Preview document (🔗 origineel)

---

No.W13.20.0254/III	's-Gravenhage, 19 augustus 2020

Bij Kabinetsmissive van 13 juli 2020, no.2020001500, heeft Uwe
Majesteit, op voordracht van de Minister van Volksgezondheid, Welzijn en
Sport, bij de Afdeling advisering van de Raad van State ter overweging
aanhangig gemaakt het voorstel van wet houdende Tijdelijke bepalingen in
verband met de inzet van een notificatieapplicatie bij de bestrijding
van de epidemie van covid-19 en waarborgen ter voorkoming van misbruik
daarvan (Tijdelijke wet notificatieapp covid-19), met memorie van
toelichting.

Het voorstel wijzigt de Wet publieke gezondheid (Wpg), en introduceert
het vrijwillige gebruik van een notificatieapplicatie (hierna: de app).
Deze app wordt gebruikt ten behoeve van de bron- en contactopsporing
door de gemeentelijke gezondheidsdiensten (GGD’en). Het voorstel bevat
een wettelijke grondslag voor de met de toepassing van de app
samenhangende gegevensverwerking en een regeling voor de
verwerkingsverantwoordelijkheid. Voorts is in het voorstel een
mogelijkheid van subdelegatie opgenomen wat betreft regels voor de
inrichting, het beheer en de beveiliging, de bewaartermijn van
bijzondere persoonsgegevens en de uitoefening van de rechten van
betrokkene. Ten slotte kent het voorstel een antimisbruikbepaling en
regelt het de handhaving en sanctionering daarvan. 

De Afdeling advisering van de Raad van State gaat allereerst in op de
noodzaak voor een wettelijke grondslag. Ook maakt de Afdeling een aantal
opmerkingen over de gegevensbescherming. Zij wijst in het bijzonder op
het specificeren van het doeleinde en het beperken van verdere
gegevensverwerking. Ook gaat zij in op het verwerken van bijzondere
persoonsgegevens, de daarmee samenhangende
verwerkingsverantwoordelijkheid, en het zorgdragen voor de uitoefening
van de rechten van betrokkenen. Zij maakt in het kader van
gegevensbescherming ook een opmerking over de rol van Google en Apple. 

Tevens maakt de Afdeling een opmerking over de mogelijkheid tot
subdelegatie ten aanzien van de bewaartermijn en de rechten van
betrokkenen. Verder wijst zij op het belang van parlementaire
betrokkenheid, ook bij het intrekken van (onderdelen) van het voorstel.
Voorts maakt zij een opmerking over het opnemen van een juridische
grondslag in het voorstel ten behoeve van de interoperabiliteit. Tot
slot adviseert ze de criteria voor deactivering nader toe te lichten. In
verband daarmee is aanpassing van het wetsvoorstel en de toelichting
wenselijk.

1. 	Inleiding

Het wetsvoorstel hing oorspronkelijk samen met de eerder ingezette
versoepeling van de maatregelen ter bestrijding van de epidemie van
Covid-19. Bij de afbouw van maatregelen kan een goed functionerend
systeem van bron- en contactopsporing door de gemeentelijke
gezondheidsdienst (GGD) als onmisbaar worden beschouwd. Het voorstel is
evenwel zeker ook goed voorstelbaar in het licht van de recente
significante stijging van het aantal Covid-19 besmettingen, en van de
daaropvolgende inzet van de overheid om verder oplopende verspreiding
van het virus te bestrijden.

De GGD heeft op grond van de Wpg de taak om bron- en contactopsporing te
doen bij meldingen van besmetting met een infectieuze ziekte zoals het
virus. Dit houdt kortgezegd in dat de GGD onderzoekt met wie een
besmette patiënt contact heeft gehad, met diegenen contact opneemt en
vervolgens hen een handelingsperspectief biedt. Dit heeft als doel de
uitbraak van een epidemie te voorkomen of te beheersen. De uitvoering
van de bron-en contactopsporing is vormvrij. Uitgangspunt is dat dit in
alle gevallen plaatsvindt op grond van vrijwillige medewerking van de
betrokkenen. 

Het Outbreak Management Team (OMT) heeft geadviseerd om met het oog op
het intensievere testbeleid de mogelijkheden voor ondersteuning van
bron- en contactopsporing met behulp van mobiele applicaties te
onderzoeken. Ook andere Europese lidstaten ontwikkelen dergelijke apps.
De voorgestelde app komt overeen met de notificatieapp zoals die wordt
ontwikkeld in Duitsland, Italië en Ierland. 

De notificatieapp is bedoeld als niet-verplichte aanvulling op de
analoge bron- en contactopsporing van de GGD en komt niet in plaats van
het analoge onderzoek. De aanvulling bestaat eruit dat door de app
(sneller) personen worden bereikt die de besmette patiënt niet kent of
waarvan de besmette patiënt zich niet kan herinneren daarmee in contact
te zijn gekomen. 

