Memorie van toelichting : Memorie van toelichting

Nr. 3
MEMORIE VAN TOELICHTING

Algemeen deel

1. Inleiding

Met de Tijdelijke wet coronatoegangsbewijzen (hierna: Twc) is in hoofdstuk Va van
de Wet publieke gezondheid (Wpg) voorzien in de mogelijkheid om ter bestrijding van
de epidemie van covid-19 regels te kunnen stellen over het tonen van een coronatoegangsbewijs.
Zoals hieronder zal worden toegelicht is het nodig in de Twc op te nemen dat het Rijksinstituut
voor Volksgezondheid en Milieu (hierna: RIVM) vaccinatiegegevens kan verstrekken.
Daarnaast worden enkele preciseringen ten aanzien van de verwerking van persoonsgegevens
en enkele redactionele correcties aangebracht.

Aanvankelijk was de Twc primair gericht op de inzet van testbewijzen op basis van
een testuitslag.1 Bij amendement van de leden Paternotte en Kuiken is ingevoegd dat een toegangsbewijs
naast een testresultaat ook kan zijn gebaseerd op vaccinatie tegen of herstel van
een infectie met het virus SARS-CoV-2.2 Op deze wijze zijn de verschillende soorten coronatoegangsbewijzen allemaal op gelijke
voet geregeld.

Verder is in Europees verband in een ongebruikelijk hoog tempo een politiek akkoord
bereikt ten aanzien van de verordening van het Europees parlement en de Raad betreffende
een kader voor de afgifte, verificatie en aanvaarding van interoperabele vaccinatie-,
test- en herstelcertificaten teneinde het vrije verkeer tijdens de COVID-19-pandemie
te vergemakkelijken (2021/0068(COD)) (hierna: verordening). Deze verordening maakt
het invoeren van Europese certificaten ten behoeve van het vrij verkeer mogelijk (EU
Digital COVID Certificate, hierna: DCC). Dit DCC komt inhoudelijk sterk overeen met
de in de Twc geregelde coronatoegangsbewijzen. De verordening treedt op 1 juli 2021
in werking.

Lopende het wetstraject is daarom bij nota van wijziging een grondslag in de Wpg ingevoegd
voor het regelen van de uitvoering van de verordening en is parallel aan de totstandkoming
van de Twc gewerkt aan de voorbereiding op de uitvoering van de verordening.3

Deze beide ontwikkelingen hebben ertoe geleid dat de technische vormgeving van CoronaCheck,
de applicatie waarmee zowel het coronatoegangsbewijs als het DCC gegenereerd zal worden,
is aangepast waarbij er ook gegevensverwerking door het RIVM en, zij het in beperkte
mate, door de Minister van VWS zal plaatsvinden. Deze aangepaste technische vormgeving
heeft als consequentie dat de verstrekking van vaccinatiegegevens door het RIVM ten
behoeve van een coronatoegangsbewijs in de Twc moet worden opgenomen en dat het wenselijk
is in de Twc de gegevensverwerking door het RIVM steviger te verankeren en preciseringen
op ten nemen ten aanzien van de verwerking van persoonsgegevens door de Minister van
VWS. Deze gegevensverwerkingen zijn weliswaar toegestaan op grond van de Algemene
verordening gegevensbescherming (hierna: AVG), maar zijn niet tevens gespecificeerd
in de Wpg. De regering hecht eraan dat er geen enkele onduidelijkheid bestaat over
de grondslagen voor de gegevensverwerking en wil daarom met dit wetsvoorstel die duidelijkheid
geven.

2. Verwerking van persoonsgegevens

De verwerking van persoonsgegevens die plaatsvindt in het kader van de coronatoegangsbewijzen
is geregeld in artikel 58re van de Wpg. Voor een uitgebreide toelichting op deze bepaling
wordt verwezen naar de memorie van toelichting op de Twc.4

Voor de verwerking van persoonsgegevens ten behoeve van het DCC geldt dat het, gezien
het onderwerp van de verordening, evident is dat het noodzakelijk is dat voor de uitvoering
van de verordening persoonsgegevens (over de gezondheid) worden verwerkt. Met dit
wetsvoorstel wordt die verwerking expliciet gemaakt.

