Belgische toezichthouder wijst voorstel voor databank voor contactonderzoek af

De Belgische Gegevensbeschermingsautoriteit heeft een negatief oordeel geveld over een wetsvoorstel dat moet leiden tot een centrale databank. Die moet gebruikt worden voor grootschalig contactonderzoek om de verspreiding van het coronavirus in te dammen.

Het gaat om een gecentraliseerde databank bij de wetenschappelijke onderzoeksinstelling Sciensano. De privacytoezichthouder stelt vast dat de centralisatie en de gevoelige gezondheidsdata een aanzienlijke inbreuk maken op de bescherming van de persoonlijke levenssfeer. Dat is niet per definitie uit den boze, maar dan moet er sprake zijn van noodzaak en proportionaliteit ten aanzien van het doel. Ook moeten de voorwaarden en regels voldoende duidelijk zijn, zodat mensen weten hoe hun data wordt verwerkt.

In een advies over het wetsvoorstel is de Gegevensbeschermingsautoriteit hier behoorlijk kritisch over. Volgens de toezichthouder voldoet het voorstel niet aan deze eisen van duidelijkheid. Ook wordt het doel van het verwerken van de data niet of niet expliciet genoeg omschreven in het wetsvoorstel. Zo stelt de privacywaakhond dat het op basis van de wettekst niet mogelijk is om te begrijpen welke data wordt verwerkt, wie deze verzamelt en wie er toegang toe heeft. Hiermee voldoet het voorstel volgens de instantie niet aan de AVG.

Het is al de tweede keer in korte tijd dat de Gegevensbeschermingsautoriteit zich negatief uitlaat over de databank. Een paar weken geleden vond de toezichthouder twee voorontwerpen van koninklijke besluiten van de Belgische regering ook al onvoldoende. Dat betrof wetsteksten voor het gebruik van een corona-app en de bewuste coronadatabank bij Sciensano. Ook toen vond de GBA de teksten niet nauwkeurig of volledig genoeg. Wat de databank betreft vond de toezichthouder dat het voor mensen duidelijker moet zijn wat de oorsprong van de verzamelde gegevens is, aan welke derden deze data mag worden verstrekt en wat derden met de gegevens mogen doen. Ook mistte de toezichthouder regels die verzekeren dat de data niet tussen databanken mag worden verspreid en dat de gegevens niet voor andere doeleinden mogen worden gebruikt.

Onderzoeker Nathalie Smuha van de Faculteit Rechtsgeleerdheid van de KU Leuven stelt vast dat met deze eerdere opmerkingen van de Gegevensbeschermingsautoriteit kennelijk niets is gedaan. "Het gaat hier niet om gewone persoonsgegevens, maar onder andere om medische informatie. Dat is van de hoogste sensibiliteit. Er was al een negatief advies, men heeft dus de kans gehad om de fouten recht te zetten. Dat is niet gebeurd. Zoals de databank nu opgericht is, is ze gewoon illegaal. En vergeet niet, die databank wordt op dit moment al gebruikt", zegt ze tegen De Morgen. Ook stipt ze aan dat de centralisatie van alle gegevens in een enkele databank een risico vormt voor lekken en hacks.

Volgens De Morgen zijn er naast dit negatieve advies van de GBA ook de nodige kinderziektes bij de databank, zoals besmette mensen die niet of dubbel gemeld worden, verkeerde registraties en informatie die niet wordt doorgegeven. Dit alles maakt dat de Belgische bevolking wellicht onvoldoende vertrouwen heeft in het systeem. Twee andere wetenschappers, onder wie hoogleraar infectieziekten Erika Vlieghe, stelden dinsdag in een parlementaire hoorzitting dat een gebrek aan draagvlak onder de bevolking funest kan zijn. "Als mensen ook maar het minste beetje twijfel hebben over de manier waarop met hun gegevens zal worden omgegaan, dan zullen ze het systeem wantrouwen en mist het contactonderzoek zijn doel". Volgens Vlieghe is het daarom belangrijk dat de regering met een informatiecampagne komt om uit te leggen waarom contactonderzoek nodig is.

Dinsdag gaf een Belgische werkgroep aan dat begin juli begonnen kan worden met het testen van een coronatraceerapp. Een maand geleden gaf de Belgische overheid nog aan het handmatig verrichten van contactonderzoek te verkiezen boven een corona-app. Te weinig mensen zouden de app gebruiken om het gebruik ervan effectief te maken. Op basis daarvan is al begonnen met het gebruiken van de database.