Advies Raad van State inzake het voorstel van wet, houdende wijziging van de Wet publieke gezondheid in verband met enkele verbeteringen en preciseringen van de tijdelijke regels over de inzet van coronatoegangsbewijzen bij de bestrijding van het virus SARS-CoV-2

Nader Rapport

3 juni 2021

2372368-1010224-WJZ

Directie Wetgeving en Juridische Zaken

Aan de Koning

Nader rapport inzake het voorstel van wet, houdende wijziging van de Wet publieke gezondheid in verband met enkele verbeteringen en preciseringen van de tijdelijke regels over de inzet van coronatoegangsbewijzen bij de bestrijding van het virus SARS-CoV-2

Blijkens de mededeling van de Directeur van Uw Kabinet van 1 juni 2021, no. 2021001058, machtigde Uwe Majesteit de Afdeling advisering van de Raad van State haar advies inzake het bovenvermelde voorstel van wet rechtstreeks aan mij te doen toekomen. Dit advies, gedateerd 2 juni 2021, no. W13.21.0144/III, bied ik U hierbij aan.

Naar aanleiding van het advies, dat hieronder cursief is opgenomen, wordt het volgende opgemerkt.

Bij Kabinetsmissive van 31 mei 2021, no.2021001058, heeft Uwe Majesteit, op voordracht van de Minister van Volksgezondheid, Welzijn en Sport, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het voorstel van wet houdende wijziging van de Wet publieke gezondheid in verband met enkele verbeteringen en preciseringen van de tijdelijke regels over de inzet van coronatoegangsbewijzen bij de bestrijding van het virus SARS-CoV-2, met memorie van toelichting.

Het wetsvoorstel voorziet in een wijziging van de Wet publieke gezondheid. De voorgestelde wijzigingen hebben betrekking op de verwerking van persoonsgegevens in het kader van de coronatoegangsbewijzen.

De Afdeling advisering van de Raad van State adviseert tot het opnemen van een regeling over het vervallen van artikel 6ba van de Wet publieke gezondheid (Wpg). Ook maakt zij een opmerking over het kunnen aantonen van vaccinatie door personen die niet in het CIMS zijn geregistreerd. Tot slot maakt zij een opmerking over de verwerking van persoonsgegevens die het EU Digital COVID Certificate bevat. In verband daarmee is aanpassing van het voorstel en de toelichting wenselijk.

1. Inleiding

Het wetsvoorstel Tijdelijke wet coronatoegangsbewijzen (hierna: Twc) is op 11 mei 2021 door de Tweede Kamer en op 25 mei 2021 door de Eerste Kamer aangenomen. De Twc voegt bepalingen toe aan onder meer het tijdelijke hoofdstuk Va van de Wpg. Deze wet treedt op 1 juni 2021 in werking.

Het nu voorliggende wetsvoorstel wijzigt enkele van de door de Twc toegevoegde bepalingen. De toelichting geeft voor dit wetsvoorstel twee redenen. Ten eerste ging het aanvankelijke voorstel voor de Twc uit van de inzet van toegangsbewijzen op basis van een testuitslag. Bij amendement is echter ingevoegd dat een toegangsbewijs niet alleen op grond van een testresultaat, maar ook op grond van een bewijs van vaccinatie tegen het coronavirus of herstel van een infectie kan worden gebaseerd.¹

Ten tweede wordt beoogd per 1 juli 2021 de Europese verordening 2021/0068(COD) in werking te laten treden.² Deze verordening biedt een Europees kader inzake de afgifte, verificatie en aanvaarding van interoperabele vaccinatie-, test- en herstelcertificaten om het vrije verkeer tijdens de COVID-19-pandemie te vergemakkelijken. Zij maakt het invoeren van Europese certificaten (EU Digital COVID Certificate, hierna: DCC) ten behoeve van het vrij verkeer mogelijk. Dit DCC komt inhoudelijk sterk overeen met de in de Twc geregelde coronatoegangsbewijzen. Vanwege de spoedige inwerkingtredingsdatum is lopende de behandeling van het voorstel voor de Twc bij nota van wijziging een grondslag in de Wpg ingevoegd voor het regelen van de uitvoering van de verordening.³ Het betreft artikel 6ba dat – tezamen met de overige voorgestelde artikelen van de Twc – zoals gezegd in mei is aangenomen.

Deze beide ontwikkelingen tezamen maken het volgens de toelichting noodzakelijk dat regels omtrent de technische vormgeving van de CoronaCheck-app en de daarmee samenhangende verwerking van persoonsgegevens (waaronder gezondheidsgegevens) worden aangepast.⁴

Het voorgaande heeft tot gevolg dat binnenkort twee verschillende regelingen op hetzelfde terrein gelden. In de eerste plaats zijn dat de regels over de coronatoegangsbewijzen die door middel van de Twc aan de Wpg worden toegevoegd. Deze regels vervallen op grond van de Tijdelijke wet maatregelen covid-19 vooralsnog per 1 september 2021, tenzij op grond van die wet voordien een verlengingsbesluit wordt genomen.⁵ In de tweede plaats gelden de regels van de Europese verordening. Er wordt beoogd de verordening in werking te laten treden per 1 juli 2021. De beoogde verordening heeft een looptijd van 12 maanden en geldt dus tot 1 juli 2022.⁶ Dat betekent dat de situatie kan ontstaan dat op een zeker moment in Nederland op grond van de nationale wetgeving geen coronatoegangsbewijzen meer gelden, maar op grond van EU-regelgeving – in het kader van het vrije verkeer – nog wel vaccinatie-, test- en herstelcertificaten mogen worden gebruikt.

Het voorstel geeft de Afdeling aanleiding tot het maken van de volgende opmerkingen.

