Besluit van 29 juni 2022, houdende de wijziging van het Tijdelijk Besluit DCC in verband met het aanwijzen van de GGD Twente, het expliciteren van de verwerkingsverantwoordelijke, het schrappen van de samenloop met het coronatoegangsbewijs en het opnemen van een grondslag voor het bijhouden van lijsten van ingetrokken DCC’s

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Op de voordracht van Onze Minister van Volksgezondheid, Welzijn en Sport van 13 juni 2022, kenmerk 3380651-1030168-WJZ;

Gelet op artikel 4 van de Verordening (EU) 2021/953 van het Europees Parlement en de Raad van 14 juni 2021 betreffende een kader voor de afgifte, verificatie en aanvaarding van interoperabele COVID-19-vaccinatie-, test- en herstelcertificaten (digitaal EU-COVID-certificaat) teneinde het vrije verkeer tijdens de COVID-19-pandemie te faciliteren (PbEU 2021, L211/1) en artikel 6ba, eerste en tweede lid, van de Wet publieke gezondheid;

De Afdeling advisering van de Raad van State gehoord (advies van 15 juni 2022, no. W13.22.00066/III);

Gezien het nader rapport van Onze Minister van Volksgezondheid, Welzijn en Sport van 28 juni 2022, kenmerk 3387223-1030168-WJZ;

Hebben goedgevonden en verstaan:

ARTIKEL I

Het Tijdelijk besluit DCC wordt als volgt gewijzigd:

A

In artikel 3 vervalt «, waarbij een verzoek om een coronatoegangsbewijs als bedoeld in artikel 58a, eerste lid, van de wet tevens wordt aangemerkt als een verzoek om een certificaat».

B

Artikel 4 wordt als volgt gewijzigd:

1. Voor de tekst wordt de aanduiding «1.» geplaatst.

2. Er wordt een lid toegevoegd, luidende:

• 2. De minister is verwerkingsverantwoordelijke voor het verwerken van de persoonsgegevens, waaronder in ieder geval de persoonsgegevens uit de bijlage van de verordening, voor zover dit noodzakelijk is voor het verstrekken van een certificaat en voor de werking van de applicatie.

C

In artikel 9, eerste lid, wordt na «Rotterdam-Rijnmond» ingevoegd «, Twente,».

D

In artikel 10 vervalt «en een coronatoegangsbewijs als bedoeld in artikel 58a, eerste lid, van de Wet publieke gezondheid».

E

Na artikel 12 wordt een artikel ingevoegd, luidende:

Artikel 12a

Een certificaat wordt als ongeldig aangemerkt indien het is opgenomen in een door de Minister van Volksgezondheid, Welzijn en Sport aangelegde lijst van certificaten waarvan bij de Minister van Volksgezondheid, Welzijn en Sport het gegronde vermoeden bestaat dat handelingen zijn verricht met of met betrekking tot het certificaat, die het vertrouwen in het certificaat hebben geschaad of zullen schaden.

ARTIKEL II

Dit besluit treedt in werking met ingang van de dag na de datum van uitgifte van het Staatsblad waarin het wordt geplaatst.

Lasten en bevelen dat dit besluit met de daarbij behorende nota van toelichting in het Staatsblad zal worden geplaatst.

’s-Gravenhage, 29 juni 2022

Willem-Alexander

De Minister van Volksgezondheid, Welzijn en Sport, E.J. Kuipers

Uitgegeven de zesde juli 2022

De Minister van Justitie en Veiligheid, D. Yeşilgöz-Zegerius

NOTA VAN TOELICHTING

I. Algemeen

1. Aanleiding

Met dit wijzigingsbesluit is het Tijdelijk besluit DCC (hierna: besluit) gewijzigd. De wijziging heeft allereerst betrekking op het aanwijzen van de GGD Twente als buitenlandloket. Daarnaast is volledigheidshalve geregeld dat de minister verwerkingsverantwoordelijke is voor het verwerken van de persoonsgegevens die noodzakelijk zijn voor het verstrekken van een certificaat en de werking van de applicatie. Tevens zijn de verwijzingen naar het coronatoegangsbewijs geschrapt, omdat de grondslag voor deze bewijzen is vervallen per 20 mei 2022. Tot slot is een grondslag voor het bijhouden van lijsten met ingetrokken DCC’s opgenomen.

