De Europese Commissie coördineert de gezamenlijke Europese respons op de uitbraak van de pandemie. Zo beveelt ze een aantal maatregelen aan om tot een gecoördineerde pan-Europese aanpak te komen voor het gebruik van mobiele applicaties en data in de strijd tegen de COVID-19 pandemie. De Commissie wil samen met de lidstaten een Toolbox ontwikkelen. Het doel hiervan is het gecoördineerde aanpakken van het gebruik van traceringsapps in overeenstemming met de regels inzake gegevensbescherming en privacy. Daarom worden ook het Europees Comité voor gegevensbescherming (EDPB) en de Europese Toezichthouder voor gegevensbescherming (EDPS) nauw bij het proces betrokken. De Toolbox is ook bestemd voor het uitstippelen van een gemeenschappelijke aanpak voor het modelleren en voorspellen van de ontwikkeling van het virus door middel van geanonimiseerde en geaggregeerde mobiele locatiegegevens.

Al op 15 april 2020 publiceerde het eHealth Network met steun van de Europese Commissie de Toolbox voor het gebruik van mobiele waarschuwings- en traceringapps. De toolbox maakt deel uit van de lopende samenwerking waarbij de lidstaten de komende weken en maanden het gebruik van deze en andere praktische hulpmiddelen willen ontwikkelen. De Toolbox biedt dus een eerste praktische leidraad voor de lidstaten om waarschuwings- en traceringapps apps te implementeren. Deze bepaalt onder andere de essentiële vereisten voor deze apps, ze moeten:

• • voldoen aan de EU-regels voor gegevensbescherming en privacy;
  • worden ontwikkeld in samenwerking met de nationale gezondheidsinstanties en pas na hun goedkeuring worden geïmplementeerd;
  • vrijwillig door gebruikers worden geïnstalleerd en buiten werking worden gesteld van zodra ze niet meer nodig zijn;
  • gebruik maken van de meest recente privacy-bevorderende technologische oplossingen;
  • op geanonimiseerde gegevens gebaseerd zijn zonder de identiteit van de besmette personen dus te onthullen;
  • in de hele EU bruikbaar zijn;
  • uitgaan van aanvaarde epidemiologische kennis en de best practices op het gebied van cyberbeveiliging weergeven;
  • veilig en doeltreffend zijn.

Samen met de Toolbox werden ook de richtsnoeren inzake gegevensbescherming voor mobiele gezondheidsapps door de Europese Commissie gepubliceerd. De richtsnoeren bevatten een aantal voorwaarden en vereisten die kunnen worden gebruikt bij de ontwikkeling van de apps waaronder:

• de naleving van toepasselijke gegevensbeschermingsregels: nationale gezondheidsinstanties kunnen hier een belangrijke rol spelen gelet op de zeer gevoelige gegevens en het uiteindelijke doel van de apps. Deze instanties moeten er voor zorgen dat bij de verwerking van de verzamelde gegevens de EU-regels voor gegevensbescherming en privacy worden nageleefd en dat de gebruikers alle nodige informatie krijgen over de verwerking van hun persoonsgegevens;
• gebruikers behouden volledige zeggenschap over hun persoonsgegevens: installatie van apps moet vrijwillig zijn en de gebruiker moet voor elke afzonderlijke functionaliteit zijn/haar toestemming geven. Nabijheidsgegevens moeten op het toestel van de gebruiker worden bewaard en alleen met toestemming van de gebruiker worden gedeeld;
• beperkt gebruik van persoonsgegevens: de verwerking van persoonsgegevens moet beperkt blijven tot relevante en voor het doel benodigde gegevens. De Commissie is daarbij van mening dat locatiegegevens niet noodzakelijk zijn voor de tracering van contacten en beveelt dan ook aan dergelijke gegevens in deze context niet te gebruiken;
• strikte beperkingen voor gegevensopslag: persoonsgegevens mogen niet langer dan nodig worden bewaard. De termijnen moeten onder andere gebaseerd zijn op medische relevantie;
• beveiliging van de gegevens: de gegevens moeten versleuteld op het toestel van de gebruiker worden opgeslagen;
• nauwkeurigheid van de verwerkte gegevens: alle persoonsgegevens die worden verwerkt moeten volgens de toepasselijke regels nauwkeurig zijn. Om zo nauwkeurig mogelijke gegevens te verzamelen, moeten technologieën zoals bluetooth worden gebruikt om de contacten tussen personen onderling in kaart te brengen;
• de nationale gegevensbeschermingsautoriteiten moeten ten volle worden betrokken bij de ontwikkeling van een app en moeten het gebruik ervan toetsen.

Op 21 april publiceerde ook het Europees Comité voor gegevensbescherming richtsnoeren inzake het gebruik van locatiegegevens en traceringsapps in de strijd tegen COVID-19. Deze hebben tot doel de voorwaarden te verduidelijken voor het rechtmatig gebruik van locatiegegevens en traceringsapps voor de volgende doeleinden:

1. wat locatiegegevens betreft, de verspreiding van het virus in kaart te brengen en het effect van de lockdown maatregelen te beoordelen;
2. wat traceringsapps betreft, personen te waarschuwen die in de nabijheid zijn geweest van een besmette persoon en de besmettingsketen te onderbreken.