De notificatieapp werkt kortgezegd als volgt. Een gebruiker installeert
de app op de telefoon. De app herkent andere gebruikers door middel van
bluetooth. De app geeft een melding als de smartphone van de gebruiker
in de buurt is geweest van de smartphone van een besmette persoon en
geeft daarbij advies hoe te handelen. Als de (smartphone van de)
gebruiker van de app tenminste 15 minuten bij een andere (smartphone van
een) gebruiker van de app in de buurt is, wordt een versleutelde code
uitgewisseld tussen de gebruikers van de app. Pas in geval van een
geconstateerde besmetting kan de besmette patiënt ervoor kiezen met
hulp van de GGD een melding van besmetting te doen. In dat geval wordt
gecheckt met welke andere app-gebruikers in de afgelopen 14 dagen deze
codes zijn uitgewisseld. Vervolgens ontvangen die gebruikers een melding
en wordt hen geadviseerd hoe te handelen. 

Het gebruik van de app is expliciet vrijwillig. Voor de effectiviteit
van de app is het van belang dat zoveel mogelijk mensen de app gaan
gebruiken. Terecht wordt dan ook in de toelichting opgemerkt dat de
doeltreffendheid van de app exponentieel evenredig is met het aantal
personen dat eenzelfde app installeert en activeert. Voor de
effectiviteit is daarnaast echter ook relevant dat er zo min mogelijk
valspositieve en valsnegatieve meldingen worden gedaan, dat de door de
GGD bij de melding geadviseerde handelingsperspectieven zo snel en
volledig mogelijk worden opgevolgd (waaronder het zich laten testen), en
het testbeleid daarop aansluit. De Afdeling stelt vast dat over de mate
waarin de app op dit moment effectief is de opvattingen verschillen. 

Gelet op de maatschappelijke discussie over mogelijk misbruik van de app
en de effectiviteit ervan, acht de Afdeling het van belang dat in de
voorbereiding van de ingebruikname van de app veel aandacht is besteed
aan het onderkennen van de mogelijkheden van misbruik en de risico’s
van de met de app samenhangende gegevensverwerkingen, alsmede aan het
formuleren van mogelijke oplossingen daarvoor. Ook zal, zo blijkt uit de
toelichting, de effectiviteit van de app steeds worden geëvalueerd.
Indien nodig kan dit ertoe leiden dat het gebruik van de app wordt
beëindigd. 

2.	Noodzaak wettelijke grondslag

In de toelichting wordt vermeld dat het wetsvoorstel zo snel mogelijk in
werking treedt. Uit de kabinetsbrief van 16 juli j.l. kan worden
opgemaakt dat wordt beoogd de app per 1 september 2020 in gebruik te
nemen. Daarmee zal de app naar verwachting in gebruik worden genomen
voordat de parlementaire behandeling van het wetsvoorstel is afgerond.
De Afdeling is met de regering van oordeel dat dit op zichzelf mogelijk
is. Strikt genomen is een wettelijke basis voor vrijwillig gebruik van
de app juridisch niet noodzakelijk. Verdedigbaar is dat vanwege het feit
dat gebruik vrijwillig is toestemming, gelet op de AVG, een toereikende
grondslag vormt voor met gebruik van de app samenhangende verwerkingen
van persoonsgegevens, mits aan de voorwaarden die op grond van de AVG
aan de verlening van rechtsgeldige toestemming worden gesteld, wordt
voldaan. 

Het voorgaande betekent echter niet dat totstandbrenging van een
wettelijke basis op zeer korte termijn niet bijzonder gewenst is. Met
het in gebruik nemen van de app voordat het wetgevingsproces is afgerond
wordt immers afbreuk gedaan aan een belangrijke doelstelling van het
wetsvoorstel. Die doelstelling is namelijk maximale duidelijkheid bieden
over de inzet van de app en de te verwerken persoonsgegevens op
wetsniveau. Dit draagt bij aan de effectieve werking van de voor de
bestrijding van de epidemie essentiële bron- en contactopsporing. Met
een wettelijke grondslag kunnen voorts specifieke waarborgen worden
geboden zoals het voorgestelde verbod op misbruik. Deze
antimisbruikbepaling borgt immers de vrijwilligheid van het gebruik van
de app.

De recente significante stijging van het aantal coronavirusbesmettingen
en de grote urgentie om deze zo veel en zo snel als mogelijk onder
controle te krijgen kan niettemin een rechtvaardiging zijn de app toch
snel in gebruik te nemen zelfs als dat betekent dat de voltooiing van
het wetgevingsproces niet kan worden afgewacht. De Afdeling adviseert in
dat geval wel deze afweging in overleg met de Tweede Kamer te maken in
het licht van de te verwachte duur van de parlementaire behandeling van
dit wetsvoorstel. Daarbij zou gelet op de geschetste voordelen van de
wet, gestreefd moeten worden naar een behandeling op zo kort mogelijke
termijn, zoals ook is aangegeven in de kabinetsbrief van 17 augustus
j.l.

De Afdeling adviseert in de toelichting nader op het voorgaande in te
gaan.

3. 	Gegevensbescherming

a.	Doelomschrijving 

Voorgesteld wordt dat een notificatieapplicatie kan worden ingezet
‘ter ondersteuning van de bron- en contactopsporing, waarmee
vroegtijdig zicht kan worden verkregen op een mogelijke infectie met dat
virus’. 

