Met de Tijdelijke wet coronatoegangsbewijzen (hierna: Twc) is in hoofdstuk Va van de Wet publieke gezondheid (Wpg) voorzien in de mogelijkheid om ter bestrijding van de epidemie van covid-19 regels te kunnen stellen over het tonen van een coronatoegangsbewijs. Zoals hieronder zal worden toegelicht is het nodig in de Twc op te nemen dat het Rijksinstituut voor Volksgezondheid en Milieu (hierna: RIVM) vaccinatiegegevens kan verstrekken. Daarnaast worden enkele preciseringen ten aanzien van de verwerking van persoonsgegevens en enkele redactionele correcties aangebracht.
Aanvankelijk was de Twc primair gericht op de inzet van testbewijzen op basis van een testuitslag.1 Bij amendement van de leden Paternotte en Kuiken is ingevoegd dat een toegangsbewijs naast een testresultaat ook kan zijn gebaseerd op vaccinatie tegen of herstel van een infectie met het virus SARS-CoV-2.2 Op deze wijze zijn de verschillende soorten coronatoegangsbewijzen allemaal op gelijke voet geregeld.
Verder is in Europees verband in een ongebruikelijk hoog tempo een politiek akkoord bereikt ten aanzien van de verordening van het Europees parlement en de Raad betreffende een kader voor de afgifte, verificatie en aanvaarding van interoperabele vaccinatie-, test- en herstelcertificaten teneinde het vrije verkeer tijdens de COVID-19-pandemie te vergemakkelijken (2021/0068(COD)) (hierna: verordening). Deze verordening maakt het invoeren van Europese certificaten ten behoeve van het vrij verkeer mogelijk (EU Digital COVID Certificate, hierna: DCC). Dit DCC komt inhoudelijk sterk overeen met de in de Twc geregelde coronatoegangsbewijzen. De verordening treedt op 1 juli 2021 in werking.
Lopende het wetstraject is daarom bij nota van wijziging een grondslag in de Wpg ingevoegd voor het regelen van de uitvoering van de verordening en is parallel aan de totstandkoming van de Twc gewerkt aan de voorbereiding op de uitvoering van de verordening.3
Deze beide ontwikkelingen hebben ertoe geleid dat de technische vormgeving van CoronaCheck, de applicatie waarmee zowel het coronatoegangsbewijs als het DCC gegenereerd zal worden, is aangepast waarbij er ook gegevensverwerking door het RIVM en, zij het in beperkte mate, door de Minister van VWS zal plaatsvinden. Deze aangepaste technische vormgeving heeft als consequentie dat de verstrekking van vaccinatiegegevens door het RIVM ten behoeve van een coronatoegangsbewijs in de Twc moet worden opgenomen en dat het wenselijk is in de Twc de gegevensverwerking door het RIVM steviger te verankeren en preciseringen op ten nemen ten aanzien van de verwerking van persoonsgegevens door de Minister van VWS. Deze gegevensverwerkingen zijn weliswaar toegestaan op grond van de Algemene verordening gegevensbescherming (hierna: AVG), maar zijn niet tevens gespecificeerd in de Wpg. De regering hecht eraan dat er geen enkele onduidelijkheid bestaat over de grondslagen voor de gegevensverwerking en wil daarom met dit wetsvoorstel die duidelijkheid geven.
De verwerking van persoonsgegevens die plaatsvindt in het kader van de coronatoegangsbewijzen is geregeld in artikel 58re van de Wpg. Voor een uitgebreide toelichting op deze bepaling wordt verwezen naar de memorie van toelichting op de Twc.4
Voor de verwerking van persoonsgegevens ten behoeve van het DCC geldt dat het, gezien het onderwerp van de verordening, evident is dat het noodzakelijk is dat voor de uitvoering van de verordening persoonsgegevens (over de gezondheid) worden verwerkt. Met dit wetsvoorstel wordt die verwerking expliciet gemaakt.
