Het volgende artikel is geschreven in samenwerking met het lectoraat Recht & Rechtvaardigheid (Hogeschool Leiden) en een combinatie van het PrivacyLAB en het Legal Tech & Design LAB.
Prijs vergelijk ADSL, kabel, glasvezel aanbieders en bespaar geld door over te stappen!
Introductie
Ter afronding van haar studie HBO-Rechten aan de Hogeschool Leiden verrichtte studente (inmiddels alumna) Laura Tuinenburg een afstudeeronderzoek bij het Amsterdamse VUmc, één van de acht universitaire ziekenhuizen van Nederland. Aanleiding voor dat onderzoek was de bestuurlijke fusie van het VUmc met het AMC, een ander Amsterdams academisch ziekenhuis. Sinds 7 juni 2018 werken de ziekenhuizen samen onder de naam Amsterdam Universitair Medisch Centrum, oftewel Amsterdam UMC. Hoewel de ziekenhuizen (vooralsnog) aparte juridische entiteiten blijven, wordt de Raad van Bestuur van het Amsterdam UMC door de bestuurlijke fusie wel het orgaan dat voor beide ziekenhuizen verantwoordelijk is voor de naleving van de AVG – het zogeheten ‘verwerkingsverantwoordelijke’ orgaan.
Op grond van artikel 24 lid 1 van de AVG is een verwerkingsverantwoordelijke verplicht om passende technische en organisatorische maatregelen te treffen waarmee zij aantoont dat zij persoonsgegevens in overeenstemming met de AVG verwerkt. Lid 2 van dat artikel creëert daarnaast een verplichting voor het Amsterdam UMC om de getroffen maatregelen te omschrijven in een privacybeleid. Het privacybeleid bestaat uit enerzijds een intern deel (zoals werkinstructies voor een AVG-conforme werkwijze) en anderzijds een extern deel: communicatie die gericht is aan de betrokkene. Dat externe deel wordt doorgaans privacystatement genoemd. Doordat de AVG de verwerkingsverantwoordelijke veel vrije ruimte geeft bij het invullen van het privacystatement, zitten er grote verschillen in de manieren waarop organisaties dat hebben vormgegeven. Dat gold en geldt ook voor het AMC en VUmc. Het is daarom wenselijk dat de beleidsstukken van de ziekenhuizen worden geharmoniseerd, zodat de Raad van Bestuur niet verantwoordelijk hoeft te zijn voor twee sets beleidsstukken. Bovendien is het voor de patiënt van de samenwerkende ziekenhuizen belangrijk dat hij niet uit hoeft te zoeken onder welk regime de verwerking van zijn persoonsgegevens valt. Tuinenburg heeft in haar scriptie ‘Een zorgeloos privacybeleid voor het Amsterdam UMC’ een begin met deze harmonisatie gemaakt. Zij richtte zich daarbij specifiek op de rechten van de betrokkene, door te onderzoeken hoe deze rechten op een uniforme wijze in het privacystatement en de werkwijze van het Amsterdam UMC opgenomen zouden moeten worden. Het door betrokkenen uitoefenen van de rechten die ze onder de AVG hebben is het primaire mechanisme waarmee wordt gecontroleerd of verwerkingsverantwoordelijken de AVG naleven. Met andere woorden: het zijn burgers die voor de eerstelijnshandhaving van de AVG zorgen. Het deel van het privacystatement waarin de rechten van betrokkenen worden omschreven is dus van groot belang. In art. 12 jo. 13 AVG is bepaald dat de betrokkene in beginsel op het moment waarop een verwerkingsverantwoordelijke informatie over hem verkrijgt, informatie over zijn rechten dient te ontvangen. Deze informatie dient in beginsel schriftelijk te worden verstrekt.
In haar afstudeeronderzoek heeft Tuinenburg allereerst de verschillen tussen de tekstuele weergaven van de rechten van betrokkenen in het privacystatement van het VUmc en het AMC in kaart gebracht. Vervolgens heeft zij deze weergaven van de rechten van betrokkenen tegenover elkaar gezet en per recht van betrokkene beoordeeld of de tekstuele weergave van het VUmc, of die van het AMC in het gezamenlijke privacystatement van het Amsterdam UMC opgenomen zou moeten worden. Een derde optie was dat het Amsterdam UMC zou moeten kiezen voor een synthese van beide varianten.