Op grond van de AVG moet het doel van de gegevensverwerking welbepaald
en uitdrukkelijk omschreven zijn. De richtsnoeren van de Commissie
bevelen bovendien aan om het doel dermate specifiek te omschrijven dat
er geen twijfel bestaat over het soort persoonsgegevens dat met het oog
daarop moet worden verwerkt. Ten aanzien van de functionaliteit
‘contacttracering en waarschuwing’ merkt de Commissie bovendien op
dat het enkel vermelden van preventie van verdere besmetting met
COVID-19 als doel onvoldoende specifiek is. De richtsnoeren bevelen aan
het doel inzake contacttracering en waarschuwing te specificeren als
‘het bewaren van de contacten van de personen die de app gebruiken en
die mogelijk blootgesteld zijn geweest aan besmetting met COVID-19 om
degenen te waarschuwen die eventueel besmet kunnen zijn’. 

Gelet hierop is de formulering van het doel van de notificatieapp in het
wetsvoorstel niet specifiek genoeg. De Afdeling adviseert in het
voorstel het doel in de hiervoor genoemde zin aan te passen.

b.	Beperking gegevensverwerking

De met de app verkregen persoonsgegevens mogen niet worden gebruikt voor
andere doeleinden dan het in de wet omschreven doel, aldus de
toelichting. Dit is in overeenstemming met de Europese maatstaven.
Volgens de richtsnoeren van de Commissie zou in de wettelijke grondslag
voor de app onder meer de mogelijkheid moeten worden uitgesloten dat de
gegevens voor andere dan de in de wetgeving vermelde doeleinden worden
verwerkt. Ook de richtsnoeren van het Europees Comité voor de
gegevensbescherming vereisen een uitdrukkelijke beperking op het verdere
gebruik van persoonsgegevens.

Dat de gegevens niet mogen worden gebruikt voor andere doeleinden wordt
volgens de toelichting onder meer gewaarborgd door de eisen aan de
vormgeving van de app, het in de wet omschreven doel, de
antimisbruikbepaling, de toegepaste dataminimalisatie en het tijdelijk
karakter van de wet. Voorts is van belang dat de gegevens zich
voornamelijk bevinden op de smartphone van de gebruiker. Deze bewaart
alleen de gegevens van de laatste twee weken. De gegevens op de server
worden daarnaast gescheiden van het IP-adres van de smartphone.

De Afdeling erkent dat de voorgaande, ook in de toelichting genoemde
elementen met het oog op de doelbinding belangrijke waarborgen zijn.
Desalniettemin is het, gelet op de gevoeligheid van het onderwerp, het
belang van vertrouwen in de app en de hiervoor genoemde richtsnoeren,
aangewezen dat in het wetsvoorstel verder gebruik van persoonsgegevens
uitdrukkelijk wordt uitgesloten.

De Afdeling adviseert het wetsvoorstel in die zin aan te passen.

c. 	Verwerking bijzondere persoonsgegevens door GGD

Het wetsvoorstel regelt dat de GGD bij de toepassing van de app
bijzondere persoonsgegevens verwerkt. Noch uit het voorstel, noch uit de
toelichting, volgt echter in welke fase(n) van het gebruik van de app
bijzondere persoonsgegevens worden verwerkt. In de
gegevensbeschermingseffectbeoordeling (hierna: DPIA) wordt opgemerkt dat
in de validatie-, koppelings- en notificatiefase sprake is van
verwerking van bijzondere persoonsgegevens. In de verschillende fasen
betreffen dit verschillende gegevens, zoals de identificatiesleutels, de
autorisatiecode, de eerste ziektedag, maar ook bijvoorbeeld het bericht
aan de gebruiker dat hij mogelijk besmet is. 

Volgens de DPIA worden de (bijzondere) persoonsgegevens alleen in de
validatiefase door de GGD verwerkt. Nu de verwerking van bijzondere
persoonsgegevens door de GGD in het voorstel wordt geregeld, acht de
Afdeling het aangewezen om, in overeenstemming met de DPIA, in de
toelichting nader aan te geven welke bijzondere persoonsgegevens door de
GGD in welke fase worden verwerkt. Voorts acht zij het nuttig om, mede
met het oog op de parlementaire behandeling, gedeeltes uit de DPIA te
verwerken in de toelichting voor zover ook in andere fase(n) van het
gebruik van de app bijzondere persoonsgegevens worden verwerkt.

De Afdeling adviseert in het licht van het voorgaande de toelichting aan
te vullen.

d.	Verwerkingsverantwoordelijkheid

De verwerkingsverantwoordelijkheid is in het voorstel vastgelegd op twee
niveaus. Het voorstel bepaalt dat de minister
verwerkingsverantwoordelijke is in de zin van de Algemene Verordening
Gegevensbescherming (AVG) voor de verwerking van persoonsgegevens met de
app. In afwijking daarvan echter wordt de GGD van de verblijfplaats van
de betrokkene aangewezen als verwerkingsverantwoordelijke (onder meer)
voor wat betreft het uitvoering geven aan de rechten van betrokkenen en
het melden van een inbreuk in verband met persoonsgegevens. Volgens de
toelichting wordt met deze verdeling aangesloten bij respectievelijk de
taken van de minister in het kader van de Wpg, en de bron- en
contactopsporing waarmee de GGD is belast.

