Gegevensbeschermingseffectbeoordeling (DPIA): Landelijke introductie “CoronaMelder”

Gegevensbeschermings effectbeoordeling (DPIA) VWS | Directie Informatiebeleid / CIO DPIA COVID - 19 notificatie - app VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 2 | 72 Gegevensbeschermingseffectbeoordeling | PIA Vaststelling verwerkersverantwoordelijke: Selecteer/typ datum Naam: Advies functionaris voor gegevensbescherming: Selecteer/typ datum Naam: Selecteer/typ datum Naam: Vaststelling VWS Den Haag, 7 jul i 2020 Ministerie van Volksgezondheid, Welzijn en Sport Voor deze de gemandateerd opdrachtgever, Sylvia Bronmans | Programmadirecteur , R ealisatie D igi tale O ndersteuning Advies van de Functionaris voor Gegevensbescherming Den Haag, 7 jul i 2020 Henriëtte Westerling - Woltman Documenten: DPIA Advies FG Reactie FG op advies FG Zie Advies FG als bijlage bij de DPIA VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 3 | 72 Gegevensbeschermingseffectbeoordeling | PIA Gegevensbeschermings effectbeoordeling (DPIA) VWS | Directie Informatiebeleid / CIO DPIA COVID - 19 notificatie - app Contact: Ministerie van Volksgezondheid, Welzijn en Sport Directie Informatiebeleid/CIO Parnassusplein 5 2511 VX Den Haag @minvws.nl Versie: 1 juli 2020 VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 4 | 72 Gegevensbeschermingseffectbeoordeling | PIA VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 6 | 72 Gegevensbeschermingseffectbeoordeling | PIA Inleiding & definities Aanleiding In de huidige fase van de bestrijding van de epidemie van het Covid - 19, waarin het aantal nieuwe besmettingen, ziekenhuisopnames en nieuwe opnames op de IC - afdelingen is afgenomen, is Nederland in een overgangsfase terechtgekomen waarin beperkende maatregelen worden versoepeld en het aantal contacten tussen personen geleidelijk weer toeneemt.

In de kamerbrieven van respectievelijk 6 en 19 mei 2020 heeft de minister van Volksgezondheid, Welzijn en Sport (hierna: VWS) een zogenaamde corona - app voor het door de gemeentelijke gezondheidsdiensten (hierna: GGD - en ) uit te voeren bron - en contactonderzoek van COVID - 19 - infecties aangekondigd. Inmiddels wordt deze app aangeduid als de notificatie app (hierna ook: de app). Dit document bevat de gegevens beschermings effectbeoordeling (GEB, in het Engels: Data Protection Impact Assessment, hierna: DPIA) van deze voorgenomen app conform artikel 35 van de Algemene Verordening Gegevensbescherming (hierna: AVG). Gebruikte afkortingen AP Autoriteit Persoonsgegevens AVG Algemene verordening gegevensbescherming BLE Bluetooth Low Energy DPIA Data Protection Impact Assessment 1 Bijlage 929506 bij Kamerstukken II 2019/20, 25 295, nr. 219. 2 Kamerstukken II 2019/20, 25 295, nr. 22 3. 3 Https://ec.europa.eu/health/sites/health/files/ehealth/docs/covid - 19_apps_en.pdf.

VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 7 | 72 Gegevensbeschermingseffectbeoordeling | PIA D3P - T Decentraliced, Privacy - Preserving Proximity Tracing EDPB European Data Protection Board EHRM Europees Hof van de Rechten van de Mens GGD Gemeentelijke Gezondheidsdienst HvJ Hof van Justitie van de Europese Unie RPI Rolling Proximity Indicator UAVG Uitvoeringswet AVG TEK Temporary Exposure Key, in de relevante Google en Apple documentatie worden deze aangeduid als Diagnosis Key op het moment als iemand als geïnfecteerd is aangemerkt . VWS Het ministerie van Volksgezondheid, Welzijn en Sport Wpg Wet publieke gezondheid WP29 Article 29 Working Party, de voorganger van de EDPB die zijn mandaat aan art. 29 van Richtlijn 95/46/EG ontleende. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 8 | 72 Gegevensbeschermingseffectbeoordeling | PIA A. Beschrijving kenmerken gegevensverwerkingen Beschrijf op gestructureerde wijze de voorgenomen gegevensverwerkingen, de verwerkingsdoeleinden en de belangen bij de gegevensverwerkingen.

Onder A wordt de eerste stap beschreven van de DPIA: een overzicht van de relevante feiten van de voorgenomen gegevensverwerkingen. Als de feiten onduidelijk zijn, werkt dit door in de beoordeling. 1. Voorstel Beschrijf het voorstel waar de DPIA op ziet en context waarbinnen deze plaatsvindt op hoofdlijnen. Klik hier om infotekst te verbergen Om een PIA te kunnen verrichten moet duidelijk zijn op welk onderwerp/object deze betrekking heeft. Met een korte en bondige beschrijving van het voorstel waar de PIA op ziet, wordt tevens voorkomen dat bij het nalopen van de 17 punten hier verschillend over wordt gedacht. Ten behoeve van de duidelijkheid kan het nuttig zijn om expliciet aan te geven waar de PIA niet over gaat.Bij conceptregelgeving kan voor deze beschrijving van het voorstel aansluiting worden gezocht bij het voorlopige ontwerp van de inleidende paragraaf van de memorie of nota van toelichting bij het voorstel, voor zover deze betrekking heeft op verwerkingen van persoonsgegevens.

Bij overheidsverwerkingen kan in hoofdlijnen worden beschreven hoe de gegevensverwerkingen er uit zullen zien. Als dat er is kan worden aangesloten bij het projectvoorstel of een beschrijving van de architectuur. De voorgestelde verwerking van persoonsgegevens vindt plaats in een notificatie - app . Doel daar van is om in aanvulling op het bestaande bron - en contactonderzoek van de GGD - en bij een geconstateerde COVID - 19 infectie andere gebruikers van de app die in de nabijheid van de geïnfecteerde zijn geweest te informeren over de verhoogde kans op een besmetting met COVID - 19 en een advies om contact op te nemen met de GGD in hun regio. Bij deze notificatie - app wordt gebruik gemaakt van een implementatie van het zogenaamde Decentralized Privacy - Preserving Proximity Tracing ( DP 3 T protocol ) 4 zoals dat is geïntegreerd in de besturingssystemen van Apple (iOS) en Google (Android) . 5 Het gebruik van de notificatie - app doorloopt in de tijd de volgende fasen: • Installatiefase • Uitwisselingsfase • Validatiefase • Koppelingsfase • Notificatiefase Installatiefase In deze fase download t de burger , de gebruiker, de app van de app store van Google (in het geval van een smartphone met Android als besturingssysteem) of Apple (in het 4 DP3T wordt omschreven als “a secure, decentralized, privacy - preserving proximity tracing system.

Its goal is to simplify and accelerate the process of identifying people w ho have been in contact with an infected person, thus providing a technological foundation to help slow the spread of the SARS - CoV - 2 virus. The system aims to minimise privacy and security risks for individuals and communities and guarantee the highest level of data protection.” Voor deze DPIA is uitgegaan van het Whitepaper Decentralized Privacy - Preserving Proximi ty Tracing Version: 25 May 2020 . Dit document is, met de overige d ocumentatie over DP3T , te vinden in het DP3T Repository op https://github.com/DP - 3T/documents (laatst. geraadpl. 1 juli 2020). 5 De documentatie over de door Apple en Google ontwikkelde API’s is te vinden via www.apple.com/covid19/contacttracing (laatst. geraadpl. 1 juli 2020): Exposure Notification. FAQ, v1.1 May 2020; Exposure Notification. Cryptography Specification, v1.2 April 2020; Exposure Notification.

Bluetooth Specification, v1.2, April 2020. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 9 | 72 Gegevensbeschermingseffectbeoordeling | PIA geval van een smartphone met iOS als besturingssysteem) en installeert deze op zijn of haar smartphone. Uitwisselingsfase In deze fase worden pseudonieme identificatiesleutels, Rolling Proximity Indicators ( hierna: RPIs of RPIs/ contactcodes), uitgewisseld tussen smartphones van gebruikers van de app door middel van Bluetooth. Deze RPIs zijn gegenereerd op basis van zogenaamde Temporary Exposure Keys (TEKs) en hebben een geldigheidsduur van tien tot twintig minuten. De TEKs en RPIs worden elke dag opnieuw gegenereerd en zijn volledig willekeurige (cryptografisch random). Zowel de TEKs als de R PIs zijn gepseudonimiseerde identificatiesleutels. 6 De software waarmee de TEKs en RPIs/contactcodes worden gegenereerd is compatible met de Exposure Notification Application Programming Interface (API) die ten behoeve van contact tracing is ontwikkeld door Apple en Google.

GGD Identit y Hub account, dat o.a. voorziet in 2 - factor authenticatie . De back - end server accepteert alleen TEKs van gebruikers als daarbij een autorisatiecode wordt aangeboden die op deze wijze door de GGD is gevalideerd . O p de server worden dus alleen TEKs vastgelegd , nadat de back - end - server in de GGD - portaal een autorisatiecode heeft aangetroffen die overeenkomt me t de autorisatiecode d ie de gebruiker zelf met de TEKs naar de back - end - server heeft gestuurd. Op de back - end - server worden de TEKs geconverteerd naar Diagnosis Keys (DKs) . O ok wordt voor elke DK de datum van de eerste ziektedag vergeleken met de datum van de TEKs. Op basis daarvan wordt door de server een zgn. TransmissionRiskValue (high, mid, low) bepaald. De back - end server stelt de DKs vervolgens beschikbaar , zodat deze kunnen worden opgehaald door de smartphones van andere gebruikers waarop de app is geïnstalleerd. 6 Zie voor een nadere (technische) uiteenzetting: Exposure Notification.

Cryptography Specification, v1.2 April 2020, te vinden via www.apple.com/covid19/contacttracing (laatst. geraadpl. 1 juli 2020). VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 10 | 72 Gegevensbeschermingseffectbeoordeling | PIA In aanvulling op de DKs , eerste ziekt e dag en autorisatiecode wor dt er in deze fase ook het IP - adres van de smartphone van de gebruiker meegestuurd naar de back - end server -- dit is inherent aan het gebruik van internet en IP - technologie. Op de server wordt dit IP - adres evenwel gesepareerd, zodat er op de server geen IP - adressen van gebruikers worden vastgelegd en niet kan worden herleid wie welke informatie heeft verstuurd (zie voor meer informatie hierover onderdeel 3, subonderdeel ‘Validatiefase’) . Koppelingsfase De smartphones van andere gebruikers waarop de app is geïnstalleerd halen de op de bac k - end - server beschikbaar gemaakte DK s op. Als de smartphone de DK s heeft opgehaald van de server wordt de verbinding met de server verbroken.

De API genereert (berekent) op de smartphone van de gebruikers voor elk van deze DK s d e bijbehorende RPIs/ contactcodes en controleert of er een match is met de op de smartphone opgeslagen RPI s/ contactcodes , die 14 dagen op de telefoon worden bewaard . VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 11 | 72 Gegevensbeschermingseffectbeoordeling | PIA Als er een match is, wordt op basis van ExposureConfigu ration - parameters en weegfactoren ( zijnde: signaalsterkte, contactduur en eerste ziektedag) in de app bepaald of er een risicovol contact is geweest. De parameters en weegfactoren worden vastgesteld door VWS, in overleg met RIVM, GGD - en en OMT, en kunnen op basis van nieuwe ( wetenschappelijke ) inzichten periodiek worden aangepast. Indien een door VWS, in overleg met RIVM, GGD - en en OMT, vastgestelde drempelwaarde wordt overschreden, geeft de app een signaal dat er sprake is geweest van risicovol contact en ontvangt de gebruiker een notificatie met bijvoorbeeld een advies om scherper te letten op symptomen of om zich bij bepaalde symptomen te laten testen (zie : notificatiefase).

De tekst van de notificatie kan wijzigen als het overheidsbeleid wijzigt dat ziet op te treffen maatregelen als blijkt dat iemand besmet is. 2. Persoonsgegevens Som alle categorieën van persoonsgegevens op die worden verwerkt. Geef per categorie van persoonsgegevens tevens aan op wie die betrekking hebben. Deel deze persoonsgegevens in onder de typen: gewoon, bijzonder, strafrechtelijk en wettelijk identificerend. Klik hier om infotekst te verbergen Beschrijf allereerst alle te verwerken categorieën van persoonsgegevens. Onder persoonsgegeven wordt verstaan: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Natuurlijke personen wil zeggen mensen. Informatie over overleden personen, rechtspersonen, dieren, zaken en objecten zijn in beginsel geen persoonsgegeven. Deze informatie kwalificeert weer wel als persoonsgegeven indien die ook betrekking heeft op een levende persoon.

Om te bepalen of iemand identificeerbaar is, moet rekening worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij kunnen worden gebruikt om de persoon te identificeren. Gepseudonimiseerde (ook wel: versleutelde) gegevens worden als persoonsgegevens beschouwd. Onder pseudonimis ering wordt verstaan: het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens De app wordt zodanig ontwikkeld dat het risico op identificatie van gebruikers via de app zo goed als uitgesloten is . Op de smartphone van de gebruiker zelf worden geen persoonsgegevens ve rwerkt, ook niet door Apple en G oogle ( zie onderdeel subonderdeel ‘ Partijen die betrokken zijn, maar niet zelf persoonsgegevens verwerken ’). De GGD verwerkt – zoals dat in het ‘reguliere proces’, buiten de app om , ook het geval is – wel persoonsgegevens bij de vaststelling dat een betrokkene (i.c. een gebruiker van de app) besmet is.

Noch voor de GGD noch voor de back - end server noch voor anderen is echter duidelijk w elke geüploade TEK’s/DK’s bij welke (besmet gebleken) gebruiker horen. Dat er – zeer tijdelijk – IP - adressen worden verwerkt maakt dat niet anders. Ter toelichting daarop wordt verwezen naar onderdeel 3, subonderdeel ‘Validatiefase’ (kort gezegd: het IP - ad res wordt in de back - end server gescheiden van de TEKs en tijdelijk op een VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 12 | 72 Gegevensbeschermingseffectbeoordeling | PIA ander/afgescheiden gedeelte van de server opgeslagen . Hierdoor is het niet mogelijk te herleiden wie w elke informatie heeft verstuurd). Hoewel het risico op identificatie van gebrui kers via de app dus zo goed als uitgesloten is, wordt er m et het oog op maximale VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 13 | 72 Gegevensbeschermingseffectbeoordeling | PIA zorgvuldigheid zekerheidshalve echter van uitgegaan dat er in alle fases van de app wel sprake is van persoonsgegevens.

Afhankelijk van de fase waarin de app zich bevindt hebben de verwerkte gegevens een wisselend karakter. Om die reden zijn de verschillende fases los beschreven. Installatiefase Geen persoonsgegevens 7 Uitwisselingsfase Gewone persoonsgegevens : - TE Ks - RPIs/contactcodes - signaalsterkte en de contactduur In deze fase worden uitsluitend (1) RPIs/contactcodes uitgewisseld tussen gebruikers van de app die in elkaars nabijheid zijn geweest met de daarbij behorende signaalsterkte zowel uitgezonden als ontvangen, en de duur van het bluetoothcontact , en (2) de eigen TEKs opgeslagen op de eigen smartphone. Deze uitwisseling gebeurt zonder tussenkomst van een server. Validatiefase Bijzondere Persoonsgegevens - TEKs en DKs - autorisatiecode - signaalsterkte en de contactduur - eerste ziektedag - TransmissionRiskValue (high, mid, low) - IP - adres Koppelingsfase Bijzondere persoonsgegevens - TEKs en DKs - RPIs/contactcodes - signaalsterkte en de contactduur - TransmissionRiskValue (high, mid, low) Notificatiefase Bijzondere persoonsgegevens: - d e notificatie aan de gebruiker dat hij mogelijk besmet is met COVID - 19 - de dag dat de gebruiker in contact is geweest met een besmet persoon (wordt vermeld in de notificatie) 3.

Gegevensverwerkingen Geef alle voorgenomen gegevensverwerkingen weer. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 14 | 72 Gegevensbeschermingseffectbeoordeling | PIA Klik hier om infotekst te verbergen Om de rechtmatigheid van de voorgenomen gegevensverwerkingen te kunnen beoordelen, is het noodzakelijk om alle gegevensverwerkingen in beeld te hebben. Onder verwerking wordt verstaan: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens. Denk hierbij aan: Het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van do orzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens. Met andere woorden, het begrip omvat het gehele proces dat een persoonsgegeven doormaakt, vanaf het moment van verzamelen tot en met het moment van vernietigen.