2. Vervallen van artikel 6ba

Hiervoor is reeds aangegeven dat ter uitvoering van de genoemde Europese verordening 2021/0068(COD) artikel 6ba bij nota van wijziging in de Wpg is toegevoegd. Het huidige voorstel voegt aan het eerste lid van artikel 6ba nog de volzin toe dat onder de regels in dit lid ook worden verstaan regels over de noodzakelijke verwerking van persoonsgegevens.

De Afdeling constateert dat de bepaling in de Wpg die regelt dat de tijdelijke maatregelen die in verband met de coronapandemie in hoofdstuk Va van de Wpg zijn opgenomen op een zeker moment vervallen, niet op artikel 6ba van toepassing is. Dat ligt op zichzelf voor de hand: zoals beschreven, vervallen de relevante artikelen in de Wpg immers in beginsel per 1 september 2021, terwijl de verordening in elk geval nog geldt tot 1 juli 2022.⁷

Nu met artikel 6ba Wpg aan die verordening uitvoering wordt gegeven, dient dat artikel niet vóór 1 juli 2022 te vervallen. Vanaf 1 juli 2022 (of op een later tijdstip indien de geldingsduur van de verordening zou worden verlengd) zou artikel 6ba – juist omdat het specifiek ziet op de uitvoering van de verordening – wel moeten vervallen.⁸ De Afdeling constateert echter dat voor dat artikel nog niet in een alternatieve vervalbepaling is voorzien. Deze zou kunnen inhouden dat artikel 6ba, eerste tot en met vierde lid, op een bij koninklijk besluit te bepalen tijdstip vervalt.

De Afdeling adviseert in het wetsvoorstel alsnog te voorzien in een vervalbepaling voor artikel 6ba, eerste tot en met vierde lid.

Naar aanleiding van dit advies van de Afdeling is aan artikel 6ba een lid toegevoegd waarin de vervalbepaling is opgenomen.

3. Sluitend systeem

Voor verwerking van vaccinatiegegevens ten behoeve van enerzijds het coronatoegangsbewijs en anderzijds het DCC worden vanwege praktische redenen gegevens uit het COVID-vaccinatie Informatie- en Monitoringsysteem (hierna: CIMS) gebruikt. In het CIMS worden vaccinatiegegevens door het RIVM geregistreerd ten behoeve van monitoring van de vaccins. Gevaccineerden geven voorafgaand aan hun vaccinatie toestemming voor opname in het register.

Volgens de toelichting staat ongeveer 80% van de gevaccineerde personen in het CIMS.⁹ Uit de Kamerbrief van de minister van VWS van 4 mei 2021 wordt duidelijk dat de 20% die niet in het CIMS staat onder meer personen betreft ‘die geen toestemming hebben gegeven hun gegevens met het RIVM te delen en die door een uitvoerende partij zijn gevaccineerd waarvan het bronregistratiesysteem (nog) niet gekoppeld is aan de Coronacheck app of website. Ook zijn de vaccinatiegegevens van personen die in het buitenland zijn gevaccineerd niet beschikbaar via het CIMS. Voor deze groepen mensen (en voor degenen die niet beschikken over een smartphone of computer) zal een alternatieve route worden ontwikkeld’, aldus de minister.¹⁰

De Afdeling wijst erop dat een zo sluitend mogelijk registratiesysteem van groot belang is om onnodige belemmeringen te voorkomen. Zij merkt op dat ook de personen die (i) vooralsnog geen toestemming hebben gegevens voor het delen van hun gegevens, (ii) om andere redenen niet of foutief in het CIMS staan geregistreerd, (iii) in het buitenland zijn gevaccineerd, of (iv) geen beschikking hebben over een smartphone of computer een coronatoegangsbewijs (van vaccinatie) of een DCC moeten kunnen aanvragen en gebruiken. De Afdeling benadrukt daarbij dat voor de eerste categorie personen sprake kan zijn van personen die geen toestemming hebben gegeven in een situatie waarin van vaccinatiebewijzen nog geen sprake was.

In dit licht rijst de vraag of er al meer duidelijkheid is over de alternatieve route zoals door de minister in bovengenoemde brief aan de Tweede Kamer is aangekondigd. De toelichting gaat daar niet op in. Daardoor is vooralsnog onduidelijk hoe bovengenoemde groepen van personen hun vaccinatie in de praktijk zullen kunnen aantonen. Dat geldt eveneens voor personen die van een infectie zijn hersteld.

De Afdeling adviseert de toelichting op dit onderwerp aan te vullen.

Naar aanleiding van dit advies van de Afdeling is paragraaf 2.3 van de memorie van toelichting aangevuld.

4. Verwerking persoonsgegevens

Het DCC zal meer persoonsgegevens bevatten dan het coronatoegangsbewijs. In de Kamerbrief van de minister van 4 mei 2021 wordt daarover het volgende vermeld:

‘.... de QR-code ten behoeve van internationaal reizen zal, vanwege de eisen die de Europese verordening stelt, meer persoonsgegevens bevatten en is daarom privacygevoelig. De verwerking van persoonsgegevens dient veilig en AVG-conform te zijn. In de onderhandelingen over de verordening wordt nog over deze dataset gesproken.’¹¹

In de tekst van de verordening zijn de verschillende datavelden vermeld die in de drie onderscheiden certificaten (van test, vaccinatie of herstel) dienen te worden opgenomen.¹²

Volgens de toelichting op het voorstel bestaat er een grote mate van overlap tussen enerzijds de gegevensverwerking ten behoeve van het genereren van een coronatoegangsbewijs op basis van een vaccinatiebewijs en anderzijds de gegevensverwerking voor het genereren van een DCC. Er is daarom begrijpelijkerwijs voor gekozen de CoronaCheck app zodanig vorm te geven dat de app zowel een coronatoegangsbewijs als het DCC kan genereren.¹³ In dat verband blijft echter onduidelijk hoe deze keuze zich verhoudt tot het feit dat het DCC meer persoonsgegevens bevat dan het coronatoegangsbewijs en hoe op dit punt, gelet op de inrichting van de CoronaCheck app, de verhouding is tussen beide bewijzen. De toelichting gaat hier niet op in.

