor essentiële operationele instrumenten in plaats van louter formele juridische documenten. 

Belangrijk is dat deze regelingen vaak in de loop van de tijd moeten evolueren. Onderzoeksactiviteiten kunnen zich uitbreiden, er kunnen aanvullende validatiestudies worden geïntroduceerd, nieuwe tools kunnen in het ecosysteem worden geïntegreerd en de samenstelling van het consortium kan veranderen naarmate partners het project verlaten of zich erbij aansluiten. Governance-mechanismen moeten daarom voldoende flexibel blijven om ruimte te bieden aan wetenschappelijke en organisatorische evolutie, met behoud van verantwoordingsplicht en rechtszekerheid. 

Het gegevensbeheerplan als een levend bestuursinstrument 

Een van de meest onderschatte bestuursinstrumenten in Horizon Europa-projecten is het gegevensbeheerplan (DMP). In het kader van Horizon Europa wordt van projecten verwacht dat zij in een vroeg stadium van de uitvoeringsfase een DMP opstellen en bijhouden en dit bijwerken naarmate het project vordert, ook in de aanloop naar de voltooiing ervan. Dit weerspiegelt een bredere erkenning door de Europese Commissie dat effectief gegevensbeheer geen eenmalige nalevingsoperatie is, maar een doorlopend proces dat gedurende de gehele levenscyclus van het project voortdurende herziening en aanpassing vereist. 

Toch worden DMP’s soms nog steeds vooral gezien als administratieve documenten die worden opgesteld om aan financieringsvereisten te voldoen. In werkelijkheid doet een goed DMP veel meer dan alleen categorieën van datasets of opslaglocaties opsommen. Het brengt in kaart hoe gegevens zich binnen het ecosysteem verplaatsen, legt verantwoordelijkheden op het gebied van governance vast, documenteert toepasselijke waarborgen, houdt rekening met interoperabiliteit en FAIR-gegevensprincipes, en creëert een gemeenschappelijk governancekader dat door het hele consortium wordt gedeeld. 

Dit bestuurskader kan realistisch gezien niet statisch blijven. Naarmate projecten evolueren, kunnen updates van het DMP nodig zijn om rekening te houden met nieuwe datasets, veranderende technische architecturen, aanpassingen aan gegevensstromen, de integratie van AI-functionaliteiten, wijzigingen in de samenstelling van het consortium, herziene procedures voor toegangsbeheer, bijgewerkte bewaarstrategieën, nieuwe vereisten inzake interoperabiliteit, ontwikkelingen in verband met verplichtingen op het gebied van open wetenschap, of evoluerende beveiligings- en pseudonimiseringsmaatregelen. 

Het onderhouden van een operationeel zinvol DMP vereist daarom vaak voortdurende interactie tussen juridische experts, technische teams, klinische partners, cyberbeveiligingsspecialisten en projectcoördinatoren. Governance wordt inherent multidisciplinair en reikt veel verder dan de voorbereiding van een enkel projectresultaat. 

Bovendien reikt de waarde van het DMP vaak verder dan het project zelf. In veel gevallen wordt het een belangrijk referentiepunt voor duurzaamheidsplanning, strategieën voor langetermijnbewaring, toekomstige kaders voor gegevenstoegang en exploitatieactiviteiten na afloop van het project. 

Dit langetermijnperspectief wordt steeds belangrijker in het licht van bredere Europese initiatieven die gericht zijn op het faciliteren van verantwoord delen en hergebruik van gegevens. Aangezien onderzoeksprojecten waardevolle gezondheidsdatasets en analytische bronnen genereren, reiken vragen met betrekking tot toekomstige toegang, secundair gebruik, interoperabiliteit en gegevensbeheer vaak ver buiten de formele looptijd van het project. Het vroegtijdig vaststellen van duidelijke governanceafspraken kan organisaties daarom helpen zich voor te bereiden op toekomstige mogelijkheden voor het delen van gegevens, terwijl tegelijkertijd wordt gewaarborgd dat elk hergebruik in overeenstemming blijft met de toepasselijke wettelijke, ethische en regelgevende vereisten. 

Dit wordt nog belangrijker in de context van AI-gestuurd gezondheidsonderzoek. Governance-documentatie is in toenemende mate niet alleen relevant vanuit het perspectief van de AVG of onderzoeksethiek, maar ook vanuit het perspectief van opkomende AI-governanceverplichtingen. De EU-AI-wet legt aanzienlijke nadruk op kwesties zoals gegevensbeheer, gegevenskwaliteit, traceerbaarheid, documentatie, menselijk toezicht en risicobeheer gedurende de gehele levenscyclus van AI. Hoewel Horizon Europe-onderzoeksprojecten misschien niet altijd direct onder het toepassingsgebied vallen van alle regelgevende verplichtingen die van toepassing zijn op commerciële AI-systemen, fungeren ze in toenemende mate als omgevingen waar toekomstige verwachtingen op het gebied van governance al in de praktijk worden geoperationaliseerd. 