Indien mogelijk verdient het aanbeveling om de gegevensverwerkingen te visualiseren, bijvoorbeeld aan de hand van een input proces output model, flowchart of workflow . Installatiefase In de installatiefase vindt geen verwerking van persoonsgegevens plaats door VWS of de GGD - en . 8 Uitwisselingsfase In de uitwisselingsfase worden de eigen TEKs van de gebruiker bewaard , alsmede ontvangen RPIs/contactcodes, met de daarbij behorende signaalsterkte zowel uitgezonden als ontvangen, en de duur van het bluetoothcontact. Om het risico op identificatie van gebruikers zoveel mogelijk uit te sluiten wordt bij de uitwisseling van TEKs het MAC - adres van de smartphone vervangen door een random gegenereerde code , een pseudo MAC - adres, die evenals de TEKs elke 10 – 20 minuten verandert. Validatiefase In de validatiefase worden geüploade TEKs van gebruikers die positief zijn getest op COVID - 19 geconverteerd naar DKs en vervolgens gevalideerd aan de hand van de autorisatie code die de GGD in de GGD - portaal van de app heeft vastgelegd.

D eze gegevens worden in het kader van de notificatie app niet gebruikt. Als zodanig valt de verwerking daarvan buiten het bereik van deze DPIA. 8 Zie vorige voetnoot. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 15 | 72 Gegevensbeschermingseffectbeoordeling | PIA gegevens niet aan elkaar worden gerelateerd, evenmin is op de server te achterhalen van welke gebruiker de TEKs/DKs afkomstig zijn. Daartoe zijn een v iertal vertrouwelij ke maatregelen genomen (TLP: AMBER) . Koppelingsfase In de koppelingsfase worden D Ks van gebruikers die positief zijn getest op COVID - 19 beschikbaar gemaakt voor download vanaf de back - end server . V ervolgens worden die D Ks gedownload door de apps die in gebruik zijn , met het doel na te kunnen gaan of zij corresponderende RPIs/contactcodes hebben ontvangen in de afgelopen veertien dagen. Als er een match is, wordt op basis van de door VWS , in overleg met RIVM, GGD - en en OMT, vastgestelde parameters en weegfactoren in de app afgewogen of er een risicovol contact is geweest , dat aanleiding kan zijn voor het doen van een notificatie aan de desbetreffende gebruikers.

Notificatiefase In de notificatie wordt aan de gebruiker gemeld dat hij mogelijk besmet is met COVID - 19 , inclusief vermelding van de dag dat die gebruiker in contact is geweest met een besmet persoon. 4. Verwerkingsdoeleinden Beschrijf de doeleinden van de voorgenomen gegevensverwerkingen. Klik hier om infotekst te verbergen De privacyregelgeving geeft als beginsel dat persoonsgegevens enkel voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden mogen worden verzameld. De vaststelling van de verwerkingsdoeleinden is een noodzakelijk voorwaarde om te kunnen beoordelen of de voorgenomen gegevensverwerkingen rechtmatig zijn (onder B) en om vast te stellen welke maatregelen moeten worden getroffen om de risico’s (onder C) te voorkomen of verkleinen (onder D). Omschrijf daarom per voorgenomen gegevensverwerking de verwerkingsdoeleinden zo specifiek mogelijk. Bij verwerkingsdoeleinden kan gedacht worden aan: beveiligen van gebouwen en objecten, behandelen van personeelszaken, opsporen van strafbare feiten, direct marketing, het innen van vorderingen, het doen van leveringen en bestellingen, identificatie en authenticatie, het voorbereiden en nemen van Awb besluiten en het behandelen van geschillen.

Denk ook aan eventuele nevend oeleinden van de gegevensverwerking, zoals: wetenschappelijk, statistisch of historisch onderzoek, archiefbeheer, declaratiedoeleinden, rapportagedoeleinden, verbetering van dienstverlening of (door)ontwikkeling van beleid. De verwerkingsdoeleinden moeten zoveel mogelijk worden toegespitst op de concrete gegevensverwerking, waarbij het algemene overkoepelende doel kan worden gebruikt als kapstok waaraan verschillende subdoelen kunnen worden gehangen, bijvoorbeeld: Ÿ e mailadres: noodzakelijk voor communicatie met betrokkene; Ÿ ip adres: noodzakelijk ter verificatie dat alleen vanuit een bepaalde locatie contact wordt gemaakt met het systeem; Ÿ adresgegevens: noodzakelijk om een beschikking naar de betrokkene te kunnen toeze nden; Ÿ financiële gegevens: noodzakelijk om vast te stellen of de betrokken partij in aanmerking komt voor een toeslag; Ÿ strafrechtelijke gegevens: noodzakelijk om een screening te kunnen uitvoeren.

Doel van de voorgenomen gegevensverwerkingen is om de bron - contactopsporing van de GGD - en te ondersteunen met een app die gebruikers waarschuwt als zij risicovol contact hebben gehad met een op COVID - 19 positief getest persoon. Hierdoor neemt de kans toe dat potentie el geïnfecteerde personen eerder in beeld komen en – daarmee – dat een exponentiële uitbraak van het virus sneller wordt afgeremd. Alle gegevens die worden verwerkt zijn strikt noodzakelijk om het bovenstaande doel op betrouwbare en veilige wijze te verwezenlijken. 5. Betrokken partijen Benoem welke organisaties betrokken zijn bij welke gegevensverwerkingen. Deel deze organisaties per gegevensverwerking in onder de rollen: verwerkingsverantwoordelijke, verwerker, verstrekker en ontvanger. Benoem tevens welke functionarissen binnen deze organisaties toegang krijgen tot welke persoonsgegevens. Om de rechtmatigheid van de voorgenomen gegevensverwerkingen te kunnen beoordelen, moet inzichtelijk zijn welke organisaties (functioneel) betrokken zijn bij welke gegevensverwerking en in welke hoedanigheid: verwerkingsverantwoordelijke, verwerker, verstrekker of ontvanger.

Verwerkingsverantwoordelijk is de natuurlijke persoon, de rechtspersoon of het overheidsorgaan, die/dat h et doel van en de middelen voor de gegevensverwerkingen vaststelt. Met andere woorden: degene die formeel bevoegd is te beslissen of persoonsgegevens worden verwerkt, voor welke doeleinden deze worden verwerkt en op welke wijze deze worden verwerkt. Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijke en moeten zij VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 16 | 72 Gegevensbeschermingseffectbeoordeling | PIA Verwerkingsverantwoordelijken: In een wetsvoorstel dat de inzet van de app expliciteert wordt , onder andere naar aanleiding van het advies van de AP en om mogelijke o nduidelijkheid daarover uit te sluiten, expliciet opgenomen wie de v erwerkingsverantwoordelijke is voor de notificatieapp.

D e verwerkingsverantwoordelijkheid is op twee niveaus neergelegd. D e Minister van VWS is de verwerkingsverantwoordelijke voor gegevensverwerkingen in het kader van de inrichting en het beheer van de notificatieapp en de AVG - verplichtingen die daarbij horen. Er wordt hiermee aangesloten bij zijn taken op grond van de artikelen 3 en 7 Wpg, zijnde : het geven van leiding aan infectieziektebestrijding, de bevordering van de kwaliteit en doelmatigheid van de publieke gezondheidszorg en de instandhouding en verbetering van de landelijke ondersteuningsstructuur. De GGD is gelet op artikel 6 , eerste lid, onderdeel c, jo. artikel 14 Wpg belast met bron - en contactopsporing . De GGD wordt als verwerkingsverantwoordelijke aangemerkt voor wat betreft het uitvoering geven aan de informatieverstrekking aan en het voldoen aan de zgn. AVG - rechten van de gebruikers van wie door middel van de notificatieapp persoonsgegevens worden verwerkt.

Het gaat dan onder meer om de plicht om gebruikers te informeren, het recht op inzage en het recht op rectificatie. Dit omdat het onwenselijk wordt geacht dat de minister ook in deze gevallen als verwerkingsverantwoordelijke te beschouwen, aangez ien hij dan juist persoonsgegevens ten behoeve van de notificatieapp zou gaan verwerken terwijl dat niet nodig en daarmee vanuit privacyrechtelijk perspectief niet wenselijk is. Verwerkers: De Belastingdienst: De Belastingdienst verzorgt de technische exploitatie van de back - end server . VWS maakt (ook namens de GGD’en) verwerkersafspraken met de Belastingdienst . Voor het publiceren c.q. het voor downloaden beschikbaar maken van de DKs maakt de Belastingdienst gebruik van het Microsoft Azure platform van Microsoft. Deze bevinden zich binnen de Europese Economische Ruimte (zowel de primaire als de fail - over systemen). De Belastingdienst is (sub) verwerkersovereenkomsten en service level agreements aan gegaan met Microsoft .

VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 17 | 72 Gegevensbeschermingseffectbeoordeling | PIA Partijen die betrokken zijn, maar niet zelf persoonsgegevens verwerken: Apple en Google: Om gebruik te kunnen maken van de notificatie app moeten gebruikers , afhankelijk van het type smartphone waarvan gebruik wordt gemaakt, deze downloaden uit de Apple App Store (iOS) of Google Play Store (Android) . De beide downloadomgevingen zijn zoals bekend naar hun aard publiek beschikbaar. Om de ontwikkeling van de app mogelijk te maken hebben Apple en Google een API ontwikkeld . 9 Deze API maakt mogelijk dat d e app op basis van het DP3T protocol 10 kan functioneren op hun besturingssystemen (i OS resp. Android ). De API en het systeem waarvan de API onderdeel uitmaakt zijn zo ontworpen en opgezet dat Apple en Google geen toegang kunnen hebben tot de gegevens die betrekking hebben op de gebruikers (d.w.z. de gegevens in de app van VWS, waar Apple en Google geen toegang toe hebben) .

Dit blijkt uit de documentatie die Apple en Google daarover hebben bekendgemaakt. Aldus het document Exposure Notification . Frequently Asked Questions , v1.1, May 2020 : 11 The system was also designed so that Apple and Google do not have access to information related to any specific individual. In keeping with our privacy guidelines, Apple and Google will not receive identifying information about the user, location data, or information about any other devices the user has been in proximity of. De implementatiesoftware van het DP3T protocol (de app van VWS) verwerkt de TEKs , DKs en RPIs /contactcodes, én kan een risicoscore bepalen aan de hand van een in de app opgenomen set parameters en weegfactoren. De parameters en weegfactoren worden vastgesteld door VWS, in overleg met RIVM, GGD - en en OMT, en kunnen op basis van nieuwe (wetenschappelijke) inzichten periodiek worden aangepast. Er is sprake van de verwerking van (pseudonieme) persoonsgegevens (RPIs/contactcodes) van betrokkene op de smartphones van andere gebruikers, en de verwerking van gedownloade D Ks en op basis daarvan gegenereerde (berekende) contactcodes .

Deze gegevens , die zich in de app van VWS bevinden, zijn niet toegankelijk voor Apple en Google . Ontvanger: De app op de smartphone van de gebruiker haalt DKs op van de back - end - server, en genereert (berekent) daarmee de RPIs/contactcodes die kunnen worden vergeleken met de RPIs/contactcodes die zijn opgeslagen op de des betreffende smartphone (koppelingsfase). Het is voor de gebruiker niet mogelijk om de TEKs , DKs en RPIs/contactcodes en daarbij behorende parameters in te zien. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 18 | 72 Gegevensbeschermingseffectbeoordeling | PIA 6. B elangen bij de gegevensverwerking Beschrijf alle belangen die de verwerkingsverantwoordelijke en anderen hebben bij de voorgenomen gegevensverwerkingen. Klik hier om infotekst te verbergen Bij de beoordeling van de rechtmatigheid van de gegevensverwerkingen kunnen tevens de belangen (lees: de waarde of de voordelen) die met de gegevensverwerkingen gemoeid zijn een rol spelen.

Het kan hierbij zowel gaan om de private belangen van de verwerkingsverantwoordelijke, betrokkene en derden als het algemeen belang. Het gaat hier dus niet om de (mogelijk) negatieve gevolgen voor de betrokkenen. Denk hierbij bijvoorbeeld aan: bedrijfsbelangen, financiële belangen en commerciële belangen, het handhaven van juridische vorderingen, toezicht op medewerkers ten behoeve van de veiligheid of managementdoeleinden, (nationale of openbare) veiligheid, zoals de preventie van fraude, misbruik en netwerkbeveiliging, en gezondheid. Het belang dat gemoeid is met de gegevensverwerkingen werkt door in de toets van de noodzaak (zie punten 11 en 14 hierna). Het belang van VWS en de GGD - en bij de inzet van de app, is de ondersteuning die de app biedt bij het uitvoeren van de bron - en contactopsporing gedurende de COVID - 19 crisis. Gelet op de nationale volksgezondheid is het van belang dat de verspreiding van het COVID - 19 virus snel en adequaat wordt gesignaleerd, en dat mensen worden geïnformeerd over een mogelijke besmetting, zodat de ze passende maatregelen kunnen treffen om verdere verspreiding te voorkomen.

Het belang van de betrokkenen bij de app is dat zij op eenvoudige wijze en met een hoge mate van anonimiteit geïnformeerd worden over een verhoogde besmettingskans en zich daardoor eerder laten testen op de aanwezigheid van Covid - 19. Apple en Google zouden ook belang bij de gegevensverwerkingen kunnen hebben , al verwerken zij als gezegd zelf geen persoonsgegevens. Da t Apple en Google de API hebben ontwikkeld zou in positieve zin kunnen bijdragen aan de wijze waarop zij in het maatschappelijk verkeer worden gezien. 7. Verwerkingslocaties Benoem in welke landen de voorgenomen gegevensverwerkingen plaatsvinden. Klik hier om infotekst te verbergen De locaties waar de voorgenomen gegevensverwerkingen plaatsvinden, kunnen aanvullende privacyrisico’s met zich brengen en daarom onderworpen zijn aan strengere regels en aanvullende maatregelen vereisen. Tevens heeft de verwerkingslocatie invloed op de competentie van de (leidende) privacytoezichthouder.

Om te borgen dat de regels betreffende de bescherming van persoonsgegevens niet omzeild worden door persoonsgegevens in een ander land te verwerken, bepalen de AVG en de Richtlijn dat gegevensverwerkingen buiten de Europese Unie enkel onder bepaalde omstandigheden zijn toegestaan. Dit is bijvoorbeeld het geval indien het derde land naar het oordeel van de Europese Commissie een passend beschermingsniveau heeft (een adequaatheidsbesluit) of indien gebruik wordt gemaakt van passende waarborgen om de betrokkenen te beschermen. Daarnaast zijn een aantal specifieke situaties waarin gegevensverwerkingen in een derde land toch zijn toegestaan ondanks het ontbreken van een p assend beschermingsniveau en passende waarborgen, zoals uitdrukkelijke toestemming van de betrokkene. Naast de AVG en de Richtlijn kunnen andere wettelijke regels of beleid invloed hebben op de locaties waar persoonsgegevens kunnen worden verwerkt.

Denk hierbij aan het VIRBI 2013 inzake gerubriceerde overheidsinformatie en situaties waarin opslag in een overheidsdatacenter geëigend is. Voor zover gegevens worden verwerkt op de smartphone van de gebruiker is de verwerkingslocatie afhankelijk van de fysieke locatie van de betreffende smartphone. Gelet op de Europese interoperabiliteitsambities voor de verschillende nationale tracing apps, is het waarschijnlijk dat de lokale gegevensverwerking op de smartphone binnen de gehele Europese Economische Ruimte (EER) kan plaatsvinden. Voor zover gegevens worden verwerkt op de back - end - server vindt dat plaats in Nederland. Afhankelijk van de gekozen infrastructuur op Europees niveau bestaat de mogelijkheid dat persoonsgegevens ook worden opgeslagen buiten Nederland. In dat geval zal deze parallelle opslaglocatie zich in elk geval binnen de EER bevinden. 9 De documentatie over de door Apple en Google ontwikkelde API’s is te vinden via www.apple.com/covid19/contacttracing (laatst. geraadpl. 1 juli 2020): Exposure Notification.

FAQ, v1.1 May 2020; Exposure Notification. Cryptography Specification, v1.2 April 2020; Exposure Notification. Bluetooth Specification , v1.2, April 2020 . 10 DP3T wordt omschreven als “a secure, decentralized, privacy - preserving proximity tracing system. Its goal is to simplify and accelerate the process of identifying people who have been in contact with an infected person, thus providing a technological foundation to help slow the spread of the SARS - CoV - 2 virus. The system aims to minimise privacy and security risks for individuals and communities and guarantee the highest level of data prote ction.” D e d ocumentatie over DP3T is te vinden in het DP3T Repository op https://github.com/DP - 3T/documents (laatst. geraadpl. 1 juli 2020). 11 Exposure Notification. Frequently Asked Questions , v1.1, May 2020, par. 6 en 7, te vinden via www.apple.com/covid19/contacttracing (laatst. geraadpl. 1 juli 2020 VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 19 | 72 Gegevensbeschermingseffectbeoordeling | PIA Voor het publiceren c.q. het voor downloaden beschikbaar maken van de DKs maakt de Belastingdienst gebruik van het Microsoft Azure platform van Microsoft.