De Afdeling adviseert de toelichting op dit punt aan te vullen.

Naar aanleiding van dit advies van de Afdeling is paragraaf 2.1 van de memorie van toelichting aangevuld.

5. De Afdeling verwijst naar de bij dit advies behorende redactionele bijlage.

Conform de redactionele bijlage is de memorie van toelichting aangevuld met een artikelsgewijze toelichting op artikel I, onderdeel A.

De Afdeling advisering van de Raad van State heeft een aantal opmerkingen bij het voorstel en adviseert daarmee rekening te houden voordat het voorstel bij de Tweede Kamer der Staten-Generaal wordt ingediend.

De vice-president van de Raad van State,

Redactionele bijlage bij het advies van de Afdeling advisering van de Raad van State betreffende no.W13.21.0144/III

• Vul de artikelsgewijze toelichting, Artikel I, onderdeel A aan.

Ik moge U verzoeken het hierbij gevoegde gewijzigde voorstel van wet en de gewijzigde memorie van toelichting aan de Tweede Kamer der Staten-Generaal te zenden.

De Minister van Volksgezondheid, Welzijn en Sport, H.M. de Jonge.

Advies Raad van State

No. W13.21.0144/III

’s-Gravenhage, 2 juni 2021

Aan de Koning

Bij Kabinetsmissive van 31 mei 2021, no.2021001058, heeft Uwe Majesteit, op voordracht van de Minister van Volksgezondheid, Welzijn en Sport, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het voorstel van wet houdende wijziging van de Wet publieke gezondheid in verband met enkele verbeteringen en preciseringen van de tijdelijke regels over de inzet van coronatoegangsbewijzen bij de bestrijding van het virus SARS-CoV-2, met memorie van toelichting.

Het wetsvoorstel voorziet in een wijziging van de Wet publieke gezondheid. De voorgestelde wijzigingen hebben betrekking op de verwerking van persoonsgegevens in het kader van de coronatoegangsbewijzen.

De Afdeling advisering van de Raad van State adviseert tot het opnemen van een regeling over het vervallen van artikel 6ba van de Wet publieke gezondheid (Wpg). Ook maakt zij een opmerking over het kunnen aantonen van vaccinatie door personen die niet in het CIMS zijn geregistreerd. Tot slot maakt zij een opmerking over de verwerking van persoonsgegevens die het EU Digital COVID Certificate bevat. In verband daarmee is aanpassing van het voorstel en de toelichting wenselijk.

1. Inleiding

Het wetsvoorstel Tijdelijke wet coronatoegangsbewijzen (hierna: Twc) is op 11 mei 2021 door de Tweede Kamer en op 25 mei 2021 door de Eerste Kamer aangenomen. De Twc voegt bepalingen toe aan onder meer het tijdelijke hoofdstuk Va van de Wpg. Deze wet treedt op 1 juni 2021 in werking.

Het nu voorliggende wetsvoorstel wijzigt enkele van de door de Twc toegevoegde bepalingen. De toelichting geeft voor dit wetsvoorstel twee redenen. Ten eerste ging het aanvankelijke voorstel voor de Twc uit van de inzet van toegangsbewijzen op basis van een testuitslag. Bij amendement is echter ingevoegd dat een toegangsbewijs niet alleen op grond van een testresultaat, maar ook op grond van een bewijs van vaccinatie tegen het coronavirus of herstel van een infectie kan worden gebaseerd.¹

Ten tweede wordt beoogd per 1 juli 2021 de Europese verordening 2021/0068(COD) in werking te laten treden.² Deze verordening biedt een Europees kader inzake de afgifte, verificatie en aanvaarding van interoperabele vaccinatie-, test- en herstelcertificaten om het vrije verkeer tijdens de COVID-19-pandemie te vergemakkelijken. Zij maakt het invoeren van Europese certificaten (EU Digital COVID Certificate, hierna: DCC) ten behoeve van het vrij verkeer mogelijk. Dit DCC komt inhoudelijk sterk overeen met de in de Twc geregelde coronatoegangsbewijzen. Vanwege de spoedige inwerkingtredingsdatum is lopende de behandeling van het voorstel voor de Twc bij nota van wijziging een grondslag in de Wpg ingevoegd voor het regelen van de uitvoering van de verordening.³ Het betreft artikel 6ba dat – tezamen met de overige voorgestelde artikelen van de Twc – zoals gezegd in mei is aangenomen.

Deze beide ontwikkelingen tezamen maken het volgens de toelichting noodzakelijk dat regels omtrent de technische vormgeving van de CoronaCheck-app en de daarmee samenhangende verwerking van persoonsgegevens (waaronder gezondheidsgegevens) worden aangepast.⁴

Het voorgaande heeft tot gevolg dat binnenkort twee verschillende regelingen op hetzelfde terrein gelden. In de eerste plaats zijn dat de regels over de coronatoegangsbewijzen die door middel van de Twc aan de Wpg worden toegevoegd. Deze regels vervallen op grond van de Tijdelijke wet maatregelen covid-19 vooralsnog per 1 september 2021, tenzij op grond van die wet voordien een verlengingsbesluit wordt genomen.⁵ In de tweede plaats gelden de regels van de Europese verordening. Er wordt beoogd de verordening in werking te laten treden per 1 juli 2021. De beoogde verordening heeft een looptijd van 12 maanden en geldt dus tot 1 juli 2022.⁶ Dat betekent dat de situatie kan ontstaan dat op een zeker moment in Nederland op grond van de nationale wetgeving geen coronatoegangsbewijzen meer gelden, maar op grond van EU-regelgeving – in het kader van het vrije verkeer – nog wel vaccinatie-, test- en herstelcertificaten mogen worden gebruikt.

Het voorstel geeft de Afdeling aanleiding tot het maken van de volgende opmerkingen.