De verwerkingsverantwoordelijke is volgens de AVG degene die het doel
van en de middelen voor de verwerking van persoonsgegevens vaststelt.
Als doel en middelen door de nationale wetgever wordt vastgesteld, kan
in de betreffende wet worden bepaald wie de verwerkingsverantwoordelijke
is. Als twee (of meer) verwerkingsverantwoordelijken gezamenlijk de
doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijk
verwerkingsverantwoordelijken. In dat geval dienen zij, zo schrijft de
AVG voor, hun verantwoordelijkheden voor de nakoming van hun
verplichtingen onderling vast te stellen. Bij een gezamenlijke
verwerkingsverantwoordelijkheid kan de betrokkene zijn rechten
uitoefenen jegens iedere verwerkingsverantwoordelijke. Deze AVG-regels
zijn van belang omdat voor de burger duidelijk moet zijn wie waarvoor
verantwoordelijk is en hij als gevolg daarvan weet wie hij op de
verwerking van zijn persoonsgegevens kan aanspreken. 

Met het oog op de noodzakelijke helderheid van de burger is de vraag of
het voorstel niet kan worden vereenvoudigd. Het gaat hier ten eerste om
de vraag waarom ook de minister als verwerkingsverantwoordelijke is
aangewezen. Ten tweede zou het voorstel vereenvoudigd kunnen worden door
de verwerkingsverantwoordelijkheid van de GGD’en in het wetsvoorstel
te verduidelijken. 

In dat kader merkt de Afdeling allereerst op dat uit onder meer de DPIA
blijkt dat in ieder geval de GGD’en persoonsgegevens verwerken in de
validatiefase (zie hiervoor onder c). Het ligt derhalve voor de hand dat
als het gaat om die verwerkingen de GGD van de verblijfplaats van
betrokkene als verwerkingsverantwoordelijken wordt aangewezen. Uit de
toelichting volgt echter niet waarom naast de GGD’en ook de minister
verwerkingsverantwoordelijke zou moeten zijn. Dat de minister
verantwoordelijk is voor de inrichting en het beheer van de app leidt
niet zonder meer tot de conclusie dat hij ook als
verwerkingsverantwoordelijke moet worden aangewezen. Uit de toelichting
blijkt immers niet in hoeverre de minister in het kader van zijn
beheerstaak ook persoonsgegevens verwerkt. 

Voorts is de vraag of hetgeen het wetsvoorstel op dit moment regelt
inzake de verwerkingsverantwoordelijkheid van de GGD wel afdoende is.
Deze beperkt zich tot de toepassing van een aantal bepalingen uit de AVG
die betrekking hebben op de specifieke informatieverplichtingen van de
verwerkingsverantwoordelijke en de uitoefening van de rechten van
betrokkenen. Uit de toelichting blijkt onvoldoende in hoeverre deze
beperkingen aansluiten bij de rol van de GGD’en bij de toepassing van
de app in de verschillende fasen. Daarbij merkt de Afdeling op dat de
verwerking van persoonsgegevens door de GGD’en in de validatiefase
niet zonder meer samenvalt met de verwerking van persoonsgegevens die
samenhangt met de informatieverplichtingen uit de AVG. 

De Afdeling merkt ten slotte op dat indien wordt gekozen voor een
gezamenlijke verwerkingsverantwoordelijkheid van de minister en de
GGD’en aandacht moet worden besteed aan de onderlinge regeling waarin
op grond van de AVG de verantwoordelijkheden tussen de minister en de
GGD’en moet worden geregeld. Zij acht het raadzaam de essentiële
onderdelen daarvan in de toelichting te expliciteren. Daarbij dient in
acht te worden genomen dat bij een gezamenlijke
verwerkingsverantwoordelijkheid de betrokkene zijn rechten kan
uitoefenen jegens elke verwerkingsverantwoordelijke. 

De Afdeling adviseert in het licht van het voorgaande de regeling van de
verwerkingsverantwoordelijkheid nader toe te lichten en zo nodig het
voorstel aan te passen.

e. 	Rechten van betrokkenen 

De GGD is in het voorstel verwerkingsverantwoordelijke voor wat betreft
het uitvoering geven aan de rechten van betrokkenen en de
informatieverstrekking aan gebruikers. Volgens de toelichting gaat het
dan onder meer om de plicht om gebruikers te informeren, het recht op
inzage en het recht op rectificatie. Inherent aan de decentrale aanpak
is dat de GGD zelf niet beschikt over de gegevens die de gebruiker op
zijn telefoon heeft. De plaatselijke GGD verwerkt immers alleen
persoonsgegevens tijdens de validatiefase. Daarom is het volgens de DPIA
slechts dan mogelijk uitvoering te geven aan de rechten van betrokkenen.
Buiten de validatiefase is de GGD op grond van artikel 11, tweede lid,
AVG daarom niet gehouden uitvoering te geven aan deze rechten.

