Advies 28: Masterplan voor verwijdering van persoonsgegevens
Begeleidingscommissie Digitale Ondersteuning Bestrijding Covid-19
11 november 2021
Inleiding Begeleidingscommissie
De Minister van Volksgezondheid, Welzijn en Sport (VWS) heeft een Begeleidingscommissie ingesteld
die de Minister zal adviseren over digitale ondersteuning bij de bestrijding van Covid-19. De
begeleidingscommissie brengt naast gevraagde adviezen ook ongevraagde adviezen uit.
Onderstaande betreft het advies om een masterplan te maken voor de toekomstige verwijdering van
persoonlijke data (inclusief NAW-gegevens, BSN, etc.) die gedurende de pandemie zijn verzameld. Het
betreft hier vele data op talloze plekken waarbij ook diverse bewaartermijnen gelden, wat het geheel
complex maakt. De commissie vindt het belangrijk om een plan voor dataverwijdering en –opslag te
ontwikkelen welke in werking kan treden zodra de situatie dit toelaat. Met een dergelijk plan zal
voorkomen worden dat een vertekend beeld ontstaan over de bestemming en het gebruik van data.
De commissie beseft zich terdege dat bepaalde data die verzameld zijn door zorg verlenende
instanties enige tijd bewaard dienen te blijven, alsmede data die verzameld zijn ten behoeve van
wetenschappelijk onderzoek. Tegelijkertijd is de commissie van mening dat de overheid inzake
verwijdering van covid-data niet slechts een afwachtende en controlerende houding dient aan te
nemen maar een pro-actieve rol dient te vervullen, dat wil zeggen kaders en tijdspaden stelt. Dit
vraagt om een VWS-overstijgende aanpak en ook plan daartoe. De overheid heeft aangestuurd op het
implementeren van digitale hulpmiddelen om de covid-19 pandemie te beheersen. De daaruit
voortvloeiende verantwoordelijkheid – van alle betrokken departementen – om erop toe te zien dat
de in dat kader verzamelde gegevens ordentelijk worden opgeslagen en later weer verwijderd, is ons
inziens tevens een taak van de overheid.
(1) Masterplan voor de vernietiging van persoonlijke data die wegens covid zijn verzameld en
bewaard
Gedurende de covid-pandemie zijn van vele burgers data verzameld, bijvoorbeeld in het kader van
testen en vaccineren. De data bevinden zich op talloze plekken variërend van particuliere testlocaties
tot zorginstellingen, onderzoekscentra, bedrijven en (semi)overheidsinstellingen. De omvang van
vergaarde persoonsgegevens tijdens de pandemie is inmiddels dermate groot dat er een masterplan
nodig is om deze data in de toekomst weer volledig te laten verwijderen. De commissie is van mening
dat alleen een verwijzing naar bestaande wetgeving en toezichthouders als de Autoriteit
Persoonsgegevens (AP) hierin niet volstaat. Eerder is gebleken dat hierin het gevaar van versnippering
en onduidelijkheid schuilt waardoor partijen een eigen interpretatie geven aan bijvoorbeeld
bewaartermijnen, persoonsgegevens en medische gegevens mogelijk onvoldoende beschermd
worden bewaard, of erger, geraadpleegd en verhandeld worden. Om dit stuwmeer aan data
duurzaam en volledig te verwijderen is een plan nodig waarbij in ieder geval voor de volgende
aspecten aandacht is:

1

•

Een inventarisatie bij welke instellingen er covid-gerelateerde persoonsgegevens zijn
opgeslagen

•

Juridisch kader, en indien nodig deze (bijvoorbeeld op het gebied van bewaartermijnen)
aanscherpen

•

Parameters voor verwijdering (vanaf wanneer mogen of moeten data worden verwijderd)

•

Welke data mogen of moeten bewaard blijven door zorg verlenende instanties of voor
wetenschappelijk onderzoek, en met welke bewaartermijnen

•

Methode van dataopslag (inclusief methoden van anonimisering) en dataverwijdering

•

Sancties in geval van niet naleven van de juiste data bewaar- en opslagtermijnen

•

Proactieve uitvoering van de verwijdering, toezicht en controle

De commissie adviseert daarbij om de inzet van open source en co-creatie te overwegen, en ook in
dit geval transparant en open te zijn en te communiceren over de ontwikkeling en uitvoering van
genoemde plan.
(2) Bewaring van data ten behoeve van onderzoek
Indien verzamelde data langere tijd bewaard dienen te blijven ten behoeve van onderzoek en
evaluatie (bijvoorbeeld van de accuratesse of kwaliteit van gebruikte testen), dient de burger erop te
kunnen vertrouwen dat deze data ontdaan van identificerende persoonsgegevens (geanonimiseerd)
opgeslagen worden. Het is daarbij van belang zowel het volledig geanonimiseerd zijn van de database
te garanderen, als de mogelijkheid te creëren latere koppelingen alsnog mogelijk te maken voor de
beantwoording van bepaalde wetenschappelijke vragen. Denk hierbij bijvoorbeeld aan vragen
aangaande de immuniteit en infecties op langere termijn en de effectiviteit van vaccinaties. Dit
laatste uiteraard onder de strikte geldende normen voor onderzoek met persoonsgebonden data.

2