2. Vervallen van artikel 6ba

Hiervoor is reeds aangegeven dat ter uitvoering van de genoemde Europese verordening 2021/0068(COD) artikel 6ba bij nota van wijziging in de Wpg is toegevoegd. Het huidige voorstel voegt aan het eerste lid van artikel 6ba nog de volzin toe dat onder de regels in dit lid ook worden verstaan regels over de noodzakelijke verwerking van persoonsgegevens.

De Afdeling constateert dat de bepaling in de Wpg die regelt dat de tijdelijke maatregelen die in verband met de coronapandemie in hoofdstuk Va van de Wpg zijn opgenomen op een zeker moment vervallen, niet op artikel 6ba van toepassing is. Dat ligt op zichzelf voor de hand: zoals beschreven, vervallen de relevante artikelen in de Wpg immers in beginsel per 1 september 2021, terwijl de verordening in elk geval nog geldt tot 1 juli 2022.⁷

Nu met artikel 6ba Wpg aan die verordening uitvoering wordt gegeven, dient dat artikel niet vóór 1 juli 2022 te vervallen. Vanaf 1 juli 2022 (of op een later tijdstip indien de geldingsduur van de verordening zou worden verlengd) zou artikel 6ba – juist omdat het specifiek ziet op de uitvoering van de verordening – wel moeten vervallen.⁸ De Afdeling constateert echter dat voor dat artikel nog niet in een alternatieve vervalbepaling is voorzien. Deze zou kunnen inhouden dat artikel 6ba, eerste tot en met vierde lid, op een bij koninklijk besluit te bepalen tijdstip vervalt.

De Afdeling adviseert in het wetsvoorstel alsnog te voorzien in een vervalbepaling voor artikel 6ba, eerste tot en met vierde lid.

3. Sluitend systeem

Voor verwerking van vaccinatiegegevens ten behoeve van enerzijds het coronatoegangsbewijs en anderzijds het DCC worden vanwege praktische redenen gegevens uit het COVID-vaccinatie Informatie- en Monitoringsysteem (hierna: CIMS) gebruikt. In het CIMS worden vaccinatiegegevens door het RIVM geregistreerd ten behoeve van monitoring van de vaccins. Gevaccineerden geven voorafgaand aan hun vaccinatie toestemming voor opname in het register.

Volgens de toelichting staat ongeveer 80% van de gevaccineerde personen in het CIMS.⁹ Uit de Kamerbrief van de minister van VWS van 4 mei 2021 wordt duidelijk dat de 20% die niet in het CIMS staat onder meer personen betreft ‘die geen toestemming hebben gegeven hun gegevens met het RIVM te delen en die door een uitvoerende partij zijn gevaccineerd waarvan het bronregistratiesysteem (nog) niet gekoppeld is aan de Coronacheck app of website. Ook zijn de vaccinatiegegevens van personen die in het buitenland zijn gevaccineerd niet beschikbaar via het CIMS. Voor deze groepen mensen (en voor degenen die niet beschikken over een smartphone of computer) zal een alternatieve route worden ontwikkeld’, aldus de minister.¹⁰

De Afdeling wijst erop dat een zo sluitend mogelijk registratiesysteem van groot belang is om onnodige belemmeringen te voorkomen. Zij merkt op dat ook de personen die (i) vooralsnog geen toestemming hebben gegevens voor het delen van hun gegevens, (ii) om andere redenen niet of foutief in het CIMS staan geregistreerd, (iii) in het buitenland zijn gevaccineerd, of (iv) geen beschikking hebben over een smartphone of computer een coronatoegangsbewijs (van vaccinatie) of een DCC moeten kunnen aanvragen en gebruiken. De Afdeling benadrukt daarbij dat voor de eerste categorie personen sprake kan zijn van personen die geen toestemming hebben gegeven in een situatie waarin van vaccinatiebewijzen nog geen sprake was.

In dit licht rijst de vraag of er al meer duidelijkheid is over de alternatieve route zoals door de minister in bovengenoemde brief aan de Tweede Kamer is aangekondigd. De toelichting gaat daar niet op in. Daardoor is vooralsnog onduidelijk hoe bovengenoemde groepen van personen hun vaccinatie in de praktijk zullen kunnen aantonen. Dat geldt eveneens voor personen die van een infectie zijn hersteld.

De Afdeling adviseert de toelichting op dit onderwerp aan te vullen.

4. Verwerking persoonsgegevens

Het DCC zal meer persoonsgegevens bevatten dan het coronatoegangsbewijs. In de Kamerbrief van de minister van 4 mei 2021 wordt daarover het volgende vermeld:

‘.... de QR-code ten behoeve van internationaal reizen zal, vanwege de eisen die de Europese verordening stelt, meer persoonsgegevens bevatten en is daarom privacygevoelig. De verwerking van persoonsgegevens dient veilig en AVG-conform te zijn. In de onderhandelingen over de verordening wordt nog over deze dataset gesproken.’¹¹

In de tekst van de verordening zijn de verschillende datavelden vermeld die in de drie onderscheiden certificaten (van test, vaccinatie of herstel) dienen te worden opgenomen.¹²

Volgens de toelichting op het voorstel bestaat er een grote mate van overlap tussen enerzijds de gegevensverwerking ten behoeve van het genereren van een coronatoegangsbewijs op basis van een vaccinatiebewijs en anderzijds de gegevensverwerking voor het genereren van een DCC. Er is daarom begrijpelijkerwijs voor gekozen de CoronaCheck app zodanig vorm te geven dat de app zowel een coronatoegangsbewijs als het DCC kan genereren.¹³ In dat verband blijft echter onduidelijk hoe deze keuze zich verhoudt tot het feit dat het DCC meer persoonsgegevens bevat dan het coronatoegangsbewijs en hoe op dit punt, gelet op de inrichting van de CoronaCheck app, de verhouding is tussen beide bewijzen. De toelichting gaat hier niet op in.