De Afdeling wijst erop dat de GGD op grond van het voorstel zoals het nu
luidt verwerkingsverantwoordelijke is voor het uitvoeren van de rechten
van betrokkenen in álle fasen van het gebruik van de app. Gelet op
voorgaande opmerking en op de uitvoerbaarheid van de regeling voor de
GGD, ligt echter in de rede dat onderscheid wordt gemaakt tussen de
gegevensverwerkingen in de verschillende fasen in relatie tot de
verwerkingsverantwoordelijkheid en de rechten van de betrokkenen die in
de verschillende fases kunnen worden uitgeoefend. 

De Afdeling onderschrijft dat het gebruik van de gepseudonimiseerde
identificatiesleutels in de uitwisselings- en koppelingsfase en de
daaraan gekoppelde notificatie in de notificatiefase pleit voor
toepassing van de hiervoor genoemde uitzondering van artikel 11, tweede
lid, AVG. De betrokkene kan immers in deze fasen niet worden
geïdentificeerd. Daarom is het niet nodig om de GGD in die fasen
uitvoering te laten geven aan de rechten van de betrokkene. Dit ligt
echter anders voor de validatiefase, waarin de GGD (bijzondere)
persoonsgegevens verwerkt. In de toelichting wordt hier echter niet op
in gegaan. In het bijzonder besteedt de toelichting geen aandacht aan de
gevallen waarin al dan niet uitvoering zou moeten worden gegeven aan de
rechten van betrokkenen als bedoeld in de AVG.

De Afdeling adviseert in de toelichting op het voorgaande in te gaan.

f.	De rol van Google en Apple

Voor de app wordt gebruik gemaakt van de application programming
interface (api) die door Google en Apple is ontwikkeld. De api zorgt
ervoor dat de pseudonieme identificatiesleutels (RPIs), die gegenereerd
zijn op basis van andere pseudonieme identificatiesleutels (TEKs),
kunnen worden uitgewisseld tussen smartphones van gebruikers.

De Autoriteit Persoonsgegevens (AP) acht het ‘onvoldoende duidelijk
[…] of, en zo ja welke, persoonsgegevens worden verwerkt door Google
en Apple middels het aanbieden van het framework’. In de Kamerbrief
wijst de minister erop dat Google en Apple geen verwerkers zijn. Wel
vindt de minister het belangrijk dat er goede afspraken zijn met Google
en Apple, waarbij wordt verwezen naar de FAQ van Google en Apple.

Dit doet de vraag rijzen in hoeverre het voor Google en Apple in het
kader van het gebruik van de app nu of in de toekomst mogelijk zou zijn
persoonsgegevens te verwerken. Ook rijst de vraag in hoeverre de door
Google en Apple zelf opgestelde FAQ – waar in de Kamerbrief naar wordt
verwezen – toereikend zijn om uit te sluiten dat de ondernemingen
persoonsgegevens (kunnen) verwerken. Mede naar aanleiding van het advies
van de AP is de Afdeling daarom van oordeel dat in de toelichting nader
moet worden ingegaan op de rol van Google en Apple. In het bijzonder
dient daarbij aandacht te worden besteed aan de vraag in hoeverre
contractueel dan wel in de wet zelf aanvullende waarborgen noodzakelijk
zijn.

De Afdeling adviseert in de toelichting nader op het bovenstaande in te
gaan en zo nodig het wetsvoorstel aan te passen.

4.	Subdelegatie

Het voorstel regelt dat bij of krachtens algemene maatregel van bestuur
regels kunnen worden gesteld over de notificatieapplicatie. Dit betreft
de inrichting, het beheer en de beveiliging, de bewaartermijn van
bijzondere persoonsgegevens en de uitoefening van de rechten van
betrokkenen. 

De Afdeling merkt op dat dit in elk geval deels onderwerpen zijn die
raken aan het recht op eerbiediging van de persoonlijke levenssfeer.
Ingevolge artikel 10 van de Grondwet mag de bevoegdheid tot het stellen
van regels inzake de eerbiediging van de persoonlijke levenssfeer worden
gedelegeerd aan lagere regelgevers. In het licht van het
legaliteitsbeginsel dient wel op hoofdlijnen een afweging te worden
gemaakt op het niveau van de formele wet. Onderwerpen die betrekking
hebben op de uitvoering kunnen worden gedelegeerd naar een ministeriële
regeling. 

In ieder geval waar het de bewaartermijn van bijzondere persoonsgegevens
en de uitoefening van de rechten van betrokkenen betreft, is geen sprake
van uitvoering van een regeling waarvan eventueel op het niveau van een
ministeriële regeling regels kunnen worden gesteld. De Afdeling
adviseert daarom in ieder geval de bewaartermijnen en de uitoefening van
de rechten van betrokkenen op het niveau van de algemene maatregel van
bestuur te regelen.

Het voorstel schrijft bovendien niet dwingend voor dat deze onderwerpen
nader worden geregeld, maar laat daartoe slechts de mogelijkheid open.
Gelet op het voorgaande is de Afdeling van oordeel dat – in ieder
geval waar het de hiervoor genoemde onderwerpen betreft –
uitdrukkelijk bepaald dient te worden dat nadere regeling bij algemene
maatregel van bestuur zal geschieden.