Zowel de gegevensverwerking ten behoeve van de coronatoegangsbewijzenbewijzen als de gegevensverwerking ten behoeve van het DCC wordt bij lagere regelgeving nader uitgewerkt. Daarbij wordt geregeld welke gegevens op welke wijze door welke personen en organisaties worden verwerkt.
Bij de voorbereidingen op de uitvoering van de verordening is, zoals hiervoor aangegeven, gebleken dat er een grote mate van overlap bestaat met in het bijzonder de gegevensverwerking ten behoeve van het genereren van een coronatoegangsbewijs op basis van een verklaring van vaccinatie. De vaccinatiegegevens die noodzakelijk zijn voor het genereren van een DCC omvat ook de gegevens die nodig zijn om te komen tot een coronatoegangsbewijs. Aangezien het grotendeels dezelfde gegevens betreft, heeft het om praktische redenen de voorkeur om één gegevensstroom in te richten. Er is daarom voor gekozen CoronaCheck technisch zodanig vorm te geven, dat hiermee zowel het coronatoegangsbewijs als het DCC gegenereerd kunnen worden.
Concreet betekent dit in het voorbeeld van een vaccinatie, dat voor een coronatoegangsbewijs en een DCC dezelfde gegevens opgehaald worden bij het RIVM of de toediener van het vaccin. Wanneer deze gegevens in CoronaCheck zijn opgenomen, kan de gebruiker naar keuze een coronatoegangsbewijs of een DCC tonen. Voor een DCC worden daar, om te kunnen voldoen aan de verordening, meer gegevens aan toegevoegd dan aan een coronatoegangsbewijs, waaronder de aandoening waartegen gevaccineerd is (covid-19), de lidstaat waar het vaccin is toegediend, de uitgever van het certificaat en het bijbehorende unieke certificaatnummer. Voor een coronatoegangsbewijs worden er ook certificaatgegevens toegevoegd, maar worden persoonsgegevens vereenvoudigd (tot initialen en geboortemaand en -dag).
De Minister van VWS is op grond van het vijfde lid van artikel 58re Wpg verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens bij het gebruik van de aangewezen drager en applicaties zoals CoronaCheck en CoronaCheck Scanner voor de coronatoegangsbewijzen. Artikel 58re, vierde lid, Wpg schrijft voor dat de Minister waarborgen treft om ervoor te zorgen dat met de applicaties uitsluitende betrouwbare resultaten getoond worden. Gelet hierop verwerkt de Minister gegevens om te waarborgen dat de opvraging van vaccinatiegegevens op betrouwbare wijze verloopt en de verklaring van vaccinatie betrekking heeft op degene die op basis daarvan een coronatoegangsbewijs wenst te genereren. Ook zorgt de Minister ervoor dat een digitale handtekening wordt geplaatst ter beveiliging en waarmerking van de gegevens. Bij ministeriële regeling wordt de gegevensverwerking door de Minister van VWS nader uitgewerkt.
De grondslag voor de Minister voor bovengenoemde gegevensverwerkingen vloeit voort uit de taken van algemeen belang die de Minister van VWS op grond van de Wpg heeft. Voor de duidelijkheid wordt de grondslag tevens geëxpliciteerd in het voorgestelde zesde lid van artikel 58re Wpg.
In het zesde lid van artikel 58re Wpg is opgenomen dat gegevens worden verstrekt door de toedieners van het vaccin. Bij de totstandkoming van de Twc werd namelijk verondersteld dat de wijze van uitvoering vergelijkbaar zou zijn met coronatoegangsbewijzen op basis van een testuitslag. Dat sluit echter niet geheel aan bij de praktijk. Ten eerste omdat er een minder rechtstreeks verband is tussen het ontvangen van volledige vaccinatie en het verkrijgen van een coronatoegangsbewijs en ten tweede omdat het palet aan zorgaanbieders bij vaccinatie gevarieerder is. Voor een coronatoegangsbewijs op basis van een testuitslag laat men zich speciaal testen bij een gespecialiseerde zorgaanbieder en is het hele proces binnen één of twee dagen afgerond. Dat ligt anders bij vaccinaties. Immers, een volledige vaccinatie neemt meerdere weken in beslag en het is mogelijk dat de vaccins door twee zorgaanbieders zijn toegediend. Ook is het aantal en de variëteit van zorgaanbieders (huisartsen, ziekenhuizen, de GGD’en) dat vaccins toedient veel groter dan de uitvoerders van testen op infectie met het coronavirus. Dit aantal en deze variëteit is te groot om allemaal op korte termijn aan te sluiten op CoronaCheck.