Bijgevolg kunnen kaders voor gegevensbeheer die tijdens gezamenlijke onderzoeksprojecten worden opgesteld, uiteindelijk een belangrijke rol spelen die veel verder reikt dan de levensduur van het project zelf, onder meer in toekomstige validatie-, regelgevings-, implementatie- of commercialiseringsfasen. 

DPIA's in dynamische onderzoeksomgevingen 

Soortgelijke observaties gelden voor gegevensbeschermingseffectbeoordelingen (DPIA's). 

In grootschalige gezondheidsonderzoeksprojecten waarbij gevoelige gegevens en AI-ondersteunde analyses betrokken zijn, zijn DPIA's niet louter formele AVG-verplichtingen. Het zijn risicobeoordelingsinstrumenten die bedoeld zijn om risico's voor de rechten en vrijheden van personen die voortvloeien uit evoluerende verwerkingsactiviteiten te identificeren, te beoordelen en te beperken. 

Dit is met name van belang bij projecten waarin meerdere categorieën gevoelige gegevens worden gecombineerd met geavanceerde analytische omgevingen. Klinische gegevens, gedragsinformatie, output van draagbare apparaten, sociaaleconomische datasets en door AI gegenereerde output kunnen allemaal op elkaar inwerken binnen één enkel onderzoeksecosysteem. Dergelijke combinaties kunnen complexe risicoscenario’s opleveren met betrekking tot identificeerbaarheid, ongeoorloofde toegang, profilering, buitensporige gegevensverzameling, onvoldoende transparantie, discriminatie, beveiligingskwetsbaarheden of misbruik van gevoelige informatie. 

Belangrijk is dat deze risico's niet noodzakelijkerwijs tegelijkertijd bij de start van het project aan het licht komen. Veel risico's worden geleidelijk zichtbaar naarmate de gegevensstromen duidelijker worden gedefinieerd, de technische tool en volwassen worden, de integratie tussen systemen toeneemt en de governance-regelingen in de praktijk worden toegepast. 

Naarmate projecten van de voorbereiding van het voorstel naar de uitvoering en validatie gaan, ontstaat er een gedetailleerder inzicht in datasets, technische architecturen, toegangsvereisten, verantwoordelijkheden van partners en interoperabiliteitsbehoeften. Er kunnen nieuwe risico’s worden geïdentificeerd, bestaande risico’s kunnen evolueren en aanvullende waarborgen kunnen noodzakelijk worden. 

Om deze reden mogen DPIA's niet worden behandeld als statische momentopnames die op één bepaald moment in de tijd zijn vastgelegd. De AVG beschouwt DPIA's als levende risicobeheerinstrumenten die moeten worden herzien en bijgewerkt wanneer wijzigingen in verwerkingsactiviteiten de aard of het niveau van de daarmee samenhangende risico's beïnvloeden. In complexe en evoluerende onderzoeksomgevingen vereist dit vaak een periodieke herbeoordeling gedurende de gehele implementatiefase. 

Dit weerspiegelt ook een bredere verschuiving in hoe verantwoordingsplicht moet worden opgevat binnen ecosystemen voor collaboratief onderzoek. Verantwoordingsplicht hangt in toenemende mate niet alleen af van het identificeren van risico's op een bepaald moment, maar ook van het aantonen van voortdurend toezicht en de effectiviteit van maatregelen die zijn geïmplementeerd om die risico's gedurende de hele levenscyclus van het project te beperken. 

In de praktijk kunnen ontoereikende bestuursstructuren uiteindelijk onderzoeksactiviteiten vertragen, het delen van gegevens tussen partners bemoeilijken, onzekerheid creëren over verantwoordelijkheden, of de inspanningen die nodig zijn om projectinfrastructuren aan te passen aan veranderende wettelijke, technische of regelgevende verwachtingen aanzienlijk vergroten. In bepaalde gevallen kunnen tekortkomingen in het bestuur organisaties ook blootstellen aan juridische en regelgevingsrisico's, met name wanneer deze leiden tot niet-naleving van toepasselijke vereisten met betrekking tot gegevensbescherming, AI-bestuur, cyberbeveiliging, onderzoeksethiek of andere sectorspecifieke regelgevingskaders. 

De toenemende convergentie tussen datagovernance en AI-governance 

Een andere belangrijke ontwikkeling betreft de steeds nauwere interactie tussen datagovernance, technische architectuur en AI-governancevereisten. In projecten waarbij AI-tools worden gebruikt, hebben beslissingen met betrekking tot gegevensverzameling, kwaliteit, toegang, interoperabiliteit en toezicht vaak implicaties die verder reiken dan de traditionele naleving van gegevensbeschermingsregels en relevant worden voor het beheer van de AI-systemen zelf. 