De Afdeling adviseert het voorstel in het licht van het voorgaande aan
te passen. 

5.	Parlementaire betrokkenheid

De door het voorstel aangebrachte wijzigingen in de Wpg vervallen zes
maanden na inwerkingtreding van het voorstel. Eventuele verlenging is
mogelijk door middel van het op een later tijdstip laten vervallen van
de wet, maar niet eerder dan dat het besluit daartoe is voorgehangen bij
het parlement. Ook kan bij Koninklijk Besluit worden bepaald dat
(onderdelen van) de bepalingen op een eerder tijdstip vervallen. In dat
geval wordt voorgesteld het parlement daarbij niet vooraf te betrekken. 

De Afdeling acht het ongewenst dat parlementaire betrokkenheid bij
eerdere vervallenverklaring in de wet ontbreekt. Ook als een bepaling of
een onderdeel daarvan, wordt ingetrokken, zijn verschillende belangen in
het geding die zorgvuldig tegen elkaar moeten worden afgewogen. Om die
reden ligt het voor de hand dat het parlement ook actief betrokken is
bij het intrekken van (onderdelen van) bepalingen op een eerder moment.

De Afdeling adviseert het voorstel aan te vullen.

6.	Interoperabiliteit 

	

Uit de toelichting blijkt niet dat de app interoperabel is of zal zijn
met (decentrale) notificatieapplicaties in andere Europese landen. Wel
komt de app grotendeels overeen met de Duitse, Italiaanse en Ierse apps,
aldus de Kamerbrief van de minister. In de Kamerbrief wordt aangegeven
dat momenteel een ‘Federation Gateway Service’ wordt gecreëerd
waarop landen met een decentrale methode hun nationale back-end server
kunnen aansluiten. De back-end servers van de landen versturen periodiek
de sleutels van nieuwe geïnfecteerden naar de Federation Gateway
Service. Deze sleutels worden 14 dagen opgeslagen. Het ophalen van de
buitenlandse codes kan alleen met aanvullende toestemming van de
gebruiker gebeuren. Op basis van testen zal worden bepaald of en wanneer
de app interoperabel zal worden met andere Europese decentrale apps.
Voor de feitelijke invoering zal, aldus de Kamerbrief, de juridische
grondslag nog worden geëxpliciteerd. 

De Europese richtsnoeren sturen aan op interoperabiliteit van
(decentrale) apps. In een verklaring over de interoperabiliteit licht de
EDPB dat nader toe. Hierin wordt onder meer opgemerkt dat als voor de
wettelijke grondslag een beroep wordt gedaan op het algemeen belang, de
nationale wetgeving mogelijk moet worden aangepast.

De Afdeling merkt op dat de voorgenomen aanpak inzake interoperabiliteit
in overeenstemming lijkt met de hiervoor geschetste benadering op
Europees niveau. Zij onderschrijft dat een juridische grondslag moet
worden geëxpliciteerd, nu in het voorstel de gegevensverwerking
plaatsvindt binnen de taken van de minister en de GGD. De Afdeling meent
echter dat gegeven de huidige ontwikkelingen snel moet worden voorzien
in deze grondslag. Ook met toestemming als grondslag (zie hiervoor punt
2) dient immers duidelijkheid te worden gecreëerd ten aanzien van de
rollen en verantwoordelijkheden van verschillende partijen. Door de
grondslag in het huidige voorstel op te nemen, kan het parlement
bovendien een volledige afweging maken in relatie tot het voorstel als
geheel. De Afdeling is daarom van oordeel dat de juridische grondslag
voor het toestaan van interoperabiliteit in het huidige voorstel dient
te worden geëxpliciteerd. 

De Afdeling adviseert het voorstel aan te passen.

7.	Deactivering

Het voorstel regelt niet de deactivering van de app. Uit de toelichting
blijkt dat de gebruiker de mogelijkheid heeft zelf de app te
verwijderen. Na veertien dagen zijn vervolgens alle gegevens verwijderd
van de smartphone.

Het Europees Comité voor gegevensbescherming beveelt in zijn
richtsnoeren aan criteria in de wettelijke maatregel op te nemen aan de
hand waarvan wordt bepaald wanneer de app buiten gebruik wordt gesteld,
alsmede de entiteit die verantwoordelijk en aansprakelijk is voor het
nemen van het besluit daartoe. Daarbij wordt ervan uitgegaan dat vooraf
dient te worden bepaald wanneer de app wordt gedeactiveerd. In de
toelichting wordt hier niet op ingegaan.

De Afdeling adviseert in de toelichting op het voorgaande in te gaan.

8.	De Afdeling verwijst naar de bij dit advies behorende redactionele
bijlage.

De Afdeling advisering van de Raad van State heeft een aantal
opmerkingen bij het voorstel en adviseert daarmee rekening te houden
voordat het voorstel bij de Tweede Kamer der Staten-Generaal wordt
ingediend. 

De vice-president van de Raad van State,

Redactionele bijlage bij het advies van de Afdeling advisering van de
Raad van State betreffende no.W13.20.0254/III

Stel de grondslag voor het verwerken van bijzondere gegevens in
paragraaf 4.2 van de toelichting (artikel 9, tweede lid, onder h, AVG)
gelijk met de grondslag zoals genoemd in de DPIA (artikel 9, tweede lid,
onder i, AVG).

