2020
Opsporingsapplicaties en COVID-19 databanken: voor de GBA moeten de voorontwerpen van koninklijke besluit worden herzien
De Gegevensbeschermingsautoriteit (GBA) is met spoed geraadpleegd om advies uit te brengen over twee voorontwerpen van koninklijke besluit betreffende respectievelijk het gebruik van opsporingsapplicaties en het oprichten van een databank "om de verspreiding van het coronavirus te voorkomen". De bescherming van persoonsgegevens vormt geen belemmering voor het gebruik van technologische instrumenten in de strijd tegen de COVID-19-epidemie, zolang zij bepaalde fundamentele beginselen in acht nemen. De normatieve teksten die het gebruik van deze instrumenten voorzien en regelen, moeten nauwkeurig en volledig zijn om een optimale transparantie voor de burger te garanderen en de noodzaak om beroep te doen op een opsporingsapplicatie, moet worden aangetoond, aldus de GBA.
Bijkomende garanties voor de burger
Dit onderwerp heeft al veel inkt doen vloeien: in de strijd tegen de verspreiding van het coronavirus is het de bedoeling om de contacten op te sporen die een positief getest persoon kan hebben besmet. Deze opsporing zou kunnen gebeuren door te trachten de personen te onthouden wiens pad men heeft gekruist en bijkomend, via een applicatie (die zou werken op basis van digitale sleutels die de betrokken personen niet rechtstreeks identificeren).
Het Kenniscentrum van de GBA, dat bevoegd is om adviezen te formuleren over normatieve ontwerpen, is geraadpleegd over twee voorontwerpen van koninklijke besluit, die een kader bieden voor het gebruik van digitale contactopsporingsapplicaties en voor de oprichting van een databank door Sciensano. De adviezen over deze ontwerpen bevatten talrijke overwegingen die kunnen worden samengevat in twee essentiële punten:
- De noodzaak en de proportionaliteit van opsporingsapplicaties en het opzetten van een databank bij Sciensano, moet worden aangetoond :
- Ingrijpen in het privéleven van burgers, zoals mogelijk gemaakt door deze koninklijke besluiten, is alleen toegestaan als dit noodzakelijk is en in verhouding staat tot de verwezenlijking van het doeleinde van algemeen belang dat erin bestaat de verspreiding van het virus tegen te gaan.
- De invoering van een opsporingssysteem door middel van applicaties is alleen toegestaan als dit het minst ingrijpende middel is om het nagestreefde doel te bereiken en als er een juist evenwicht is tussen de betrokken belangen (proportionaliteit).
- De ontwerpen moeten de burgers extra garanties bieden :
- De teksten moeten verder worden verduidelijkt om te vermijden dat het zou mislopen. Het besluit betreffende de oprichting van een databank door Sciensano moet duidelijker zijn wat betreft de oorsprong van de verzamelde gegevens, de derden aan wie deze medische gegevens mogen worden doorgegeven en het gebruik dat zij ervan mogen maken.
- In de teksten moet ook worden bepaald dat er geen kruising mogelijk zal zijn tussen de verschillende databanken die in het kader van de bestrijding van de epidemie zijn opgezet (of met een andere databank), en ook dat de verzamelde gegevens niet voor andere doeleinden mogen worden hergebruikt.
De minimale vereisten voor een opsporingsapplicatie
Naast haar opmerkingen over de voorontwerpen herinnert de GBA eraan dat elke opsporingsapplicatie moet voldoen aan de regels en specificaties die zijn vastgesteld door het EDPB (Europees Comité voor gegevensbescherming waarin de GBA een actieve rol speelt), dat hierover onlangs richtsnoeren en een "toolbox" heeft gepubliceerd.
Zo moet er bijvoorbeeld voor worden gezorgd dat het downloaden en gebruiken van een opsporingsapplicatie echt vrijwillig is en dat geen enkele burger die weigert om er gebruik van te maken, nadeel kan ondervinden (zoals het feit dat hem de toegang tot een goed of dienst wordt ontzegd).
De broncode van elke applicatie zal ook op voorhand moeten worden gepubliceerd, zodat de deskundigen een redelijke termijn krijgen om de werking ervan te controleren. Elke applicatie moet ook worden onderworpen aan een effectbeoordeling voordat deze wordt gelanceerd en, indien uit deze beoordeling blijkt dat er verhoogde risico's bestaan, moet deze voor advies worden voorgelegd aan het Algemeen Secretariaat van de GBA.
De volksgezondheid is essentieel voor de GBA
Voor de GBA is de volksgezondheid van het grootste belang en het behoud ervan is niet onverenigbaar met het recht op privacy.
David Stevens, Voorzitter van de GBA herhaalt: "Opsporing om de volksgezondheid te beschermen ligt ons zeer nauw aan het hart. Hier raken we aan twee belangrijke prioriteiten van de GBA: gevoelige (medische) gegevens enerzijds en de verwerking van gegevens door de overheid anderzijds."
Vragen
Ja, u mag dit. U kan de persoonsgegevens van contactpersonen met de contactonderzoeker delen zonder de AVG te schenden omdat de overheid hiervoor een bijzonder wettelijke regeling heeft aangenomen.