Deze bevinden zich binnen de Europese Economische Ruimte (zowel de primaire als de fail - over systemen). 8. Techniek en methode van gegevensverwerking Beschrijf op welke wijze en met gebruikmaking van welke (technische) middelen en methoden de persoonsgegevens worden verwerkt. Benoem of sprake is van (semi )geautomatiseerde besluitvorming, profilering of big data - verwerkingen en, zo ja, beschrijf waaruit een en ander besta at. Klik hier om infotekst te verbergen Gebruikmaking van bepaalde technieken en methoden van gegevensverwerking kunnen aanvullende privacyrisico’s met zich brengen en daarom onderworpen zijn aan strengere regels en aanvullende maatregelen vereisen. Dit is onder meer het geval bij (semi - )geautomatiseerde besluitvorming, profilering en big data verwerkingen. Geautomatiseerde besluitvorming Uitsluitend op geautomatiseerde verwerking gebaseerde besluiten die voor de betrokkenen rechtsgevolgen hebben of hem anderszins in aanmerkelijke mate treffen, zijn in beginsel verboden.

Voor verwerkingen die onder de werkingssfeer van de AVG vallen, geldt dat dit verbod niet van toepassing indien het besluit: a. noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke; b. is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voor ziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of c. berust op de uitdrukkelijke toestemming van de betrokkene. Bij verwerkingen die vallen onder de werkingssfeer van de Richtlijn geldt dit verbod niet indien het besluit: a. wettelijk is toegestaan; en b. voorziet in passende waarborgen voor de rechten en vrijheden van de betrokkenen, waaronder ten minste het recht op menselijke tussenkomst. Profilering Onder profilering wordt verstaan: elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen.

Bepaalde gegevens, zoals de resultaten van een zoekopdracht met een zoekmachine, kunnen in combinatie met elkaar een risicoprofiel doen ontstaan. De kans hierop bestaat vooral wanneer meerdere registers met elkaar worden gecombineerd. Er kan sprake zijn van profilering wanneer: Ÿ op basis van een combinatie van persoonsgegevens, zoals het automerk in Installatiefase Voor de installatie van de app wordt gebruik gemaakt van de app store van Apple (in het geval van een smartphone met iOS als besturingssysteem) of Google (in het geval van een smartphone met Android als besturingssysteem). Uitwisselingsfase In de uitwisselingsfase is het belangrijkste technische middel de door Google en Apple in hun besturingssystemen geïmplementeerde variant van het D - 3T protocol. DP3T staat voor “ Decentralised, Privacy - Preserving Proximity Tracing”. Zoals de naam al aangeeft gaat het om nabijheidsdetectie zonder dat specifieke locaties worden opgeslagen.

Om de voorgenomen Europese interoperabiliteit van de verschillende nationale apps te kunnen waarborgen, zal te zijner tijd daarom mogelijk een landcode moeten worden toegevoegd vanuit de app. De nabijheidsdetectie maakt gebruik van een variant van het Bluetooth protocol, Bluetooth Low Energy (BLE). De nabijheidsdetectie is erop gebaseerd dat het ontvangen BLE - signaal van een andere smartphone vergeleken wordt met de door diezelfde smartphone uitgezonden berichten die naast de RPIs/contactcodes ook de uitgezonden signaalsterkte bevatten. Het verschil tussen de sterkte van het uitgezonden en het ontvangen BLE - signaal wordt gebruikt als indicator voor de fysieke nabijheid. Gecombineerd met de duur van het contact kan hiermee achteraf een inschatting gegeven worden van het eventuele besmettingsrisico van COVID - 19. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 20 | 72 Gegevensbeschermingseffectbeoordeling | PIA Validatiefase Voor de validatie wordt gebruikt gemaakt van door VWS ontwikkelde software op infrastructuur van de Belastingdienst.

Het voor downloaden beschikbaar maken van de DKs vindt plaats met standaard webtechnologie (nl. content delivery network en storage), waarbij voor de flexibiliteit en de schaalbaarheid gebruik wordt gemaakt van het Microsoft Azure platform zoals gecontracteerd door de Belastingdienst. Koppelingsfase Voor de koppeling w ordt gebruik gemaakt van het DP 3T protocol, dit vindt plaats op de smartphone zelf. Notificatiefase Notificaties worden aan de hand van het besturingssysteem van de betreffende smartphone (iOS of Android), op de smartphone gegenereerd en via een zgn. pushmeldi ng aan de gebruiker doorgegeven . Geautomatiseerde besluitvorming Van geautomatiseerde besluitvorming , in de zin van artikel 22, eerste lid, AVG, is in de notificatie app geen sprake. Dit omdat er vanaf het moment van installatie tot het moment van notificatie op verschillende momenten sprake is van menselijke tussenkomst: 1.

Er wordt middels menselijke tussenkomst (namelijk via tussenkomst van de GGD) vastgesteld of sprake is van een besmetting. 2. Als sprake is van een besmetting wisselt de betreffende gebruiker een in de app gegenereerde validatiecode uit met de GGD, die zowel de gebruiker als de GGD naar de back - end server moeten sturen, voordat de back - end de door de gebruiker toegezonden TEKs accepteert en deze – nadat ze naar DKs zijn omgezet – voor download ter beschikking stelt. De GGD stuurt naast de validatiecode ook de door de gebruiker aan de GGD doorgegeven eerste dag waarop de gebruiker ziekteverschijnselen kreeg naar de back - end server, mits de gebruiker daar toestemming voor geeft. Ook hier is dus sprake van menselijke tussenkomst. Zou echter al aangenomen moeten worden dat wel sprake is van geautomatiseerde besluitvorming die bovendien aanmerkelijke gevolgen heeft voor de betrokkene (in dit geval voor de gebruiker die een notificatie krijgt dat hij mogelijk besmet is met COVID - 19), dan geldt dat die geautomatiseerde besluitvorming noodzakelijk is voor de vervulling van een taak van algemeen belang, te weten de beheertaak van de minister als bedoeld in artikel 3 van de Wpg en de bron - en contactopsporingstaak van de GGD als bedoeld in artikel 6 , eerste lid, onderdeel c, jo. artikel 14 Wpg.

Dat betekent dat het verbod van artikel 22 , eerste lid , AVG niet geldt (zie art. 22 , tweede lid , aanhef en onder deel b AVG jo. art. 40 , eerste lid , UAVG jo. art. 3 , art. 6 en art. 14 Wpg ) . VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 21 | 72 Gegevensbeschermingseffectbeoordeling | PIA In aanvulling daarop kan er, ten overvloede, nog op worden gewezen dat h et verbod van artikel 22, eerste lid, AVG hoe dan ook niet van toepassing is omdat de gebruiker bij de installatie van de app ermee heeft ingestemd dat hij een notificatie kan ontvangen dat hij (mogelijk) besmet is. 9. Juridisch en beleidsmatig kader Benoem de wet en regelgeving, met uitzondering van de AVG en de Richtlijn, en het beleid met mogelijke gevolgen voor de gegevensverwerkingen. Klik hier om infotekst te verbergen Naast of in de plaats van de AVG en de Richtlijn kan (sectorale) regelgeving de mogelijkheden voor gegevensverwerkingen creëren, conditioneren of beperken.

Voorbeelden van dergelijke wetten zijn: Wet algemene bepalingen burgerservicenummer, Wet gebruik burgerservicenummer in de zorg, Wet basisregistratie personen, Algemene wet inzake rijksbelastingen, Archiefwet, Telecommunicatiewet, Kadasterwet, Handelsregisterwet 2007, Kieswet, Wet bijzondere maatregelen grootstedelijke problematiek, Wet op de geneeskundige behandelingsovereenkomst, Omgevingswet, Jeugdwet, Wet maatschappelijke ondersteuning 2015 en Participatiewet. Deze lijst is niet uitputtend. Er kan ook departementaal of rijksbreed beleid zijn dat de mogelijkheden voor de voorgenomen gegevensverwerkingen conditioneert of beperkt. Bijvoorbeeld ten aanzien van de opslag en beveiliging van persoonsgegevens. Aan de hand van deze inventarisatie kan bij onderdeel B beoordeeld worden of de voorgenomen gegevensverwerkingen rechtmatig zijn en bij onderdeel D of specifieke maatregelen voorgeschreven zijn.

Het relevante juridische kader is neergelegd in de Wet publieke gezondheid (Wpg). De belangrijkste artikelen hieruit zijn de artikelen 3, 6 en 7 Wpg De inzet van de notificatieapp maakt zo onderdeel uit van de bron - en contactopsporing van de GGD zoals geregeld in artikel 6, eerste lid, onderdeel c, jo. artikel 14 Wpg . Met de app wordt de GGD ondersteund in de uitvoering van die taak. De GGD heeft op grond van artikel 6 , eerste lid, onderdeel c jo. artikel 14 Wpg de taak om bron - en contactopsporing te doen bij meldingen van besmetting met een infectieuze ziekte zoals het Covid - 19. De uitvoering hiervan is vormvrij en de GGD geeft hier de afgelopen jaren in de praktijk dan ook op verschillende manieren invulling aan, zowel analoog als digitaal. Op basis van artikel 3, eerste lid, Wpg heeft de minister de taak om de kwaliteit en doelmatigheid van de publieke gezondheidszorg te bevorderen en zorg te dragen voor de instandhouding en verbetering van de landelijke ondersteuningsstructuur.

Het OMT heeft geadviseerd om met het oog op het intensievere testbeleid de mogelijkheden voor ondersteuning van bron - en contactopsporing met behulp van mobiele applicaties te onderzoeken. 12 Ook de Tweede Kamer heeft in de breed aangenomen motie Jetten c.s. 13 overwogen dat het gebruik van apps kan bijdragen aan het beheersen van het virus. De inzet van dergelijke apps heeft ook de aandacht van andere Europese lidstaten en de Europese Commissie. 14 Met het invoeren van de app als ondersteunend middel voor bron - en contactopsporing wordt uitvoering gegeven aan de taak van de GGD - en en de minister, aan het advies van het OMT en aan de aangenomen motie van de Tweede Kamer. 10. Bewaartermijnen Bepaal en motiveer de bewaartermijnen van de persoonsgegevens aan de hand van de verwerkingsdoeleinden. Klik hier om infotekst te verbergen De privacyregelgeving geeft als beginsel dat persoonsgegevens niet langer in een vorm die het mogelijk maakt de betrokkenen te identificeren, mogen worden bewaard dan voor de verwezenlijking van de verwerkingsdoeleinden noodzakelijk is.

Met andere woorden: indien het voor de verwezenlijking van de verwerkingsdoeleinden niet meer noodzakelijk is de persoonsgegevens te bewaren, moeten deze worden vernietigd of geanonimiseerd. Op dit beginsel van opslagbeperking maakt de privacyregelgeving een 12 Bijlage 929506 bij Kamerstukken II 2019/20, 25 295, nr. 219. 13 Kamerstukken II 2019/20, 25 295, nr. 223. 14 Https://ec.europa.eu/health/sites/health/files/ehealth/docs/covid - 19_apps_en.pdf VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 22 | 72 Gegevensbeschermingseffectbeoordeling | PIA Installatiefase n.v.t. Uitwisselingsfase De persoonsgegevens uit de uitwisselingsfase worden veertien dagen bewaard. De gebruiker kan desgewenst de bewaartermijn verkorten, want heeft de mogelijkheid om alle gegevens te verwijderen of de hele app te verwijderen waardoor ook alle opgeslagen gegevens op de telefoon worden verwijderd.

Voor de bewaartermijnen van veertien dagen is gekozen omdat contacten met COVID - 19 besmette personen die langer dan veertien dagen in het verleden liggen niet meer relevant zijn voor het beoordelen van de vraag of er een verhoogd besmettingsrisico is, aangezien een gebruiker na 14 dagen al ziekteverschijnselen moet hebben. Validatiefase In de validatiefase kan de gebruiker, als de GGD heeft vastgesteld dat hij of zij is geïnfecteerd, ervoor kiezen om de eigen TEKs, tezamen met een unieke, door de app gegenereerde autorisatiecode naar de back - end - server te sturen. Deze autorisatiecode moet door de GGD worden gevalideerd en daartoe plaatst de GGD deze code in het GGD - portaal van de app. In de situatie dat om een of andere reden, bijvoorbeeld verbindingsproblemen, de autorisatiecode niet door de GGD is geplaatst in de GGD - portaal, wordt de door de gebruiker naar de back - end - server gestuurde code gedurende 24 uur op deze server bewaard.

VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 23 | 72 Gegevensbeschermingseffectbeoordeling | PIA Eenzelfde bewaartermijn wordt gehanteerd i n de situatie dat de GGD de autorisatiecode in de GGD - portaal heeft geplaatst maar er geen c orresponderende code door de gebruiker naar de back - end - server is gestuurd. De geuploade TEKs en DKs en de eerste ziektedag worden 24 uur op back - end server bewaard. Voor de ze bewaartermijn van 24 uur is gekozen omdat het DP3T protocol een nachtelijke nazending van TEKs van de laatste dag van de upload vereisen. Pas daarna kunnen dus alle relevante DKs voor download ter beschikking worden gesteld . Als gezegd worden in de validatiefase ook IP - adressen verwerkt, op een wijze waardoor het niet mogelijk is te herleiden wie welke informatie heeft verstuurd ( zie onderdeel 3, subonderdeel ‘Validatiefase’). Het IP - adres wordt na zeven dagen vernietigd .

Het IP - adres wordt tijdelijk verwerkt ten behoeve van de beveiligingsfunctionaliteit van de ap plication firewall, het detecteren van aanvallen, etc. Koppelingsfase De persoonsgegevens die verwerkt worden in de koppelingsfase worden direct nadat de opgehaalde DKs verwerkt zijn voor het maken van de match en de weging, verwijderd van de smartpho n e . Notificatiefase De notificatie blijft staan, totdat de gebruiker deze wegklikt. Na wegklikken blijven er van de notificatie geen sporen achter. B. Beoordeling rechtmatigheid gegevensverwerkingen Beoordeel aan de hand van de feiten zoals vastgesteld in onderdeel A of de voorgenomen gegevensverwerkingen rechtmatig zijn. Het gaat hier om de beoordeling van de juridische rechtsgrond, noodzaak en doelbinding van de gegevensverwerkingen. Beoordeel tevens de wijze waarop invulling wordt gegeven aan de rechten van de betrokkenen. Voor dit onderdeel van de DPIA is in het bijzonder juridische expertise nodig. 11.

Rechtsgrond Bepaal op welke rechtsgronden de gegevensverwerkingen worden gebaseerd. Klik hier om infotekst te verbergen De AVG geeft als beginsel dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. Als uitwerking van dit beginsel is geregeld dat een gegevensverwerking alleen rechtmatig is indien deze gebaseerd kan worden op ten minste één van de volgende zes rechtsgronden: a. de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; b. de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen; c. de verwerking is noodzakelijk om te vold oen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust; Zowel de minister als de GGD - en maken gebruik van d e verwerkings grondslag van a rtikel 6, eerste lid, onderdeel e, AVG , zijnde de verwerking die noodzakelijk is voor de uitoefening van een taak van algemeen belang.

Voor de minister gaat het om de taken hem opgedragen in artikel 3 Wpg, nl. de bevordering van de kwaliteit en doelmatigheid van de publieke gezondheidszorg en het zorgdragen oor de instandhouding en verbetering van de landelijke ondersteuningsstructuur. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 24 | 72 Gegevensbeschermingseffectbeoordeling | PIA De GGD heeft op grond van artikel 6 , eerste lid, onderdeel c, jo. artikel 14 Wpg de taak om bron - en contactopsporing te verrichten bij meldingen van besmetting met een infectieuze ziekte zoals Covid - 19. In andere lidstaten, zoals Duitsland, is ervoor gekozen om voor de verwerkingsgrondslag uit te gaan van de toestemming van de gebruiker, als bedoeld in artikel 6, eerste lid, onderdeel a, AVG. Voor de notificatie app is daarvoor niet gekozen omdat er, zeker in de rela tie van burger en overheid, al snel de vraag kan opkomen of de toestemming i n vrijheid is gegeven. 15 De verwerkingsgrondslag van het algemeen belang, als bedoeld in artikel 6, eerste lid, onderdeel e, AVG is daarom passender.

