Hieronder zijn opgenomen het advies van de Afdeling advisering van de Raad van State d.d. 19 augustus 2020 en het nader rapport d.d. 21 augustus 2020, aangeboden aan de Koning door de Minister van Volksgezondheid, Welzijn en Sport. Het advies van de Afdeling advisering van de Raad van State is cursief afgedrukt.
Blijkens de mededeling van de Directeur van Uw Kabinet van 13 juli 2020, no. 2020001500, machtigde Uwe Majesteit de Afdeling advisering van de Raad van State haar advies inzake het bovenvermelde voorstel van wet rechtstreeks aan mij te doen toekomen. Dit advies, gedateerd 19 augustus 2020, no. W13.20.0254/III, bied ik U hierbij aan.
De tekst van het advies treft u hieronder aan, voorzien van mijn reactie.
Bij Kabinetsmissive van 13 juli 2020, no. 2020001500, heeft Uwe Majesteit, op voordracht van de Minister van Volksgezondheid, Welzijn en Sport, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het voorstel van wet houdende Tijdelijke bepalingen in verband met de inzet van een notificatieapplicatie bij de bestrijding van de epidemie van covid-19 en waarborgen ter voorkoming van misbruik daarvan (Tijdelijke wet notificatieapplicatie covid-19), met memorie van toelichting.
Het voorstel wijzigt de Wet publieke gezondheid (Wpg), en introduceert het vrijwillige gebruik van een notificatieapplicatie (hierna: de app). Deze app wordt gebruikt ten behoeve van de bron- en contactopsporing door de gemeentelijke gezondheidsdiensten (GGD’en). Het voorstel bevat een wettelijke grondslag voor de met de toepassing van de app samenhangende gegevensverwerking en een regeling voor de verwerkingsverantwoordelijkheid. Voorts is in het voorstel een mogelijkheid van subdelegatie opgenomen wat betreft regels voor de inrichting, het beheer en de beveiliging, de bewaartermijn van bijzondere persoonsgegevens en de uitoefening van de rechten van betrokkene. Ten slotte kent het voorstel een antimisbruikbepaling en regelt het de handhaving en sanctionering daarvan.
De Afdeling advisering van de Raad van State gaat allereerst in op de noodzaak voor een wettelijke grondslag. Ook maakt de Afdeling een aantal opmerkingen over de gegevensbescherming. Zij wijst in het bijzonder op het specificeren van het doeleinde en het beperken van verdere gegevensverwerking. Ook gaat zij in op het verwerken van bijzondere persoonsgegevens, de daarmee samenhangende verwerkingsverantwoordelijkheid, en het zorgdragen voor de uitoefening van de rechten van betrokkenen. Zij maakt in het kader van gegevensbescherming ook een opmerking over de rol van Google en Apple.
Tevens maakt de Afdeling een opmerking over de mogelijkheid tot subdelegatie ten aanzien van de bewaartermijn en de rechten van betrokkenen. Verder wijst zij op het belang van parlementaire betrokkenheid, ook bij het intrekken van (onderdelen) van het voorstel. Voorts maakt zij een opmerking over het opnemen van een juridische grondslag in het voorstel ten behoeve van de interoperabiliteit. Tot slot adviseert ze de criteria voor deactivering nader toe te lichten. In verband daarmee is aanpassing van het wetsvoorstel en de toelichting wenselijk.
Het wetsvoorstel hing oorspronkelijk samen met de eerder ingezette versoepeling van de maatregelen ter bestrijding van de epidemie van Covid-19. Bij de afbouw van maatregelen kan een goed functionerend systeem van bron- en contactopsporing door de gemeentelijke gezondheidsdienst (GGD) als onmisbaar worden beschouwd. Het voorstel is evenwel zeker ook goed voorstelbaar in het licht van de recente significante stijging van het aantal Covid-19 besmettingen, en van de daaropvolgende inzet van de overheid om verder oplopende verspreiding van het virus te bestrijden.
De GGD heeft op grond van de Wpg de taak om bron- en contactopsporing te doen bij meldingen van besmetting met een infectieuze ziekte zoals het virus.2 Dit houdt kortgezegd in dat de GGD onderzoekt met wie een besmette patiënt contact heeft gehad, met diegenen contact opneemt en vervolgens hen een handelingsperspectief biedt. Dit heeft als doel de uitbraak van een epidemie te voorkomen of te beheersen. De uitvoering van de bron-en contactopsporing is vormvrij. Uitgangspunt is dat dit in alle gevallen plaatsvindt op grond van vrijwillige medewerking van de betrokkenen.
Het Outbreak Management Team (OMT) heeft geadviseerd om met het oog op het intensievere testbeleid de mogelijkheden voor ondersteuning van bron- en contactopsporing met behulp van mobiele applicaties te onderzoeken.3 Ook andere Europese lidstaten ontwikkelen dergelijke apps. De voorgestelde app komt overeen met de notificatieapp zoals die wordt ontwikkeld in Duitsland, Italië en Ierland.4
De notificatieapp is bedoeld als niet-verplichte aanvulling op de analoge bron- en contactopsporing van de GGD en komt niet in plaats van het analoge onderzoek. De aanvulling bestaat eruit dat door de app (sneller) personen worden bereikt die de besmette patiënt niet kent of waarvan de besmette patiënt zich niet kan herinneren daarmee in contact te zijn gekomen.