Zowel de gegevensverwerking ten behoeve van de coronatoegangsbewijzenbewijzen als
de gegevensverwerking ten behoeve van het DCC wordt bij lagere regelgeving nader uitgewerkt.
Daarbij wordt geregeld welke gegevens op welke wijze door welke personen en organisaties
worden verwerkt.

2.1 Verwerking van persoonsgegevens DCC

Bij de voorbereidingen op de uitvoering van de verordening is, zoals hiervoor aangegeven,
gebleken dat er een grote mate van overlap bestaat met in het bijzonder de gegevensverwerking
ten behoeve van het genereren van een coronatoegangsbewijs op basis van een verklaring
van vaccinatie. De vaccinatiegegevens die noodzakelijk zijn voor het genereren van
een DCC omvat ook de gegevens die nodig zijn om te komen tot een coronatoegangsbewijs.
Aangezien het grotendeels dezelfde gegevens betreft, heeft het om praktische redenen
de voorkeur om één gegevensstroom in te richten. Er is daarom voor gekozen CoronaCheck
technisch zodanig vorm te geven, dat hiermee zowel het coronatoegangsbewijs als het
DCC gegenereerd kunnen worden.

Concreet betekent dit in het voorbeeld van een vaccinatie, dat voor een coronatoegangsbewijs
en een DCC dezelfde gegevens opgehaald worden bij het RIVM of de toediener van het
vaccin. Wanneer deze gegevens in CoronaCheck zijn opgenomen, kan de gebruiker naar
keuze een coronatoegangsbewijs of een DCC tonen. Voor een DCC worden daar, om te kunnen
voldoen aan de verordening, meer gegevens aan toegevoegd dan aan een coronatoegangsbewijs,
waaronder de aandoening waartegen gevaccineerd is (covid-19), de lidstaat waar het
vaccin is toegediend, de uitgever van het certificaat en het bijbehorende unieke certificaatnummer.
Voor een coronatoegangsbewijs worden er ook certificaatgegevens toegevoegd, maar worden
persoonsgegevens vereenvoudigd (tot initialen en geboortemaand en -dag).

2.2 Verwerking van persoonsgegevens door de Minister van VWS

De Minister van VWS is op grond van het vijfde lid van artikel 58re Wpg verwerkingsverantwoordelijke
voor de verwerking van persoonsgegevens bij het gebruik van de aangewezen drager en
applicaties zoals CoronaCheck en CoronaCheck Scanner voor de coronatoegangsbewijzen.
Artikel 58re, vierde lid, Wpg schrijft voor dat de Minister waarborgen treft om ervoor
te zorgen dat met de applicaties uitsluitende betrouwbare resultaten getoond worden.
Gelet hierop verwerkt de Minister gegevens om te waarborgen dat de opvraging van vaccinatiegegevens
op betrouwbare wijze verloopt en de verklaring van vaccinatie betrekking heeft op
degene die op basis daarvan een coronatoegangsbewijs wenst te genereren. Ook zorgt
de Minister ervoor dat een digitale handtekening wordt geplaatst ter beveiliging en
waarmerking van de gegevens. Bij ministeriële regeling wordt de gegevensverwerking
door de Minister van VWS nader uitgewerkt.

De grondslag voor de Minister voor bovengenoemde gegevensverwerkingen vloeit voort
uit de taken van algemeen belang die de Minister van VWS op grond van de Wpg heeft.
Voor de duidelijkheid wordt de grondslag tevens geëxpliciteerd in het voorgestelde
zesde lid van artikel 58re Wpg.

2.3 Verstrekken van vaccinatiegegevens door het RIVM

In het zesde lid van artikel 58re Wpg is opgenomen dat gegevens worden verstrekt door
de toedieners van het vaccin. Bij de totstandkoming van de Twc werd namelijk verondersteld
dat de wijze van uitvoering vergelijkbaar zou zijn met coronatoegangsbewijzen op basis
van een testuitslag. Dat sluit echter niet geheel aan bij de praktijk. Ten eerste
omdat er een minder rechtstreeks verband is tussen het ontvangen van volledige vaccinatie
en het verkrijgen van een coronatoegangsbewijs en ten tweede omdat het palet aan zorgaanbieders
bij vaccinatie gevarieerder is. Voor een coronatoegangsbewijs op basis van een testuitslag
laat men zich speciaal testen bij een gespecialiseerde zorgaanbieder en is het hele
proces binnen één of twee dagen afgerond. Dat ligt anders bij vaccinaties. Immers,
een volledige vaccinatie neemt meerdere weken in beslag en het is mogelijk dat de
vaccins door twee zorgaanbieders zijn toegediend. Ook is het aantal en de variëteit
van zorgaanbieders (huisartsen, ziekenhuizen, de GGD’en) dat vaccins toedient veel
groter dan de uitvoerders van testen op infectie met het coronavirus. Dit aantal en
deze variëteit is te groot om allemaal op korte termijn aan te sluiten op CoronaCheck.