Dit doet er niet aan af dat de gebruiker op verschillende momenten gevraagd wordt in te stemmen met de verwerkingen die plaats kunnen vinden bij het gebruik van de app, zoals bij het downloaden en installeren van de app op de eigen smartphone, bij het mogelijk maken dat de app bepaalde gebruiksrechten krijgt en als de geb ruiker de mogelijkheid krijgt om de TEKs met autorisatiecode naar de back - end - server te sturen. Op deze wijze wordt geborgd dat het gebruik van de app vrijwillig is. Als gezegd heeft de gebruiker ook op ieder moment de mogelijkheid om alle gegevens te verwijderen of de hele app te verwijderen waardoor ook alle opgeslagen gegevens op de telefoon worden verwijderd. Er wordt gewerkt aan een wetsvoorstel waarin het direct of indirect verplicht gebruik van de app expliciet wordt verboden. Terzijde: Uit artikel 11.7a van de Telecommunicatiewet volgt dat het via een elektronisch communicatienetwerk (zoals internet) of draadloos transmissiesysteem (zoals bluetooth) plaatsen of lezen van informatie op een randapparaat zoals een smartphone, onge acht of er sprake is van persoonsgegevens, uitsluitend is toegestaan op voorwaarde dat de gebruiker daarvoor toestemming heeft verleend én is voorzien van duidelijke en volledige informatie.

Deze bepaling bevat met andere woorden voor wat betreft de notifi catieapp een informatieplicht en een toestemmingsvereiste voor het opslaan van de notificatieapp op een smartphone, voor het uitwisselen van de contactcodes tussen deze smartphone en andere smartphones in de nabijheid die ook gebruik maken van de app, en v oor het uitsturen van een eventuele melding van de besmetting naar de server. De notificatieapp wordt zodanig ingericht dat aan deze vereisten is voldaan. Zo is het gebruik van de notificatieapp vrijwillig. Daarbij is van belang dat het niet geven van toestemming niet leidt tot ondermijning van de keuzevrijheid; mensen die de notifi catieapp niet willen gebruiken kunnen zich bij klachten gewoon laten testen en (vrijwillig) meewerken aan analoge bron - en contactopsporing. Verder wordt er bij het downloaden van de notificatieapp specifiek toestemming gevraagd voor zowel het gebruik van de app als de api.

Daarbij zal duidelijk worden gemaakt dat de toestemming ziet op (1) het opslaan van de notificatieapp, (2) het opslaan van de eigen TEK’s, (3) het verzenden van de eigen contactcodes aan gebruikers in de nabijheid en (4) het opslaan van contactcodes van andere gebruikers. Vervolgens wordt nadat een besmetting is geconstateerd toestemming gevraagd voor (5) het versturen van de TEK’s, contactcodes en dag van ziekteverschijnselen naar de server. 15 Zie ook overw. 43 uit de Preambule bij de AVG. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 25 | 72 Gegevensbeschermingseffectbeoordeling | PIA 12. Bijzondere persoonsgegevens Indien bijzondere of strafrechtelijke persoonsgegevens worden verwerkt, beoordeel of één van de wettelijke uitzonderingen op het verwerkingsverbod van toepassing is. Bij verwerking van een wettelijk identificatienummer beoordeel of dat is toegestaan.

Klik hier om infotekst te verbergen De AVG verbiedt de verwerking van bijzondere persoonsgegevens. Op dit verwerkingsverbod gelden de volgende uitzonderingen: a. de betrokkene heeft uitdrukkelijke toestemming gegeven; b. de verwerking is noodzakelijk met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten op het gebied van arbeids en sociaalzekerheidsrecht; c. de verwerking is noodzakelijk ter bescherming van vitale belangen van de betrokkenen of een ander; d. de verwerking wordt verricht door een instantie die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is; e. de verwerking betrekking heeft op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt; f. de verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering; g. de verwerking noodzakelijk is om redenen van zwaarwegend algemeen belang; h. de verwerking noodzakelijk is voor preventieve en arbeidsgene eskunde, voor de beoordeling van de arbeidsgeschiktheid, medische diagnosen, het verstrekken van gezondheidzorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en – diensten of sociale stelsel en diensten; i. de verwerking noodzakelijk is om redenen van algemeen belang op het gebied van de volksgezondheid; j. de verwerking noodzakelijk is met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden.

Verdere uitzonderingen zijn te vinden in nationale regelgeving. De AVG bepaalt daarnaast dat verwerking van strafrechtelijke gegevens alleen is toegestaan door of onder toezicht van de overheid of als dit bij wet geregeld is (zie voor de definitie van strafrechtelijke gegevens de toelichting bij punt 2). De verwerking van nationale identificatienummers is alleen toegestaan ter uitvoering van de wet of voor doeleinden die bij wet zijn bepaald. Overheidsorganen kunnen bij de uitvoering van hun publieke taak gebruik maken van het burgerservicenummer, zonder dat daarvoor nadere regelgeving vereist is. De Richtlijn schrijft voor dat verwerking van bijzondere persoonsgegevens slechts is toegestaan wanneer de verwerking strikt noo dzakelijk is, geschiedt met inachtneming van passende waarborgen voor de rechten en vrijheden van betrokkene, en: a. wettelijk is toegestaan; b. noodzakelijk is om vitale belangen van de betrokkene of een andere natuurlijke persoon te beschermen; of c. die verwerking betrekking heeft op gegevens die kennelijk door de betrokkene zelf openbaar zijn gemaakt.

De RPIs/contactcodes en TEKs kunnen in de validatiefase en koppelingsfase beschouwd worden als (zij het vergaand gepseudonimiseerde) gezondheidsgegevens. Onder omstandigheden bestaat dus de mogelijkheid dat TEKs en DKs gekwalificeerd kunnen worden als gegevens betreffende de gezondheid 16 , waarvoor een verwerkingsverbod geldt op grond van artikel 9, eerste lid, AVG. In dat geval moet het verwerkingsverbod worden ‘doorbroken’ op grond van één van de gronden geformuleerd in artikel 9, tweede lid, AVG. Voor de notificatie app kan gebruik worden gemaakt van de doorbrekingsgrond van artikel 9, tweede lid, onderdeel i, AVG. Deze bepaling, in combinatie met de Wpg, biedt een uitzondering op het verwerkingsverbod voor bijzondere persoonsgegevens om redenen van algemeen belang op het gebied van de volksgezondheid. 17 Uit overweging 46 AVG blijkt dat daaronder moeten worden verstaan de verwerking van bijzondere persoonsgegevens die de vitale belangen van betrokkenen dienen, bijvoorbeeld verwerking die noodzakelijk is voor het monitoren van een epidemie en de verspreiding daarvan. 18 13.

Doelbinding Indien de persoonsgegevens voor een ander doel worden verwerkt dan oorspronkelijk verzameld, beoordeel of deze verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens oorspronkelijk zijn verzameld. Klik hier om infotekst te verbergen De privacyregelgeving geeft als beginsel dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld en vervolgens niet verder mogen worden verwerkt op een met die doeleinden onverenigbare wijze. De AVG regelt dat de verdere verwerking voor een ander doel toegestaan is indien de verdere verwerking berust op toestemming van de betrokkene of op een specifiek wettelijk voorschrift, dat een noodzakelijke en evenredige maatregel is in een democratische samenleving ter waarborging van een belangrijke doelstelling van algemeen belang, bijvoorbeeld de nationale veiligheid, de openbare veiligheid, monetaire, budgettaire of fiscale aangelegenheden.

Daarnaast wordt de verdere verwerking ten behoeve van archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden als verenigbaar geacht met de oorspronkelijke doeleinden. Hieraan wordt wel de eis verbonden dat passende maatregelen worden getroffen om de betrokkene te beschermen. Bij conceptregelgeving moet worden beoordeeld of het noodzakelijk is om wettelijk te regelen dat verdere verwerking toegestaan is (zie ook punt 14 hierna), bijvoorbeeld in verband met de doorbreking van een geheimhoudingsplicht. Er is geen sprake van verdere verwerking door VWS of de GGD - en. 14. Noodzaak en evenredigheid Beoordeel of de voorgenomen gegevensverwerkingen noodzakelijk zijn voor het verwezenlijken van de verwerkingsdoeleinden. Ga hierbij in ieder geval in op proportionaliteit en subsidiariteit. a. Proportionaliteit: staat de inbreuk op de persoonlijke levenssfeer en de bescherming van de persoonsgegevens van de betrokkenen in evenredige verhouding tot de verwerkingsdoeleinden? 16 Artikel 4, aanhef en onder 15, AVG. 17 De definitie van de term ‘volksgezondheid’ die in dit kader wordt gehanteerd vloeit voort uit Verordening (EG) 1338/2008, en omvat het volgende: Artikel 3, aanhef en onder c, Verordening (EG) 1338/2008 c) ”volksgezondheid”: alle elementen in verband met de gezondheid, namelijk gezondheidstoestand, inclusief morbiditeit en beperkingen, de determinanten die een effect hebben op die gezondheidstoestand, de behoeften aan gezondheidszorg, middelen ten behoeve van de gezondheidszorg, de verstrekking van en de u niversele toegang tot gezondheidszorg, alsmede de uitgaven voor en de financiering van de gezondheidszorg, en de doodsoorzaken; 18 Overweging 46 AVG.

VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 26 | 72 Gegevensbeschermingseffectbeoordeling | PIA b. Subsidiariteit: kunnen de verwerkingsdoeleinden in redelijkheid niet op een andere, voor de betrokkene minder nadelige wijze, worden verwezenlijkt? Klik hier om infotekst te verbergen De privacyregelgeving geeft als beginsel dat de gegevensverwerking wordt beperkt tot wat noodzakelijk is voor de verwerkingsdoeleinden. Dit beginsel van minimale gegevensverwerking/dataminimalisatie komt verder tot uitdrukking door het gebruik van het woord ‘noodzakelijk’ in artikel 6 AVG en artikel 8 Richtlijn. De AVG en Richtlijn eisen hiermee dat de gegevensverwerking noodzakelijk is voor het verwezenlijken van de doeleinden. De gegevensverwerking moet daarbij voorts de toets aan de beginselen van proportionaliteit en subsidiariteit kunnen doorstaan. Proportionaliteit betekent dat moet worden beoordeeld of de indringendheid van de voorgenomen gegevensverwerking in een redelijke verhouding staat tot het doel.

Bij proportionaliteit wordt gewogen of de realisatie van de verwerkingsdoeleinden zodanig gewicht heeft dat de gegevensverwerkingen, gelet op de mate waarin deze de privacy beperken, deze rechtvaardigen (zijn de beperkingen van het grondrecht en het doel dat met de verwerking wordt beoogd met elkaar in balans?). Daarbij zal onder meer moeten worden gekeken of de voorgenomen gegevensverwerking effectief is om het beoogde doel te bereiken en of de aangevoerde redenen relevant en toereikend zijn om het beoogde doel te bereiken. Daarbij kunnen empirische onderzoeksresultaten helpen. Bij subsidiariteit wordt bekeken of de verwerkingsdoeleinden met minder ingrijpende middelen kunnen worden bereikt. Bijvoorbeeld: Ÿ kan bij het gebruik van bijzondere of strafrechtelijke persoonsgegevens hetzelfde resultaat behaald worden met gebruikmaking van een combinatie van gewone persoonsgegevens? Ÿ kan het verwerken van de persoonsgegevens in een beperktere vorm of met minder verwerkingen?

Zo kan in bepaalde gevallen met foto’s hetzelfde doel worden bereikt (bijvoorbeeld: identificatie) als met het verwerken van filmbeelden. Het subsidiariteitsbeginsel houdt bijvoorbeeld ook in dat als persoonsgegevens openbaar gemaakt gaan worden, niet automatisch alle persoonsgegevens openbaar worden gemaakt, maar een selectie wordt gemaakt op grond van gerechtvaardigde criteria. Bij deze afwegingen worden de doelen, belangen en feiten zoals in beeld gebracht in onderdeel A betrokken. Bij conceptregelgeving kunnen de uitkomsten van deze afweging worden meegenomen in de grondrechtentoets van het IAK. Proportionaliteit In de huidige fase van de bestrijding van COVID - 19 , waarin het aantal nieuwe besmettingen, ziekenhuisopnames en nieuwe opnames op de IC - afdelingen is afgenomen, is Nederland in een overgangsfase terechtgekomen waarin beperkende maatregelen worden versoepel d en het aantal contacten tussen personen geleidelijk weer toeneemt.

VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 27 | 72 Gegevensbeschermingseffectbeoordeling | PIA voor het doorbreken van de keten van infecties en het voorkomen van verdere infecties en levert daarmee een cruciale bijdrage aan de bestrijding van het virus. Dit sluit aan bij het uitgangspunt van de EDPB dat ‘het rechtskader voor gegevensbescherming is ontworpen met flexibiliteit voor ogen en als zodanig een efficiënte respons mogelijk maakt die de pandemie indamt en de fundamentele mensenrechten en vrijheden beschermt’. Verder wordt opgemerkt dat bij constatering van een (mogelijke) infectie door de GGd sprake is van een behandelrelatie tussen een geïnfecteerde burger en de GGD. Artikel 7:457 BW voorziet in een geheimhoudingsplicht daarvoor . Strikt genomen ziet dit niet op de app als zodanig, maar op het werk van de GGD, maar dat werk speelt in zekere zin wel een rol , omdat een gebruiker pas met de vaststelling door de GGD van een besmetting succesvol TEKs naar de back - end server kan uploaden.

De AVG bepaalt dat alle verwerkingen van persoonsgegevens moeten voldoen aan de vereisten van proportionaliteit en subsidiariteit. Dit houdt kort gezegd in dat ten eerste het doel en de aard en omvang van de gegevens die voor dat doel worden verwerkt met elkaar in verhouding moeten zijn en ten tweede dat altijd moet worden gekozen voor de minst ingrijpende verwerking van persoonsgegevens. Zoals eerder toegelicht wordt de app ingezet om bron - en contactopsporing door de GGD te ondersteunen en zo het virus sneller en beter te kunnen bestrijden: (1) Personen die in de nabijheid van geïnfecteerde personen zijn geweest worden sneller bereikt Het spreekt voor zich dat de analoge methode van contactopsporing niet alleen een arbeidsintensieve bezigheid is, maar ook beperkingen met zich brengt voor wat betreft de doeltreffendheid en de te verwerken aantallen meldingen. In veel gevallen moet worden onderkend dat mensen zich niet altijd exact herinneren met wie zij allemaal contact hebben gehad over een bepaalde tijdsperiode, laat staan dat men van al die personen de contactgegevens zou hebben.

Ook vergt het van de GGD veel tijd en mankracht om de contactpersonen te bereiken, waardoor geïnfecteerde personen intussen opnieuw andere personen kunnen besmetten. (2) Het bereik van het contactonderzoek wordt in belangrijke mate vergroot Iemand kan in de nabijheid zijn geweest van mensen die hij überhaupt niet kent en waarvan dus ook geen contactgegevens bekend zijn. Denk hierbij bijvoorbeeld aan een bezoek aan een speeltuin of park, een reis met het openbaar vervoer of deelname aan een demonstratie waarbij men andere mensen tegenkomt waarvan de identiteit onbekend is en ook niet via fysiek onderzoek te achterhalen is. Daarnaast is contact met een geïnfecteerd persoon om contacten te achterhalen niet altijd mogelijk bijvoorbeeld omdat die persoon fysiek daartoe niet in staat is. De ernst en de gevolgen van het virus, zowel voor individuen persoonlijk als op landelijke schaal leiden tot de conclusie dat het gedurende een beperkte termijn van 14 VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 28 | 72 Gegevensbeschermingseffectbeoordeling | PIA dagen verwerken van een zeer beperkt aantal gegevens die bovendien zo veel mogelijk lokaal op de smartphones van gebruikers worden opgeslagen proportioneel is.

Zeker voor wat betreft het waarschuwen van mensen die men niet kent is geen goed alternatief voorhanden. De verwerking van (persoons)gegevens is beperkt tot het strikt noodzakelijke. Voor zover als sprake is van verwerking van persoonsgegevens, gaat het om sterk gepseudonimiseerde persoonsgegevens. Daarnaast zijn ook verschillende andere passende technische en organisatorische beveiligingsmaatregelen getroffen (zie daarover ook onderdeel 16 en 17) . Effectiviteit en evaluatie De doeltreffendheid van de notificatieapp is exponentieel evenredig met het aantal personen dat eenzelfde app installeert en activeert. Fundamenteel vereiste voor een doeltreffende exit - strategie waarbij een notificatieapp wordt ingezet, is dan ook het vertrouwen van de burger in een dergelijke app en de grootst mogelijke vrijwillige deelname van de burger hieraan. Het gebruik ervan moet dan ook met de strengste waarborgen omkaderd zijn.

VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 29 | 72 Gegevensbeschermingseffectbeoordeling | PIA gaat eerst om testen in een laboratorium gevolgd door praktijktesten, eerst op kleine schaal en vervolgens in de regio Twente. Daarbij zullen ook medewerkers van de GGD en specifieke doelgroepen zoals slechthorenden/doven, slechtzienden/blinden en anderstaligen worden betrokken. Zoals ook de EDPB aanbeveelt, zal gedurende het gebruik van de notificatieapp onderzoek gedaan worden naar de effectiviteit en worden bui tenlandse ontwikkelingen op dit vlak nauwgezet gevolgd. De werking van de notificatie app zal verder worden gemonitord aan de hand van een vooraf vastgesteld evaluatieprotocol. Daarbij wordt periodiek bekeken of er daadwerkelijk sprake is van breder, snell er en efficiënter opsporen van besmette mensen en of er wellicht niet beoogde neveneffecten zijn die om bijsturing vragen.