De notificatieapp werkt kortgezegd als volgt. Een gebruiker installeert de app op de telefoon. De app herkent andere gebruikers door middel van bluetooth. De app geeft een melding als de smartphone van de gebruiker in de buurt is geweest van de smartphone van een besmette persoon en geeft daarbij advies hoe te handelen. Als de (smartphone van de) gebruiker van de app tenminste 15 minuten bij een andere (smartphone van een) gebruiker van de app in de buurt is, wordt een versleutelde code uitgewisseld tussen de gebruikers van de app. Pas in geval van een geconstateerde besmetting kan de besmette patiënt ervoor kiezen met hulp van de GGD een melding van besmetting te doen. In dat geval wordt gecheckt met welke andere app-gebruikers in de afgelopen 14 dagen deze codes zijn uitgewisseld. Vervolgens ontvangen die gebruikers een melding en wordt hen geadviseerd hoe te handelen.5
Het gebruik van de app is expliciet vrijwillig. Voor de effectiviteit van de app is het van belang dat zoveel mogelijk mensen de app gaan gebruiken. Terecht wordt dan ook in de toelichting opgemerkt dat de doeltreffendheid van de app exponentieel evenredig is met het aantal personen dat eenzelfde app installeert en activeert.6 Voor de effectiviteit is daarnaast echter ook relevant dat er zo min mogelijk valspositieve en valsnegatieve meldingen worden gedaan, dat de door de GGD bij de melding geadviseerde handelingsperspectieven zo snel en volledig mogelijk worden opgevolgd (waaronder het zich laten testen), en het testbeleid daarop aansluit. De Afdeling stelt vast dat over de mate waarin de app op dit moment effectief is de opvattingen verschillen.7
Gelet op de maatschappelijke discussie over mogelijk misbruik van de app en de effectiviteit ervan, acht de Afdeling het van belang dat in de voorbereiding van de ingebruikname van de app veel aandacht is besteed aan het onderkennen van de mogelijkheden van misbruik en de risico’s van de met de app samenhangende gegevensverwerkingen, alsmede aan het formuleren van mogelijke oplossingen daarvoor. Ook zal, zo blijkt uit de toelichting, de effectiviteit van de app steeds worden geëvalueerd. Indien nodig kan dit ertoe leiden dat het gebruik van de app wordt beëindigd.8
In de toelichting wordt vermeld dat het wetsvoorstel zo snel mogelijk in werking treedt.9 Uit de kabinetsbrief van 16 juli j.l. kan worden opgemaakt dat wordt beoogd de app per 1 september 2020 in gebruik te nemen.10 Daarmee zal de app naar verwachting in gebruik worden genomen voordat de parlementaire behandeling van het wetsvoorstel is afgerond. De Afdeling is met de regering van oordeel dat dit op zichzelf mogelijk is. Strikt genomen is een wettelijke basis voor vrijwillig gebruik van de app juridisch niet noodzakelijk. Verdedigbaar is dat vanwege het feit dat gebruik vrijwillig is toestemming, gelet op de AVG,11 een toereikende grondslag vormt voor met gebruik van de app samenhangende verwerkingen van persoonsgegevens, mits aan de voorwaarden die op grond van de AVG aan de verlening van rechtsgeldige toestemming worden gesteld,12 wordt voldaan.
Het voorgaande betekent echter niet dat totstandbrenging van een wettelijke basis op zeer korte termijn niet bijzonder gewenst is. Met het in gebruik nemen van de app voordat het wetgevingsproces is afgerond wordt immers afbreuk gedaan aan een belangrijke doelstelling van het wetsvoorstel. Die doelstelling is namelijk maximale duidelijkheid bieden over de inzet van de app en de te verwerken persoonsgegevens op wetsniveau. Dit draagt bij aan de effectieve werking van de voor de bestrijding van de epidemie essentiële bron- en contactopsporing.13 Met een wettelijke grondslag kunnen voorts specifieke waarborgen worden geboden zoals het voorgestelde verbod op misbruik. Deze antimisbruikbepaling borgt immers de vrijwilligheid van het gebruik van de app.
De recente significante stijging van het aantal coronavirusbesmettingen en de grote urgentie om deze zo veel en zo snel als mogelijk onder controle te krijgen kan niettemin een rechtvaardiging zijn de app toch snel in gebruik te nemen zelfs als dat betekent dat de voltooiing van het wetgevingsproces niet kan worden afgewacht. De Afdeling adviseert in dat geval wel deze afweging in overleg met de Tweede Kamer te maken in het licht van de te verwachte duur van de parlementaire behandeling van dit wetsvoorstel. Daarbij zou gelet op de geschetste voordelen van de wet, gestreefd moeten worden naar een behandeling op zo kort mogelijke termijn, zoals ook is aangegeven in de kabinetsbrief van 17 augustus j.l.14
De Afdeling adviseert in de toelichting nader op het voorgaande in te gaan.
Reactie:
Voordat de regering op het advies ingaat, wil zij eerst grote waardering uitspreken voor de snelle advisering door de Afdeling.