Benoem in paragraaf 4.2 van de toelichting dat als geen directe
behandelrelatie bestaat er desalniettemin sprake kan zijn van een
afgeleide geheimhoudingsplicht.

	Artikel 6, eerste lid, onder c, Wpg. 

 	Advies van 6 april 2020 n.a.v. 63e OMT COVID-19, Bijlage 929506 bij
Kamerstukken II 2019/20, 25295, nr. 219.

 	Kamerbrief van 16 juli 2020, ‘Landelijke introductie
Coronamelder’, kenmerk 1722926-208233-DICIO, p. 2.

 	Zie ook de Kamerbrief van 16 juli 2020, ‘Landelijke introductie
Coronamelder’, kenmerk 1722926-208233-DICIO.

 	Memorie van Toelichting, paragraaf 3.2. 

 	Vergelijk ‘Ethische analyse van de COVID-19 notificatie-app ter
aanvulling op bron en contactonderzoek GGD’ van 14 juli 2020, kenmerk
2020D29967, p. 21, bijlage bij Kamerbrief van 16 juli 2020,
‘Landelijke introductie Coronamelder’, kenmerk
1722926-208233-DICIOPM.

 	Memorie van toelichting, paragraaf 3.2.

 	Memorie van toelichting, Artikelsgewijze toelichting, Artikel III.

	Kamerbrief van 16 juli 2020, ‘Landelijke introductie Coronamelder’,
kenmerk 1722926-208233-DICIOPM, p. 1. 

 	Artikel 6, eerste lid, onder a, AVGen artikel 9, tweede lid, onder a,
AVG. De toestemming moet vrij, specifiek, geïnformeerd en
ondubbelzinnig zijn (artikel 4, onder 11, AVG).

 	Artikel 7 AVG.

 	Ook volgens de Europese richtsnoeren draagt een wettelijke grondslag
bij aan de rechtszekerheid. Zie Europees Comité voor
gegevensbescherming (EDPB), Richtsnoeren 04/2020 voor het gebruik van
locatiegegevens en instrumenten voor contacttracering in het kader van
de uitbraak van COVID-19, 21 april 2020, paragraaf 29.

 	Kamerbrief van 17 augustus 2020, ‘Voortgang Coronamelder’, kenmerk
1731540-208984-DICIO.

 	Voorgesteld artikel 6d, eerste lid, Wpg.

 	Artikel 5, eerste lid, onder b, AVG.

 	Europese Commissie, Richtsnoeren in verband met gegevensbescherming
voor apps ter ondersteuning van de bestrijding van de COVID-19-pandemie,
2020/C 124 I/01, paragraaf 3.6, p. 8.

 	Europese Commissie, Richtsnoeren in verband met gegevensbescherming
voor apps ter ondersteuning van de bestrijding van de COVID-19-pandemie,
2020/C 124 I/01, paragraaf 3.6, p. 8.

 	Voorgesteld artikel 6d, eerste lid, Wpg. Zie hiervoor onder a.

 	Memorie van toelichting, paragraaf 4.2.

 	Europese Commissie, Richtsnoeren in verband met gegevensbescherming
voor apps ter ondersteuning van de bestrijding van de COVID-19-pandemie,
2020/C 124 I/01, paragraaf 3.3, p. 5.

 	Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 04/2020
voor het gebruik van locatiegegevens en instrumenten voor
contacttracering in het kader van de uitbraak van COVID-19, 21 april
2020, paragraaf 31.

 	Memorie van toelichting, paragraaf 4.2.

 	Zie Gegevensbeschermingseffectbeoordeling (DPIA) van 7 juli 2020,
kenmerk 2020D29960, p. 10, bijlage bij Kamerbrief van 16 juli 2020,
‘landelijke introductie Coronamelder’, kenmerk
1722926-208233-DICIOPM, p. 10.

 	Voorgesteld artikel 6d, eerste lid, Wpg.

 	DPIA, p. 13.

 	DPIA, p. 30.

 	Vgl. Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren
04/2020 voor het gebruik van locatiegegevens en instrumenten voor
contacttracering in het kader van de uitbraak van COVID-19, 21 april
2020, paragraaf 31; Europese Commissie, Richtsnoeren in verband met
gegevensbescherming voor apps ter ondersteuning van de bestrijding van
de COVID-19-pandemie, 2020/C 124 I/01, paragraaf 3.3, p. 5.

 	Voorgesteld artikel 6d, derde lid, Wpg.

 	Voorgesteld artikel 6d, vierde lid, Wpg.

 	Memorie van toelichting, paragraaf 4.2.

 	Artikel 4, onder 7, AVG.

 	Artikel 26, eerste lid, AVG.

 	Artikel 26, derde lid, AVG.

 	Memorie van toelichting, paragraaf 4.2. In de toelichting wordt
opgemerkt ‘Het zou namelijk zeer onwenselijk zijn de minister van VWS
ook in deze gevallen als verwerkingsverantwoordelijke te beschouwen,
aangezien hij dan juist persoonsgegevens ten behoeve van de
notificatieapp zou gaan verwerken terwijl dat niet nodig en daarmee
vanuit privacyrechtelijk perspectief niet wenselijk is. Bovendien sluit
dit ook aan bij het feit dat de inzet van de notificatieapp onderdeel
uitmaakt van de bron- en contactopsporing door de GGD.’  

