Het advies van de Gegevensbeschermingsautoriteit (GBA) over het ontwerp samenwerkings-/uitvoeringsakkoord tussen de federale staat en de gemeenschappen in ons land inzake het digitale COVID-certificaat en het Covid Safe Ticket van de EU, het PLF en de verwerking van persoonsgegevens, waarschuwt voor de mogelijke verschuiving naar een 'gecontroleerde samenleving'.
Het kritische advies van in totaal 31 bladzijden is van de hand van Marie-Hélène Descamps, Alexandra Jaspar en Bart Preneel van de GBA. Het kwam er op 12 juli na een dringend verzoek van federaal vicepremier en minister van Volksgezondheid Frank Vandenbroucke. Het betreffende wetsontwerp werd op 15 juli voorgelegd aan de Kamer.
De samenwerkingsovereenkomsten hebben een viervoudig doel in verband met de verwerking van persoonsgegevens:
- door de Belgische autoriteiten om digitale COVID-certificaten van de EU te verstrekken en te verifiëren;
- om een "Covid Safe Ticket" te verstrekken en te verifiëren;
- in het raam van dataverzameling via het passagierslocatieformulier of "Passenger Locator Form" ("PLF");
- van werknemers en zelfstandigen die in het buitenland wonen of verblijven en in België werken.
Allereerst is de GBA niet mals met haar kritiek wat de tijdsdruk betreft om hierover te adviseren, zowel voor haarzelf als voor de parlementsleden die hierover moeten stemmen. Dan volgt een resem aan opmerkingen. Een greep daaruit.
1 - digitale covid-certificaten verlenen en verifiëren volgens een Europese verordening die een onderscheid maakt tussen het vaccinatiecertificaat, het testcertificaat en het herstelcertificaat. Die certificaten laten toe om door de verschillende lidstaten te reizen, voorlopig tot en met 30 juni volgend jaar. In het ontwerp is de link met die verordening inhoudelijk niet altijd even duidelijk. Sciensano is bevoegd voor deze certificaten, de GBA neemt daar nota van en geeft aan dat de verantwoordelijkheden tussen Sciensano en de deelstaten beter afgelijnd moeten worden in de Franse versie.
Het Agentschap Digitaal Vlaanderen treedt op als onderaannemer, heet het. Deze verduidelijking over de rol en de verantwoordelijkheid van het Agentschap voor Digitaal Vlaanderen moet in de ontwerpsamenwerkingsovereenkomst worden opgenomen.
De ontwerpsamenwerkingsovereenkomst moet ook bepalen dat de toegang tot gegevens over het bestaan van een test- of herstelcertificaat wordt vastgelegd in een logboek waaruit blijkt wie voor welk doel toegang heeft gehad tot welke gegevens.
De controle is in handen van politiediensten of grensoverschrijdende passagiersvervoerders. De GBA wijst erop dat voor het delegeren van die politietaken aan privé-operatoren, een adequate regeling nodig is.
Opgelet voor verschuiving naar 'gecontroleerde samenleving'
2 - Voor het covid-safe-ticket dat dient voor de toegang tot proefprojecten (vanaf de inwerkingtreding van de samenwerkingsovereenkomst) en massa-evenementen (vanaf 13 augustus) te organiseren.
Dat ticket is bijzonder gevoelig en het gaat om een controlesysteem dat de toegang tot bepaalde plaatsen of evenementen afhankelijk wil maken van het voorleggen van een bewijs van de gezondheidstoestand van de betrokkene. De invoering van het Covid Safe Ticket schendt verscheidene fundamentele rechten en vrijheden. Er moet voor de GBA een redelijke grens worden getrokken tussen wat tot de individuele vrijheid en verantwoordelijkheid behoort en wat tot de sociale controle kan behoren.
Er moet daarom 'bijzondere aandacht worden besteed aan het reële risico van het ontstaan van een "gewenningsverschijnsel", dat er in de toekomst toe zou kunnen leiden dat de toegang tot bepaalde plaatsen (met inbegrip van plaatsen van het dagelijks leven) afhankelijk wordt gesteld van de overlegging van bewijzen dat de betrokkene geen drager is van besmettelijke ziekten (andere dan Covid) of dat zij niet lijden aan andere medische aandoeningen." We moeten absoluut vermijden dat de ingevoerde oplossing om toegang te verlenen tot bepaalde plaatsen of evenementen, leidt tot "een verschuiving in de richting van een gecontroleerde samenleving." Dit mag dus alleen passen in en evenredig zijn met de beoogde doelstelling(en).
Noch de algemene verklaring, noch de opmerkingen over de artikelen van de ontwerp-overeenkomst tonen aan dat de uitvoering van het Covid Safe Ticket om toegang tot massa-evenementen en proefprojecten te regelen, een strikt noodzakelijke en evenredige maatregel is om het nagestreefde doel te bereiken. "Deze rechtvaardiging in de algemene verklaring van het ontwerp moet worden opgenomen en gepubliceerd om de voor democratische controle noodzakelijke transparantie te waarborgen."
Het begrip 'pilootproject' is ook veel te algemeen gedefinieerd.
Men moet ook voorkomen dat personen wordt gevraagd om een Covid Safe Ticket over te leggen in andere omstandigheden dan die waarin de ontwerp-samenwerkingsovereenkomst voorziet (restaurant, een bioscoop of een theater). Wordt het ticket illegaal gevraagd, dan moet dat bestraft kunnen worden. Het begrip 'massa-evenement' wordt ook te ruim gedefinieerd. Organisatoren moet ook duidelijk verboden worden om de gegevens van dit ticket te bewaren.
3 - PLF
Men verplicht reizigers om vóór de reis een PLF-formulier in te vullen. Deze verplichting brengt met zich mee dat op grote schaal persoonsgegevens worden verzameld met het oog op bewaking en toezicht; dat vormt een aanzienlijke inmenging in de rechten en vrijheden van de betrokken personen, aldus de GBA. Dat kan alleen toegelaten worden als het strikt noodzakelijk is en binnen de GDPR terwijl de ontwerpovereenkomst de deur openzet om dit te doen buiten de context van de pandemie.
Het kan ook niet dat de precieze gegevens die via het PLF verplicht moeten worden verzameld, worden bepaald door de FOD Volksgezondheid. Maar de administratie mag dat niet omdat ze per definitie geen verantwoording verschuldigd is aan het Parlement.
4 - Werknemers en zelfstandigen die in het buitenland wonen/verblijven en hier werken
Het doel van de gegevensverwerking is ook hier te ruim.