De Afdeling adviseert de toelichting op dit punt aan te vullen.

5. De Afdeling verwijst naar de bij dit advies behorende redactionele bijlage.

De Afdeling advisering van de Raad van State heeft een aantal opmerkingen bij het voorstel en adviseert daarmee rekening te houden voordat het voorstel bij de Tweede Kamer der Staten-Generaal wordt ingediend.

De vice-president van de Raad van State, Th.C. de Graaf.

Redactionele bijlage bij het advies van de Afdeling advisering van de Raad van State betreffende no.W13.21.0144/III

• Vul de artikelsgewijze toelichting, Artikel I, onderdeel A aan.

Tekst zoals toegezonden aan de Raad van State: Wijziging van de Wet publieke gezondheid in verband met enkele verbeteringen en preciseringen van de tijdelijke regels over de inzet van coronatoegangsbewijzen bij de bestrijding van het virus SARS-CoV-2

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Allen, die deze zullen zien of horen lezen, saluut! doen te weten:

Alzo Wij in overweging genomen hebben, dat het wenselijk is enkele verbeteringen en voorts enkele preciseringen ten aanzien van de verwerking van persoonsgegevens in het kader van coronatoegangsbewijzen aan te brengen in de Wet publieke gezondheid;

Zo is het, dat Wij, de Afdeling advisering van de Raad van State gehoord, en met gemeen overleg der Staten-Generaal, hebben goedgevonden en verstaan, gelijk Wij goedvinden en verstaan bij deze:

ARTIKEL I

De Wet publieke gezondheid wordt als volgt gewijzigd:

A

Aan artikel 6ba, eerste lid, wordt een volzin toegevoegd, luidende:

Onder deze regels worden mede verstaan regels over de noodzakelijke verwerking van persoonsgegevens, met inbegrip van persoonsgegevens over de gezondheid als bedoeld in artikel 9 van de Algemene verordening gegevensbescherming.

B

Artikel 58a wordt als volgt gewijzigd:

1. In de begripsbepaling van coronatoegangsbewijs wordt ‘vaccinatie tegen SARS-CoV-2’ vervangen door ‘vaccinatie tegen het virus SARS-CoV-2’.

2. In de begripsbepaling van resultaat wordt ‘vaccinatie tegen covid-19’ vervangen door ‘vaccinatie tegen het virus SARS-CoV-2’.

C

Artikel 58ra, tweede lid, wordt als volgt gewijzigd:

1. De zinsnede ‘vaccinatie tegen covid-19’ wordt telkens vervangen door ‘vaccinatie tegen het virus SARS-CoV-2’.

2. In onderdeel b, wordt ‘testuitslag’ vervangen door ‘bewijs van een testuitslag’.

D

Artikel 58rc wordt als volgt gewijzigd:

1. In onderdeel b van het tweede lid, wordt ‘zich zelf’ vervangen door ‘zichzelf’.

2. In het derde lid, wordt ‘de voor deze uitvoering noodzakelijke verwerking van persoonsgegevens’ vervangen door ‘de voor de uitvoering van dit artikel noodzakelijke verwerking van persoonsgegevens’.

E

Artikel 58re wordt als volgt gewijzigd:

1. In het zesde lid, wordt ‘De uitvoerder van de test,’ vervangen door ‘Onze Minister, het RIVM, de uitvoerder van de test,’ en wordt ‘de geteste persoon’ vervangen door ‘de geteste persoon, de gevaccineerde persoon, de herstelde persoon, de persoon, bedoeld in artikel 58ra, negende lid, de personen of organisaties die de in artikel 6ba bedoelde EU-rechtshandelingen uitvoeren’.

2. In onderdeel a van het negende lid wordt ‘De uitvoerder van de test, de toediener van het vaccin of de verklaarder van het herstel’ vervangen door ‘Onze Minister, het RIVM, de uitvoerder van de test, de toediener van het vaccin, de verklaarder van het herstel of de personen of organisaties die de in artikel 6ba bedoelde EU-rechtshandelingen uitvoeren’.

ARTIKEL II

Deze wet treedt in werking op een bij koninklijk besluit te bepalen tijdstip.

De Minister van Volksgezondheid, Welzijn en Sport,

MEMORIE VAN TOELICHTING

Algemeen deel

1. Inleiding

Met de Tijdelijke wet coronatoegangsbewijzen (hierna: Twc) is in hoofdstuk Va van de Wet publieke gezondheid (Wpg) voorzien in de mogelijkheid om te bestrijding van de epidemie van covid-19 regels te kunnen stellen over het tonen van een coronatoegangsbewijs. Zoals hieronder zal worden toegelicht is het nodig in de Twc op te nemen dat het RIVM vaccinatiegegevens kan verstrekken. Daarnaast worden enkele preciseringen ten aanzien van de verwerking van persoonsgegevens en enkele redactionele correcties aangebracht.

Aanvankelijk was de Twc primair gericht op de inzet van testbewijzen op basis van een testuitslag.¹ Bij amendement van de leden Paternotte en Kuiken is echter ingevoegd dat een toegangsbewijs naast een testresultaat ook kan zijn gebaseerd op vaccinatie tegen of herstel van een infectie met het virus SARS-CoV-2.² Op deze wijze zijn de voorwaarden voor coronatoegangsbewijzen allemaal op gelijke voet geregeld.

Verder is in Europees verband in een ongebruikelijk hoog tempo een politiek akkoord bereikt ten aanzien van de verordening van het Europees Parlement en de Raad betreffende een kader voor de afgifte, verificatie en aanvaarding van interoperabele vaccinatie-, test- en herstelcertificaten teneinde het vrije verkeer tijdens de COVID-19-pandemie te vergemakkelijken (2021/0068(COD)) (hierna: de verordening). Deze verordening maakt het invoeren van Europese certificaten ten behoeve van het vrij verkeer mogelijk (EU Digital COVID Certificate, hierna: DCC). Dit DCC komt inhoudelijk sterk overeen met de in de Twc geregelde coronatoegangsbewijzen. De verordening treedt op 1 juli 2021 in werking.