1.1. Aanwijzen GGD Twente

In artikel 9 van het besluit is geregeld dat GGD’en vaccinatiecertificaten, als bedoeld in artikel 8, eerste lid, van de DCC-verordening¹, op verzoek kunnen verstrekken. Dit zijn de vaccinatiecertificaten die verstrekt kunnen worden aan betrokkenen die in een derde land zijn gevaccineerd en daarom geen vaccinatiecertificaat hebben ontvangen. (zie voor meer informatie de toelichting bij de oorspronkelijke versie van het besluit, Staatsblad 2021, 448).

In Nederland zijn de gemeentelijke gezondheidsdienst (GGD) van de regio Utrecht, de regio Groningen, de regio Rotterdam-Rijnmond en de regio Amsterdam-Amstelland aangewezen om een papieren vaccinatiecertificaat te verstrekken aan personen die buiten de Europese Unie (EU) zijn gevaccineerd en een Nederlandse nationaliteit hebben of in Nederland woonachtig zijn.

Hoewel het aanvankelijk wel de bedoeling was dat meer GGD’en deze taak zouden vervullen, is vanwege de specifieke kennis die nodig is om alle mogelijke buitenlandse vaccinatiebewijzen te controleren, deze service eerst alleen centraal aangeboden door de GGD Utrecht. De ervaring die daar is opgedaan, maakte het mogelijk om deze service uit te breiden naar andere GGD'en. Recent is de GGD Twente aangewezen middels de Tijdelijke spoedregeling aanwijzing GGD Twente, om reden van regionale spreiding. Dit maakt de service toegankelijker en het verkrijgen van een vaccinatiecertificaat is voor de betreffende mensen laagdrempeliger.

Deze spoedregeling mag ten hoogste drie maanden van kracht zijn (artikel 6ba, vierde lid, van de Wet publieke gezondheid). De Tijdelijke spoedregeling aanwijzing GGD Twente is per 12 april 2022 inwerking getreden. Uiterlijk 12 juli 2022 moet de aanwijzing van de GGD Twente in het besluit zijn opgenomen. Dit geschiedt met dit wijzigingsbesluit.

1.2. Grondslag voor het bijhouden van lijsten met ingetrokken certificaten

Ingevolge artikel 4 van de DCC-verordening kunnen lijsten van ingetrokken certificaten worden uitgewisseld met andere landen. De DCC-verordening biedt echter geen grondslag om deze lijsten te kunnen opstellen en bepaalt ook niet wanneer een certificaat op een dergelijke lijst moet worden geplaatst. Deze grondslag is nodig om uitvoering te kunnen geven aan artikel 4 van de DCC-verordening. Deze grondslag was eerder opgenomen in artikel 6.32 van de Tijdelijke regeling maatregelen covid-19 en later bij de Regeling houdende een tijdelijke regeling in verband de grondslag voor bijhouden van lijsten met ingetrokken certificaten (Stcrt. 2022, 13614). Conform artikel 6ba van de Wpg moet hetgeen dat geregeld wordt bij spoedregeling, binnen drie maanden zijn opgenomen in het besluit. Dat geschiedt met dit artikel.

Met dit artikel is een grondslag gecreëerd voor het bijhouden van lijsten met ingetrokken certificaten en is bepaald wanneer een certificaat op een dergelijke lijst wordt geplaatst, namelijk in het geval van geschaad vertrouwen.

Of er sprake is van geschaad vertrouwen in het certificaat wordt beoordeeld in het licht van het doel waarvoor certificaten verplicht zijn gesteld en de mogelijkheden die certificaten bieden. Zij zijn nodig ter bestrijding van de (directe dreiging van de) epidemie van covid-19 en geven een mogelijkheid dat iemand deelneemt aan een activiteit of toegang heeft tot een voorziening. Certificaten zijn dan ook strikt persoonsgebonden en gekoppeld aan de vaccinatie, het herstel of de test van een concrete persoon, die zich veelal ook dient te identificeren. Wordt zodanig met een certificaat omgegaan dat hieraan afbreuk wordt gedaan, dan verliest een certificaat zijn waarde en wordt het vertrouwen erin geschaad. Hiervan kan bijvoorbeeld sprake zijn als:

• iemands certificaat op enigerlei wijze aan een ander ter beschikking wordt gesteld of op zodanig onzorgvuldige manier is achtergelaten of er zodanig onzorgvuldig mee is omgegaan dat een ander hiervan zonder noemenswaardige moeite misbruik kan maken;

• iemand anders certificaat wordt gebruikt, gepoogd te gebruiken of dat wordt voorbereid, dan wel kennelijk daartoe in bezit is;

• een certificaat op andermans identiteit is verstrekt;

• een certificaat is vervalst of kennelijk opzettelijk is beschadigd.