Tuinenburg heeft dit onderzocht door de twee weergaven van de rechten van de betrokkenen in het privacystatement van het VUmc en het AMC grammaticaal te analyseren en beoordelen. Bij deze analyse was de maatstaf van art. 12 AVG leidend. Dat artikel bepaalt dat de rechten van betrokkenen in een ‘beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm’ en in ‘duidelijke en eenvoudige taal’ moeten worden omschreven. Daarbij mogen in voorkomende gevallen ‘aanvullende visualisaties’ worden gebruikt. Ook hier geeft de AVG de verwerkingsverantwoordelijke veel vrijheid bij het vormgeven van de communicatie richting de betrokkene.
Tuinenburg heeft per recht van betrokkene een tekst opgeleverd die in het privacystatement van het Amsterdam UMC opgenomen dient te worden, en een werkwijze voor het inwilligen van de verzoeken van betrokkenen aanbevolen die in de gefuseerde ziekenhuizen dient te worden aangehouden. Dit tot grote tevredenheid van zowel haar opdrachtgever als de Hogeschool Leiden: Tuinenburg behaalde voor haar scriptie het hoogste cijfer van haar hele cohort.
Tijdens de eindpresentatie van haar scriptie, waarin onder andere de praktische implicaties en beperkingen van het afstudeeronderzoek aan bod kwamen, stuitten Tuinenburgs beoordelaars op een interessant vraagstuk. Bij het uitvoeren van haar onderzoek heeft Tuinenburg op voorbeeldige wijze de methode gevolgd die door juridische opleidingen wereldwijd wordt onderwezen: onderzoek de casus, breng het toepasselijke recht in kaart, ontleed de criteria van dat toepasselijke recht en schrijf vervolgens naar eer en geweten de beste versie van een beroepsproduct dat aan die criteria voldoet. Of de jurist hierin is geslaagd, wordt uiteindelijk beoordeeld door een andere jurist: in dit geval Tuinenburgs beoordelaars, maar doorgaans is dat de advocaat van een wederpartij of uiteindelijk een rechter. Waar Tuinenburg binnen de kaders van haar afstudeertraject geen tijd en ruimte voor had, en waar juristen gewoonlijk helemaal geen rekening mee houden, is uitzoeken (of rekening houden met) hoe de gebruikers van een juridisch beroepsproduct dat beroepsproduct beoordelen. Hoewel Tuinenburg ruimschoots heeft voldaan aan de wensen van haar opleiding en opdrachtgever (het opleveren van een bruikbaar beroepsproduct waarmee het Amsterdam UMC op dit punt kan voldoen aan de AVG), blijft de vraag onbeantwoord of de opdrachtgever wel de juiste criteria heeft gehanteerd bij het formuleren van de afstudeeropdracht. Immers: de vraag zou niet moeten zijn of de opdrachtgever tevreden is, maar of ook de gebruikers dat zijn: de patiënten van het Amsterdam UMC. De AVG stelt namelijk niet alleen als eis dát aan de betrokkenen wordt gecommuniceerd wat hun rechten zijn, maar ook dat die communicatie voldoet aan de aspecten van gebruiksvriendelijkheid van art. 12 AVG. Dat betekent dat de jurist die de beginselen van de AVG en het door de burger aanzwengelen van het handhavingsapparaat van de AVG serieus neemt, niet meer kan volstaan met het louter opleveren van AVG-conforme blokken tekst. Cliënten zijn namelijk pas echt goed gediend door het werk van de jurist als die zijn beroepsproduct niet als het eindpunt, maar als het startpunt ziet voor het leveren van een brede juridische dienst. Er zitten immers veel meer aspecten aan het helpen van de cliënt dan alleen het aanleveren van dichtgetimmerde blokken tekst. Om ook deze aspecten bij zijn werk te kunnen betrekken zal de jurist een andere methode moeten gaan gebruiken.
