Privacy en de CoronaCheck-app

Vanaf donderdag 1 juli kunnen Nederlanders in de CoronaCheck-app hun vaccinatiebewijs aanmaken. Hiermee kan de gebruiker aantonen de vaccinaties te hebben gehad, zodat er toegang bestaat tot bijvoorbeeld evenementen, zonder dat daar nog een test voor noodzakelijk is. Vanaf zaterdag kan ook een herstelbewijs worden getoond, als iemand recent corona heeft gehad en dus antistoffen heeft.

De app was al geschikt om met een QR-code een negatief testbewijs in te scannen die dan kan worden getoond bij de entree van een evenement of bijvoorbeeld bij de ingang van een voetbalstadion. Met ingang van de versoepelingen die voor aanstaande zaterdag staan gepland, mogen ook discotheken en feestzalen open als mensen de app gebruiken.

Bij gebruik van de CoronaCheck-app in Nederland toont de app een beperkt aantal gegevens aan de controleur: initialen en een deel van de geboortedatum. In combinatie met de informatie op een legitimatiebewijs moet dat genoeg zijn om misbruik te voorkomen. Of de informatie is gemaakt op basis van een negatieve test, een volledige vaccinatie of iets anders, ziet de controleur niet.

Als voor een reis naar het buitenland de app wordt gebruikt, krijgt een controleur meer te zien. Dat is nodig omdat verschillende landen verschillende inreisregels kunnen hanteren. Daarom zijn er meer gegevens nodig om toegang mogelijk te maken. De controleur ziet dan tevens waarom iemand groen licht krijgt, vanwege herstel, een test of een vaccinatie. Daarnaast geeft de app in deze situatie specifieke informatie per categorie. Bijvoorbeeld: welke vaccinaties zijn gegeven en op welke data. Ook is de volledige naam en geboortedatum te zien.

De app slaat niets op. De persoonsgegevens verlaten de app niet om opgeslagen te worden op de telefoon van de controleur. Die controleur ziet ze en vergelijkt de gegevens met een paspoort, meer niet. Hiermee is invulling gegeven aan het beginsel van dataminimalisatie zoals dat voortvloeit uit de Algemene verordening gegevensbescherming (AVG). Dat houdt in dat er niet meer persoonsgegevens mogen worden verwerkt dan noodzakelijk is voor het daarmee beoogde doel.