Zodra een gegrond vermoeden bestaat dat een bruikbaar certificaat wordt gedeeld met anderen, wordt dit geblokkeerd. Of een certificaat met anderen gedeeld wordt, is in ieder geval te constateren wanneer een vervalsing of kopie van een QR-code op internet is gepubliceerd. Daarnaast zou tijdens een controle, het houden van toezicht of de handhaving, bijvoorbeeld tijdens het nalopen van websites waarvan bekend is dat er certificaten verspreid worden, kunnen blijken dat een vervalst of gekopieerd certificaat verspreid wordt. Ook kunnen ondernemers die een vals of gekopieerd certificaat getoond krijgen, daarvan de politie op de hoogte stellen.

Wanneer het nader onderzoek een gegrond vermoeden oplevert dat een vervalst of gekopieerd certificaat in omloop is (bijvoorbeeld als een QR-code op het internet circuleert), wordt dit na onderzoek geblokkeerd. Elk certificaat is voorzien van een elektronische handtekening van de Minister van VWS. Deze handtekening kan niet gewijzigd worden, omdat de Scanner applicatie² zal aangeven dat er geen geldig certificaat is. De elektronische handtekening wordt met een cryptografische hashfunctie (SHA256) verwerkt en afgekort tot 16 bytes naar een proof identifier. De proof identifier wordt opgenomen in een door de Minister van Volksgezondheid, Welzijn en Sport aangelegde lijst (een denylist) die periodiek door de Scanner applicatie wordt gedownload. Op het moment dat de Scanner applicatie een certificaat leest, wordt de proof identifier van die QR-code berekend. Daarna controleert de Scanner applicatie of deze proof identifier op de denylist staat. Zo ja, dan geeft Scanner applicatie aan dat het certificaat niet geldig is. Zo nee, dan worden de controle van het certificaat zoals normaal uitgevoerd.

Gedupeerden van fraude of misbruik van hun certificaat, kunnen op de gebruikelijke wijze een nieuw certificaat aanmaken en daarmee toegang verkrijgen tot activiteiten en voorzieningen. Dit betekent dat bij een ongeldigverklaring de specifieke QR-code die is gegenereerd in de app of op papier niet meer geldig is, maar een nieuwe in de app gegenereerde QR-code of een nieuwe uitdraai van de papieren QR-code niet ongeldig is. Iedere burger kan daarmee altijd een nieuw certificaat generen die wel geldig is. Het plaatsen van een certificaat op de denylist zorgt er daarmee niet voor dat personen die volledig zijn gevaccineerd geen CTB meer kunnen krijgen, zij moeten alleen een nieuwe genereren. Het is technisch niet mogelijk om de persoon wiens certificaat op de denylist staat daarover te informeren. Fraude en misbruik vindt voornamelijk plaats met een certificaat op papier. Omdat het certificaat geen contactgegevens bevat, kunnen gedupeerden niet worden geïnformeerd over de blokkering van het certificaat. Afhankelijk van de specifieke casus kunnen aanvullende maatregelen getroffen worden.

Grondrechten en bescherming persoonsgegevens

De blokkade van een certificaat, nadat uit onderzoek door de Minister van VWS is gebleken dat sprake is van een gegrond vermoeden van fraude of misbruik, geschiedt op basis van een willekeurig getal, de challenge, dat op zichzelf geen persoonsgegevens bevat en vervolgens wordt versleuteld tot een proof identifier om te worden opgenomen op een denylist. Het herleiden van de proof identifier tot het certificaat en vervolgens tot de persoon waarop het certificaat betrekking heeft, is technisch niet mogelijk.

Het doel van de gegevensverwerking ten behoeve van het blokkeren van certificaten is het voorkomen dat onrechtmatig toegang verkregen wordt tot activiteiten en voorzieningen waarvoor een certificaat is voorgeschreven. Dit doel is, gelet op de bestrijding van de epidemie van covid-19, gerechtvaardigd in het licht van de vervulling van een taak van algemeen belang (artikel 6, eerste lid, onder e, Algemene Verordening Gegevensbescherming) en de bescherming van de volksgezondheid (artikel 9, tweede lid, onder i, AVG). Er worden niet meer persoonsgegevens verwerkt dan strikt noodzakelijk. Met de applicatie CoronaCheck Scanner wordt de privacy beschermd doordat gebruik gemaakt wordt van een denylist waarop alleen proof identifiers en unieke certificaatidentificatiecodes zijn opgenomen. Ook laat de CoronaCheck Scanner niet zien waarom certificaat niet geldig is, zodat bij controle voor de toegang tot activiteiten en voorzieningen niet kenbaar is dat sprake is van een redelijk vermoeden van fraude of misbruik.