Lopende het wetstraject is daarom bij nota van wijziging een grondslag in de Wpg ingevoegd voor het regelen van de uitvoering van de verordening en is parallel aan de totstandkoming van de Twc gewerkt aan de voorbereiding op de uitvoering van de verordening.³

Deze beide ontwikkelingen hebben ertoe geleid dat de technische vormgeving van CoronaCheck, de app waarmee zowel het coronatoegangsbewijs als het DCC gegenereerd zal worden, is aangepast waarbij er ook, zij het in beperkte mate, gegevensverwerking door de minister van VWS en het RIVM zal plaatsvinden. Deze aangepaste technische vormgeving heeft als consequentie dat de verstrekking van vaccinatiegegevens door het RIVM ten behoeve van een DCC of een coronatoegangsbewijs in de Twc moet worden opgenomen.

Daarnaast acht de regering het wenselijk preciseringen op ten nemen ten aanzien van de verwerking van persoonsgegevens door de Minister van VWS en de gegevensverwerking in het kader van de verordening. Deze gegevensverwerkingen zijn weliswaar toegestaan op grond van de Algemene verordening gegevensbescherming (hierna: AVG), maar zijn niet tevens gespecificeerd in de Wpg. De regering hecht eraan dat er geen enkele onduidelijkheid bestaat over de grondslagen voor de gegevensverwerking en wil daarom met dit wetsvoorstel die duidelijkheid geven.

2. Verwerking van persoonsgegevens

De verwerking van persoonsgegevens die plaatsvindt in het kader van de coronatoegangsbewijzen is geregeld in artikel 58re van de Wpg. Voor een uitgebreide toelichting op deze bepaling wordt verwezen naar de memorie van toelichting op de Twc.⁴

Voor de verwerking van persoonsgegevens ten behoeve van het DCC geldt dat het, gezien het onderwerp van de verordening, evident is dat het noodzakelijk is dat voor de uitvoering van de verordening persoonsgegevens (over de gezondheid) worden verwerkt. Met dit wetsvoorstel wordt die verwerking tevens expliciet gemaakt.

Zowel de gegevensverwerking ten behoeve van de testbewijzen als de gegevensverwerking ten behoeve van de vaccinaties wordt bij ministeriële regeling nader uitgewerkt. Daarbij wordt geregeld welke gegevens op welke wijze door welke personen en organisaties worden verwerkt.

2.1 Verwerking van persoonsgegevens DCC

Bij de voorbereidingen op de uitvoering van de verordening is, zoals hiervoor aangegeven, gebleken dat er een grote mate van overlap bestaat met in het bijzonder de gegevensverwerking ten behoeve van het genereren van een coronatoegangsbewijs op basis van een attest van vaccinatie. De gegevens die noodzakelijk zijn voor het genereren van een DCC zijn ook de gegevens die nodig zijn om te komen tot een coronatoegangsbewijs. Aangezien het grotendeels dezelfde gegevens betreft heeft het om praktische redenen de voorkeur om één gegevensstroom in te richten. Er is daarom voor gekozen CoronaCheck technisch zodanig vorm te geven, dat hiermee zowel het coronatoegangsbewijs als het DCC gegenereerd kunnen worden.

2.2 Verwerking van persoonsgegevens door de Minister van VWS

De Minister van VWS is op grond van het vijfde lid, van artikel 58re Wpg verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens bij het gebruik van de aangewezen drager en de applicaties (CoronaCheck app en CoronaCheck scanner) voor de coronatoegangsbewijzen. Artikel 58re, vierde lid, Wpg schrijft voor dat de Minister waarborgen treft om ervoor te zorgen dat met de applicaties uitsluitende betrouwbare resultaten getoond worden. Gelet hierop verwerkt de Minister gegevens om te waarborgen dat de opvraging van gegevens op betrouwbare wijze verloopt en het attest van vaccinatie betrekking heeft op degene die op basis daarvan een coronatoegangsbewijs wenst te genereren. Ook zorgt de Minister ervoor dat een digitale handtekening wordt geplaatst ter beveiliging en waarmerking van de gegevens. Bij ministeriële regeling wordt de gegevensverwerking door de Minister van VWS nader uitgewerkt.

De grondslag voor de Minister voor bovengenoemde gegevensverwerkingen vloeit voort uit de taken van algemeen belang die de Minister van VWS op grond van de Wpg heeft. Voor de duidelijkheid wordt dit tevens geëxpliciteerd in het zesde lid van artikel 58re van de Wpg.

2.3 Verstrekken van vaccinatiegegevens door het RIVM

In het zesde lid van artikel 58re Wpg is opgenomen dat gegevens worden verstrekt door de toedieners van het vaccin. Bij de totstandkoming van de Twc werd namelijk verondersteld dat de wijze van uitvoering vergelijkbaar zou zijn met coronatoegangsbewijzen op basis van een testuitslag. Dat sluit echter niet geheel aan bij de praktijk. Ten eerste omdat er een minder rechtstreeks verband is tussen het ontvangen van volledige vaccinatie en het verkrijgen van een coronatoegangsbewijs en ten tweede omdat het palet aan zorgaanbieders bij vaccinatie gevarieerder is. Voor een coronatoegangsbewijs op basis van een testuitslag laat men zich speciaal testen bij een gespecialiseerde zorgaanbieder en is het hele proces binnen één of twee dagen afgerond. Dat ligt anders bij vaccinaties. Immers, een volledige vaccinatie neemt meerdere weken in beslag en het is mogelijk dat de vaccins door twee zorgaanbieders zijn toegediend. Ook is het aantal zorgaanbieders dat vaccins toedient, een veelvoud van het aantal zorgaanbieders (huisartsen, ziekenhuizen, de GGD’en) dat testen uitvoert op infectie met het coronavirus. Dit aantal is te groot om allemaal op korte termijn aan te sluiten op CoronaCheck.