Deze monitoring leidt zo nodig tot aanpassingen en bijstellingen van de notificatieapp, bijvoorbeeld door het aanpassen van de eerder genoemde waardes die zijn toegekend aan de parameters waarmee wordt berekend of er sprake was van een risicovol contact. Hiermee worden valse positieven zoveel mogelijk beperkt. Als de notificatieapp onvoldoende effectief blijkt, wordt het gebruik ervan b eëindigd. Artikel 8 EVRM Ingevolge artikel 8, tweede lid, EVRM wordt een inbreuk op de persoonlijke levenssfeer rechtens aanvaardbaar geacht indien deze een legitiem doel dient, de inbreuk bij wet wordt voorzien en de inbreuk noodzakelijk is in een demo cratische samenleving. In verband met het noodzakelijkheidsvereiste vervullen het dringend maatschappelijk belang en het proportionaliteitsvereiste een belangrijke functie. Het gerechtvaardigd doel van de notificatieapp is voor een belangrijk deel gelegen in de noodzakelijke bescherming van de volksgezondheid.

De notificatieapp geeft immers betere controle op besmettingshaarden en de verspreiding van het virus. Daarmee draagt de app ten eerste bij aan de bescherming van de volksgezondheid en ten tweede aan het verder VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 30 | 72 Gegevensbeschermingseffectbeoordeling | PIA kunnen afbouwen van de met de intelligente lockdown samenhangende beperkende maatregelen. De inzet van de notificatieapp maakt zoals toegelicht onderdeel uit van de bron - en contactopsporing van de GGD zoals geregeld in artikel 6, eerste lid, onderdeel c, Wpg. Met de app wordt de GGD ondersteund in de uitvoering van die taak. Daarmee is de inbreuk bij wet voorzien. De bron - en contactopsporing van de GGD is overigens slechts één van de maatregelen die op grond van de Wpg kunnen worden genomen, e n daarbij ook één van de lichtere. De Wpg biedt een grondslag om ingrijpende maatregelen in te zetten om infectieziekten te bestrijden, zoals gedwongen isolatie, gedwongen medisch onderzoek en sluiting van gebouwen en terreinen.

Rechten van de betrokkene Geef aan hoe invulling wordt gegeven aan de rechten van betrokkenen. Indien de rechten van de betrokkene worden beperkt, bepaal op grond van welke wettelijke uitzonderingen dat is toegestaan. Klik hier om infotekst te verbergen Betrokkenen hebben op grond van de privacyregelgeving diverse rechten, waarin ook staat op welke wijze en onder welke omstandigheden zij die rechten kunnen uitoefenen. Het betreft het recht op informatie, het recht van inzage, het recht op rectificatie, het recht op gegevenswis sing, het recht op beperking van de verwerking, een kennisgevingsplicht inzake rectificatie of wissing van persoonsgegevens, het recht op overdraagbaarheid van gegevens, het recht van bezwaar en het recht om niet onderworpen te worden aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit. Er zijn uitzonderingen mogelijk op de uitoefening van deze rechten, op voorwaarde dat de wezenlijke inhoud van de grondrechten en fundamentele vrijheden niet wordt aangetast en dat het gaat om noodzakelijke en evenredige maatregelen ter waarborging van enkele expliciet opgesomde belangrijke doelstellingen van algemeen belang.

Uitzonderingen moeten altijd op een nationale wet berusten, direct zijn toegestaan op grond van de bepalingen in de Europese privacyregelgeving. Indien in conceptregelgeving een uitzondering wordt gemaakt op de rechten van betrokkenen moet worden beoordeeld of dit is toegestaan op in de privacyregelgeving genoemde gronden én moeten specifieke bepalingen worden opgenome n met betrekking tot ten minste: a. de verwerkingsdoeleinden; b. de categorieën van persoonsgegevens; Uitvoering geven aan de rechten van betrokkenen is enkel mogelijk voor een beperkte duur tijdens de validatiefase. Op grond van artikel 11, tweede lid, AVG zijn de verwerkingsverantwoordelijken na verwijdering van de persoonsgegevens (TEKs) die zijn gedeeld met de back - end - server, niet gehouden uitvoering te geven aan artikelen 15 tot en met 20. Tijdens de overige verwerkingsfases worden geen persoonsgegevens verwerkt die in de invloedssfeer van de GGD of de minister van VWS liggen.

Dit is inherent aan het decentrale en privacyvriendelijke model waarvoor is gekozen. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 31 | 72 Gegevensbeschermingseffectbeoordeling | PIA C. Beschrijving en beoordeling risico’s voor de betrokkenen Beschrijf en beoordeel de risico’s van de voorgenomen gegevensverwerkingen voor de rechten en vrijheden van de betrokkenen. Houd hierbij rekening met de aard, omvang, context en doelen van de gegevensverwerking zoals in onderdeel A en B zijn beschreven en beoordeeld. Het gaat hierbij overigens niet om de risico’s van de verwerkingsverantwoordelijke zelf. 16. Risico’s Beschrijf en beoordeel de risico’s van de gegevensverwerkingen voor de rechten en vrijheden van betrokkenen. Ga hierbij in ieder geval in op: a. welke negatieve gevolgen de gegevensverwerkingen kunnen hebben voor de rechten en vrijheden van de betrokkenen; b. de oorsprong van deze gevolgen; c. de waarschijnlijkheid (kans) dat deze gevolgen zullen intreden; d. de ernst (impact) van deze gevolgen voor de betrokkenen wanneer deze intreden.

Klik hier om infotekst te verbergen Volgens de privacyregelgeving dient een PIA een beoordeling van risico’s voor de rechten en vrijheden van de betrokkenen te bevatten. Aan de hand van de aard, het toepassingsgebied, de context en de doeleinden van de gegevensverwerking dient de waarschijnlijkheid en de ernst van het risico voor de rechten en vrijheden van de betrokkenen te worden bepaald. Op basis van een objectieve beoordeling kan vastgesteld worden of de gegevensverwerking gepaard gaat met een (hoog) risico. Hiervoor is het nodig om de oorsprong, de aard, het specifieke karakter en de ernst van dat risico te evalueren. Het gaat hier om een risicogerichte benadering die kan bestaan uit de volgende stappen: 1. risico’s identificeren; 2. risico’s inschatten/analyseren; 3. risico’s beoordelen/evalueren. Deze benadering zal in grote lijnen vergelijkbaar zijn met een risicoafweging in het kader van informatiebeveiliging.

Daarom kan ook gebruik gemaakt worden van informatie die daaruit naar voren is gekomen. Anders dan bij deze risicoafweging die gericht is op de betrouwbaarheidseisen voor informatiesystemen, en daarmee de risico’s voor de verantwoordelijke (zoals aanpassing, vertrouwen, publiciteit, toezicht en handhaving, dienstverlening, betrouwbare informatie), ziet de risicoafweging van de PIA op de risico’s voor de betrokkenen. De privacyregelgeving schrijft niet voor op welke wijze de risicoanalyse moet worden uitgevoerd. Het verdient aanbeveling om aan te sluiten bij internationale standaarden, bijvoorbeeld van de International Organization of Standardization (ISO), Eenduidige Normatiek Single Information Audit (ENSIA) en Orga nisation for Economic Co operation and Development (OECD). 1. Risico’s identificeren De eerste stap is om potentiële privacyrisico’s vast te stellen. Een privacyrisico is een kans op het optreden van een negatief gevolg voor de rechten en vrijheden van de betrokkenen als gevolg van de verwerking van persoonsgegevens.

D. Beschrijving voorgenomen maatregelen In onderdeel D wordt be zien welke maatregelen kunnen worden getroffen om de in onderdeel C erkende risico’s te voorkomen of te verminderen. Welke maatregelen in redelijkheid worden getroffen is een belangenafweging van de wetgever of verwerkingsverantwoordelijke. Voor dit onderdeel van de PIA is, als het gaat om beveiligingsmaatregelen, expertise over informatiebeveiliging belangrijk. 17. Maatregelen Beoordeel welke technische, organisatorische en juridische maatregelen in redelijkheid kunnen worden getroffen om de hiervoor beschreven risico’s te voorkomen of te verminderen. Beschrijf welke maatregel welk risico aanpakt en wat het restrisico is na het uitvoeren van de maatregel. Indien de maatregel het risico niet volledig a fdekt, motiveer waarom het restrisico acceptabel is. Klik hier om infotekst te verbergen Denk bij maatregelen bijvoorbeeld aan: het extra informeren van de betrokkenen, een extra keuze , inspraak of bezwaarmogelijkheid voor de betrokkenen, periodieke controles, toezicht verstevigen, verhogen bewustwording en dataminimalisatie.

VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 32 | 72 Gegevensbeschermingseffectbeoordeling | PIA Er zijn diverse beveiligingsmaatregelen genomen om de beveiliging van de gegevens alsmede de bescherming van de persoonsgegevens te waarborge n: 1. Het kiezen voor een decentrale structuur, waarbij behalve het uitwisselen van sleutels in geval van besmetting alles op de mobiele telefoon gebeurt. Er is geen centrale administratie. 2. Er wordt gewerkt met pseudonieme gegevens, die niet zijn afgeleid van andere gegevens maar volledig willekeurig worden bepaald. Dit betekent dat er geen verborgen herleidbaarheid naar bijvoorbeeld een telefoon is of er een risico bestaat dat de berekening alsnog ongedaan kan worden gemaakt. 3. Infrastructuur a. Op de backend servers worden nog niet gevalideerde gegevens bij de Belastingdienst opgeslagen en niet bij een externe partij. Hierdoor is het mogelijk extra beveiligingsslagen te maken, zoals: i. Het scheiden van het IP - adres van de verstuurde data.

Hierdoor is het niet mogelijk te herleiden wie welke informatie heeft verstuurd. ii. Er is een scheiding tussen het Security Operations Center en het team aan de back - end, waardoor ook functioneel de TEKs zijn gescheiden van het IP - adres. Het personeel van de verschillende teams kan niet bij elkaars data. iii. Het gebruik van de informatie in het internetprotocol is beperkt tot het absoluut noodzakelijke en er is gekozen voor een korte dataretentie periode. iv. Inzet van het Security Operations Center voor bewaking en monitoring dat beschikt over goede SOPs (Standaard Operating Procedures), waardoor bij incidenten er ook eenduidig en goed handelingsperspectief is. Daarnaast werkt het SOC volgens het 4 - eyes principe wat betekent dat er altijd bij handelingen iemand meekijkt om fouten te voorkomen of zeer fors te reduceren. v. Gebruik van een validatiemechanisme om te voorkomen dat 1. ten onrechte iemand zich met COVID - 19 besmet meldt 2. op het netwerk (van een provider of aanbieder van Wifi) het mogelijk is te herleiden dat iemand besmet is met COVID - 19.

Dit is mogelijk door af en toe een dummy upload te doen van niet echte sleutels, waardoor netwerkverkeer niet automatisch een besmetting betekent maar ook zinloos verkeer kan zijn. vi. Inzet van het Security Operations Center van de Belastingdienst om actief te monitoren op aanvallen en (ver)storingen. Hierdoor is het mogelijk om snel in te grijpen bij incidenten. vii. Gebruik van standaard schaalbare technologie die hoog beschikbaar is van de Belastingdienst om bij een nieuwe golf van Corona - infecties ook grotere volumes aan uploads probleemloos aan te kunnen. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 33 | 72 Gegevensbeschermingseffectbeoordeling | PIA viii. Redundantie om bij (ver)storingen te kunnen blijven doordraaien. ix. Gebruik van een HSM voor de sleutels van de cryptrografie. b. Inzet van Microsoft Azure Content Delivery Netwerk (CDN) voor sleutels, die mogen worden gedownload.

Dit is openbare informatie bestemt voor apps om op te halen. Door het CDN in te zetten, kunnen grote aantallen apps gelijktijdig de gegevens ophalen zonder last hebben. Er zijn de volgende aanvullende maatregelen getroffen: i. Het inzetten van twee datacenters van Microsoft. Zo wordt bij een (ver)storing er een hogere beschikbaarheid gerealiseerd. ii. Monitoring door SOC Belastingdienst om aanvallen of (ver)storingen sne ller te detecteren iii. Het gebruik van datacenters binnen de Europese Economische Ruimte om juridische bedreigingen elders ter wereld te pareren iv. Het maken van afspraken in een Service Level Agreement om daarmee te borgen dat een minimaal serviceniveau wordt gehaald v. De inrichting wordt zo gedaan dat de IP - adressen niet worden bewaard. Dit betekent dat via het datacenter niet te achterhalen wie de app heeft geïnstalleerd. vi. De certificaten in de Azure omgeving staan in een vault en kunnen alleen door geautoriseerde medewerkers worden geplaatst. vii.

De te delen data mag technisch alleen vanuit het netwerk van de Belastingdienst worden aangeleverd. c. Op de telefoon wordt gebruik gemaakt van de DP3T - implementatie van Apple en Google. Deze laag geeft extra bescherming ten opzichte van het zelf maken, omdat deze is gebouwd met een wantrouwen in de richting van de app. Het protocol is verder state of the art op basis van de laatste wetenschappelijke inzichten. 4. Software ontwikkeling. Bij het ontwikkelen van de software zijn er diverse maatregelen getroffen: a. Het ontwerpen op basis van privacy by design b. Het ontwerpen op basis van security by design c. Het ontwikkelen van een cryptografisch raamwerk om versleuteling maximaal en zo effectief mogelijk in te zetten. Dit is een breed plan. d. Het houden aan programmeerstandaarden om zo zogenaamde spaghetticode te voorkomen en voldoende documentatie te leveren dat de broncode niet aan een of enkele personen hangt om te kunnen onderhouden e. Intensief programma voor hoogwaardige kwaliteit van broncode, waardoor de kans op fouten afneemt, er veiligere software wordt gemaakt dan zonder deze en intensief tijdens de ontwikkeling wordt getest.

Dat gebeurt met een aantal stappen: i. Inzet van SonarQube. Dit is een platform dat continue inspectie van de broncode. Hiermee kunnen fouten (bugs), VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 34 | 72 Gegevensbeschermingseffectbeoordeling | PIA onderliggende problemen (code smells) en beveiligingszwakheden snel worden gevonden. Deze fouten worden actief tijdens het ontwikkelen gezocht. Daarnaast checkt de software op: 1. het niet houden aan programmeerstandaarden waardoor de app niet onderhoudbaar zou zijn . 2. gebrekkige uitleg in de code waardoor deze door het volume al snel niet meer te onderhouden is . 3. verificatie op code die dubbel aanwezig is . 4. Het uitvoeren van unit tests tijdens de ontwikkeling. Dit betekent dat ieder onderdeel van de software ook los wordt getest van een test over het geheel ii. Er is een quality assurance team dat handmatig testen uitvoert op de werking van software. iii.

Een ander team voert zogenaamde code reviews uit op de broncode. Dit betekent dat er handmatig wordt gekeken naar de broncode om zo fouten, beveiligingsproblemen en andere problemen op te sporen. iv. Naast de interne slagen is de broncode vrijgegeven als open - sourcesoftware. Dankzij de inzet van een community manager is er een gemeenschap van kritisch meekijkende experts, die aanvullende feedback geven. Hierdoor is er in de fase voor de livegang aanvullende meerwaarde gecreëerd als kwaliteitsslag. v. Er geldt een coordinated vulnerability disclosure om eventuele problemen van derden in ontvangst te nemen. 5. Brede samenwerking en feedbackloops: a. Samenwerking in het eHealth netwerk van de Europese Unie om best practices te delen, zoals bijvoorbeeld het coördineren van technische issues, het uitwisselen van DPIA’s en risicoinschattingen, coördinatie op het gebied van cryptografie. b. Het hebben van een begeleidingscommissie met onafhankelijke experts, die niet op een andere manier bij het project zijn betrokken (onafhankelijkheid). 6.

Interne verificatieslagen. Intern worden een aantal stappen gezet om de kwaliteit en beveiliging van de totale oplossing (app plus backend) te toetsen: a. Uitgebreide pentest door pentesters in dienst van de overheid. b. Uitgebreide codereview door overheidsreviewers. c. Itensieve verificatie van configuratie en hardening 7. Externe verificatie. Op weg naar de livegang wordt er een brede inventarisatie gedaan op het gebied van informatiebeveiliging en privacybescherming. De verslaglegging wordt zo maximaal mogelijk openbaar. Hiervoor worden de volgende maatregelen en onderzoeken gedaan: a. Het opdelen van de verificatie in veel verschillende percelen, die ieder door een ander bedrijf worden afgetest: i. Hierdoor vindt er een druk tussen de bedrijven plaats, omdat er een dreiging is dat bevindingen over het hoofd worden gezien. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 35 | 72 Gegevensbeschermingseffectbeoordeling | PIA ii.

