Het corona paspoort lijkt onvermijdelijk, maar wat stelt het voor?

Beeld: Shutterstock

Op 17 maart heeft de Europese Commissie een voorstel gedaan voor een Europese Verordening voor een digitaal ‘groen’ certificaat gebaseerd op artikel 21 Verdrag van de Europese Unie en artikel 41 van het Europese Handvest aangaande het veilige vrij verkeer van personen zonder grenscontroles. Het betreft hier dus een verordening, dwingend voor alle Lidstaten en directe werking voor alle Europese burgers. Met dit certificaat zou vanaf juni binnen de EU het vrije verkeer tijdens de COVID-19-pandemie mogelijk moeten zijn zonder testen of nadere controles. Als de veiligheid gegarandeerd wordt is er immers geen enkele reden om het vrije verkeer te belemmeren (1).

Het positieve aspect is dat in dit voorstel het Digitaal paspoort niet alleen een bewijs dat een persoon is ingeënt tegen COVID-19, maar ook degenen die een negatief testresultaat hebben gekregen of hersteld is van COVID-19. Het certificaat zal gratis beschikbaar zijn, digitaal of op papier. Het bevat een QR-code om de veiligheid en authenticiteit van het certificaat te garanderen. De Commissie geeft verder aan dat er een zogenaamde gateway zal worden gebouwd om ervoor te zorgen dat alle certificaten in de hele EU kunnen worden geverifieerd en de lidstaten hierdoor worden ondersteund bij de technische implementatie van certificaten. Onzeker punt is dat de lidstaten verantwoordelijk blijven om zelf te beslissen op welke wijze van de volksgezondheidsbeperkingen voor reizigers kan worden afgezien.

Persoonsgegevens

Dat betekent dat de bedoeling van de Verordening, namelijk het harmoniseren van vrijstellingsbewijzen om te reizen tijdens Coronatijd en het vermijden van fraude en misbruik toch weer enigszins onderuit wordt gehaald als de inhoud en de mogelijkheden van het certificaat per land kan variëren.
De persoonsgegevens die worden vastgelegd zullen niet in een Europese databank worden vastgelegd maar lokaal, dat wil zeggen nationaal worden opgeslagen. Hiervoor is in de verordening overigens geen dwingende procedure voor aangegeven dus ook hier zal elk land zijn eigen wijze van opslag moeten kiezen. Conform de Algemene Verordening Persoonsgegevens betekent dit dat die gegevens slechts mogen worden opgeslagen en verwerkt als dit absoluut noodzakelijk is in het kader van de volksgezondheid en niet beschikbaar is voor andere doeleinden (2).

Dit geldt ook voor de opslag van die gegevens. Zij zouden direct verwijderd moeten worden als de noodzaak voor verwerking is verdwenen. Het betreft immers zeer gevoelige persoonsgegevens van alle burgers (3). De commissie verwijst hierbij in het voorstel naar de bekende beginselen als doelgerichtheid en proportionaliteit en stelt dat het certificaat dient te verdwijnen als de covid pandemie is beëindigd. De vraag is natuurlijk of die noodzaak ooit zal verdwijnen waarbij de twijfel hierover eigenlijk al direct wordt bevestigd door een verwijzing in de verordening naar een mogelijke volgende (Covid) pandemie indien dit door de WHO wordt verklaard. Een reden dus om toch alle gevoelige (zogenaamde ehealth) gegevens maar op te slaan?

Een probleem lijkt mij het feit dat dit ”certificaat” een drievoudige functie heeft

Fraude

De veiligheid en authenticiteit zijn zowel bij de verstrekking van gegevens als bij de betrouwbaarheid van het certificaat een punt van zorg. De elektronische certificaten moeten niet gevoelig zin voor fraude of inbraak. Interpol heeft al geconstateerd dat er al op ruime schaal valse negatieve testverklaringen worden verhandeld Het is daarom van groot belang dat er een betrouwbare procedure wordt opgezet om de certificaten te beveiligen en uitwisseling en een geharmoniseerde wederzijdse acceptatie mogelijk te maken (4).

Een ander probleem lijkt mij het feit dat dit ”certificaat” een drievoudige functie heeft. In dit elektronische of papierendocument wordt aangegeven of de drager van dit document ofwel gevaccineerd is geweest, ofwel de besmetting en volgende ziekte heeft doorgemaakt en genezen is verklaard (antistoffen heeft?) ofwel negatief is getest. Hebben deze verschillende vaststellingen dan ook verschillende consequenties in toegang tot manifestaties? Zullen alle deelnemende landen hier dezelfde consequenties aan verbinden. Hebben alle landen de capaciteit om de voorafgaande infrastructuur op korte termijn te ontwikkelen? Hoe worden de bijzondere gevoelige persoonsgegevens verwerkt en voor hoelang? Vooralsnog is de planning voor dit paspoort 3 jaar… Een eerder Nederlands voorstel voor een testpaspoortwet lijkt hiermee in ieder geval van de baan.

Zullen wij ooit weer zonder een vermaledijd coronapaspoort binnen Europa, laat staan buiten Europa mogen reizen? Aan de andere kant moeten we misschien gewoon wennen aan het feit dat we naast vaccinaties voor tropische ziekten bij reizen naar de tropen ook nu binnen Europa een bewijs van vaccinatie moeten hebben. Voor binnenlandse activiteiten en toegang tot het dagelijks leven acht ik deze procedure onwenselijk en gebaseerd op de huidige regelgeving onrechtmatig.

(1) 7.The free movement of persons who do not pose a risk to public health, for example because they are immune to and cannot transmit SARS-CoV-2, should not be restricted, as such restrictions would not be necessary to achieve the objective pursued.
(2) Any limitations to the freedom of movement within the EU justified on grounds of public policy, public security or public health must be necessary, proportionate and based on objective and non-discriminatory criteria (Vo,p.5) It is necessary for such limitations to be applied in compliance with the general principles of Union law, in particular proportionality and non discrimination. Any measures taken should thus not extend beyond what is strictly necessary to safeguard public health.(Vo.Overweging 6)
(3) This proposal implies processing of personal data, including health data. There are potential impacts on individuals’ fundamental rights, namely Article 7 of the Charter on the respect of private life and Article 8 on the right to the protection of personal data. Processing the personal data of individuals, including the collection, access and use of personal data, affects the right to privacy and the right to protection of personal data under the Charter. Interference with these fundamental rights must be justified.(Vo p.5)
(4)( Establish a) trust framework laying out the rules on and infrastructure for the reliable and secure issuance and verification of certificates (Ov. 15)

Rob van den Hoven van Genderen is hoogleraar AI & Robotlaw aan de universiteit van Lapland en voorzitter van de Nederlandse Vereniging voor Artificiële Intelligentie en Robotrecht (NVAIR)