Er bestaat evenwel al een digitale voorziening die vaccinatiegegevens bevat, omdat het RIVM in het COVID-vaccinatie Informatie- en Monitoringsysteem (hierna: CIMS) een registratie bijhoudt van toegediende vaccinaties. Aangezien 80% van de gevaccineerde personen in het CIMS staat, worden de vaccinatiegegevens die nodig zijn voor het DCC en het coronatoegangsbewijs verkregen uit het CIMS.⁵

Hiermee worden de gegevens uit het CIMS gebruikt voor een nieuw doel. Een dergelijke verdere verwerking is op grond van artikel 6, vierde lid, AVG toegestaan indien het nieuwe doel verenigbaar is met het oorspronkelijke doel, betrokkene toestemming heeft gegeven voor de verdere verwerking of als het nieuwe doel berust op Unierecht of lidstatelijk recht.

Omdat het RIVM op grond van artikel 6ba Wpg een eigenstandige taak heeft ter uitvoering van de verordening heeft het RIVM daarmee ten behoeve van het DCC tevens een grondslag voor het verstrekken van vaccinatiegegevens. Het is immers evident dat het RIVM deze taak alleen kan uitvoeren door het verstrekken van vaccinatiegegevens. In de krachtens artikel 6ba opgestelde ministeriële regeling wordt uitgewerkt welke gegevens het RIVM daartoe verstrekt en dat deze gegevens afkomstig zijn uit het CIMS. Daarnaast is het RIVM toegevoegd aan de personen en organisaties die op grond van artikel 58re, zesde lid, gegevens verwerken ten behoeve van het coronatoegangsbewijs. Ook in de daarop gebaseerde ministeriële regeling wordt geregeld dat het RIVM daartoe gegevens uit het CIMS verstrekt.

3. Regeldrukeffecten

Het wetsvoorstel betreft slechts redactionele verbeteringen en expliciteringen en brengt derhalve geen nieuwe regeldruk met zich.

4. Consulatie en advies

Het wetsvoorstel is voor advies voorgelegd aan de Autoriteit Persoonsgegevens (hierna: AP). De regering is de AP zeer erkentelijk voor de bijzondere korte termijn waarbinnen de AP advies heeft uitgebracht.

Ten aanzien van het gebruik van de gegevens uit het CIMS voor de coronatoegangsbewijzen en het DCC merkt de AP op dat de AVG niet uitsluit dat eenmaal voor een bepaald doel verzamelde persoonsgegevens alsnog voor een ander, nieuw doel worden ingezet indien deze nieuwe doelstelling wettelijk wordt geregeld. Zoals in paragraaf 3.3 is toegelicht wordt hierin voorzien door het RIVM toe te voegen aan het zesde lid van artikel 58re. In de ministeriële regeling die op grond van artikel 58re, zesde lid, wordt vastgesteld wordt geregeld welke persoonsgegevens ten behoeve van de coronatoegangsbewijzen worden verwerkt. In deze regeling zal dan ook worden opgenomen dat er tevens gegevens uit het CIMS zullen worden verwerkt.

De AP is van mening dat het expliciet opnemen van het RIVM noodzakelijk is als grondslag voor deze verwerking. De memorie van toelichting is op dit punt aangepast.

Artikelsgewijs

Artikel I, onderdelen B tot en met D

In de artikelen 58a en 58ra is een eenduidige aanduiding van een vaccinatie tegen het virus SARS-CoV-2 opgenomen. Verder is in artikel 58ra aangesloten bij de definitie van een resultaat als onder meer een bewijs van een testuitslag en is in artikel 58rc een verwijzing aangepast om te verduidelijken dat de uitvoering betrekking heeft op het gehele artikel. Dit betreft enkel redactionele verbeteringen.

Artikel I, onderdeel E

In paragraaf 2.2 en 2.3 is toegelicht waarom het RIVM en de Minister van VWS zijn toegevoegd aan artikel 58re, zesde lid.

Daarnaast is in artikel 58re, zesde lid een volledige opsomming opgenomen van de hoedanigheden waarin een persoon toegang kan krijgen tot activiteiten of voorzieningen waarvoor een coronatoegangsbewijs is voorgeschreven en ten behoeve daarvan persoonsgegevens verwerkt.

Tot slot zijn in aansluiting op het zesde lid de Minister van VWS, het RIVM en de personen en organisaties die betrokken zijn bij de uitvoering van de verordening tevens opgenomen in het negende lid van artikel 58re.

De Minister van Volksgezondheid, Welzijn en Sport,

---

1 Kamerstukken II 2020/21, 35 807, nr. 52.

2 Op 21 mei 2021 is een politiek akkoord bereikt. Het Europees Parlement heeft echter, ten tijde van advisering, nog geen instemming verleend. Na instemming zal de verordening een officieel nummer krijgen. Zie voor de eerdere tekst het voorstel voor deze verordening van de Europese Commissie van 17 maart 2021 (COM(2021) 130 final).

3 Kamerstukken II 2020/21, 35 807, nr. 11 (nog niet als Kamerstuk gepubliceerd). Deze nota van wijziging is niet aan de Afdeling advisering voorgelegd.

4 Memorie van toelichting, par. 1.

5 Zie artikel VII van de Tijdelijke wet maatregelen covid-19, waarvan de eerste drie leden luiden:

1. Met ingang van drie maanden na het tijdstip van inwerkingtreding van deze wet vervallen:

a. hoofdstuk Va, paragraaf 1a van hoofdstuk VII en de artikelen 64a, 68bis en 68ka van de Wet publieke gezondheid;

b. artikel 28, zevende lid, van de Arbeidsomstandighedenwet;

c. artikel 2, twaalfde lid, van de Arbeidsveiligheidswet BES;

d. artikel 1.57e van de Wet kinderopvang.

