Advies 9: essentiële bepalingen in de
Tijdelijke wet notificatieapplicatie
covid-19
Begeleidingscommissie Digitale Ondersteuning Bestrijding Covid-19
20 augustus 2020

Inleiding Begeleidingscommissie
De minister van Volksgezondheid, Welzijn en Sport (VWS) heeft een Begeleidingscommissie
ingesteld die de minister zal adviseren over digitale ondersteuning bij de bestrijding van Covid-19.
De begeleidingscommissie brengt naast gevraagde adviezen ook ongevraagde ‘flitsadviezen’ uit. Dit
flitsadvies gaat in op enkele essentiële onderwerpen die een plaats moeten krijgen in de Tijdelijke
wet notificatieapplicatie covid-19’.

Advies enkele onderwerpen die een plaats moeten
krijgen in de Tijdelijke wet notificatieapplicatie covid-19
In advies 6 dd 23 juli adviseert de begeleidingscommissie de minister onder meer om een
uitdrukkelijke wettelijke basis te creëren voor de inzet van een notificatieapplicatie
waarmee vroegtijdig zicht kan worden verkregen op een mogelijke infectie met Covid-19
ter ondersteuning van het BCO (hierna ‘CoronaMelder’).
De begeleidingscommissie stelt vast dat de minister in zijn brief van 17 augustus aan de
Tweede Kamer toezegt de explicitering van de wettelijke grondslag te regelen voorafgaand
aan de landelijke introductie. Als reden voert de minister aan dat de AP hem heeft laten
weten explicitering van de bestaande wettelijke grondslag om de gegevens te verwerken
noodzakelijk te vinden voor de inzet van CoronaMelder. De minister merkt op dat dit
standpunt van de AP vatbaar is voor discussie. De begeleidingscommissie brengt in
herinnering dat ook naar haar mening explicitering van de wettelijke grondslag
noodzakelijk is.
Gegeven de toegenomen prevalentie van het virus en de beoogde landelijke introductie van
de CoronaMelder op 1 september 2020 zal het wetsvoorstel met hoge spoed opgesteld en
behandeld moeten worden. Om deze reden meent de begeleidingscommissie dat zij niet
kan afwachten tot de tekst van het wetsvoorstel aan haar wordt voorgelegd, maar ziet zij
aanleiding om enkele onderwerpen onder de aandacht van de minister te brengen die naar
het oordeel van de begeleidingscommissie een plaats moeten krijgen in het wetsvoorstel.
Volledigheidshalve merkt de begeleidingscommissie op dat zij niet heeft beoogd een
uitputtend overzicht te geven van alle onderwerpen die in het wetsvoorstel aan de orde
dienen te komen en die geregeld dienen te worden in aanvulling op de verplichtingen die
gelden op grond van de Algemene verordening gegevensbescherming.
Om deze redenen adviseert de begeleidingscommissie het volgende:
1. De begeleidingscommissie adviseert de minister om in het Wetsvoorstel de doelbinding
van gegevensverwerking in het kader van de CoronaMelder strikt te borgen.

Gegevensverwerking mag alleen plaats vinden door de aangewezen partijen, te weten de
25 regionale GGD-en dan wel onder verantwoordelijkheid van1 het ministerie van VWS
en de 25 regionale GGD-en uitsluitend i) ter ondersteuning van het BCO door de GGD ter
bestrijding van het virus SARS-CoV-2 (in de volksmond de pandemie Covid-19) en ii) ter
evaluatie van de effectiviteit van de CoronaMelder voor ondersteuning van het BCO door
de GGD ter bestrijding van het virus SARS-Cov-2.
2. Vrijwilligheid. Niemand mag verplicht worden om de CoronaMelder te installeren en te
gebruiken. De begeleidingscommissie adviseert om dit in het wetsvoorstel vast te
leggen. In een eerdere versie van het wetsvoorstel was reeds een daartoe strekkende
verbodsbepaling opgenomen. In advies 6 heeft de begeleidingscommissie geadviseerd
om het tekstvoorstel van de verbodsbepaling te heroverwegen en aan te passen. 2 In
aanvulling daarop adviseert de begeleidingscommissie om een laagdrempelig meldpunt
te introduceren voor melding van overtredingen van de verbodsbepaling. Voorts
adviseert de begeleidingscommissie om in de toelichting op het wetsvoorstel uiteen te
zetten hoe opsporing / handhaving van het verbod gerealiseerd kan worden.
3. Verbod op function creep. Het wetsvoorstel dient uitdrukkelijk het gebruik van de
CoronaMelder en/of het gebruik van met de CoronaMelder verzamelde gegevens voor
een ander doel dan waarvoor deze is bedoeld (ondersteuning van het BCO door de GGD /
evaluatie van de effectiviteit van de CoronaMelder zoals omschreven onder 1) en door
een andere partij dan de GGD te verbieden.3 Dit verbod geldt dus ook voor Google en
Apple.4 Niemand anders dan de GGD mag de CoronaMelder /met de CoronaMelder
verzamelde gegevens gebruiken (ook niet op vrijwillige basis, na een daartoe strekkend
verzoek aan de persoon). De GGD mag de verzamelde gegevens alleen gebruiken in het
kader van het BCO. Daarnaast mogen de verzamelde gegevens worden verwerkt om de
effectiviteit van de CoronaMelder te toetsen (heeft de CoronaMelder toegevoegde waarde
bij het indammen van de verspreiding van het virus) en gegeven dit doel: biedt de
CoronaMelder de daarvoor noodzakelijke technische functionaliteit.
4. Tijdelijkheid. Het wetsvoorstel dient een einddatum te bepalen, bijvoorbeeld dat de wet
een jaar na inwerkingtreding vervalt (met de mogelijkheid om de wet te verlengen na
goedkeuring door beide kamers van de staten generaal, telkens voor ten hoogste twee
maanden). Met vervallen van de wet komt de grondslag voor gegevensverwerking te
vervallen en dient de CoronaMelder uitgeschakeld te worden. In aanvulling daarop dient
het wetsvoorstel te bepalen dat de wet wordt ingetrokken indien uit de evaluatie van de
CoronaMelder blijkt dat deze niet meer nodig is. Om deze reden adviseert de
begeleidingscommissie om in de komende maand door experts (bijvoorbeeld het OMT)
criteria/drempelwaarden te laten bepalen waaraan kan worden getoetst of de