Er bestaat evenwel al een digitale voorziening die vaccinatiegegevens bevat, omdat het RIVM in het COVID-vaccinatie Informatie- en Monitoringsysteem (hierna: CIMS) een registratie bijhoudt van toegediende vaccinaties. Aangezien circa 80% van de gevaccineerde personen in het CIMS staat, worden de vaccinatiegegevens die nodig zijn voor het DCC en het coronatoegangsbewijs verkregen uit het CIMS.5 De vaccinatiegegevens worden opgehaald wanneer de gevaccineerde persoon vraagt om een coronatoegangsbewijs. Als dit verzoek wordt gedaan met de applicatie CoronaCheck of de webapplicatie voor het aanmaken van (schriftelijke) toegangsbewijzen, gaat de Minister van VWS eerst met gepseudonimiseerde en versleutelde informatie na waar de vaccinatiegegevens van betrokkene berusten. Indien de vaccinatiegegevens reeds zijn opgenomen in CIMS, kunnen de gegevens rechtstreeks uit dat systeem worden opgehaald. Anders wordt met dezelfde gepseudonimiseerde en versleutelde informatie de bron van de vaccinatiegegevens gezocht. De (web)applicatie haalt vervolgens de vaccinatiegegevens op bij het RIVM, bij de toediener van het vaccin of – indien betrokkene door verschillende zorgaanbieders is gevaccineerd – bij de toedieners van de vaccins. Volledigheidshalve wordt nog opgemerkt dat personen die in het buitenland zijn gevaccineerd, geen beschikking hebben over ICT-middelen of om andere redenen via de (web)applicatie geen gegevens kunnen ophalen, zich kunnen wenden tot een (huis)arts of de toediener van het vaccin, die via een door het Ministerie van VWS daartoe ingericht portal de benodigde vaccinatiegegevens kan verwerken en een coronatoegangsbewijs of DCC kan genereren.6
Met de bovenbeschreven werkwijze worden de gegevens uit het CIMS gebruikt voor een nieuw doel. Een dergelijke verdere verwerking is op grond van artikel 6, vierde lid, AVG toegestaan indien het nieuwe doel verenigbaar is met het oorspronkelijke doel, betrokkene toestemming heeft gegeven voor de verdere verwerking of als het nieuwe doel berust op Unierecht of lidstatelijk recht.
Omdat het RIVM op grond van artikel 6ba Wpg een eigenstandige taak toebedeeld krijgt ter uitvoering van de verordening heeft het RIVM daarmee ten behoeve van het DCC tevens een grondslag voor het verstrekken van vaccinatiegegevens. Het is immers evident dat het RIVM deze taak alleen kan uitvoeren door het verstrekken van vaccinatiegegevens. In de krachtens artikel 6ba op te stellen ministeriële regeling wordt uitgewerkt welke gegevens het RIVM daartoe verstrekt. Uit de toelichting op deze regeling blijkt dat deze gegevens ook afkomstig kunnen zijn uit het CIMS. Daarnaast is het RIVM toegevoegd aan de personen en organisaties die op grond van artikel 58re, zesde lid, Wpg gegevens verwerken ten behoeve van het coronatoegangsbewijs. Ook uit de daarop gebaseerde ministeriële regeling blijkt dat het RIVM daartoe gegevens uit het CIMS verwerkt.
Het wetsvoorstel betreft slechts redactionele verbeteringen en expliciteringen en brengt derhalve op zichzelf geen nieuwe regeldruk met zich.
Het wetsvoorstel is voor advies voorgelegd aan de Autoriteit Persoonsgegevens (hierna: AP)7. De regering is de AP zeer erkentelijk voor de bijzondere korte termijn waarbinnen de AP advies heeft uitgebracht.