De Afdeling is met de regering van oordeel dat, mede in het licht van de huidige ontwikkelingen rondom de toename van het aantal besmettingen en de noodzaak dit een halt toe te roepen, toestemming van betrokkene voldoende basis biedt voor de verwerking van persoonsgegevens in het kader van notificatieapp en daarmee tevens voor een eventuele ingebruikneming van de app voordat het gehele wetgevingsproces is doorlopen. De Afdeling volgt hiermee het oordeel van de Europese Data Protection Board, welke tevens heeft aangegeven dat de verwerking van (bijzondere) persoonsgegevens in het kader van een notificatieapp kan plaatsvinden op basis van toestemming van betrokkene. Ook andere lidstaten zoals onder meer Duitsland en Ierland werken overigens met toestemming als grondslag voor de aldaar gebruikte notificatieapps. Ik lees het advies als een uitnodiging om zo spoedig mogelijk in overleg te treden met de Tweede Kamer over de mogelijkheid, om de app in gebruik te nemen. De toelichting is op dit punt aangevuld in paragraaf 1 en paragraaf 7.1.
Voorgesteld wordt dat een notificatieapplicatie kan worden ingezet «ter ondersteuning van de bron- en contactopsporing, waarmee vroegtijdig zicht kan worden verkregen op een mogelijke infectie met dat virus».15
Op grond van de AVG moet het doel van de gegevensverwerking welbepaald en uitdrukkelijk omschreven zijn.16 De richtsnoeren van de Commissie bevelen bovendien aan om het doel dermate specifiek te omschrijven dat er geen twijfel bestaat over het soort persoonsgegevens dat met het oog daarop moet worden verwerkt. Ten aanzien van de functionaliteit «contacttracering en waarschuwing» merkt de Commissie bovendien op dat het enkel vermelden van preventie van verdere besmetting met COVID-19 als doel onvoldoende specifiek is. De richtsnoeren bevelen aan het doel inzake contacttracering en waarschuwing te specificeren als «het bewaren van de contacten van de personen die de app gebruiken en die mogelijk blootgesteld zijn geweest aan besmetting met COVID-19 om degenen te waarschuwen die eventueel besmet kunnen zijn».17
Gelet hierop is de formulering van het doel van de notificatieapp in het wetsvoorstel niet specifiek genoeg.18 De Afdeling adviseert in het voorstel het doel in de hiervoor genoemde zin aan te passen.
Reactie:
Het advies van de Afdeling is overgenomen. Artikel 6d, eerste lid, is in voorgestelde zin aangevuld. Daarnaast is in het tweede lid van artikel 6d gespecificeerd welke gegevens in het kader van de app mogen worden gebruikt.
De met de app verkregen persoonsgegevens mogen niet worden gebruikt voor andere doeleinden dan het in de wet omschreven doel,19 aldus de toelichting.20 Dit is in overeenstemming met de Europese maatstaven. Volgens de richtsnoeren van de Commissie zou in de wettelijke grondslag voor de app onder meer de mogelijkheid moeten worden uitgesloten dat de gegevens voor andere dan de in de wetgeving vermelde doeleinden worden verwerkt.21 Ook de richtsnoeren van het Europees Comité voor de gegevensbescherming vereisen een uitdrukkelijke beperking op het verdere gebruik van persoonsgegevens.22
Dat de gegevens niet mogen worden gebruikt voor andere doeleinden wordt volgens de toelichting onder meer gewaarborgd door de eisen aan de vormgeving van de app, het in de wet omschreven doel, de antimisbruikbepaling, de toegepaste dataminimalisatie en het tijdelijk karakter van de wet.23 Voorts is van belang dat de gegevens zich voornamelijk bevinden op de smartphone van de gebruiker. Deze bewaart alleen de gegevens van de laatste twee weken. De gegevens op de server worden daarnaast gescheiden van het IP-adres van de smartphone.24
De Afdeling erkent dat de voorgaande, ook in de toelichting genoemde elementen met het oog op de doelbinding belangrijke waarborgen zijn. Desalniettemin is het, gelet op de gevoeligheid van het onderwerp, het belang van vertrouwen in de app en de hiervoor genoemde richtsnoeren, aangewezen dat in het wetsvoorstel verder gebruik van persoonsgegevens uitdrukkelijk wordt uitgesloten.
De Afdeling adviseert het wetsvoorstel in die zin aan te passen.
Reactie:
Het advies van de Afdeling is overgenomen. Aan artikel 6d, derde lid, is een extra onderdeel (d), in voorgestelde zin toegevoegd. Ook is in de memorie van toelichting benadrukt dat de gegevens die in het kader van de app worden verwerkt niet voor andere doeleinden mogen worden verwerkt.
Het wetsvoorstel regelt dat de GGD bij de toepassing van de app bijzondere persoonsgegevens verwerkt.25 Noch uit het voorstel, noch uit de toelichting, volgt echter in welke fase(n) van het gebruik van de app bijzondere persoonsgegevens worden verwerkt. In de gegevensbeschermingseffectbeoordeling (hierna: DPIA) wordt opgemerkt dat in de validatie-, koppelings- en notificatiefase sprake is van verwerking van bijzondere persoonsgegevens. In de verschillende fasen betreffen dit verschillende gegevens, zoals de identificatiesleutels, de autorisatiecode, de eerste ziektedag, maar ook bijvoorbeeld het bericht aan de gebruiker dat hij mogelijk besmet is.26
Volgens de DPIA worden de (bijzondere) persoonsgegevens alleen in de validatiefase door de GGD verwerkt.27 Nu de verwerking van bijzondere persoonsgegevens door de GGD in het voorstel wordt geregeld, acht de Afdeling het aangewezen om, in overeenstemming met de DPIA, in de toelichting nader aan te geven welke bijzondere persoonsgegevens door de GGD in welke fase worden verwerkt.28 Voorts acht zij het nuttig om, mede met het oog op de parlementaire behandeling, gedeeltes uit de DPIA te verwerken in de toelichting voor zover ook in andere fase(n) van het gebruik van de app bijzondere persoonsgegevens worden verwerkt.