Er mogen wel verwerkers worden ingeschakeld (bijv. voor hosting, analyse van de effectiviteit van de app),
mits conform de AVG met deze partijen een verwerkersovereenkomst is gesloten.
2
Het tekstvoorstel van Artikel 6d lid 6 luidde als volgt: Het is verboden een ander te verplichten tot het gebruik
van de notificatieapplicatie dan wel enig ander digitaal middel dat gebruikt kan worden om mogelijk met het
virus SARS-CoV-2 geïnfecteerde personen te identificeren. De begeleidingscommissie heeft in advies 6 ten
eerste opgemerkt dat in de verbodsbepaling ten onrechte wordt gesteld dat de app gebruikt kan worden om
mogelijk met het virus SARS-CoV-2 geïnfecteerde personen te identificeren; ten tweede adresseert de
verbodsbepaling (slechts) de gedraging dat een ander wordt verplicht om van de app gebruik te maken.
3
Ook hier geldt dat verwerkers ingeschakeld mogen worden.
4
De begeleidingscommissie stelt vast dat in de DPIA en in het advies van PelsRijcken van 17 augustus wordt
opgemerkt dat in de gebruiksvoorwaarden van het Exposure Notification framework/API, opgesteld
door Google, wordt bevestigd dat Google en Apple geen toegang (kunnen) verkrijgen tot de gegevens die
betrekking hebben op de gebruikers (d.w.z. de gegevens in de app). PelsRijcken stelt vervolgens Uiteraard zal
de minister en de GGDen kritisch moeten blijven bezien of Google en Apple zich houden aan de gemaakte
afspraken. Juist omdat het ministerie door de keuze om de app te bouwen op de API een zekere afhankelijkheid
creëert en Google/Apple zelf de gebruiksvoorwaarden kunnen wijzigen, adviseert de begeleidingscommissie
dringend om in het wetsvoorstel een verbodsbepaling op te nemen en deze ruim te formuleren, zodat ook
eventuele verwerkingen door Google/Apple daaronder vallen en afgedwongen kan worden dat Google/Apple de
bescherming van persoonsgegevens respecteren. Alternatief zou – zoals bedoeld in advies 2 van de
begeleidingscommissie - een overeenkomst gesloten kunnen worden met Google en met Apple waarin is
verankerd dat zij in het kader van de CoronaMelder geen persoonsgegevens mogen verwerken en dat, voor het
geval zij dit onverhoopt toch doen, zij dit doen in de rol van verwerker voor het ministerie en de 25 GGD-en en
daarbij gehouden zijn tot naleving van de verwerkersovereenkomst (met o.a. strikte doelbinding).
1

CoronaMelder nog nodig is. In de spoedwet wordt vervolgens een bepaling opgenomen
over de tijdelijkheid van de CoronaMelder, inclusief een voorstel om epidemiologische,
medische of andersoortige drempelwaarden te bepalen die als ijkpunt kunnen worden
gebruikt.
5. Verwijdering van gegevens. Het wetsvoorstel dient in aanvulling op de AVG een harde
bewaartermijn te bepalen voor op de telefoon en in de backendserver verwerkte
gegevens (dus zowel voor de blootstellingssleutels, de rolling proximity indicators, RPI’s
en de Temporary Exposure Keys, TEK’s, als voor de diagnosesleutels en alle overige in
samenhang met deze gegevens verwerkte gegevens).
6. MIPS. Zoals uiteengezet in advies 6, adviseert de begeleidingscommissie de minister om
in het wetsvoorstel een verbod te introduceren op het in Nederland aanbieden van
telefoons of telefoon-applicaties die in de achtergrond Mobile Interpersonal Proximity
Surveillance (MIPS)5 doen - met als enige uitzondering officiële, door een nationale
regering goedgekeurde Covid-19 initiatieven, zoals CoronaMelder.6

In navolging van de resolutie van 17 april 2020 van het Europees Parlement, met name punten 51, 52 en 53,
is het van belang om de privacy van gebruikers te bevorderen en de scope alsook tijdelijkheid van de GoogleApple app te preciseren. De commissie adviseert om advies in te winnen van de EDPS (European Data
Protection Supervisor) en EDPB (European Data Protection Board).
6
Het nauwkeurig in kaart brengen van persoonlijke contacten, wat MIPS doet, kan namelijk gebruikt worden
voor allerlei doeleinden, maar is zeer onwenselijk uit privacy oogpunt. Dit verbod raakt al bestaande
(bluetooth) tracking systemen niet, en blokkeert slechts het inzetten van de recent ontwikkelde bluetooth
contact tracing technieken voor andere doeleinden dan Covid-19 bestrijding.
5