Ten aanzien van het gebruik van de gegevens uit het CIMS voor de coronatoegangsbewijzen en het DCC merkt de AP op dat de AVG niet uitsluit dat eenmaal voor een bepaald doel verzamelde persoonsgegevens alsnog voor een ander, nieuw doel worden ingezet indien deze nieuwe doelstelling wettelijk wordt geregeld. Zoals in paragraaf 2.3 is toegelicht wordt hierin voorzien door het RIVM toe te voegen aan het zesde lid van artikel 58re Wpg. In de ministeriële regeling die op grond van artikel 58re, zesde lid, Wpg zal worden vastgesteld, wordt geregeld welke persoonsgegevens ten behoeve van de coronatoegangsbewijzen worden verwerkt. In de toelichting op deze regeling zal dan ook worden opgenomen dat dit tevens gegevens uit het CIMS betreft.
De AP is van mening dat het expliciet opnemen van het RIVM noodzakelijk is als grondslag voor deze verwerking. De memorie van toelichting is op dit punt aangepast.
Artikel I, onderdeel A
Gelet op het onderwerp van de verordening, is het evident dat het voor de uitvoering van de verordening noodzakelijk is persoonsgegevens (over de gezondheid) te verwerken ten behoeve van het DCC. Om dat boven elke twijfel te verheffen, wordt in het eerste lid van artikel 6ba Wpg geëxpliciteerd dat de grondslag om regels te stellen over de uitvoering van de verordening impliceert dat regels gesteld kunnen worden over de verwerking van persoonsgegevens (over de gezondheid).
Artikel 6ba Wpg bevat de grondslag voor het stellen van regels ter uitvoering van de verordening. Dit artikel kan vervallen als de verordening ophoudt te bestaan. De verordening treedt in werking op 1 juli 2021 en geldt voor een periode van één jaar (artikel 17). Eind maart 2022 zal de Europese Commissie rapporteren over de toepassing van de verordening. Dat rapport kan vergezeld gaan van een voorstel tot verlenging van de verordening (artikel 16, tweede lid). Gelet op een eventuele verlenging van de verordening, wordt in het vijfde lid bepaald dat artikel 6ba Wpg vervalt op een bij koninklijk besluit te bepalen tijdstip.
Volledigheidshalve wordt opgemerkt dat de overige artikelen van het onderhavige wetsvoorstel wijzigingen betreft van bestaande artikelen in hoofdstuk Va «Tijdelijke maatregelen bestrijding epidemie covid-19» in de Wpg. De tijdelijkheid en het vervallen daarvan is reeds geregeld in de Tijdelijke wet maatregelen covid-19.
Artikel I, onderdelen B tot en met D
In de artikelen 58a en 58ra is een eenduidige aanduiding van een vaccinatie tegen het virus SARS-CoV-2 opgenomen. Verder is in artikel 58ra aangesloten bij de definitie van een resultaat als onder meer een bewijs van een testuitslag en is in artikel 58rc een verwijzing aangepast om te verduidelijken dat de uitvoering betrekking heeft op het gehele artikel. Dit betreft enkel redactionele verbeteringen.
Artikel I, onderdeel E
In paragraaf 2.2 en 2.3 is toegelicht waarom het RIVM en de Minister van VWS zijn toegevoegd aan artikel 58re, zesde lid.
Daarnaast is in artikel 58re, zesde lid, een volledige opsomming opgenomen van de hoedanigheden waarin een persoon toegang kan krijgen tot activiteiten of voorzieningen waarvoor een coronatoegangsbewijs is voorgeschreven en ten behoeve daarvan persoonsgegevens verwerkt.
Tot slot zijn in aansluiting op het zesde lid de Minister van VWS, het RIVM en de personen en organisaties die betrokken zijn bij de uitvoering van de verordening tevens opgenomen in het negende lid van artikel 58re.
De Minister van Volksgezondheid, Welzijn en Sport, H.M. de Jonge