Review van de privacyfeatures van de app en de backend, beoordeling van de DPIA. v. Uitvoeren van een analyse op het voldoen aan de BIO door de Belastingdienst . vi. Vergaren van externe analyses en certificeringen van Microsoft voor hun CDN . vii. Verificatie van de instellingen in de backend conform de afspraken . c. Het laten opstellen van een overall review over de onderzoeken om extra waarborgen te creëren dat de beveiliging en privacybescherming maximaal zijn geborgd. d. Een procedurele toelichting over het doorlopen proces e. Het gebruik van de open - sourcecommunity voor feedback f. Het starten van een bugbounty om doorlopend te blijven zoeken naar verbeter mogelijkheden g. Het organiseren van een verified built wat betekent dat een notaris toeziet dat de openbaar gemaakte broncode van de app daadwerkelijk wordt omgezet naar programmatuur en wordt gepubliceerd in de Apple en Google appstore.

Van deze actie wordt een verslag gemaakt. 8. Risico - analyse. In aanloop naar de testfase heeft er een intensief proces plaatsgevonden om met de inlichtingendiensten, de NCTV en het NCSC om te komen tot een risicoinschatting met bijbehorende mitigatiemaatregelen voor eventuele dreigingen op basis van actoren en te beschermen belangen. Deze maatregelen zijn doorgevoerd bij livegang. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 36 | 72 Gegevensbeschermingseffectbeoordeling | PIA 9. Als onderdeel van de dreigingsanalyse wordt regelmatig contact onderhouden met de NCTV, het NCSC en de inlichtingendiensten om veranderingen in het dreigingslandschap snel in maatregelen om te zetten. 10. Bij het verspreiden van de app voeren zowel Apple als Google aanvullende verificatieslagen op de werking van de app uit. Daarmee wordt voorkomen dat de app onbedoelde functionaliteit heeft.

Deze worden in de testfase op dezelfde geverifieerd als in de praktijk. 11. Op de portal van de GGD wordt gebruik gemaakt van meerfactorauthenticatie om een verificatiecode te maken. Z ie voor een verdere uitwerking bijlage 1 . De (ook in bijlage 1 uitgewerkte) getroffen beveiligingsmaatregelen maken naar het oordeel van VWS dat van een restrisico geen sprake meer is, laat staan van een onacceptabel restrisico. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 37 | 72 Gegevensbeschermingseffectbeoordeling | PIA VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 38 | 72 Gegevensbeschermingseffectbeoordeling | PIA Bijlage 1 : Risico’s en Maatregelen Vragen over nut en noodzaak van een DPIA: Is er sprake van een grootschalige verwerking? Ja. Knock - out vragen: • Worden er bijzondere categorieën van persoonsgegevens verwerkt? Ja. De TEKs zijn bij een upload naar de server in theorie tot een persoon te herleiden.

Omdat upload alleen moge lijk is na een positieve uitslag op een COVID - 19 test is er sprake van een gezondheidsgegeven. • Is er sprake van surveillance in de openbare ruimte? Nee. • Is er sprake van stelselmatig volgen van betrokkenen? Nee. Hier is juist niet sprake van het volgen va n betrokkenen. De app is zo gemaakt dat het volgen van betrokkenen niet mogelijk is. • Is er sprake van kwetsbare groepen? Nee. • Is duidelijk of de organisatie namens zichzelf verwerkt? Ja. • Zijn de grondslagen gedocumenteerd? Ja. Conclusie: Het uitvoeren va n DPIA wenselijk en noodzakelijk. Hoe is de risico - inschatting gemaakt? Er wordt gekeken naar de impact van een risico als dat zou materialiseren en de kans dat dit daadwerkelijk gebeurt. Daarbij wordt een score gemaakt op basis van Laag, Medium , Hoog. D e normering is dan als volgt: Impact Hoog – De gevolgen voor de betrokkene hebben bij het materialen van het risico forse invloed op het leven van de betrokkene Middel – De gevolgen voor de betrokkene hebben bij materialiseren van het risico geen beperkte impact op het leven van de betrokkene Laag – De gevolgen voor de betrokkene hebben materialiseren van het risico weinig of verwaarloosbare invloed op het leven van de betrokkene Kans Hoog – Het is zeer waarschijnlijk of zeker dat het risico zal materialiseren Middel – Het is denkbaar dat dit risico zal materialiseren Laag – Het is onwaarschijnlijk dat dit risico zal materialiseren Het risico wordt als volgt samengesteld: Impact Kans Risico Laag Laag Laag - Laag Laag Medium Laag Laag Hoog Medium Medium Laag Laag Medium Medium Medium Medium Hoog Hoog Hoog Laag Medium Hoog Medium Hoog Hoog Hoog Hoog - Hoog VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 39 | 72 Gegevensbeschermingseffectbeoordeling | PIA 1.

Gebruiker onvoldoende specifiek geïnformeerd Fase: Installatiefase Categorie: Geïnformeerde vrije keuze Incident: Te weinig specifiek Impact: Medium. Als een betrokkene onvoldoende specifiek is geïnformeerd, is het denkbaar dat onaangenaam wordt verrast wanneer een melding op de telefoon wordt gegeneerd. Kans: Laag. Rond deze app is fors meer informatie beschikbaar dan bij andere apps het geval is. Naast de teksten in de app store, is er veel media aandacht, is er een overheidscampagne beschikbaar. Risico: Laag Maatregelen: • Er is onderzoek gedaan naar user - interaction - design om een helder mogelijke interface te maken. • Er wordt een praktijktest georganiseerd in Twente gericht op de user interface • Er zijn duidelijk beschrijvingen • Er komt een duidelijk privacystatement Beperking/Uitdaging: Impact n a maatregelen: Medium. Als iemand onvoldoende geïnformeerd is dan zal de impact ondanks de maatregelen niet veranderen.

Kans na maatregelen: Laag. De maatregelen zullen al lage risico verlagen. Risico na maatregelen: Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 40 | 72 Gegevensbeschermingseffectbeoordeling | PIA 2. Onvrijwillige installatie Fa se: Installatiefase Categorie: Geïnformeerde vrije keuze Incident: Niet vrijelijk gegeven Impact: Laag. Als iemand wordt gedwongen de app te installeren dan zal dat voor de betrokkene als onwenselijk worden ervaren. Het heeft echt geen dermate invloed dat de loop van het leven verandert en het betekent nog niet dat daadwerkelijk informatie wordt verstrekt. Kans: Laag. Bij installatiefase wordt de app geïnstalleerd en gebeurt niet direct iets met persoonsgegevens. Er wordt een beleid gevoerd rond de vrijwilligheid om te installeren. We laten nadrukkelijk geen mensen onder druk zetten. Risico: Laag – Laag Maatregelen: • Heldere communicatie met betrekking tot de vrij willigheid van het gebruik van de app • Aandacht in de media voor de app en de vrijwilligheid ervan • Er is een Corona wet in de maak, die een zware sanctie zet op dwang (half jaar cel, 8.000 euro boete) Beperking/Uitdaging: Google weigert bepaalde teksten i n het besturingssysteem aan te passen, waardoor onduidelijk kan ontstaan rond de API. – Weigering OS - makers bepaalde teksten besturingssysteem aan te passen (Google) Impact na maatregelen: Laag.

Impact verandert niet. Kans na maatregelen: Laag. De kans wo rdt kleiner indien de maatregelen worden genomen. Risico na maatregelen: Laag - Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 41 | 72 Gegevensbeschermingseffectbeoordeling | PIA 3. Geblokkeerde app in de store Fase: Installatie Categorie: Middelen Incident: Een app is geblokkeerd in de store. Derden gebruiken (automatische/juridische) takedown proc essen om te app tijdelijk opgeschort te laten worden in de app - store, bijvoorbeeld door een oneigenlijke auteursrechtelijke claim in te dienen. Impact: Medium. Een betrokkene verwacht te worden gewaarschuwd en kan van de dienst geen gebruik maken. Dat za l leiden tot ongemak. Kans: Laag. Gelet op het mogelijk afbreukrisico (schadeclaim) is de kans niet groot dat dit snel zal gebeuren. Risico: Laag. Maatregelen: • Afspraken maken met Google/Apple dat er geen geautomatiseerde take - down zal zijn • Piketdienst om op verstoringen als deze snel te acteren • Follow - beleid om de schade te verhalen.

Bij auteursrechtenclaims betaalt de partij die ongelijk krijgt alle noodzakelijke kosten Beperking/Uitdaging: Impact na maatregelen: Medium. Impact verandert n iet. Kans na maatregelen: Laag. Risico na maatregelen: Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 42 | 72 Gegevensbeschermingseffectbeoordeling | PIA 4. Replay van RPI’s Fase: Uitwisselingsfase Categorie: Gegevens Incident: Met een replay aanval worden opnames gemaakt van uitgezonden (al dan niet via de ether) data om deze op een later moment nogmaals uit te zenden. Hierdoor wordt een verwerking nogmaals gedaan door eenzelfde of een ander systeem. RPIs kunnen op deze manier worden opgenomen en vervolgens opnieuw worden uitgezonden. Hierdoor lijkt het alsof iemand vlakbij is geweest. Er kunnen b ij zo’n aanval ten onrechte RPI’s worden verwerkt. Het probleem daarbij ontstaat op het moment dat er een RPI tussen zit die gecorreleerd is met iemand die in het recen t e verleden of de nabije toekomst bekend staat/komt als een COVID - 19 - besmetting.

Een aan val is lastig om op grote schaal te doen, het kan eigenlijk alleen realistisch in een klein gebied met een beperkt aantal telefoons. Impact: Medium. Wanneer een RPI wordt uitgezonden die later blijkt te behoren bij een persoon die positief test op COVID - 1 9 dan is het mogelijk dat er een melding door de app wordt gegenereerd. De betrokkene zou in dat geval een advies kunnen krijgen een test te doen. Dat is een onprettige ervaring, maar niet een die het leven blijvend op de kop zal zetten. Kans: Laag. Het is heel moeilijk om een dergelijke aanval met succes uit voeren, waarbij het resultaat ook is dat iemand een melding krijgt. Het uitvoeren op grote schaal zonder ontdekking is ingewikkeld. Daarbij is het risico beperkt tot het 15 minuten tijdsframe voor er e en nieuwe RPI wordt aangemaakt. Risico: Laag. Maatregelen: • Er is redelijke bescherming van de integriteit van het bericht • Opvolging op basis van het verwerkingsverbod onder de AVG (een onbevoegde mag geen gezondheidsgegevens verwerken); • Betrokkene wijzen op de mogelijkheid om de overtreder aansprakelijk te stellen en een schadevergoeding te eisen op basis van artikel 82 AVG.

Dit beleid actief te communiceren. • Opvolging op basis van computervredebreuk en het toevoegen van gegevens aan een geautomatiseerd werk (138ab/350a Sr.) De ervaring leert dat zowel de strafeis als de strafoplegging forse hoger zijn bij Corona - aso’s. Beperking/Uitdaging: Grote (institutionele) partijen (winkelcentra, NS, Schiphol, Ziggo/etc) kunnen in grote gebieden lui steren c.q. hun infrastructuur kan gehijacked worden omdat te doen. In dat laatste geval is er wel sprake van een beveiligingsincident van nationale omvang. Impact na maatregelen: Medium. Impact zou niet veranderen. Kans na maatregelen: Laag. Risico na maatregelen: Laag. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 43 | 72 Gegevensbeschermingseffectbeoordeling | PIA 5. Gemanipuleerde RPI’s via relay Fase: Uitwisselingsfase Categorie: Gegevens Incident: Bij een relay aanval wordt data op een bepaald punt opgevangen om deze op een andere locatie weer uit te zenden.

Impact: Medium. Wanneer een RPI wordt uitgezonden die later blijkt te behoren bij een persoon d ie positief test op COVID - 19 dan is het mogelijk dat er een melding door de app wordt gegenereerd. De betrokkene zou in dat geval een advies kunnen krijgen een test te doen. Dat is een onprettige ervaring, maar niet het leven blijvend op de kop zetten. Kan s: Laag. Het is zeer bewerkelijk om uit te voeren, waarbij de kans op succes relatief laag is. Risico: Laag. Maatregelen: • De RPI’s wisselen om de 15 minuten en moeten binnen die tijd worden uitgezonden. • Opvolging op basis van het verwerkingsverbod onder de AVG (een onbevoegde mag geen gezondheidsgegevens verwerken); • Betrokkene wijzen op de mogelijkheid om de overtreder aansprakelijk te stellen en een schadevergoeding te eisen op basis van artikel 82 AVG. Dit beleid actief te communiceren. • Opvolging op basis van computervredebreuk en het toevoegen van gegevens aan een geautomatiseerd werk (138ab/350a Sr.).

De ervaring leert dat zowel de strafeis als de strafoplegging forse hoger zijn bij Corona - aso’s. Beperking/Uitdaging: Impact na maatreg elen: Medium. De impact verandert door de maatregelen niet. Kans na maatregelen: Laag. Risico na maatregelen: Laag. 23 https://arxiv.org/pdf/2006.05914.pdf VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 44 | 72 Gegevensbeschermingseffectbeoordeling | PIA 6. Denial of Service Fase: Uitwisselingsfase Categorie: Gegevens Incident: Uitzenden extreme volumes snel wisselende RPIs, zal notificatie - a pp in klein gebied effectief onbruikbaar maken. Impact: Medium. Een gebruiker zou in een geval waar deze tijdens de aanval in contact staat met iemand die later positief test voor COVID - 19 zou een terechte notificatie kunnen missen. Kans: Laag. Het is ee n behoorlijk specifieke aanval, die gedurende langere tijd op dezelfde telefoons moet worden uitgevoerd om succesvol te zijn.

Risico: Laag. Maatregelen: • De RPI’s wisselen om de 15 minuten en moeten binnen die tijd worden uitgezonden. • Opvolging op basis van computervredebreuk en het ontoegankelijk maken van gegevens van een geautomatiseerd werk (138ab/350a Sr.). De ervaring leert dat zowel de strafeis als de strafoplegging forse hoger zijn bij Corona - aso’s. Beperking/Uitdaging: Het risico speelt in de AP I - laag van Apple en Google, waardoor er afhankelijkheid is van technische maatregelen die deze bedrijven nemen. Welke dat zijn is onduidelijk. Daarom leunen we alleen op organisatorische maatregelen. Impact na maatregelen: Medium. De impact verandert niet . Kans na maatregelen: Laag. Risico na maatregelen: Laag. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 45 | 72 Gegevensbeschermingseffectbeoordeling | PIA 7. Onbevoegde tracking Fase: Uitwisselingsfase Categorie: Omgeving Incident: Het is mogelijk dat personen digitaal worden gevolgd.

De traceerbaarheid van personen is mogelijk over periodes van 15 minuten, omdat daarna de RPI verandert. Indien er een buitengewoon klein aantal mensen in het gebied onder observatie is, bestaat de mogelijkheid om een redelijk beeld te krijgen over die 15 minuten heen. Daarbij moet worden opgemerkt dat het eenvoudiger i s om ‘reguliere’ wifitracking uit te voeren. Impact: Laag. De tracking heeft geen directe impact op de personen, omdat de partijen die dit doen niet kunnen herleiden naar een persoon. Kans: Laag. Gelet op de wettelijke verboden is de kans klein dat dit op enige schaal zal gebeuren. Risico: Laag - Laag Maatregelen: • Opvolging op basis van het verwerkingsverbod onder de AVG (een onbevoegde mag geen gezondheidsgegevens verwerken); • Betrokkene wijzen op de mogelijkheid om de overtreder aansprakelijk te stellen en een schadevergoeding te eisen op basis van artikel 82 AVG. Dit beleid actief te communiceren. • Actieve opvolging op basis van in ieder geval overtreding van in ieder geval 350a Sr. en waar mogelijk andere wetsartikelen.

De ervaring leert dat zowel de str afeis als de strafoplegging forse hoger zijn bij Corona - aso’s. Beperking/Uitdaging: Het is een fundamentele eigenschap van het protocol om Bluetooth - signalen te kunnen opvangen en RPI’s uit te wisselen. Het zou hier onbevoegd gebruik betreffen. Impact na maatregelen: Laag. Het inzetten van de gegevens is dermate onaantrekkelijk dat een geavanceerde aanval met dit doel niet logisch is. Kans na maatregelen: Laag Risico na maatregelen: Laag - Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 46 | 72 Gegevensbeschermingseffectbeoordeling | PIA 8. Reconstructie van gangen van mobiele telefoons Fase: Uitwiss eling Categorie: Omgeving Incident: Een partij met een inrichting met veel systemen en antennes gericht op het afvangen van signalen in grote gebieden zou de gangen van een persoon in dat gebied kunnen nagaan als deze persoon zijn of haar besmetting public eert.