De Afdeling adviseert in het licht van het voorgaande de toelichting aan te vullen.
Reactie:
De verwerking van gegevens vindt plaats in verschillende fasen. De eerste fase is de fase voorafgaand aan een de melding van een besmetting. De enige verwerking die dan plaatsvindt is de verwerking op de telefoon zelf van de eigen TEK’s en de TEK’s van andere gebruikers waarmee een persoon binnen bluetooth bereik bent geweest. In deze fase worden er dus alleen gegevens opgeslagen op de telefoon van de appgebruiker en worden er dus nog geen bijzondere persoonsgegevens verwerkt door de GGD of de Minister.
De tweede fase is de fase waarbij er gegevensuitwisseling plaatsvindt tussen de GGD en de backend server omtrent een vastgestelde besmetting van een appgebruiker, de validatiefase. Hierin stuurt de appgebruiker waarbij een besmetting is vastgesteld zijn eigen TEK’s naar de backend server en stuurt de GGD de validatiecode, het IP-adres en de dag waarop de eerste ziekteverschijnselen kenbaar werden naar de backend server. In deze fase worden er dus bijzondere persoonsgegevens door de GGD verwerkt.
De derde fase is de fase waarin de telefoon van de gebruikers van de app, de TEK’s van de besmette persoon ophaalt van de server, zodat deze door de api vergeleken kunnen worden met de op de telefoon zelf opgeslagen TEK’s van andere gebruikers waarmee je binnen bluetooth bereik bent geweest. Voor zover een TEK gezien moet worden als persoonsgegeven, is er in deze fase dus sprake van verwerking van persoonsgegevens, maar niet van bijzondere persoonsgegevens, door de beheerder van de server, de Minister.
In de volgende fase worden dus de TEK’s van andere gebruikers waarmee een gebruiker binnen bluetooth bereik is geweest en die opgeslagen zijn op de eigen telefoon vergeleken met de TEK’s van de besmette telefoon. Bij een match ontvangt de gebruiker automatisch een notificatie dat er sprake is geweest van risicovol contact en een handelingsadvies. De GGD en de Minister zijn niet betrokken bij deze notificatie. Hier is dus geen sprake van verwerking van (bijzondere) persoonsgegevens.
De toelichting is in overeenstemming met het bovenstaande in paragraaf 3.1 aangevuld en verduidelijkt.
De verwerkingsverantwoordelijkheid is in het voorstel vastgelegd op twee niveaus. Het voorstel bepaalt dat de Minister verwerkingsverantwoordelijke is in de zin van de Algemene Verordening Gegevensbescherming (AVG) voor de verwerking van persoonsgegevens met de app.29 In afwijking daarvan echter wordt de GGD van de verblijfplaats van de betrokkene aangewezen als verwerkingsverantwoordelijke (onder meer) voor wat betreft het uitvoering geven aan de rechten van betrokkenen en het melden van een inbreuk in verband met persoonsgegevens.30 Volgens de toelichting wordt met deze verdeling aangesloten bij respectievelijk de taken van de Minister in het kader van de Wpg, en de bron- en contactopsporing waarmee de GGD is belast.31
De verwerkingsverantwoordelijke is volgens de AVG degene die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Als doel en middelen door de nationale wetgever wordt vastgesteld, kan in de betreffende wet worden bepaald wie de verwerkingsverantwoordelijke is.32 Als twee (of meer) verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijk verwerkingsverantwoordelijken. In dat geval dienen zij, zo schrijft de AVG voor, hun verantwoordelijkheden voor de nakoming van hun verplichtingen onderling vast te stellen.33 Bij een gezamenlijke verwerkingsverantwoordelijkheid kan de betrokkene zijn rechten uitoefenen jegens iedere verwerkingsverantwoordelijke.34 Deze AVG-regels zijn van belang omdat voor de burger duidelijk moet zijn wie waarvoor verantwoordelijk is en hij als gevolg daarvan weet wie hij op de verwerking van zijn persoonsgegevens kan aanspreken.
Met het oog op de noodzakelijke helderheid van de burger is de vraag of het voorstel niet kan worden vereenvoudigd. Het gaat hier ten eerste om de vraag waarom ook de Minister als verwerkingsverantwoordelijke is aangewezen. Ten tweede zou het voorstel vereenvoudigd kunnen worden door de verwerkingsverantwoordelijkheid van de GGD’en in het wetsvoorstel te verduidelijken.