Er wordt in de AVG (uiteraard) geen specifieke methode beschreven waarmee een verwerkingsverantwoordelijke kan vaststellen of zij naar de tevredenheid van de betrokkenen voldoet aan de criteria ‘beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm’ en in ‘duidelijke en eenvoudige taal’.[1] De verwerkingsverantwoordelijke kan de Referentieniveaus taal raadplegen, maar die zeggen niets over de transparantie van die tekst, noch over de toegankelijkheid van het gekozen medium. Met het vaststellen van het taalniveau is immers nog niet vastgesteld of de gebruiker de tekst ook kan lezen (zo zullen er immers patiënten zijn voor wie schriftelijke communicatie lastig is of die geen Nederlands begrijpen) en ook niet of de communicatie de gebruiker überhaupt bereikt. Als we willen beoordelen of de verwerkingsverantwoordelijke bij het aanbieden van het privacystatement voldoet aan art. 12 AVG, zullen we dus het hele communicatietraject moeten beoordelen. Maar hoe meet de verwerkingsverantwoordelijke of dat communicatietraject inderdaad voldoet? De WP29 geeft in haar richtlijnen een aantal opties om te beoordelen of het privacystatement voldoet aan art. 12 AVG (zoals gebruikerspanels, leesbaarheidstests, formeel en informeel verzamelde gebruikerservaringen en in dialoog gaan met de toezichthouder), maar ook de Werkgroep laat in het midden wat de meest geschikte methode is om te bepalen of het externe privacystatement zo gebruiksvriendelijk mogelijk is.2 Voor de juridisch sector is dit een betrekkelijk nieuw probleem. Sterker nog, vóór de AVG was er geen enkel wetgevingsinstrument dat expliciet eisen stelt aan het ontwerp van een product en/of dienst. In andere sectoren is ontwerpdenken (gelukkig) wel gemeengoed. We hoeven dus niet opnieuw het wiel uit te vinden en kunnen binnen andere disciplines op zoek naar beschikbare methoden voor het aanpakken van dit soort vraagstukken.
Legal Design Thinking
Zo kan het beschreven vraagstuk over het privacystatement van het Amsterdam UMC worden aangepakt met de methodiek Legal Design Thinking. Legal Design Thinking is een afsplitsing van de Design Thinking-methode, een ‘mensgerichte innovatiemethode die gebruiktmaakt van de gereedschapskist van de ontwerper om menselijke behoeften, technologische mogelijkheden en de doelen van de organisatie met elkaar te verenigen’.[3] Een Legal Design Thinking-traject wordt vaak vormgegeven aan de hand van het door ontwerp- en adviesbureau IDEO samengestelde vijfstappenmodel: empathize, design, ideate, prototype, test. Overigens is deze volgorde niet zo rigide als deze wellicht lijkt. De stappen van het proces kunnen ook in een andere volgorde worden doorlopen, of men kan binnen het proces weer teruggaan naar een vorige stap. Deze methode werd tot voor kort nauwelijks gebruikt in de juridische sector. Juristen denken bij de term ‘ontwerpen’ namelijk al snel aan grafisch ontwerpen, iets waar de gemiddelde jurist geen kaas van heeft gegeten (of waar hij gillend voor wegrent). Dat is jammer, want de term omvat (veel) meer dan alleen grafische vormgeving. Iedereen kan ontwerpdenken; ook (zelfs) juristen kunnen processen en producten gebruiksvriendelijker en mensgerichter maken. Dat kán betekenen dat er een aspect grafisch ontwerp om de hoek komt kijken, maar dit is niet noodzakelijk. Binnen de methodiek Legal Design Thinking benadert de jurist een vraagstuk ‘gewoon’ met een zo open mogelijk vizier en stelt hij de uiteindelijke ontvanger oftewel gebruiker van het beroepsproduct centraal. Dat betekent dat er niet alleen moet worden gekeken naar de tekst van het privacystatement, maar dat rekening moet worden gehouden met alle aspecten van het verstrekken van de informatie over de rechten van betrokkenen, zoals de vorm en wijze van verstrekking, het moment daarvan, de vraag naar of het stuk wellicht op meerdere manieren tegelijk moet worden aangeboden, met een gelijktijdige mondelinge toelichting, of dat middels een (interactieve) video kan, et cetera.