Dit komt omdat de RPI’s na publicatie zijn te herleiden. Impact: Middel. Er zou onrechtmatig een patroon van een COVID - 19 - besmette betrokkene worden gemaakt. Deze zou daar tijdelijk overlast van kunnen ondervinden door onheuse bejegening onrechtmatig weigeren van toegang. Kans: Laag. Om een dergelijke aanval moet er sprake zijn een grote partij die deze aanval uitvoert of een criminele organisatie van veel samenwerkende partijen. De aanval is louter gericht op een COVID - 19 geïnfecteerde m et een app. Voor het volgen van mensen door grote organisaties is het waarschijnlijker dat er gebruik wordt gemaakt van wifi of bluetooth tracking in plaats van het implementeren van DP3T - protocol. Risico: Laag. Maatregelen: Het is een fundamentele eig enschap van het protocol om Bluetooth - signalen te kunnen opvangen en RPI’s uit te wisselen. Het zou hier onbevoegd gebruik betreffen. Wanneer de infrastructuur van een grote partij wordt overgenomen om te misbruiken voor dit risico dan zou er sprake zijn v an een informatiebeveiligingsincident met uitstraling van het bedreigen van de nationale veiligheid).

Beperking/Uitdaging: Impact na maatregelen: Laag. Om deze gegevens te misbruiken moet een geavanceerde aanval worden uitgevoerd met een enorm afbreukris ico. Kans na maatregelen: Laag. Risico na maatregelen: Laag - Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 47 | 72 Gegevensbeschermingseffectbeoordeling | PIA 9. Depseudoni misatie Fase: Uitwisselingsfase Categorie: Omgeving Incident: Bij het zeer stelselmatig onrechtmatig observeren (bijvoorbeeld onrechtmatige observatie door een burger, OV - chipkaartpoortje, check - in bij gebouw) zou het mogelijk zijn dat op basis van een gepubliceerde melding het toch mogelijk is een betrokke ne te identificeren. Dit probleem is van wetenschappelijke onderbouwing voorzien in de Mind the GAP - analyse 24 . Impact: Middel. Iemand krijgt onrechtmatig te weten dat een persoon met COVID - 19 besmet is. Het is denkbaar dat op basis van deze informatie een onrecht mat ige daad zou worden gepleegd (bijvoorbeeld het weigeren van een persoon op een locatie).

Kans: Laag. Het is voor een enkele partij zeer arbeidsintensief om de informatie bij te houden en te koppelen. Voor grote partijen is het onwaarschijnlijk om dat het verboden is en er snellere methoden zijn om een COVID - 19 - besmetting in kaart te brengen. Denk bijvoorbeeld aan het meten van de temperatuur van een bezoeker. Iets wat her en der in de praktijk ook gebeurt. Risico: Laag. Maatregelen: • Het rege lmatig wisselen van de RPI • Opvolging op basis van het verwerkingsverbod onder de AVG (een onbevoegde mag geen gezondheidsgegevens verwerken); • Betrokkene wijzen op de mogelijkheid om de overtreder aansprakelijk te stellen en een schadevergoeding te eisen op basis van artikel 82 AVG. Dit beleid actief te communiceren. • Opvolging op basis van computervredebreuk en het toevoegen van gegevens aan een geautomatiseerd werk (138ab/350a Sr.). De ervaring leert dat zowel de strafeis als de strafoplegging forse hoger zijn bij Corona - aso’s.

Beperking/Uitdaging: Impact na maatregelen: Laag. Het gebruiken van de informatie die eventueel wordt verkregen, introduceert voor de dader een risico op problemen op basis van aansprakelijkheid, AVG en he t strafrecht. Kans na maatregelen: Laag. Risico na maatregelen: Laag - Laag 24 https://arxiv.org/pdf/2006.05914.pdf VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 48 | 72 Gegevensbeschermingseffectbeoordeling | PIA 10. Justitie of inlichtingendiensten verschaffen zich toegang tot telefoon Fase: Uitwisselingsfase Categorie: Omgeving Incident: OM of veiligheids - en inlichtingendiensten van Neder land of een land waar de betrokkene zich bevindt verschaffen zich toegang tot RPIs of TEKs van telefoon door hier fysiek toe te krijgen en de API - laag van Google/Apple te kraken. Impact: Hoog. De informatie kan in de verkeerde context leiden tot negatieve beeldvorming of tegen de persoon worden ingezet.

Kans: Laag. De telefoon bewaart alleen de laatste twee weken en dat er daadwerkelijk toegang is tot iemands telefoon is klein. Het is waarschijnlijker dat langs andere weg dezelfde informatie sneller en ef fectiever wordt verkregen. En daarbij kunnen OM of inlichtingendiensten alleen onder de daarvoor in wet - en regelgeving gestelde voorwaarden, en met inachtneming van de daarin voorziene waarborgen en beperkingen, zich daartoe toegang verschaffen . Risico: M edium . Maatregelen: • Er staat een verzoek uit bij het Parket Generaal en de AIVD om zeer terughoudend om te gaan met de informatie van de COVID - 19 - notificatieapp. Dit is momenteel in beraad. • Google en Apple hebben versleuteling aangebracht, die eerst moet worden gekraakt alvore n s de toegang succesvol is. • Google en Apple maken geen cloud backups van de DP3T - gegevens. Hierdoor is deze informatie niet langs andere weg te krijgen.

Er moet fysieke toegang tot de telefoon zijn. • De API is zo ingericht dat andere a pps dan de Rijksoverheid app er niet bij kunnen. Daarnaast is de inrichting volgens het model dat Google/Apple de derde partij (onze app) standaard wantrouwend benaderen Beperking/Uitdaging: Impact na maatregelen: Laag. Als er afspraken komen dan is de data off limits en zal dan ook niet snel te gebruiken zijn. Kans na maatregelen: Laag. Risico na maatregelen: Laag - Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 49 | 72 Gegevensbeschermingseffectbeoordeling | PIA 11. API of andere apps slaan RPI’s te lang op Fase: Uitwisselingsfase Categorie: Gegevens Incident: Het API of een andere app van de mobiele telefoon bewaren RPI’s langer dan de afgesproken 14 dagen. Dit zou kunnen gebeuren door een fout in de software. Impact: Laag. Er wordt geen informatie zomaar buiten d e telefoon gebracht.

De ouderdom van een contact speelt een rol bij het tonen van een besmettingsmelding en daarmee is de kans op extra false positives heel laag. Kans: Laag. Dit is afgetest en wordt gecontroleerd. Risico: Laag – Laag Maatregelen: Wordt door de API van Apple/Google ge b lokkeerd Beperking/Uitdaging: Impact na maatregelen: Laag Kans na maatregelen: Laag Risico na maatregelen: Laag - Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 50 | 72 Gegevensbeschermingseffectbeoordeling | PIA 12. Derden slaan RPI’s te lang op Fase: Uitwisselingsfase Categorie: Gegevens Incident: Derden slaan RPI’s te lang op Impact: Laag. Er wordt geen informatie zomaar buiten de telefoon gebracht. De ouderdom van een contact speelt een rol bij het tonen van een besmettingsmelding en daarmee is de kans op extra false positives heel laag . Kans: Laag. De Google/Apple API slaat informatie niet langer op en blokkeert onrechtmatige apps voor gebruik.

Reguliere DP3T apps in andere landen voldoen aan dezelfde standaarde n . Risico: Laag - Laag Maatregelen: Wordt door API onmogelijk gemaakt Beperki ng/Uitdaging: Impact na maatregelen: Laag Kans na maatregelen: Laag Risico na maatregelen: Laag - Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 51 | 72 Gegevensbeschermingseffectbeoordeling | PIA 13. Besturingssysteem of andere apps zien TEKs Fase: Uitwisselingsfase Categorie: Gegevens Incident: Een andere app of het besturingssysteem ziet de TEKs op de mobiele telefoon heeft toegang tot TEKs. Impact: Laag. Toegang door een andere app of het besturingssysteem op zichzelf maakt geen onrechtmatige verwerking of leidt niet tot het lekken van informatie, zolang de data binnen hetzelfde geautomatiseerde w erk (de mobiele telefoon) blijft. Kans: Laag. De API van Apple/Google is gemaakt om juist deze data te beschermen en weg te houden bij het OS of andere apps.

Per land is er maar een app die toegang mag hebben tot deze data. Risico: Laag - Laag Maatregelen : De Google/Apple API - laag blokkeert de informatie voor andere apps en het eigen besturingssysteem. Beperking/Uitdaging: Impact na maatregelen: Laag Kans na maatregelen: Laag Risico na maatregelen: Laag - Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 52 | 72 Gegevensbeschermingseffectbeoordeling | PIA 14. Wetenschappers verzamelen TEKs Fase: Uitwisselingsfase Categorie: Gegevens Incident: Wetenschappers verzamelen grote aantallen TEKs over zeer lange periodes op. Op grote schaal worden deze verwerkt en bestudeerd. De huidige cryptographische tech n ieken volg ens E - Crypt/ENISA zijn geschikt, maar gaan wel uit van een korte levensduur van de TEKs. Het is waarschijnlijk niet bestand tegen wetenschappelijk onderzoek dat zeer langdurig (bijvoorbeeld meer dan 50 jaar).

Impact: Laag. Er is geen directe herleidbaarh eid naar de persoon. Het meest waarschijnlijk is dat dit in een labomgeving zal gebeuren. Daar waar daadwerkelijke gegevens worden gebruikt, is de inbreuk zeer beperkt. Over 50 jaar zal het niet interessant zijn welke burger met wie in verbinding stond. Ka ns: Hoog. Het is zeer waarschijnlijk dat er veel wetenschappelijk onderzoek zal volgen op de Corona - crisis. Dat het wetenschappelijke DP3T - protocol daarmee onderwerp van onderzoek zal worden, is waarschijnlijk. Over er voldoende geld komt voor een dergelij k langlopend onderzoek en dit langs een ethische commissie zal komen, is zeer twijfelachtig. Risico: Medium Maatregelen:Cryptografie geschikt volgens EU normen voor 50 jaar Beperking/Uitdaging:Alle cryptografie is afhankelijk van een random number generat or. Het is onduidelijk hoe goed deze over de tijd zal blijken voor mobiele devices.

Impact na maatregelen: Laag. Kans na maatregelen: Hoog. Risico na maatregelen: Medium . VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 53 | 72 Gegevensbeschermingseffectbeoordeling | PIA 15. Menselijke fouten bij vrijgeven code Fase: Validatiefase Categorie: Mensen Incide nt: Fout bij vrijgeven code. Een medewerker van de GGD voert een code voor vrijgave verkeerd in (al dan niet bewust) bijvoorbeeld bij een verkeerde persoon. Hierdoor zal een upload van sleutels niet leiden tot publicatie. Tot de medewerkers behoren ook cal lcenter medewerkers die worden ingehuurd en minder bedreven zijn met de GGD - processen en daardoor sneller fouten maken. Impact: Medium . Er worden sleutels geüpload, die niet doorvloeien om te worden verspreid. Hierdoor is het mogelijk dat er bij betrokken e informatie niet doorkomt, waardoor zij geen notificatie krijgen waar dat wel wenselijk is.

De impact zal effect hebben bij nieuwe haarden bij Corona - uitbraken. Het is redelijk te verwachten dat er dan meer contacten zijn, die leiden tot een melding. Voor de betrokkene persoonlijk is de impact beperkt, omdat het beleid en advies momenteel is om bij de minste klachten een test te ondergaan. Kans: Medium. De kans op fouten zal toenemen als de druk op de teststraten toeneemt en er meer mensen positief worden bevonden. Bij een tweede golf van Corona - uitbraak zal de druk op medewerkers toenemen. Risico: Laag. Maatregelen: • Opleiding GGD - medewerkers, in validatieproces directe terugkoppeling aan GGD - medewerkers over juistheid code geven. • Ontwikkelen van een vriendelijke gebruikersinterface die leidt tot minder fouten. Beperking/Uitdaging: Impact na maatregelen: Laag. De kans op fouten neemt fors af tot een enkel incident. Kans na maatregelen: Laag Risico na maatregelen: Laag - Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 54 | 72 Gegevensbeschermingseffectbeoordeling | PIA 16.

Kans na maatregelen: Laag. Risico na maatregelen: Laag - Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 55 | 72 Gegevensbeschermingseffectbeoordeling | PIA 17. Gebruiker onvoldoende specifiek geïnformeerd Fase: Validatiefase Categorie: Geïnformeerde vrije keuze Incident: Een gebruiker is onvoldoende geïnformeerd dat het uploaden van sleutels vrijwillig is of is niet specifiek genoeg geïnformeerd. Impact: Medium. Het uploaden beteken t niet dat iemand herleidbaar wordt, omdat daar veel maatregelen tegen zijn getroffen en de pseudonimisatie cryptografisch goed geborgd is. Er is dan ook geen directe impact voor de betrokkene in kwestie. Wel is het zeer onprettig om een upload en later te realiseren dat men dat eigenlijk niet heeft gewild. Tot slot is de toestemming die hier wordt beschreven niet een toestemming op basis van de AVG. Het is een extra waarborg om mensen na een besmetting bewust te laten delen.

Kans: Laag. De kans dat dit onv oldoende geïnformeerd gebeurd is niet hoog, omdat er veel wordt gecommuniceerd dat het gebruik van de app en het uploaden van de sleutels op basis van vrijwilligheid gebeurt. Er is veel informatie beschikbaar over de werking van de app, zoals bijvoorbeeld de infographic. Risico: Laag Maatregelen: • Actieve communicatie, marketing campagne • Infographic • Duidelijke teksten in de app • Het testen van de user interface • Uitleg in opleiding aan zorgverlener hoe de betrokkene te informeren Beperking/Uitdaging: Onduide lijke artikelen in de media die leiden tot misverstanden, apps in andere landen die anders functioneren (bijvoorbeeld China, Singapore, Noorwegen, etc.) Impact na maatregelen: Medium. Kans na maatregelen: Laag Risico na maatregelen: Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 56 | 72 Gegevensbeschermingseffectbeoordeling | PIA 18.

Upload onder druk Fase: Validatiefase Categorie: Geïnformeerde vrije keuze Incident: Een betrokkene ervaart dat er onwenselijke druk wordt uitgeoefend om de eigen sleutels te uploaden. Impact: Medium. Het uploaden betekent niet dat iemand herleidbaar wordt, om dat daar veel maatregelen tegen zijn getroffen en de pseudonimisatie cryptografisch goed geborgd is. Er is dan ook geen directe impact voor de betrokkene in kwestie. Wel is het zeer onprettig om een upload tegen zijn of haar zin in. Tot slot is de toestemm ing die hier wordt beschreven niet een toestemming op basis van de AVG. Het is een extra waarborg om mensen na een besmetting bewust te laten delen. Kans: Medium. Het is begrijpelijk dat de omgeving van een met COVID - 19 besmet persoon (familieleden of vrie nden) druk uitoefenen om de upload van sleutels te doen uit oogpunt van maatschappelijk belang. Alleen het verschil tussen overtuigen en druk uitoefenen die de vrije wil te boven gaat, is een dunne lijn.

Het is niet onwaarschijnlijk dat dit weleens zal geb euren. Verder is het denkbaar dat een zorgverlener iets te veel nadruk legt op het uploaden van sleutels, waardoor dit als onwenselijke druk wordt ervaren. Risico: Medium. Maatregelen: • Zorgverlener opleiden om geen druk uit te oefenen • Heldere communicati e dat gebruik en upload vrijwillig zijn Beperking/Uitdaging: Impact na maatregelen: Medium Kans na maatregelen: Laag. Risico na maatregelen: Laag. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 57 | 72 Gegevensbeschermingseffectbeoordeling | PIA 19. Backend niet beschikbaar Fase: Validatiefase Categorie: Middelen Incident: De backend is geheel of gedeelt elijk door een (ver)storing langdurig (vele uren of dagen) niet beschikbaar, waardoor het niet mogelijk is om sleutels te uploaden en/of te ontvangen. Impact: Hoog. Er zijn drie mogelijke gevolgen denkbaar : • Als er geen sleutels kunnen worden geüpload zouden deze verloren kunnen gaan, zodat ook niet op een later moment worden verstuurd. • De GGD zou niet in zijn om sleutels te voorzien van een autorisatiecode, waardoor deze bij zeer langdurige storingen niet meer tijdig aankomen en er oudere upl oads worden verwijderd. • Als het niet mogelijk is om een download te doen, komen deze niet bij de app.