Dit is met name zichtbaar in gezamenlijke gezondheidsonderzoeksprojecten waarbij AI-modellen steunen op complexe en heterogene datasets afkomstig van meerdere bronnen en belanghebbenden. Vragen over de kwaliteit en herkomst van datasets, traceerbaarheid, menselijk toezicht, toegangsbeheer, controleerbaarheid, interoperabiliteit en documentatie zijn daarom niet langer louter technische aangelegenheden. Ze maken deel uit van het bredere governance- en verantwoordingskader waarbinnen AI-systemen worden ontworpen, ontwikkeld en gevalideerd. 

De AI-wet versterkt deze ontwikkeling nog verder door steeds meer nadruk te leggen op levenscyclusbeheer, documentatie en risicobeheer rondom AI-systemen. In de praktijk zullen organisaties die AI-ondersteunde tools ontwikkelen of valideren, steeds vaker niet alleen technische robuustheid moeten aantonen, maar ook de volwassenheid van hun governance door middel van passende documentatie, maatregelen voor gegevensbeheer, traceerbaarheid, verantwoording en menselijk toezicht. 

Zodra technische architecturen en datapijplijnen operationeel worden, kan het implementeren van aanvullende governance-maatregelen of het aanpassen van bestaande governance-regelingen aanzienlijk moeilijker en middelenintensiever worden. Om die reden moeten governance-overwegingen idealiter al in de vroegste fasen van het projectontwerp worden geïntegreerd, in plaats van pas te worden aangepakt nadat systemen en processen al zijn opgezet. 

Het toenemende belang van "privacy by design", "security by design" en, in toenemende mate, "governance by design"-benaderingen weerspiegelt deze groeiende convergentie tussen juridische, technische en AI-governanceoverwegingen. 

Vooruitblik: toenemende verwachtingen op het gebied van governance 

De governance-uitdagingen die in Horizon Europe-gezondheidsprojecten worden waargenomen, zullen de komende jaren waarschijnlijk niet afnemen. Integendeel, het regelgevings- en beleidslandschap rond gezondheidsgegevens, kunstmatige intelligentie en digitale gezondheid blijft zich in hoog tempo ontwikkelen. 

Initiatieven zoals de European Health Data Space (EHDS), de AI-wet en een toenemende nadruk op cyberbeveiliging, interoperabiliteit en verantwoorde innovatie zullen waarschijnlijk nog meer belang hechten aan effectieve governancekaders gedurende de gehele levenscyclus van onderzoek en innovatie. Tegelijkertijd blijven de verwachtingen van het publiek met betrekking tot transparantie, verantwoordingsplicht en het verantwoord gebruik van gezondheidsgegevens toenemen. 

Voor onderzoeksconsortia betekent dit dat governance niet langer uitsluitend kan worden gezien als een nalevingsvereiste in verband met een beperkt aantal projectresultaten. Het moet in toenemende mate worden ingebed in het ontwerp, de uitvoering en de duurzaamheid op lange termijn van onderzoeksactiviteiten en digitale infrastructuren. 

Belangrijk is dat robuust bestuur niet mag worden gezien als een belemmering voor innovatie. Goed ontworpen bestuurskaders kunnen samenwerking vergemakkelijken, verantwoord delen van gegevens mogelijk maken, de voorbereiding op regelgeving ondersteunen en het vertrouwen bevorderen onder projectpartners, deelnemers aan onderzoek, zorgprofessionals en het bredere publiek. 

De ervaring met veel Horizon Europe-projecten leert dat governance het meest effectief is wanneer het niet wordt behandeld als een afzonderlijke werkstroming naast wetenschappelijke en technische activiteiten, maar als een integraal onderdeel van het projectecosysteem zelf. 

Conclusie 

Samenwerkingsprojecten op het gebied van gezondheid in het kader van Horizon Europa vinden steeds vaker plaats in zeer complexe omgevingen met gevoelige gezondheidsgegevens, geavanceerde analyses, AI-gebaseerde technologieën en grote ecosystemen met meerdere partners. In dergelijke contexten wordt governance al snel meer dan een juridische formaliteit. 

Databeheerplannen, DPIAs en aanverwante bestuurskaders moeten daarom niet louter worden gezien als nalevingsdocumentatie die is opgesteld voor regelgevings- of financieringsdoeleinden. In de praktijk worden ze vaak centrale operationele instrumenten die verantwoording, coördinatie, risicobeheer en duurzame samenwerking gedurende de gehele levenscyclus van het project ondersteunen. 

De ervaring met projecten zoals ONCOSCREEN leert dat effectief bestuur niet kan worden teruggebracht tot een eenmalige nalevingscontrole die aan het begin van een project wordt uitgevoerd. Het is veeleer een continu proces dat mee moet evolueren met de gegevens, technologieën, partnerschappen en onderzoeksactiviteiten die het beoogt te ondersteunen. 

Naarmate Europese onderzoeksecosystemen steeds meer evolueren in de richting van grotere interoperabiliteit, gegevensuitwisseling en AI-integratie, zal het vermogen om governance te integreren in de dagelijkse gang van zaken bij onderzoeks- en innovatieactiviteiten steeds belangrijker worden voor het waarborgen van zowel naleving van de regelgeving als het succes van projecten op de lange termijn.