 	Memorie van toelichting, paragraaf 3.1.

 	Artikel 26, eerste en tweede lid, AVG. Zie ook de juridische analyse
van het advies van de AP van 12 augustus 2020, overweging 2.26, bijlage
bij Kamerbrief van 17 augustus 2020, ‘Voortgang Coronamelder’,
kenmerk 1731540-208984-DICIO.

 	Artikel 26, derde lid, AVG.

 	Voorgesteld artikel 6d, vierde lid, Wpg.

 	Memorie van toelichting, paragraaf 4.2.

 	DPIA, p. 30.

 	Artikel 11, tweede lid, AVG bepaalt dat als de
verwerkingsverantwoordelijke kan aantonen dat hij de betrokkene niet kan
identificeren, de artikelen 15 tot en met 20 AVG niet van toepassing
zijn, tenzij de betrokkene aanvullende gegevens verstrekt die het
mogelijk maken hem te identificeren. Deze artikelen zien op het recht
van inzage; recht op rectificatie; recht op gegevenswissing; recht op
beperking van de verwerking; de kennisgevingsplicht inzake rectificatie,
gegevenswissing of verwerkingsbeperking; en het recht op
overdraagbaarheid van gegevens.

 	Memorie van toelichting, paragraaf 3.1.

 	Memorie van toelichting, paragraaf 3.1. DPIA, p. 9.

 	Zie ook de het advies van de AP van 7 augustus 2020, ‘Advies op
voorafgaande raadpleging COVID9 notificatie-app, p. 17, bijlage bij
Kamerbrief van 17 augustus 2020, ‘Voortgang Coronamelder’, kenmerk
1731540-208984-DICIO.

 	Kamerbrief van 16 juli 2020, ‘Landelijke introductie
Coronamelder’, kenmerk 1722926-208233-DICIOPM, p. 7 met verwijzing in
voetnoot 8.

 	Voorgesteld artikel 6d, vijfde lid, Wpg.

 	Artikel 10 Grondwet. Zie ook advies van de Afdeling advisering van de
Raad van State van 21 november 2019, nr. W16.19.0159/II, Kamerstukken II
2019/20, 35447, nr. 4.

 	Aanwijzing 2.24, Aanwijzingen voor de regelgeving.

 	Zie ook advies van de Afdeling advisering van de Raad van State van 26
maart 2020, nr. W13.19.0425/III, Kamerstukken II 2019/20, 35515, nr. 4.

 	Zie ook advies van de Afdeling advisering van de Raad van State van 22
juni 2020, nr. W05.20.0077/I.

 	Voorgesteld artikel II, derde lid.

 	Voorgesteld artikel II, tweede lid.

 	Zie het advies van de Afdeling advisering van de Raad van State van 17
juni 2020, nr.W13.20.0180/III.

 	Een voorbeeld hiervan is het eerder laten vervallen van de
antimisbruikbepaling, of de handhaving en sanctionering hierop.

 	Kamerbrief van 16 juli 2020, ‘Landelijke introductie
Coronamelder’, kenmerk 1722926-208233-DICIO, p. 2.

 	Kamerbrief van 16 juli 2020, ‘Landelijke introductie
Coronamelder’, kenmerk 1722926-208233-DICIO, p. 15.

 	Kamerbrief van 16 juli 2020, ‘Landelijke introductie
Coronamelder’, kenmerk 1722926-208233-DICIO, p. 15.

 	Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 04/2020
voor het gebruik van locatiegegevens en instrumenten voor
contacttracering in het kader van de uitbraak van COVID-19, 21 april
2020, bijlage, onder 5; Europese Commissie, Richtsnoeren in verband met
gegevensbescherming voor apps ter ondersteuning van de bestrijding van
de COVID-19-pandemie, 2020/C 124 I/01, paragraaf 2, pagina 3.

 	Europees Comité voor de gegevensbescherming (EDPB), Verklaring over
de gevolgen van de interoperabiliteit van contactonderzoeksapps voor de
gegevensbescherming, 16 juni 2020. Hierin wordt onder meer opgemerkt dat
de gebruiker duidelijk dient te worden geïnformeerd, de verwerking een
afzonderlijke verwerking is en dat de rollen en verantwoordelijkheden
moeten worden vastgesteld. Bovendien mag de uitoefening van de rechten
van de betrokkene niet omslachtiger worden.

 	Europees Comité voor de gegevensbescherming (EDPB), Verklaring over
de gevolgen van de interoperabiliteit van contactonderzoeksapps voor de
gegevensbescherming, 16 juni 2020, paragraaf 12.

 	Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 04/2020
voor het gebruik van locatiegegevens en instrumenten voor
contacttracering in het kader van de uitbraak van COVID-19, 21 april
2020, paragraaf 31.

 PAGE   1 

  PAGE  2 

 PAGE   I 

........................................................................
...........

AAN DE KONING