Het ontwerpproces begint zoals gezegd met de stap empathize. Dit wil zeggen dat de ontwerper van het privacystatement zich verplaatst in de gebruikers daarvan: de medewerkers van het ziekenhuis en zijn patiënten. Hierbij is het uitgangspunt aanvankelijk het inlevingsvermogen van de ontwerper, in dit geval een jurist. Het is natuurlijk lastig om te beoordelen wat een bepaalde doelgroep daadwerkelijk nodig heeft, met name als de doelgroep zo gevarieerd is als de patiënten van een academisch ziekenhuis. Het is daarom beter om al snel naar een meer objectieve onderzoeksmethode over te stappen. Zo kunnen bijvoorbeeld paneldiscussies worden georganiseerd, waarbij de ontwerper gebruik kan maken van de ‘wat, hoe en waarom’-vragen. Daarbij is het aan de ontwerper om eigen veronderstellingen en ervaringen achter zich te laten en de doelgroep zo objectief mogelijk te observeren. Omdat paneldiscussies tijd- en kostenintensief zijn, worden deze niet snel gekozen als onderzoeksmethode. Er zijn gelukkig diverse andere methodes waarmee de voor deze fase benodigde informatie kan worden verzameld. Enkele voorbeelden van andere methoden zijn diepte-interviews, het schrijven van scenario’s, storyboards en what-if-interviews. Aansluitend daarop kunnen tools als persona’s en ideationsessies met stakeholders ook waardevolle data opleveren waarmee iteratief aanpassingen kunnen worden doorgevoerd. Daarbij is het steeds belangrijk om te blijven toetsen of de doorgevoerde aanpassingen wel aansluiten op de behoeftes van de doelgroep. Ze zijn immers pas verbeteringen als ze het product bewezen effectiever en/of gebruiksvriendelijker maken. Binnen een ziekenhuis is deze stap bovendien complexer dan gewoonlijk: het is niet ondenkbaar dat er meerdere doelgroepen moeten worden geïdentificeerd en apart worden bevraagd: er kunnen immers hele andere oplossingen nodig zijn voor de verschillende groepen mensen die een ziekenhuis bezoeken. Een voor de hand liggend voorbeeld is dat van slechtziende patiënten – die natuurlijk weinig aan een folder hebben.
Nadat de ontwerper contact heeft gelegd met de doelgroep en de inzichten in hun behoeftes heeft geïnventariseerd volgt de tweede stap: het definiëren van het probleem. Zoals bij elk onderzoek dient de hoofdvraag zo te zijn geformuleerd dat deze geoperationaliseerd en betrouwbaar onderzocht kan worden. Zolang niet precies duidelijk is wat het probleem is waar de doelgroep tegenaan loopt, kan er immers geen passende oplossing voor worden gevonden. Het Amsterdam UMC dient dus uit te vinden wat hun stakeholders als problematisch beschouwen wanneer zij het privacystatement gebruiken, of wat het obstakel is dat de patiënten er zelfs van weerhoudt om het te raadplegen. Daarbij gaat het niet alleen om de patiënten; ook de werknemers hebben belang bij het vinden van een werkbare oplossing. Zij zijn immers degenen die het privacystatement aan de man moeten brengen. Als het proces niet op hun wensen en behoeftes aansluit komt het nooit bij alle cliënten terecht, ongeacht hoe helder de tekst is of hoe mooi het product is vormgegeven.
Dan, als de onderzoeksvraag is gedefinieerd, kunnen er in de stap ideate oplossingen voor het probleem worden bedacht. In deze fase dient de ontwerper vrij van alle restricties verschillende ideeën te bedenken. Daarbij is het van fundamenteel belang dat de ontwerper zijn ego en faalangst terzijde schuift. Hoewel dit voor menig jurist (en mens!) geen gemakkelijke opgave is, kan het belang hiervan niet worden onderschat. Het juiste idee kan immers pas worden geïdentificeerd als het wordt afgemeten aan de slechte, dus ook die slechte ideeën moeten worden bedacht en besproken. Sterker nog, deze fase van het proces vereist het accepteren van het uitgangspunt dat iets pas een goed idee is op het moment dat de doelgroep zegt dat dat zo is – een uitgangspunt dat de haren van menig jurist te berge doet rijzen. Het is binnen Legal Design Thinking daarom ook een goed idee om te werken met een multidisciplinair team, met name in deze eerste stappen van het ontwerpproces. Daarbij is het belangrijk dat bijdragen uit alle disciplines serieus bij het ontwerp van het product worden betrokken en dat teamleden dus niet alleen als uitvoerder van een specifieke discipline worden gezien. Op deze manier kunnen veel verschillende ideeën, invalshoeken en inzichten worden gegenereerd. Hierdoor is er een grotere kans om tot een ontwerp te komen dat aansluit op de behoeften van de doelgroep (en worden de minder constructieve neigingen van de juridische denktrant hopelijk enigszins gecompenseerd).