Er bestaat evenwel al een digitale voorziening die vaccinatiegegevens bevat, omdat
het RIVM in het COVID-vaccinatie Informatie- en Monitoringsysteem (hierna: CIMS) een
registratie bijhoudt van toegediende vaccinaties. Aangezien circa 80% van de gevaccineerde
personen in het CIMS staat, worden de vaccinatiegegevens die nodig zijn voor het DCC
en het coronatoegangsbewijs verkregen uit het CIMS.5 De vaccinatiegegevens worden opgehaald wanneer de gevaccineerde persoon vraagt om
een coronatoegangsbewijs. Als dit verzoek wordt gedaan met de applicatie CoronaCheck
of de webapplicatie voor het aanmaken van (schriftelijke) toegangsbewijzen, gaat de
Minister van VWS eerst met gepseudonimiseerde en versleutelde informatie na waar de
vaccinatiegegevens van betrokkene berusten. Indien de vaccinatiegegevens reeds zijn
opgenomen in CIMS, kunnen de gegevens rechtstreeks uit dat systeem worden opgehaald.
Anders wordt met dezelfde gepseudonimiseerde en versleutelde informatie de bron van
de vaccinatiegegevens gezocht. De (web)applicatie haalt vervolgens de vaccinatiegegevens
op bij het RIVM, bij de toediener van het vaccin of – indien betrokkene door verschillende
zorgaanbieders is gevaccineerd – bij de toedieners van de vaccins. Volledigheidshalve
wordt nog opgemerkt dat personen die in het buitenland zijn gevaccineerd, geen beschikking
hebben over ICT-middelen of om andere redenen via de (web)applicatie geen gegevens
kunnen ophalen, zich kunnen wenden tot een (huis)arts of de toediener van het vaccin,
die via een door het Ministerie van VWS daartoe ingericht portal de benodigde vaccinatiegegevens
kan verwerken en een coronatoegangsbewijs of DCC kan genereren.6

Met de bovenbeschreven werkwijze worden de gegevens uit het CIMS gebruikt voor een
nieuw doel. Een dergelijke verdere verwerking is op grond van artikel 6, vierde lid,
AVG toegestaan indien het nieuwe doel verenigbaar is met het oorspronkelijke doel,
betrokkene toestemming heeft gegeven voor de verdere verwerking of als het nieuwe
doel berust op Unierecht of lidstatelijk recht.

Omdat het RIVM op grond van artikel 6ba Wpg een eigenstandige taak toebedeeld krijgt
ter uitvoering van de verordening heeft het RIVM daarmee ten behoeve van het DCC tevens
een grondslag voor het verstrekken van vaccinatiegegevens. Het is immers evident dat
het RIVM deze taak alleen kan uitvoeren door het verstrekken van vaccinatiegegevens.
In de krachtens artikel 6ba op te stellen ministeriële regeling wordt uitgewerkt welke
gegevens het RIVM daartoe verstrekt. Uit de toelichting op deze regeling blijkt dat
deze gegevens ook afkomstig kunnen zijn uit het CIMS. Daarnaast is het RIVM toegevoegd
aan de personen en organisaties die op grond van artikel 58re, zesde lid, Wpg gegevens
verwerken ten behoeve van het coronatoegangsbewijs. Ook uit de daarop gebaseerde ministeriële
regeling blijkt dat het RIVM daartoe gegevens uit het CIMS verwerkt.

3. Regeldrukeffecten

Het wetsvoorstel betreft slechts redactionele verbeteringen en expliciteringen en
brengt derhalve op zichzelf geen nieuwe regeldruk met zich.