Locatiegegevens

Locatiegegevens dienen onder andere aan de volgende voorwaarden te voldoen:

• ze mogen enkel worden verwerkt mits naleving van de e-Privacy richtlijn. Dit betekent (onder andere) dat wanneer deze gegevens verzameld worden van een aanbieder van elektronische communicatiediensten, deze enkel mogen worden doorgegeven aan derden nadat ze werden geanonimiseerd of, indien het gaat om gegevens die de geografische positie van de eindapparatuur van de gebruiker aangeven en die geen verkeersgegevens zijn, nadat de gebruiker zijn/haar toestemming heeft gegeven (artikel 6 en 9 e-Privacy richtlijn);
• het gebruik van geanonimiseerde locatiegegevens moet steeds worden verkozen boven het gebruik van persoonsgegevens. Het is aangeraden om transparant te zijn over de gebruikte anonymiseringstechniek.
• het systematisch en grootschalig monitoren van de locatie en/of contacten tussen natuurlijke personen vormt een ernstige inmenging in de privacy. Bijgevolg kan het enkel worden verantwoord indien de gebruikers de apps vrijwillig gebruiken;
• het moet duidelijk worden aangegeven wie de verwerkingsverantwoordelijke is voor een bepaalde traceringsapp (bijvoorbeeld de gezondheidsautoriteiten van een bepaalde EU lidstaat);
• de doeleinden van de app moeten specifiek genoeg zijn om geen verdere verwerkingen toe te laten die geen verband houden met de strijd tegen de COVID-19 crisis zoals bijvoorbeeld voor commerciële of rechtshandhavingsdoeleinden (doelmatigheidsbeginsel);
• ingevolge het beginsel van minimale gegevensverwerking en gegevensbescherming door ontwerp en door standaardinstellingen dient op het volgende te worden toegezien:
  • (i) traceringsapps mogen enkel “nabijheidgegevens” (gegevens die aangeven of een gebruiker in de nabijheid is geweest van een besmette persoon) verwerken, niet gegevens betreffende de locatie van individuele gebruikers;
  • (ii) er dienen maatregelen te worden genomen om te voorkomen dat individuele gebruikers van de app geïdentificeerd kunnen worden;
  • (iii) de verzamelde gegevens dienen zoveel mogelijk op het eindapparatuur van de gebruiker te worden opgeslagen.

Traceringsapps

Voor wat betreft traceringsapps, bepalen de richtsnoeren het volgende:

het rechtmatigheidsbeginsel vereist bovendien dat de opslag en/of raadpleging van gegevens die zich op het eindapparatuur van de gebruiker bevinden conform artikel 5 (3) van de ePrivacy richtlijn gebeurt. De relevante rechtsgrond voor de verwerking van persoonsgegevens in het kader van traceringsapps is niet per se de toestemming van de gebruiker. In bepaalde gevallen, kan de verwerking worden verantwoord omdat deze noodzakelijk is voor de vervulling van een taak van algemeen belang. Indien de apps gezondheidsgegevens verwerken, zal deze verwerking bovendien op éen van de gronden moeten worden gesteund die in artikel 9 van de Algemene Verordening Gegevensbescherming vermeld zijn.

Afhankelijk van de concrete omstandigheden, kunnen de volgende rechtsmatigheidsgronden in aanmerking komen:

• (i) verwerking om redenen van algemeen belang op het gebied van de volksgezondheid of voor het verstrekken van gezondheidszorg;
• (ii) verwerking om wetenschappelijke doeleinden;
• (iii) de uitdrukkelijke toestemming van de betrokkene;

Bovendien:

• het opslagbeperkingsbeginsel vereist dat de persoonsgegevens die verwerkt worden door middel van deze apps niet langer worden bijgehouden dan de duur van de COVID-19 crisis. Op het einde van de crisis, dienen deze gegevens in principe hetzij te worden gewist, hetzij te worden geanonimiseerd. Het is ook aanbevolen om zo snel mogelijk aan te geven welke criteria gebruikt zullen worden om te bepalen wanneer de traceringsapp ontmanteld zal worden en wie verantwoordelijk zal zijn voor deze criteria;
• ingevolge de verantwoordingsplicht en het behoorlijkheidsbeginsel, moet het mogelijk zijn om de algoritmes van de app te auditen en ze regelmatig te laten evalueren door onafhankelijke experts. Bovendien, dient de broncode van de app openbaar te worden gemaakt;
• de uitrol van de traceringsapps dient te worden voorafgegaan door een zogenaamde gegevensbeschermingseffectbeoordeling omdat de apps hoogstwaarschijnlijk “hoog risico” verwerkingen inhouden (bijvoorbeeld: grootschalige verwerking van gezondheidsgegevens, gebruik van een nieuwe technologische toepassing);
• voor wat betreft de functionele voorwaarden waaraan de apps dienen te voldoen, wordt geen expliciete voorkeur gegeven aan gecentraliseerde boven gedecentraliseerde systemen. In beide gevallen, dienen gepaste veiligheidsmaatregelen te worden genomen. Bovendien moeten state of the art cryptografische technieken worden toegepast om de opgeslagen gegevens en gegevensuitwisselingen te beveiligen;
• in de Annex van de richtsnoeren kan men, tot slot, ook concretere, niet-exhaustieve richtlijnen vinden voor ontwikkelaars en gebruikers van traceringsapps.

Vooruitzicht

Ook de komende weken en maanden kunnen we nog bijkomende acties van de EU verwachten om onder andere de Toolbox verder uit te breiden in het licht van de ervaringen van de Lidstaten. De nationale volksgezondheidsinstanties zullen bijvoorbeeld tegen uiterlijk 30 april 2020 de doeltreffendheid van de apps op nationaal en grensoverschrijdend niveau beoordelen. De lidstaten moeten uiterlijk op 31 mei 2020 verslag uitbrengen van hun maatregelen en ervoor zorgen dat andere lidstaten en de Commissie deze kunnen toetsen. De Commissie zal de geboekte vooruitgang met ingang van juni 2020 beoordelen en tijdens de gehele duur van de crisis periodieke verslagen publiceren, aanbevelingen doen voor maatregelen of voor de geleidelijke afschaffing van maatregelen die niet meer nodig lijken.