4. Inwoner - Strijdigheid Coronapastoegangscontrole en AVG

Verbruggen, Silvana Van: Verzonden: Aan: Onderwerp:

vrijdag 8 oktober 2021 20:49 postbus GRIF strijdigheid coronapastoegangscontrole en AVG

Geachte raad, In relatie tot de door de nationale overheid aan gemeenten opgelegde plicht te controleren op de implementatie van de coronapastoegangscontrole, hecht ik eraan u te attenderen op de mogelijke strijdigheid tussen de implementatie van de coronapastoegangscontrole en de Algemene Verordening Gegevensbescherming (AVG). Deze strijdigheid kan tot gevolg hebben dat boetes die door de gemeente worden uitgedeeld aan organisaties die de coronapastoegangscontrole niet implementeren, in een administratiefrechtelijke procedure zullen worden vernietigd. Hieronder beschrijf ik – ietwat technisch – hoe de implementatie van de coronapastoegangscontrole kan leiden tot twee typen schendingen van de AVG. Hierbij zij vermeld dat, in het geval van strijdigheid tussen de Tijdelijke Regeling Maatregelen Covid-19 en de AVG, in een administratiefrechtelijk dispuut de AVG – zijnde een onderdeel van Europese wet- en regelgeving – boven de nationale regelgeving zal worden gesteld. 1. Registratie van de QR-code bij het scannen van de code. Bij een coronapastoegangscontrole wordt informatie uit de QR-code (of uit papieren documenten) gecombineerd met een identiteitsbewijs. Deze controle kan uiteraard enkel plaatsvinden doordat in de QR-code een uniek identificerend element zit.

De QRcode bevat derhalve in zichzelf zowel iets waarmee een persoon geïdentificeerd kan worden als nadere informatie over die persoon. In dit geval is de nadere informatie over die persoon medisch van aard. Het is de informatie dat de persoon in kwestie HETZIJ gevaccineerd is HETZIJ in het nabije verleden COVID-19 heeft gehad HETZIJ in de dag voor de controle een negatieve uitslag heeft gehad op een COVID-19-test. Dergelijke informatie valt in de AVG onder de bijzondere gegevens (Artikel 9 – subcategorie medisch). Een organisatie mag deze informatie enkel verwerken indien sprake is van een van de situaties die in lid 2 van artikel 9 van de AVG zijn benoemd. Nu zou men kunnen betogen dat verwerking van de QR-code is toegestaan krachtens artikel 2 sub b, of sub i, doch een dergelijk verweer kan enkel stand houden waar het gaat om het scannen van de QR-code en de vergelijking met het identiteitsbewijs. Dit verweer slaagt niet waar het gaat om het bewaren van de QR-code voor een langere periode dan noodzakelijk is om de coronapastoegangscontrole uit te voeren.

Als het apparaatje – of de app – waarmee een organisatie de QR-code scant is toegerust met een geheugen, en dat geheugen wordt niet gewist onmiddellijk nadat de controle heeft plaatsgevonden, dan overtreedt de organisatie de AVG, ongeacht of de organisatie nu wel of niet onder de werkingssfeer van de coronapas-bepaling in de Tijdelijke Regeling Maatregelen Covid-19 valt. 2. Combinatie van de coronapastoegangscontrole met aanwezigheidsregistratiesystemen Veel organisaties die de coronapastoegangscontrole toepassen houden in een ander systeem een aanwezigheidsregistratie bij. Het kan daarbij bijvoorbeeld gaan om een sportvereniging met een sportkantine waar trainingen worden georganiseerd: vanwege de horecafaciliteit wordt de QR-code gescand, en vervolgens legt de trainer van een team in een Excel-sheet vast welke sporters aanwezig zijn bij de training. Ook als het apparaat waarmee de QR-code wordt gescand geen geheugen heeft ( er is geen schending type 1), dan legt de organisatie als geheel bijzondere gegevens, subcategorie medisch vast. Immers, indien de organisatie de coronapastoegangscontrole toepast, dan moet iedereen die aanwezig is bij de training een QR-code hebben kunnen tonen op basis waarvan aan die persoon toegang tot de faciliteit is verleend.

Ergo, het vinkje AANWEZIG OP 8 OKTOBER in de Excel-sheet van de trainer bevat de informatie dat de betreffende persoon op die dag kwestie HETZIJ gevaccineerd was HETZIJ in het nabije verleden COVID-19 had gehad HETZIJ op 7 of 8 oktober een negatieve uitslag heeft gehad op een COVID-19-test. In de aanwezigheidsregistratie van de trainer zit medische informatie over de deelnemers, en die blijft daarin zitten totdat de trainer die registratie heeft gewist. Omdat de trainer zelf zich daar niet van bewust zal zijn, blijft die informatie mogelijk tientallen jaren bewaard. Deze schending kan zich ook voordoen indien de organisatie die de coronapastoegangscontrole toepast niet dezelfde is als de organisatie die de aanwezigheidsregistratie bijhoudt. Stel dat een Congrescentrum die zalen ter beschikking stelt aan een bestuurlijke organisatie, vanwege de aanwezigheid van horecafaciliteiten de coronapastoegangscontrole implementeert. De bestuurlijke organisatie die een zaal gehuurd heeft, legt – bijvoorbeeld in de notulen van een vergadering – vast welke personen hebben deelgenomen aan een vergadering die bij het Congrescentrum heeft plaatsgevonden in de periode waarop de coronapastoegangsmaatregel gold. Deze vastlegging bevat medische informatie over de deelnemers aan de vergadering.

Indien het gaat om een bestuurlijke organisatie die de notulen van vergaderingen moet voorleggen aan een toezichthouder (bijvoorbeeld, DNB of de AFM) of de notulen van vergaderingen deelt met een compliance officer van het NCI of een consultant van BlackRock, dan beschikken ook deze organisaties zonder het te beseffen over medische informatie over de deelnemers aan de vergadering. Artikel 9 van de AVG bepaalt evenwel niet dat een organisatie zich bewust moet zijn van de inhoud van de informatie waarover de organisatie beschikt. In overweging 26 van de AVG is expliciet gemaakt dat een organisatie over persoonsgegevens kan beschikken, ook als die organisatie zelf niet beschikt over middelen om de betreffende data te herleiden tot geïdentificeerde of identificeerbare personen. Het is afdoende indien enige organisatie of enige persoon met ‘gangbare middelen’ dit kan doen. Ook als de bestuurlijke organisatie zelf niet weet dat het Congrescentrum de coronapastoegangscontrole in een bepaalde periode heeft toegepast, bevatten de notulen van 1

deze organisatie medische informatie omdat iedereen die weet dat het Congrescentrum de coronapastoegangscontrole in die periode heeft toegepast, daaruit kan afleiden dat de geïdentificeerde personen op de betreffende dag HETZIJ…HETZIJ…HETZIJ… Ergo, niet alleen de organisatie die in enigerlei vorm een aanwezigheidsregistratie toepast bij een activiteit waarbij een coronapastoegangscontrole heeft plaatsgevonden, maar ook alle organisaties die langs enige route beschikking krijgen over de informatie in deze aanwezigheidsregistratie schenden de AVG. Erop vertrouwend u hiermee relevant te hebben geïnformeerd, Met vriendelijke groet,

2