2. Bij koninklijk besluit kan voor in het eerste lid genoemde bepalingen of onderdelen daarvan worden bepaald dat zij op een eerder tijdstip vervallen.

3.Bij koninklijk besluit kan voor in het eerste lid genoemde bepalingen of onderdelen daarvan worden bepaald dat zij op een later tijdstip vervallen, met dien verstande dat dit tijdstip steeds ten hoogste drie maanden na het tijdstip ligt waarop die bepalingen of onderdelen zouden vervallen.

De Twm is op 1 december 2020 in werking getreden en onlangs voor de tweede keer verlengd. Bij Koninklijk Besluit van 17 mei 2021 is de vervaldatum thans vastgesteld op 1 september 2021, zie Stb. 2021, 232.

6 Artikel 15, derde lid, van de verordening inzake het EU Digital COVID Certificate.

7 De aanvankelijk voorgestelde tekst van de verordening, dus nog voordat op 21 mei een politiek akkoord werd bereikt, bevatte geen einddatum. In de uiteindelijk op 21 mei overeengekomen tekst is echter gespecificeerd dat de verordening tot 1 juli 2022 geldt.

8 Uit de toelichting bij de nota van wijziging (p. 2) blijkt de wenselijkheid van het tijdelijke karakter ook.

9 Memorie van toelichting, paragraaf 2.3.

10 Kamerbrief van de minister van VWS, 4 mei 2021, Kamerstukken II 2020/21, 25 295, 1176, p. 5.

11 Kamerbrief van de minister van VWS, 4 mei 2021, Kamerstukken II 2020/21, 25 295, 1176, p. 5.

12 Bijlage van het voorstel voor een verordening van het Europees Parlement en de Europese Raad van 21 mei 2021 inzake het Europese Digital COVID Certificate, 2021/0068(COD) en 2021/0071(COD). Zie ook het eerdere voorstel van de Europese Commissie van 17 maart 2021 (COM(2021) 130 final).

13 Memorie van toelichting, paragraaf 2.1.

1 Kamerstukken II 2020/21, 35 807, nr. 52.

2 Op 21 mei 2021 is een politiek akkoord bereikt. Het Europees Parlement heeft echter, ten tijde van advisering, nog geen instemming verleend. Na instemming zal de verordening een officieel nummer krijgen. Zie voor de eerdere tekst het voorstel voor deze verordening van de Europese Commissie van 17 maart 2021 (COM(2021) 130 final).

3 Kamerstukken II 2020/21, 35 807, nr. 11 (nog niet als Kamerstuk gepubliceerd). Deze nota van wijziging is niet aan de Afdeling advisering voorgelegd.

4 Memorie van toelichting, par. 1.

5 Zie artikel VII van de Tijdelijke wet maatregelen covid-19, waarvan de eerste drie leden luiden:

1. Met ingang van drie maanden na het tijdstip van inwerkingtreding van deze wet vervallen:

a. hoofdstuk Va, paragraaf 1a van hoofdstuk VII en de artikelen 64a, 68bis en 68ka van de Wet publieke gezondheid;

b. artikel 28, zevende lid, van de Arbeidsomstandighedenwet;

c. artikel 2, twaalfde lid, van de Arbeidsveiligheidswet BES;

d. artikel 1.57e van de Wet kinderopvang.

2. Bij koninklijk besluit kan voor in het eerste lid genoemde bepalingen of onderdelen daarvan worden bepaald dat zij op een eerder tijdstip vervallen.

3.Bij koninklijk besluit kan voor in het eerste lid genoemde bepalingen of onderdelen daarvan worden bepaald dat zij op een later tijdstip vervallen, met dien verstande dat dit tijdstip steeds ten hoogste drie maanden na het tijdstip ligt waarop die bepalingen of onderdelen zouden vervallen.

De Twm is op 1 december 2020 in werking getreden en onlangs voor de tweede keer verlengd. Bij Koninklijk Besluit van 17 mei 2021 is de vervaldatum thans vastgesteld op 1 september 2021, zie Stb. 2021, 232.

6 Artikel 15, derde lid, van de verordening inzake het EU Digital COVID Certificate.

7 De aanvankelijk voorgestelde tekst van de verordening, dus nog voordat op 21 mei een politiek akkoord werd bereikt, bevatte geen einddatum. In de uiteindelijk op 21 mei overeengekomen tekst is echter gespecificeerd dat de verordening tot 1 juli 2022 geldt.

8 Uit de toelichting bij de nota van wijziging (p. 2) blijkt de wenselijkheid van het tijdelijke karakter ook.

9 Memorie van toelichting, paragraaf 2.3.

10 Kamerbrief van de minister van VWS, 4 mei 2021, Kamerstukken II 2020/21, 25 295, 1176, p. 5.

11 Kamerbrief van de minister van VWS, 4 mei 2021, Kamerstukken II 2020/21, 25 295, 1176, p. 5.

12 Bijlage van het voorstel voor een verordening van het Europees Parlement en de Europese Raad van 21 mei 2021 inzake het Europese Digital COVID Certificate, 2021/0068(COD) en 2021/0071(COD). Zie ook het eerdere voorstel van de Europese Commissie van 17 maart 2021 (COM(2021) 130 final).

13 Memorie van toelichting, paragraaf 2.1.

1 Het oorspronkelijke wetsvoorstel bevatte wel een grondslag om bij amvb gelijkstelling te regelen voor een vaccinatiebewijs en herstelbewijs.

2 Kamerstukken II 2020/21, 35 807, nr. 52.

3 Zie onder meer Kamerstukken II 2020/21, 22 112, nr. 3068.

4 Kamerstukken II 2020/21, 35 807, nr. 3.

5 Er wordt gewerkt aan het tevens aansluiten van de ziekenhuizen, GGD’en en huisartsen. Het CIMS blijft evenwel de belangrijkste bron.