In dat kader merkt de Afdeling allereerst op dat uit onder meer de DPIA blijkt dat in ieder geval de GGD’en persoonsgegevens verwerken in de validatiefase (zie hiervoor onder c). Het ligt derhalve voor de hand dat als het gaat om die verwerkingen de GGD van de verblijfplaats van betrokkene als verwerkingsverantwoordelijken wordt aangewezen. Uit de toelichting volgt echter niet waarom naast de GGD’en ook de Minister verwerkingsverantwoordelijke zou moeten zijn. Dat de Minister verantwoordelijk is voor de inrichting en het beheer van de app leidt niet zonder meer tot de conclusie dat hij ook als verwerkingsverantwoordelijke moet worden aangewezen. Uit de toelichting blijkt immers niet in hoeverre de Minister in het kader van zijn beheerstaak ook persoonsgegevens verwerkt.35
Voorts is de vraag of hetgeen het wetsvoorstel op dit moment regelt inzake de verwerkingsverantwoordelijkheid van de GGD wel afdoende is. Deze beperkt zich tot de toepassing van een aantal bepalingen uit de AVG die betrekking hebben op de specifieke informatieverplichtingen van de verwerkingsverantwoordelijke en de uitoefening van de rechten van betrokkenen. Uit de toelichting blijkt onvoldoende in hoeverre deze beperkingen aansluiten bij de rol van de GGD’en bij de toepassing van de app in de verschillende fasen.36 Daarbij merkt de Afdeling op dat de verwerking van persoonsgegevens door de GGD’en in de validatiefase niet zonder meer samenvalt met de verwerking van persoonsgegevens die samenhangt met de informatieverplichtingen uit de AVG.
De Afdeling merkt ten slotte op dat indien wordt gekozen voor een gezamenlijke verwerkingsverantwoordelijkheid van de Minister en de GGD’en aandacht moet worden besteed aan de onderlinge regeling waarin op grond van de AVG de verantwoordelijkheden tussen de Minister en de GGD’en moet worden geregeld.37 Zij acht het raadzaam de essentiële onderdelen daarvan in de toelichting te expliciteren. Daarbij dient in acht te worden genomen dat bij een gezamenlijke verwerkingsverantwoordelijkheid de betrokkene zijn rechten kan uitoefenen jegens elke verwerkingsverantwoordelijke.38
De Afdeling adviseert in het licht van het voorgaande de regeling van de verwerkingsverantwoordelijkheid nader toe te lichten en zo nodig het voorstel aan te passen.
Reactie:
De Minister van VWS heeft de app ontwikkeld ter uitvoering van zijn taken op grond van de artikelen 3 en 7 van de Wpg; het geven van leiding aan infectieziektebestrijding, de bevordering van de kwaliteit en doelmatigheid van de publieke gezondheidszorg en de instandhouding en verbetering van de landelijke ondersteuningsstructuur. In dat kader voert hij ook het beheer van de app uit, draagt hij zorg voor de back-end server, sluit hij de daarvoor benodigde verwerkersovereenkomst, voorziet hij in de algemene informatieverstrekking over de app en voert hij de evaluatie van de app uit. Ook een mogelijk besluit tot beëindigen van het gebruik van de app wordt door de Minister geïnitieerd. Daarmee bepaalt de Minister van VWS doel en middelen van de verwerking van de gegevens die in het kader van de app plaatsvindt. Naar het oordeel van de regering volgt daar logischerwijs uit dat de Minister van VWS verwerkinsgverantwoordelijke voor deze verwerking is. Tegelijkertijd verwerken de GGD’en, zoals de Afdeling ook terecht opmerkt, in de validatiefase persoonsgegevens in het kader van de app en dient de app ter ondersteuning van de wettelijke taak van de GGD’en tot het doen van bron- en contactopsporing. Ook de GGD’en zijn derhalve (mede)verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens die in het kader van de app plaatsvindt. De regering is het met de Afdeling eens dat er sprake moet zijn van goede onderlinge afspraken tussen de GGD’en en de Minister van VWS over hun verantwoordelijkheden voor de nakoming van hun AVG verplichtingen. Het wetsvoorstel regelt daarom dat de Minister van VWS in algemene zin de verwerkingsverantwoordelijke is voor de verwerking van persoonsgegevens die in het kader van de app plaats vindt en dat de GGD van de verblijfplaats van de gebruiker als verwerkingsverantwoordelijke optreedt voor zover het gaat om de uitoefening van zijn rechten. Deze verdeling sluit het meest aan bij de praktijk waarbij de Minister van VWS de app beheert en bijvoorbeeld zorg draagt voor de beveiliging van de in het kader van app verwerkte gegevens, verwerkersovereenkomsten sluit en voorziet in algemene informatie over app op bijvoorbeeld coronamelder.nl en in de app zelf. De GGD van de verblijfplaats van een met het virus geïnfecteerde gebruiker verwerkt, als deze gebruiker daarmee instemt, persoonsgegevens over hem. Zo stuurt de GGD de eerste dag waarop hij ziekteverschijnselen kreeg en de validatiecode naar de back-end server. Het ligt dan ook in de rede dat de gebruiker zich tot deze GGD wendt voor bijvoorbeeld een inzage- of verwijderingsverzoek. Zoals de Afdeling terecht opmerkt kan de GGD voorafgaand aan de validatiefase geen gevolg aan dergelijke verzoeken geven. Dat is niet anders voor de Minister van VWS, in deze fase worden er immers alleen gegevens op de telefoon van de gebruikers verwerkt en de Minister en de GGD hebben daar geen toegang toe. Dit is een direct gevolg van het feit dat de app is vormgegeven volgens de principes van dataminimalisatie en privacy by design. Ook in de volgende fases zal een beroep op deze rechten overigens maar beperkt zijn omdat de in deze fases verwerkte gegevens vaak niet meer herleidbaar zijn en na uiterlijk veertien dagen automatisch worden verwijderd. De toelichting is op dit punt aangevuld in paragraaf 4.2. waarbij ook is verwezen naar artikel 11 van de AVG waaruit volgt dat de artikelen 15 tot en met 20 van de AVG niet van toepassing zijn als de verwerkingsverantwoordelijke betrokkene niet (meer) kan identificeren.