De strekking van artikel 9a is gelijk aan de strekking van het inmiddels vervallen artikel 6.32, tweede en derde lid, Tijdelijke regeling maatregelen covid-19. Het bijhouden van de lijsten betreft dus geen nieuwe verwerking van persoonsgegevens.

2. Regeldruk en financiële gevolgen en consultatie

Dit wijzigingsbesluit heeft niet tot nauwelijks gevolgen voor de regeldruk en heeft geen financiële gevolgen. De wijzigingsonderdelen die in paragraaf 1.1 en 1.2 zijn toegelicht, waren reeds geregeld bij spoedregeling of in de Tijdelijke regelingen maatregelen covid-19. De andere wijzigingen zijn van technische aard.

Dit wijzigingsbesluit is op 13 mei 2022 voor advies voorgelegd aan het Adviescollege toetsing regeldruk (ATR). Het ATR is van mening dat de gevolgen voor de regeldruk van burgers en bedrijven toereikend in beeld zijn gebracht en deelt de conclusie dat er minimale gevolgen zijn voor de regeldruk.

Omdat er geen sprake is van een nieuwe vorm van gegevensverwerking, is van een advies van de Autoriteit Persoonsgegevens (AP) afgezien. De AP heeft destijds een blanco advies uitgebracht over artikel 6.32, tweede en derde lid, van de Tijdelijke regeling maatregelen covid-19 (zie ook: Stctr. 2021, 4631.).

3. Toezicht en handhaving

De bepalingen die in dit besluit zijn opgenomen brengen geen verandering in de bestaande toezicht- en handhavingssystematiek van de certificaten.

4. Inwerkingtreding

Dit besluit treedt de dag na publicatie inwerking. Sinds 12 april 2022 is per spoedregeling geregeld dat de GGD Twente vaccinatiecertificaten, als bedoeld in artikel 8, eerste lid, van de DCC-verordening, kan uitgeven. Het is gewenst om de periode waarin van een spoedregeling gebruik wordt gemaakt, zo beperkt mogelijk te houden. Daarom is spoedige inwerkingtreding gewenst en wordt gelet op artikel 4.17, vijfde lid, onderdeel b, van de Aanwijzingen voor de regelgeving afgeweken van de vaste verandermomenten en de minimuminvoeringstermijn.

II. Artikelsgewijs

Onderdeel A en Onderdeel D

De verwijzing naar artikel 58a, eerste lid, van de Wpg in artikel 3 en artikel 10 van het besluit zijn vervallen, omdat paragraaf 3a van hoofdstuk V van de Wpg vervallen is per 20 mei 2022.

Onderdeel B

Volledigheidshalve is geregeld dat de minister verwerkingsverantwoordelijke is voor het verwerken van de gegevens die noodzakelijk zijn voor het verstrekken van een certificaat en voor de werking van de applicatie. Deze verwerkingsverantwoordelijkheid was reeds af te leiden uit artikel 10, vierde lid, van de DCC-verordening juncto artikel 4 van de het besluit en wordt met dit onderdeel geëxpliciteerd. Deze wijziging betreft daarom geen inhoudelijke wijziging. Onder de persoonsgegevens wordt in ieder geval begrepen de persoonsgegevens die noodzakelijk zijn voor het verstrekken van een certificaat, zijn opgenomen in de bijlage van de DCC-verordening.

Onderdeel C

Met dit onderdeel is de GGD Twente toegevoegd aan artikel 9, eerste lid.

Onderdeel E

Met dit artikel is een grondslag gecreëerd voor het bijhouden van lijsten met ingetrokken certificaten en is bepaald wanneer een certificaat op een dergelijke lijst wordt geplaatst.

De Minister van Volksgezondheid, Welzijn en Sport, E.J. Kuipers

---

1 Verordening (EU) 2021/953 van het Europees Parlement en de Raad van 14 juni 2021 betreffende een kader voor de afgifte, verificatie en aanvaarding van interoperabele COVID-19-vaccinatie-, test- en herstelcertificaten (digitaal EU-COVID-certificaat) teneinde het vrije verkeer tijdens de COVID-19-pandemie te faciliteren (PbEU 2021, L211/1).

2 Onder Scanner applicatie wordt zowel verstaan de Coronacheck scanner die DCC’s controleert tegen de Nederlandse toegangsregels als de DCC scanner die DCC’s controleert tegen de inreisregels van verschillende landen.