20210595889 Atendering m b t spanning coronapastoegangscontrole en AVG (geanonimiseerd)

Van: Thieu Kuijs < Verzonden: zondag 31 oktober 2021 21:45 Aan: Griffiebureau <griffiebureau@haarlem.nl> Onderwerp: attendering m.b.t. spanning coronapastoegangscontrole en AVG

Geachte raad,

Naar aanleiding van de commotie rond de heer Rog hecht ik eraan u te wijzen op een spanning tussen de coronapastoegangscontrole en de AVG.

Deze spanning impliceert dat bij bijeenkomsten waarbij de aanwezigheid van deelnemers wordt geregistreerd, of anderszins (bijvoorbeeld door opnames) wordt vastgelegd dat een geidentificeerde of identificeerbare persoon daarbij aanwezig is, de coronapastoegangscontrole niet is toegestaan.

Vermits mij is gebleken dat nog niet alle overheidsgremia en functionarissen deze spanning hebben bemerkt, zend ik u ondergaand de wettechnische verduidelijking.

Het is uiteraard trieststemmend dat bij de invoering van de coronapastoegangscontrolemaatregel de verantwoordelijke bewindslieden verzuimd hebben deze spanning te signaleren en op de website van de rijksoverheid in relatie tot de AVG een tekst is opgenomen die onjuist is. De rijksoverheid is verzocht deze tekst te corrigeren omdat degenen die vanwege onjuiste informatie die door de Rijksoverheid is verspreid, dit succesvol zouden kunnen gebruiken in een verweer tegen een door de AP of een rechterlijke instantie opgelegde boete.

Dat de rijksoverheid in deze faalt, moge voor u een extra stimulans zijn de wettelijke regels op lokaal niveau accuraat toe te passen.

Met vriendelijke groet,

Thieu Kuijs

1.

Registratie van de QR-code bij het scannen van de code.

Bij een coronapastoegangscontrole wordt informatie uit de QR-code (of uit papieren documenten) gecombineerd met een identiteitsbewijs. Deze controle kan uiteraard enkel plaatsvinden doordat in

de QR-code een uniek identificerend element zit. De QR-code bevat derhalve in zichzelf zowel iets waarmee een persoon geïdentificeerd kan worden als nadere informatie over die persoon. In dit geval is de nadere informatie over die persoon medisch van aard. Het is de informatie dat de persoon in kwestie HETZIJ gevaccineerd is HETZIJ in het nabije verleden COVID-19 heeft gehad HETZIJ in de dag voor de controle een negatieve uitslag heeft gehad op een COVID-19-test. Dergelijke informatie valt in de AVG onder de bijzondere gegevens (Artikel 9 – subcategorie medisch). Een organisatie mag deze informatie enkel verwerken indien sprake is van een van de situaties die in lid 2 van artikel 9 van de AVG zijn benoemd. Nu zou men kunnen betogen dat verwerking van de QR-code is toegestaan krachtens artikel 2 sub b, of sub i, doch een dergelijk verweer kan enkel stand houden waar het gaat om het scannen van de QR-code en de vergelijking met het identiteitsbewijs. Dit verweer slaagt niet waar het gaat om het bewaren van de QR-code voor een langere periode dan noodzakelijk is om de coronapastoegangscontrole uit te voeren.

Als het apparaatje – of de app – waarmee een organisatie de QR-code scant is toegerust met een geheugen, en dat geheugen wordt niet gewist onmiddellijk nadat de controle heeft plaatsgevonden, dan overtreedt de organisatie de AVG, ongeacht of de organisatie nu wel of niet onder de werkingssfeer van de coronapas-bepaling in de Tijdelijke Regeling Maatregelen Covid-19 valt.

2.

Combinatie van de coronapastoegangscontrole met aanwezigheidsregistratiesystemen

Veel organisaties die de coronapastoegangscontrole toepassen houden in een ander systeem een aanwezigheidsregistratie bij. Het kan daarbij bijvoorbeeld gaan om een sportvereniging met een sportkantine waar trainingen worden georganiseerd: vanwege de horeca-faciliteit wordt de QR-code gescand, en vervolgens legt de trainer van een team in een Excel-sheet vast welke sporters aanwezig zijn bij de training. Ook als het apparaat waarmee de QR-code wordt gescand geen geheugen heeft ( er is geen schending type 1), dan legt de organisatie als geheel bijzondere gegevens, subcategorie medisch vast. Immers, indien de organisatie de coronapastoegangscontrole toepast, dan moet iedereen die aanwezig is bij de training een QR-code hebben kunnen tonen op basis waarvan aan die persoon toegang tot de faciliteit is verleend. Ergo, het vinkje AANWEZIG OP 8 OKTOBER in de Excelsheet van de trainer bevat de informatie dat de betreffende persoon op die dag kwestie HETZIJ gevaccineerd was HETZIJ in het nabije verleden COVID-19 had gehad HETZIJ op 7 of 8 oktober een negatieve uitslag heeft gehad op een COVID-19-test. In de aanwezigheidsregistratie van de trainer zit medische informatie over de deelnemers, en die blijft daarin zitten totdat de trainer die registratie heeft gewist. Omdat de trainer zelf zich daar niet van bewust zal zijn, blijft die informatie mogelijk tientallen jaren bewaard.

Deze schending kan zich ook voordoen indien de organisatie die de coronapastoegangscontrole toepast niet dezelfde is als de organisatie die de aanwezigheidsregistratie bijhoudt. Stel dat een Congrescentrum die zalen ter beschikking stelt aan een bestuurlijke organisatie, vanwege de aanwezigheid van horecafaciliteiten de coronapastoegangscontrole implementeert. De bestuurlijke organisatie die een zaal gehuurd heeft, legt – bijvoorbeeld in de notulen van een vergadering – vast welke personen hebben deelgenomen aan een vergadering die bij het Congrescentrum heeft plaatsgevonden in de periode waarop de coronapastoegangsmaatregel gold. Deze vastlegging bevat medische informatie over de deelnemers aan de vergadering. Indien het gaat om een bestuurlijke organisatie die de notulen van vergaderingen moet voorleggen aan een toezichthouder (bijvoorbeeld, DNB of de AFM) of de notulen van vergaderingen deelt met een compliance officer van het NCI of een consultant van BlackRock, dan beschikken ook deze organisaties zonder het te

beseffen over medische informatie over de deelnemers aan de vergadering. Artikel 9 van de AVG bepaalt evenwel niet dat een organisatie zich bewust moet zijn van de inhoud van de informatie waarover de organisatie beschikt. In overweging 26 van de AVG is expliciet gemaakt dat een organisatie over persoonsgegevens kan beschikken, ook als die organisatie zelf niet beschikt over middelen om de betreffende data te herleiden tot geïdentificeerde of identificeerbare personen. Het is afdoende indien enige organisatie of enige persoon met ‘gangbare middelen’ dit kan doen. Ook als de bestuurlijke organisatie zelf niet weet dat het Congrescentrum de coronapastoegangscontrole in een bepaalde periode heeft toegepast, bevatten de notulen van deze organisatie medische informatie omdat iedereen die weet dat het Congrescentrum de coronapastoegangscontrole in die periode heeft toegepast, daaruit kan afleiden dat de geïdentificeerde personen op de betreffende dag HETZIJ…HETZIJ…HETZIJ… Ergo, niet alleen de organisatie die in enigerlei vorm een aanwezigheidsregistratie toepast bij een activiteit waarbij een coronapastoegangscontrole heeft plaatsgevonden, maar ook alle organisaties die langs enige route beschikking krijgen over de informatie in deze aanwezigheidsregistratie schenden de AVG.