Overigens worden er, net als in de pilotfase, ook overeenkomsten gesloten tussen de Minister van VWS en de GGD’en waarin de uitvoering van de AVG verplichtingen duidelijk is vastgelegd.
De GGD is in het voorstel verwerkingsverantwoordelijke voor wat betreft het uitvoering geven aan de rechten van betrokkenen en de informatieverstrekking aan gebruikers.39 Volgens de toelichting gaat het dan onder meer om de plicht om gebruikers te informeren, het recht op inzage en het recht op rectificatie.40 Inherent aan de decentrale aanpak is dat de GGD zelf niet beschikt over de gegevens die de gebruiker op zijn telefoon heeft. De plaatselijke GGD verwerkt immers alleen persoonsgegevens tijdens de validatiefase. Daarom is het volgens de DPIA slechts dan mogelijk uitvoering te geven aan de rechten van betrokkenen.41 Buiten de validatiefase is de GGD op grond van artikel 11, tweede lid, AVG daarom niet gehouden uitvoering te geven aan deze rechten.42
De Afdeling wijst erop dat de GGD op grond van het voorstel zoals het nu luidt verwerkingsverantwoordelijke is voor het uitvoeren van de rechten van betrokkenen in álle fasen van het gebruik van de app. Gelet op voorgaande opmerking en op de uitvoerbaarheid van de regeling voor de GGD, ligt echter in de rede dat onderscheid wordt gemaakt tussen de gegevensverwerkingen in de verschillende fasen in relatie tot de verwerkingsverantwoordelijkheid en de rechten van de betrokkenen die in de verschillende fases kunnen worden uitgeoefend.
De Afdeling onderschrijft dat het gebruik van de gepseudonimiseerde identificatiesleutels in de uitwisselings- en koppelingsfase en de daaraan gekoppelde notificatie in de notificatiefase pleit voor toepassing van de hiervoor genoemde uitzondering van artikel 11, tweede lid, AVG. De betrokkene kan immers in deze fasen niet worden geïdentificeerd. Daarom is het niet nodig om de GGD in die fasen uitvoering te laten geven aan de rechten van de betrokkene. Dit ligt echter anders voor de validatiefase, waarin de GGD (bijzondere) persoonsgegevens verwerkt. In de toelichting wordt hier echter niet op in gegaan. In het bijzonder besteedt de toelichting geen aandacht aan de gevallen waarin al dan niet uitvoering zou moeten worden gegeven aan de rechten van betrokkenen als bedoeld in de AVG.
De Afdeling adviseert in de toelichting op het voorgaande in te gaan.
Reactie:
De Afdeling constateert terecht dat de GGD slechts in zeer beperkte mate en alleen in de fase van de validatie toegang heeft tot (bijzondere) persoonsgegevens van de betrokkene en dat zij dan ook alleen in die fase uitvoering kan geven aan rechten van betrokkenen. In overige gevallen is de genoemde uitzondering van artikel 11, tweede lid van de AVG van toepassing. De toelichting is in overeenstemming met hetgeen door de Afdeling is geadviseerd op dit aangevuld in paragraaf 4.2.
Voor de app wordt gebruik gemaakt van de application programming interface (api) die door Google en Apple is ontwikkeld.43 De api zorgt ervoor dat de pseudonieme identificatiesleutels (RPIs), die gegenereerd zijn op basis van andere pseudonieme identificatiesleutels (TEKs), kunnen worden uitgewisseld tussen smartphones van gebruikers.44
De Autoriteit Persoonsgegevens (AP) acht het «onvoldoende duidelijk […] of, en zo ja welke, persoonsgegevens worden verwerkt door Google en Apple middels het aanbieden van het framework».45 In de Kamerbrief wijst de Minister erop dat Google en Apple geen verwerkers zijn. Wel vindt de Minister het belangrijk dat er goede afspraken zijn met Google en Apple, waarbij wordt verwezen naar de FAQ van Google en Apple.46
Dit doet de vraag rijzen in hoeverre het voor Google en Apple in het kader van het gebruik van de app nu of in de toekomst mogelijk zou zijn persoonsgegevens te verwerken. Ook rijst de vraag in hoeverre de door Google en Apple zelf opgestelde FAQ – waar in de Kamerbrief naar wordt verwezen – toereikend zijn om uit te sluiten dat de ondernemingen persoonsgegevens (kunnen) verwerken. Mede naar aanleiding van het advies van de AP is de Afdeling daarom van oordeel dat in de toelichting nader moet worden ingegaan op de rol van Google en Apple. In het bijzonder dient daarbij aandacht te worden besteed aan de vraag in hoeverre contractueel dan wel in de wet zelf aanvullende waarborgen noodzakelijk zijn.
De Afdeling adviseert in de toelichting nader op het bovenstaande in te gaan en zo nodig het wetsvoorstel aan te passen.