Een besmette persoon geeft de persoonsgegevens van zijn contacten vrij aan een contactonderzoeker op grond van een wettelijke toelating, meer bepaald het samenwerkingsakkoord van 25 augustus 2020. Bijgevolg hebt u niet de toestemming nodig van uw contactpersonen om deze informatie mee te delen aan de contactonderzoeker.
Het is de bedoeling dat de contactonderzoeker op grond van de meegedeelde persoonsgegevens in staat is om de personen waarmee u in contact kwam, en die daardoor mogelijk ook besmet werden, op te sporen en hun de nodige aanbevelingen mee te geven (thuis blijven, thuis werken, enz.). Dit is nodig om te vermijden dat die personen op hun beurt nog andere mensen in hun omgeving ziek zouden maken.
Voor meer informatie over het contactonderzoek verwijzen wij u door naar de webpagina van de FOD Volksgezondheid.
Neen, de overheid mag dit niet.
De overheid mag deze informatie niet gebruiken om u later te sanctioneren. De informatie die contactonderzoekers verzamelen wordt opgeslagen in een federale databank die werd opgericht door het samenwerkingsakkoord van 25 augustus 2020.
Het samenwerkingsakkoord somt alle doeleinden op waarvoor de persoonsgegevens in deze federale databank mogen gebruikt worden, met name: het opsporen en contacteren van personen in de strijd tegen Covid-19, het ondersteunen van beleidsondersteunend, wetenschappelijk onderzoek en het inlichten van de gezondheidsinspectiediensten van de Gewesten. De persoonsgegevens in de federale databank mogen uitsluitend worden gebruikt voor deze doeleinden.
De doorgifte van de persoonsgegevens aan de politie of gerechtelijke instanties om niet-naleving van bepaalde coronamaatregelen te bestraffen is onverenigbaar met deze oorspronkelijke doeleinden en zou een manifeste inbreuk inhouden op het principe van doelbinding. De informatie die een besmette persoon geeft aan de contactonderzoeker mag dus niet gebruikt worden om te controleren of de betrokkene de door de overheid opgelegde coronamaatregelen naleefde.
Ja, u mag weigeren.
U bent immers niet verplicht om te antwoorden op alle vragen van de contact-onderzoeker. Hoewel er geen harde wettelijke verplichting is om de contactgegevens van uw contacten door te geven, rekent de overheid op de burgerzin van elke besmette persoon om zo transparant mogelijk te zijn over zijn contacten en op die manier verdere besmettingen te beperken.
Voor meer informatie over het contactonderzoek verwijzen wij u door naar de webpagina van de FOD Volksgezondheid.
Neen, de contactonderzoeker moet u deze informatie niet meedelen omdat de overheid hiervoor een bijzonder wettelijke regeling heeft aangenomen.
In dit geval heeft de verwerkingsverantwoordelijke (hier: het contactcentrum) uw persoonsgegevens op onrechtstreekse wijze verkregen bij een derde, namelijk de besmette persoon. Normaal schrijft artikel 14 AVG voor dat de verkrijgende verwerkingsverantwoordelijke de betrokkenen (hier: u) moet inlichten over de bron van de persoonsgegevens. Op die manier zou u kunnen weten welke besmette persoon uw persoonsgegevens doorgaf.
Deze informatieplicht hier echter niet van toepassing omdat artikel 14.5.c) AVG een uitzondering bevat wanneer het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven door een wettelijke regeling die voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen. In België is deze regeling het samenwerkingsakkoord van 25 augustus 2020.
Voor meer informatie over het contactonderzoek verwijzen wij u door naar de webpagina van de FOD Volksgezondheid.
Neen, u schendt uw beroepsgeheim niet. Ook indien de besmette persoon drager is van het beroepsgeheim, zal hem of haar, zoals elke andere besmette burger, gevraagd worden de personen waarmee hij of zij recent in contact kwam mee te delen aan de contactonderzoeker.
De Autoriteit wijst op het samenwerkingsakkoord van 25 augustus 2020. Dit samenwerkingsakkoord voorziet een wettelijke uitzondering op de geheimhoudingsplicht voor gezondheidszorgbeoefenaars in het kader van contactopsporing. Verder zijn volgens dit samenwerkingsakkoord ook andere personen die drager zijn van een geheimhoudingsplicht hiervan ontheven en mogen zij contactgegevens doorgeven in het kader van contactopsporing indien ze zelf een positieve Covid-19-test hebben afgelegd of indien de arts een ernstig vermoeden heeft dat ze besmet zijn met het Covid-19.
Naar analogie is de Autoriteit van oordeel dat ook andere beroepsgroepen die niet expliciet vermeld worden in het samenwerkingsakkoord met een beroepsgeheim medewerking mogen verlenen aan de contactopsporing zonder hun beroepsgeheim te schenden.
Bovendien kan de contactonderzoeker niet weten welke informatie de besmette persoon meedeelt als geheimplichtige (bijv. namen van patiënten en cliënten die onder het beroepsgeheim vallen) dan wel als burger (bijv. namen van vrienden, collega’s, kennissen, familieleden, etc.…).