Vervolgens moeten deze ideeën worden uitgewerkt of, om in designterminologie te blijven, er dienen prototypen te worden gemaakt. Zodra deze prototypen ‘klaar’ zijn, kunnen ze worden getest door de doelgroep, de laatste fase van het design thinking-proces. Het is goed mogelijk dat naar aanleiding van feedback de verschillende stappen opnieuw worden doorlopen, dan wel dat wordt teruggekeerd naar een eerdere fase van het ontwerpproces. Het is onder ontwerpers namelijk een algemeen geaccepteerde wijsheid dat wie in deze fase geen fouten ontdekt, niet goed heeft getest. Het ontwerpproces leidt vrijwel altijd tot verrassingen. Denk bijvoorbeeld aan de situatie waarin het de ontwerper opvalt dat patiënten amper gebruik maken van de rechten die in het privacystatement staan omschreven, en dat hij denkt dat dat komt doordat het taalgebruik te ingewikkeld is. Uit paneldiscussies kan vervolgens echter blijken dat niet het taalgebruik de oorzaak is, maar dat het stuk langdradig of onoverzichtelijk is, of dat de gebruikers het niet kunnen vinden, of dat ze überhaupt nog nooit van zoiets als een privacystatement hebben gehoord. De ontwerper zou dan met een volgend idee en prototype kunnen komen dat dit probleem oplost (zoals een korte, activerende samenvatting waarin kan worden doorgeklikt naar meer uitgebreide teksten). Wellicht komt dan tijdens het testen van dat nieuwe prototype weer naar voren dat de helft van de patiënten de doorklik-optie niet kan gebruiken omdat deze niet werkt in hun browser, of dat deze optie niet goed zichtbaar is wanneer men de samenvatting op een ander apparaat bekijkt. Omdat de ontwerper vanuit zijn eigen veronderstellingen heeft gehandeld, zou hij deze obstakels zonder dit onderzoek nooit hebben ontdekt. De ontwerper gaat dan met deze nieuwe inzichten weer terug naar de tekentafel, denkt na over hoe het prototype aangepast kan worden, past het waar nodig aan en gaat dit vervolgens weer testen bij de doelgroep. Deze iteratieve manier van werken gaat net zo lang door totdat de grootste fouten en blokkades in het voorzien in de behoeftes van de doelgroep opgelost zijn, of, vaker, tot het budget op is. Uiteindelijk levert de (juridisch) ontwerper een beroepsproduct op dat niet alleen voldoet aan de AVG, maar waarin ook de wensen van de verschillende patiëntdoelgroepen en medewerkers zijn meegenomen. De voordelen hiervan zullen evident zijn: minder (tijdrovende) vragen aan zorgmedewerkers van patiënten over hun rechten, een grotere klanttevredenheid en goede PR voor het ziekenhuis.
Conclusie; vooruitblik
In dit artikel hebben we een overzicht gegeven van hoe een juridisch vraagstuk door middel van het doorlopen van de stappen van de Legal Design Thinking-methode kan worden benaderd. Dit is uiteraard geen uitputtend overzicht – er zijn meer ontwerpmethoden dan Design Thinking en er zijn meer interventies die binnen die methoden kunnen worden toegepast. Het ging in dit artikel specifiek over het privacystatement van een organisatie als het Amsterdam UMC, maar dit overzicht kan ook goed worden gebruikt door andere ziekenhuizen en organisaties om een ontwerpproces toe te passen op het (her)ontwerp van hun privacystatement (of ander juridisch beroepsproduct) om tot een meer mensgericht, gebruiksvriendelijk ontwerp te komen. Dat niet alleen: hoewel de AVG het eerste stuk wetgeving is waarin expliciet aandacht wordt besteed aan de gebruiksvriendelijkheid van juridische beroepsproducten zal dat niet zo blijven. De burger mag op dit vlak steeds meer verwachten van organisaties – hij zal steeds minder vaak genoegen nemen met onleesbare, onbegrijpelijke of gebruiksonvriendelijke stukken. Het ligt daarom in de lijn der verwachting dat de legal design thinking-methode vaker door juristen toegepast zal (moeten) worden en dat is goed nieuws, want op deze manier wordt er veel meer waarde voor burgers en organisaties gecreëerd dan met de traditionele juridische aanpak. Dat betekent dat er kansen liggen voor juristen die meer dan alleen juridische vaardigheden hebben. Meer specifiek betekent dit dat er een steeds grotere rol is weggelegd voor de hbo-jurist, die niet alleen juridisch-inhoudelijk geschoold is maar die straks ook is onderlegd in (Legal) Design Thinking en die de competenties heeft om het volgen van die methode tot een succes te maken.
[1] Of in gewoon Nederlands: of de stukken wel gebruiksvriendelijk zijn.
[2] De Guidelines on transparency under Regulation 2016/679 van 29 november 2017, laatstelijk gewijzigd op 11 april 2018.
[2] Aldus Tim Brown, executive chair van IDEO.
Dit artikel is een samenwerking van het PrivacyLAB en het Legal Tech & Design LAB (Lectoraat Recht & Rechtvaardigheid); alumna Laura Tuinenburg en docenten Robert Koning en Nathalie Hanssen.