Reactie:
Apple en Google zijn alleen in hun hoedanigheid van softwareleverancier voor de api betrokken bij de verwerking van persoonsgegevens door middel van CoronaMelder. Zij verwerken uitdrukkelijk niet zelf persoonsgegevens uit CoronaMelder in de hoedanigheid van verwerkingsverantwoordelijke of verwerker, noch verwerken zij persoonsgegevens voor andere – eigen – doeleinden. Dat zou op grond van de AVG ook niet zijn toegestaan. Om alle misverstanden uit te sluiten zijn er daar bovenop ook schriftelijke afspraken met Apple en Google gemaakt waarin is vastgelegd dat zij de gegevens uit CoronaMelder niet voor andere doelen verwerken. Tezamen met de door de Afdeling voorgestelde explicitering van de wettelijke bepaling dat de app niet voor andere doelen mag worden gebruikt is de regering van mening dat de door de Afdeling gevraagde helderheid op dit punt afdoende is gegeven. De toelichting is aangevuld op dit punt in paragraaf 3.1.
Het voorstel regelt dat bij of krachtens algemene maatregel van bestuur regels kunnen worden gesteld over de notificatieapplicatie. Dit betreft de inrichting, het beheer en de beveiliging, de bewaartermijn van bijzondere persoonsgegevens en de uitoefening van de rechten van betrokkenen.47
De Afdeling merkt op dat dit in elk geval deels onderwerpen zijn die raken aan het recht op eerbiediging van de persoonlijke levenssfeer. Ingevolge artikel 10 van de Grondwet mag de bevoegdheid tot het stellen van regels inzake de eerbiediging van de persoonlijke levenssfeer worden gedelegeerd aan lagere regelgevers.48 In het licht van het legaliteitsbeginsel dient wel op hoofdlijnen een afweging te worden gemaakt op het niveau van de formele wet. Onderwerpen die betrekking hebben op de uitvoering kunnen worden gedelegeerd naar een ministeriële regeling.49
In ieder geval waar het de bewaartermijn van bijzondere persoonsgegevens en de uitoefening van de rechten van betrokkenen betreft, is geen sprake van uitvoering van een regeling waarvan eventueel op het niveau van een ministeriële regeling regels kunnen worden gesteld. De Afdeling adviseert daarom in ieder geval de bewaartermijnen en de uitoefening van de rechten van betrokkenen op het niveau van de algemene maatregel van bestuur te regelen.50
Het voorstel schrijft bovendien niet dwingend voor dat deze onderwerpen nader worden geregeld, maar laat daartoe slechts de mogelijkheid open. Gelet op het voorgaande is de Afdeling van oordeel dat – in ieder geval waar het de hiervoor genoemde onderwerpen betreft – uitdrukkelijk bepaald dient te worden dat nadere regeling bij algemene maatregel van bestuur zal geschieden.51
De Afdeling adviseert het voorstel in het licht van het voorgaande aan te passen.
Reactie:
In overeenstemming met hetgeen de Afdeling adviseert is het wetsvoorstel op bovenstaand punt aangepast. Er is echter, om de rechten van betrokkenen maximaal te waarborgen en met het oog op de gewenste snelle invoering van de app, niet voor gekozen om de bewaartermijn en de uitoefening van de rechten van betrokkenen op het niveau van algemene maatregel van bestuur te regelen, doch deze direct in het wetsvoorstel op te nemen. Ook welke persoonsgegevens precies worden verwerkt in het kader van de app is om dezelfde reden in de wet zelf opgenomen. Hiertoe is een nieuw tweede lid en derde lid ingevoegd in artikel 6d.
De door het voorstel aangebrachte wijzigingen in de Wpg vervallen zes maanden na inwerkingtreding van het voorstel. Eventuele verlenging is mogelijk door middel van het op een later tijdstip laten vervallen van de wet, maar niet eerder dan dat het besluit daartoe is voorgehangen bij het parlement.52 Ook kan bij koninklijk besluit worden bepaald dat (onderdelen van) de bepalingen op een eerder tijdstip vervallen.53 In dat geval wordt voorgesteld het parlement daarbij niet vooraf te betrekken.
De Afdeling acht het ongewenst dat parlementaire betrokkenheid bij eerdere vervallenverklaring in de wet ontbreekt.54 Ook als een bepaling of een onderdeel daarvan, wordt ingetrokken, zijn verschillende belangen in het geding die zorgvuldig tegen elkaar moeten worden afgewogen.55 Om die reden ligt het voor de hand dat het parlement ook actief betrokken is bij het intrekken van (onderdelen van) bepalingen op een eerder moment.
De Afdeling adviseert het voorstel aan te vullen.
Reactie:
Het advies van de Afdeling is overgenomen. Ook voor de bepaling die het mogelijk maakt om bij koninklijk besluit bepalingen of onderdelen daarvan op een eerder tijdstip te laten vervallen wordt, net als bij de bepaling die verlenging mogelijk maakt, voorzien in voorhang bij het parlement.