4. Consulatie en advies

Het wetsvoorstel is voor advies voorgelegd aan de Autoriteit Persoonsgegevens (hierna:
AP)7. De regering is de AP zeer erkentelijk voor de bijzondere korte termijn waarbinnen
de AP advies heeft uitgebracht.

Ten aanzien van het gebruik van de gegevens uit het CIMS voor de coronatoegangsbewijzen
en het DCC merkt de AP op dat de AVG niet uitsluit dat eenmaal voor een bepaald doel
verzamelde persoonsgegevens alsnog voor een ander, nieuw doel worden ingezet indien
deze nieuwe doelstelling wettelijk wordt geregeld. Zoals in paragraaf 2.3 is toegelicht
wordt hierin voorzien door het RIVM toe te voegen aan het zesde lid van artikel 58re
Wpg. In de ministeriële regeling die op grond van artikel 58re, zesde lid, Wpg zal
worden vastgesteld, wordt geregeld welke persoonsgegevens ten behoeve van de coronatoegangsbewijzen
worden verwerkt. In de toelichting op deze regeling zal dan ook worden opgenomen dat
dit tevens gegevens uit het CIMS betreft.

De AP is van mening dat het expliciet opnemen van het RIVM noodzakelijk is als grondslag
voor deze verwerking. De memorie van toelichting is op dit punt aangepast.

Artikelsgewijs

Artikel I, onderdeel A

Gelet op het onderwerp van de verordening, is het evident dat het voor de uitvoering
van de verordening noodzakelijk is persoonsgegevens (over de gezondheid) te verwerken
ten behoeve van het DCC. Om dat boven elke twijfel te verheffen, wordt in het eerste
lid van artikel 6ba Wpg geëxpliciteerd dat de grondslag om regels te stellen over
de uitvoering van de verordening impliceert dat regels gesteld kunnen worden over
de verwerking van persoonsgegevens (over de gezondheid).

Artikel 6ba Wpg bevat de grondslag voor het stellen van regels ter uitvoering van
de verordening. Dit artikel kan vervallen als de verordening ophoudt te bestaan. De
verordening treedt in werking op 1 juli 2021 en geldt voor een periode van één jaar
(artikel 17). Eind maart 2022 zal de Europese Commissie rapporteren over de toepassing
van de verordening. Dat rapport kan vergezeld gaan van een voorstel tot verlenging
van de verordening (artikel 16, tweede lid). Gelet op een eventuele verlenging van
de verordening, wordt in het vijfde lid bepaald dat artikel 6ba Wpg vervalt op een
bij koninklijk besluit te bepalen tijdstip.

Volledigheidshalve wordt opgemerkt dat de overige artikelen van het onderhavige wetsvoorstel
wijzigingen betreft van bestaande artikelen in hoofdstuk Va «Tijdelijke maatregelen
bestrijding epidemie covid-19» in de Wpg. De tijdelijkheid en het vervallen daarvan
is reeds geregeld in de Tijdelijke wet maatregelen covid-19.

Artikel I, onderdelen B tot en met D

In de artikelen 58a en 58ra is een eenduidige aanduiding van een vaccinatie tegen
het virus SARS-CoV-2 opgenomen. Verder is in artikel 58ra aangesloten bij de definitie
van een resultaat als onder meer een bewijs van een testuitslag en is in artikel 58rc
een verwijzing aangepast om te verduidelijken dat de uitvoering betrekking heeft op
het gehele artikel. Dit betreft enkel redactionele verbeteringen.

Artikel I, onderdeel E

In paragraaf 2.2 en 2.3 is toegelicht waarom het RIVM en de Minister van VWS zijn
toegevoegd aan artikel 58re, zesde lid.

Daarnaast is in artikel 58re, zesde lid, een volledige opsomming opgenomen van de
hoedanigheden waarin een persoon toegang kan krijgen tot activiteiten of voorzieningen
waarvoor een coronatoegangsbewijs is voorgeschreven en ten behoeve daarvan persoonsgegevens
verwerkt.

Tot slot zijn in aansluiting op het zesde lid de Minister van VWS, het RIVM en de
personen en organisaties die betrokken zijn bij de uitvoering van de verordening tevens
opgenomen in het negende lid van artikel 58re.

De Minister van Volksgezondheid, Welzijn en Sport,
H.M. de Jonge