Uit de toelichting blijkt niet dat de app interoperabel is of zal zijn met (decentrale) notificatieapplicaties in andere Europese landen. Wel komt de app grotendeels overeen met de Duitse, Italiaanse en Ierse apps, aldus de Kamerbrief van de Minister.56 In de Kamerbrief wordt aangegeven dat momenteel een «Federation Gateway Service» wordt gecreëerd waarop landen met een decentrale methode hun nationale back-end server kunnen aansluiten.57 De back-end servers van de landen versturen periodiek de sleutels van nieuwe geïnfecteerden naar de Federation Gateway Service. Deze sleutels worden 14 dagen opgeslagen. Het ophalen van de buitenlandse codes kan alleen met aanvullende toestemming van de gebruiker gebeuren. Op basis van testen zal worden bepaald of en wanneer de app interoperabel zal worden met andere Europese decentrale apps. Voor de feitelijke invoering zal, aldus de Kamerbrief, de juridische grondslag nog worden geëxpliciteerd.58
De Europese richtsnoeren sturen aan op interoperabiliteit van (decentrale) apps.59 In een verklaring over de interoperabiliteit licht de EDPB dat nader toe.60 Hierin wordt onder meer opgemerkt dat als voor de wettelijke grondslag een beroep wordt gedaan op het algemeen belang, de nationale wetgeving mogelijk moet worden aangepast.61
De Afdeling merkt op dat de voorgenomen aanpak inzake interoperabiliteit in overeenstemming lijkt met de hiervoor geschetste benadering op Europees niveau. Zij onderschrijft dat een juridische grondslag moet worden geëxpliciteerd, nu in het voorstel de gegevensverwerking plaatsvindt binnen de taken van de Minister en de GGD. De Afdeling meent echter dat gegeven de huidige ontwikkelingen snel moet worden voorzien in deze grondslag. Ook met toestemming als grondslag (zie hiervoor punt 2) dient immers duidelijkheid te worden gecreëerd ten aanzien van de rollen en verantwoordelijkheden van verschillende partijen. Door de grondslag in het huidige voorstel op te nemen, kan het parlement bovendien een volledige afweging maken in relatie tot het voorstel als geheel. De Afdeling is daarom van oordeel dat de juridische grondslag voor het toestaan van interoperabiliteit in het huidige voorstel dient te worden geëxpliciteerd.
De Afdeling adviseert het voorstel aan te passen.
Reactie:
Hoewel Nederland op Europees niveau actief meedenkt over de eisen aan en de vormgeving en ontwikkeling van digitale internationale uitwisseling van gegevens van besmette personen (interoperabiliteit), zijn op het moment van het schrijven van dit nader rapport, de ontwikkelingen nog niet zover dat al precies duidelijk is hoe deze internationale uitwisseling van besmettingsgegevens eruit gaat zien en wat hiervoor nationaal geregeld moet worden. Het streven is er nu daarom vooral op gericht om eerst de nationale verwerking van gegevens in het kader van de Coronamelder goed te regelen.
In het onderhavige wetsvoorstel zal dan ook geen juridische grondslag worden gecreëerd voor het toestaan van interoperabiliteit met andere landen. Bij een eventueel toekomstig wetsvoorstel zal vanzelfsprekend dankbaar gebruik gemaakt worden van het onderhavige advies van de Afdeling op dit punt.
Het voorstel regelt niet de deactivering van de app. Uit de toelichting blijkt dat de gebruiker de mogelijkheid heeft zelf de app te verwijderen. Na veertien dagen zijn vervolgens alle gegevens verwijderd van de smartphone.
Het Europees Comité voor gegevensbescherming beveelt in zijn richtsnoeren aan criteria in de wettelijke maatregel op te nemen aan de hand waarvan wordt bepaald wanneer de app buiten gebruik wordt gesteld, alsmede de entiteit die verantwoordelijk en aansprakelijk is voor het nemen van het besluit daartoe.62 Daarbij wordt ervan uitgegaan dat vooraf dient te worden bepaald wanneer de app wordt gedeactiveerd. In de toelichting wordt hier niet op ingegaan.
De Afdeling adviseert in de toelichting op het voorgaande in te gaan.
Reactie:
De app wordt gedeactiveerd als deze onvoldoende effectief blijkt. Daarvan is in ieder geval sprake als uit de monitoring blijkt dat Coronamelder geen bijdrage (meer) levert aan het breder, sneller en efficiënter opsporen van met het virus geïnfecteerde personen. De toelichting is in overeenstemming met het advies van de Afdeling aangevuld op dit punt in paragraaf 3.2.1.
De Afdeling advisering van de Raad van State heeft een aantal opmerkingen bij het voorstel en adviseert daarmee rekening te houden voordat het voorstel bij de Tweede Kamer der Staten-Generaal wordt ingediend.
Reactie:
De redactionele opmerkingen van de Afdeling zijn in overeenstemming met het advies verwerkt.
De vicepresident van de Raad van State,
Th. C. De Graaf
Ik moge U verzoeken het hierbij gevoegde voorstel van wet en de memorie van toelichting aan de Tweede Kamer der Staten-Generaal te zenden.
De Minister van Volksgezondheid, Welzijn en Sport, H.M. de Jonge
– Stel de grondslag voor het verwerken van bijzondere gegevens in paragraaf 4.2 van de toelichting (artikel 9, tweede lid, onder h, AVG) gelijk met de grondslag zoals genoemd in de DPIA (artikel 9, tweede lid, onder i, AVG).
– Benoem in paragraaf 4.2 van de toelichting dat als geen directe behandelrelatie bestaat er desalniettemin sprake kan zijn van een afgeleide geheimhoudingsplicht.