Het gevolg is dat het mogelijk is dat een notificatie niet wordt gegenereerd waar dat wel had gemoeten. In samenhang bezien is de hele functionaliteit v an de app dan effectief niet meer beschikbaar. Kans: Laag. De keuze in technologie is dermate van aard dat de kans klein is. Zowel het datacenter van de Belastingdienst als het Content Delivery Network van Microsoft kennen een hoge beschikbaarheid. Risic o: M edium . Maatregelen: • Actieve monitoring van de omgeving door het inzetten van het Security Operations Center van de Belastingdienst zorgt dat een verstoring snel te detecteren. Zij kunnen vlot met de juiste experts schakelen om snel in te grijpen bij een verstoring. • Er wordt gewerkt met redundantie op verschillende plaatsen : o Voor het Content Delivery Network voor het downloaden van de publiek beschikbare lijsten wordt gewerkt met twee datacenters van Microsoft in twee verschillende landen. o Voor het uploaden van sleutels wordt gebruik gemaakt van de technologie, die de Belastingdienst ook voor de belastingaangiftestraat gebruikt. o Er wordt gewerkt met de anti - DDOS - maatregelen en DDOS - procedures van het Belastingdienst Security Operations Cent er voor de upload en validatiesleutels.

Een kortere verstoring leidt dan niet tot het verloren gaan van de informatie. Beperking/Uitdaging: VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 58 | 72 Gegevensbeschermingseffectbeoordeling | PIA Impact na maatregelen: Medium . Door de vele maatregelen op functieherstel bij een (ver)storing zal er snel informatie verloren gaan. Ook zullen in verreweg de meeste situaties snel herstel van de functionaliteit zijn. Kans na maatregelen: Laag. Risico na maatregelen: Laag. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 59 | 72 Gegevensbeschermingseffectbeoordeling | PIA 20. Collission TEKs Fase: Validatiefase Categorie: Middelen Incident: Omdat er wordt gewerkt met willekeurig gekozen TEKs (om daarmee de anonimiteit van de betrokkenen te borgen) is het mogelijk dat er in een gelijke periode van 14 dagen op verschillende telefoons dezelfde TEK wordt aangemaakt.

De kans is astronomisch laag, omdat hiervoor een 256 - bit TEKs wordt gebruikt. Er zijn dan ook 2 tot de macht 256 ofwel 115.792.089.237.316.19 5.423.570.985.008.687.907.853.269.984.665.640.564.039.45 7.584.007.913.129.639.936 TEKs mogelijk. Daarbij moet de collission optreden in het Nederlandse netwerk (of in later stadium in het buitenland met een telefoon dat in contact met een Nederlandse telef oon). Risico: Laag. Maatregelen: Beperking/Uitdaging: Het is moeilijk een maatregel tegen te nemen. Impact na maatregelen: Medium. Kans na maatregelen: Laag. Risico na maatregelen: Laag. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 60 | 72 Gegevensbeschermingseffectbeoordeling | PIA 21. Nep - backend Fase: Validatiefase Categorie: Middelen Incident: Het internetverkeer wordt omgeleid naar een nep - backend. Impact: Hoog. Er wordt een valse omgeving gecreëerd en dat zou de mogelijkheid open en om betrokkenen op verschillende manieren te kunnen misleiden, valse informatie te sturen of op andere manieren p roberen ellende uit te halen.

Een dergelijke aanval zou direct veel mensen betreffen. Kans: Laag. Het is een aanval die veronderstelt dat onopgemerkt een aanval op de omgeving wordt uitgevoerd, waarbij ook het pinned PKI - Overheidscertificaat wordt nagemaakt. Risico: Medium . Maatregelen: • Actieve monitoring door het Belastingdienst SOC • Uitvoeren diverse tests, waaronder meerdere penetratietesten Beperking/Uitdaging: Impact na maatregelen: Hoog. Kans na maatregelen: Laag. Risico na maatregelen: Medium. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 61 | 72 Gegevensbeschermingseffectbeoordeling | PIA 22. Backend op netwerk geblokkeerd Fase: Validatiefase Categorie: Mi ddelen Incident: Doordat er wordt gewerkt met een pinned PKI - overheidscertificaat zullen sommige bedrijfsnetwerken het netwerkverkeer met de backend blokkeren. Dat komt door sommige firewalls al het netwerkverkeer willen analyseren.

Deze firewalls willen d e versleuteling ongedaan maken om de inspectie uit te voeren (een man in the middle aanval). Het pinned PKI - overheid scertificaat maakt die controle onmogelijk en dat verkeer zal worden geweigerd. Impact: Laag. Er vindt geen uitwisseling met het netwerk plaats. Gebruikers die alleen via Wifi - netwerken data met een dergelijke firewall uitwisselen zullen hier hinder van ondervinden. Zij kunnen via een ander netwerk of via het mobiele netwerk de data alsnog uitwisselen. Kans: Laag. Dit zal bij een klein perc entage gebruikers daadwerkelijk tot problemen leiden. Risico: Laag - Laag Maatregelen: Ander netwerk gebruiken Beperking/Uitdaging: Deze beperking is in het ontwerp onvermijdelijk, omdat het wel inspecteerbaar maken van het netwerkverkeer zou leiden tot een dreiging tot de privacy. De minister heeft expliciet aangegeven dat herleidbaarheid tot een absoluut minimum moet worden beperkt (de privacy is gewaarborgd).

Impact na maatregelen: Laag Kans na maatregelen: Laag Risico na maatregelen: Laag - Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 62 | 72 Gegevensbeschermingseffectbeoordeling | PIA 23. Datalekken Fase: Validatiefase Categorie: Gegevens Incident: In validatiefase zijn de TEKs tijdelijk minder pseudoniem en op labcode 'gegroepeerd' in de tijdelijke/interne database. Impact: Medium . Bij een succesvolle aanval kunnen de gegevens van een be perkte TEKs worden gevonden. Het is daarmee niet direct mogelijk de personen te achterhalen. In combinatie met een andere aanval zou het wel mogelijk kunnen zijn om te achterhalen wie positief is getest op COVID - 19. Kans: Laag. Er wordt stevig ingezet op b eveiliging en de kans op een succesvolle aanval is klein. Risico: Laag. Maatregelen: • Actieve monitoring • Intensieve kwaliteitsborging. Om de kans op verschillende vormen van misconfiguratie of softwarefouten tegen te gaan, wordt een kwaliteitsbeleid gevoe rd.

Dit bestaat onder andere uit (voor zowel de app als de backend): ◦ Geautomatiseerde kwaliteitschecks op broncode ◦ Het uitvoeren van unit tests op de broncode ◦ Handmatige code audits ◦ Het uitvoeren van diverse intensieve penetratietesten ◦ Het als open - source software vrijgeven van de software met actief community management (het werven van vrijwillige experts) voor brede peer review ◦ Tijdens het ontwikkelen worden unit tests uitgevoerd. Dit betekent dat ieder onderdeel van de software ook los wordt getest ◦ Coord inated vulnerability disclosure om eventuele problemen van derden in ontvangst te nemen. Beperking/Uitdaging: Impact na maatregelen: Medium . Kans na maatregelen: Laag. Risico na maatregelen: Laag. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 63 | 72 Gegevensbeschermingseffectbeoordeling | PIA 24. Toegang door OM/Politie of inlichtingendiensten Fase: Validatiefase Categorie: Gegevens Incident: Via een vordering van het OM, een inbeslagname door de politie of ingrijpen van een inlichtingendienst valt een mobiele telefoon in handen van deze instanties.

Zij kunnen in theorie bij de TEKs komen als zij de beveiliging van Apple/Google doorbreken. Impact: Hoog. Als de data wordt gebruikt om in te zetten tegen een betrokkene dan kan dat verstrekkende gevolgen hebben voor deze persoon. Kans: Laag. De kans dat de API van Google/Apple te kraken is en dat een mobiele telefoon in handen van de partijen op een moment dat ze relevante data bevat is klein door de 14 - dagen retentieperiode. Het is daarnaast ook een kleine kans . Voor een succesvolle aanval moet toegang zijn tot de mobiele telef oon . Vergelijkbare informatie is sneller te vergaring door vorderingen bij de operator en clouddienstverleners . Zij beschikken immers over meer informatie die door mobiele telefoons worden gegenereerd dan deze app . Risico: Medium . Maatregelen: • Sterke ve rsleuteling om daarmee de kans op succes van het benaderen van de gegevens te verkleinen • Retentie. Door gegevens na twee weken weg te gooien is de kans op het bestaan van nuttige informatie fors verminderd • In het nationaal belang vragen om deze data off li mits te verklaren voor informatie op de mobiele telefoon en de infrastructuur.

Dit ook om weerstand bij gebruik weg te nemen. Dit uit oogpunt dat het bestrijden van COVID - 19 een groter belang is dan het belang van een individueel onderzoek en het ondermijn en van het vertrouwen van het systeem. • Het uitvoeren van onderzoek op de cryptografie. Beperking/Uitdaging: Zowel de inlichtingendiensten als het Parket Generaal hebben aangegeven niet open staan voor het off limits verklaren van de app. Impact na maatr egelen: Laag. Bij het off - limits verklaren van deze data verdwijnt de impact. Kans na maatregelen: Laag. Risico na maatregelen: Laag - Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 64 | 72 Gegevensbeschermingseffectbeoordeling | PIA 25. Belastingdienst verschaft toegang tot TEKs Fase: Validatiefase Categorie: Gegevens Incident: Door een aanval uit te voeren verschaft de Belastingdienst zich toegang tot de TEKs tegen afspraken in.

Impact: Medium. Het gaat hier om TEKs die kort daarna publiek gemaakt worden. In combinatie met andere gegevens is er herleidbaarheid denkbaa r in sommige gevallen. Het is onduidelijk wel nut hiermee gediend zou worden. Kans: Laag. Het is zeer onwaarschijnlijk dat dit wordt gedaan, gelet op alle beheersmaatregelen Risico: Laag. Maatregelen: • Splitsing tussen SOC en beheer van de backend • Governan ce • Afspraken in de verwerkersovereenkomst Beperking/Uitdaging: Impact na maatregelen: Medium Kans na maatregelen: Laag Risico na maatregelen: Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 65 | 72 Gegevensbeschermingseffectbeoordeling | PIA 26. Verkeersanalyse Fase: Validatiefase Categorie: Transmissie Incident: Door verkeersgegevens te analyseren z ou een netwerkbeheerder kunnen achterhalen wie er TEKs oploaden naar de Belastingdienst. Daaruit zou de conclusie te trekken zijn dat deze personen positief zijn getest op Corona.

Dit zou bij een telecomoperator kunnen gebeuren, maar ook bij een bedrijf do or bijvoorbeeld het Wifi - netwerk in de gaten te houden. Impact: Medium. De herleidbaarheid zou kunnen leiden tot tijdelijke maatregelen. Bijvoorbeeld een werkgever die personeel naar huis stuurt. Kans: Medium. Het is denkbaar dat bepaalde beheerders dit g aan doen. Risico: Medium. Maatregelen: • Door ook netwerkverkeer te genereren met dummy - data zegt een upload niet s meer. Iedere telefoon zal af en toe updates genereren. Er is een grotere kans dat iemand niet besmet is dan wel. Wie netwerkverkeer in de gaten houdt ziet alleen versleutelde data langskomen. Bij de backend wordt het dummy - verkeer nooit gevalideerd en daa rmee vernietigd. • Onrechtmatige verwerking op basis van de AVG, die operators en beheerders van wifinetwerken niet mogen uitvoeren. Beperking/Uitdaging: Impact na maatregelen: Medium Kans na maatregelen: Laag.

Het is zeer onwaarschijnlijk dat met succes ee n aanval wordt uitgevoerd om duidelijk te krijgen of iemand besmet is. Risico na maatregelen: Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 66 | 72 Gegevensbeschermingseffectbeoordeling | PIA 27. Derden bewaren TEKs te lang Fase: Validatiefase Categorie: Middelen Incident: Derden bewaren TEKs langer dan 14 dagen. Impact: Laag. Het is moeilijk de TE Ks aan een betrokkene te koppelen Kans: Hoog. Het is zeer waarschijnlijk dat derden dit zullen proberen. Risico: M edium. Maatregelen: • Opvolging op basis van het verwerkingsverbod onder de AVG (een onbevoegde mag geen gezondheidsgegevens verwerken). • Betrok kene wijzen op de mogelijkheid om de overtreder aansprakelijk te stellen en een schadevergoeding te eisen op basis van artikel 82 AVG. Dit beleid actief te communiceren. Beperking/Uitdaging: Impact na maatregelen: Laag.

Kans na maatregelen: M edium. Risico na maatregelen: Laag. VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 67 | 72 Gegevensbeschermingseffectbeoordeling | PIA 28. Derden analyseren publieke TEKs Fase: Validatefase Categorie: Middelen Incident: Derden downloaden de publieke lijsten voor analyse met eigen lijsten. Dat kan zowel nationaal als over meerdere landen worden gedaan. Impact: La ag. Vergelijken is dezelfde functionaliteit als die de app levert. Het blijven zeer moeilijk herleidbare pseudoniemen. Kans: Hoog. Het zal zeer waarschijnlijk geprobeerd worden. Risico: Medium Maatregelen: • Opvolging op basis van het verwerkingsverbod onde r de AVG (een onbevoegde mag geen gezondheidsgegevens verwerken). • Betrokkene wijzen op de mogelijkheid om de overtreder aansprakelijk te stellen en een schadevergoeding te eisen op basis van artikel 82 AVG. Dit beleid actief te communiceren.

Beperking/Uitd aging: Impact na maatregelen: Laag Kans na maatregelen: Medium Risico na maatregelen: Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 68 | 72 Gegevensbeschermingseffectbeoordeling | PIA 29. Herintroductie oude TEKs Fase: Validatefase Categorie: Middelen Incident: Door een fout worden oude gepubliceerde TEKs nog eens geïntroduceerd. Een ander scenario door een dubbele upload. Impact: Laag. De kans is astronomisch klein dat dezelfde TEKs nogmaals zal leiden tot een waarschuwing bij een persoon. Kans: Laag. Bij de publicatie is er geen verwerking anders dan het beschikbaar stellen van de informatie aan de publicatieservers voor download door derden. Bij een moedwillige aanval vereist het vervalsen van 2x PKI overheid certificaat handtekening (het vervalsen v an een unmanaged EC/DSA key pair is - niet - nodig; want deze heeft geen datum). Risico: Laag - Laag Maatregelen: • Maatregelen van behoorlijk beheer. • Monitoring door SOC Beperking/Uitdaging: Impact na maatregelen: Laag Kans na maatregelen: Medium Risico na ma atregelen: Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 69 | 72 Gegevensbeschermingseffectbeoordeling | PIA 30.

App raakt corrupt Fase: Notificatiefase Categorie: Middelen Incident: De app of de mobiel raakt beschadigd of corrupt waardoor deze niet meer functioneert. Impact: M edium . Er zullen geen notificaties worden gemaakt. Kans: Laag. Zal niet snel gebeuren Risico: Laag . Maatregelen: • Herinstallatie door gebruiker Beperking/Uitdaging: Impact na maatregelen: Medium Kans na maatregelen: Laag Risico na maatregelen: Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 70 | 72 Gegevensbeschermingseffectbeoordeling | PIA 31. Screenshot notificatie Fase: Notificatiefase Categorie: Middelen Incident: Gebruiker maakt screenshot van "ris i co op besmet" - melding, voordat hij of zij deze wegklikt. Het screenshot wordt gebruikt om als 'bewijs' te gebruiken bij werkgever of school. Dit wordt bij voldoende voorkomen iets wat 'verwacht' wordt. Problemen voor participatie of dwang om toch de app te installeren al kiest de gebruiker hier zelf voor.

Impact: Middel. Problemen voor participatie of dwang om toch de app te installeren al kiest de gebruiker hier zelf voor. Kans: M edium. Risico: M edium. Maatregelen: • Heldere communicatie met betrekking tot de vrijwilligheid van het gebruik van de app • Aandacht in de media voor de app en de vrijwilligheid ervan • Er wordt gewerkt aan een wetsvoorstel waarin het direct of indirect verplicht gebruik van de app expliciet wordt verboden Beperking/Uitdaging: Impact na maatregelen: Medium Kans na maatregelen: Laag Risico na maatregelen: Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 71 | 72 Gegevensbeschermingseffectbeoordeling | PIA 32. Omkeerbaarheid RPI ’ s of TEKs Fase: Niet fasegebonden Categorie: Middelen Incident: De bestaande cryptografie wordt op zo’n manier doorbroken dat deze de RPI’s of TEKs berekenbaar maakt. Impact: Medium. In de uitwerking zou dat betekenen dat bij een grote hoeveelheid punten waar TEKs worden ontvangen en opgeslagen iemand te vol gen zou zijn.

Omdat wordt gewerkt met willekeurige nummers in plaats van waarden die naar een toestel te herleiden zijn, is misbruik erg lastig. Daarvoor zou een observatie infrastructuur moeten worden gemaakt. De relatie tussen een TEK en een RPI is ook g emaakt op basis van hashing, waardoor de cryptografie een kant op werkt (je kunt niet ontcijferen). Kans: Laag . Er wordt gebruik gemaakt van sterke cryptografie. Er is door het Europees agentschap ENISA een evaluatie uitgevoerd op robuustheid van de gekozen cryptographische algoritmes. Risico: Laag. Maatregelen: • Borging op de Europees niveau Beperking/Uitdaging: Impact na maatregelen: Medium Kans na maatregelen: Laag Risico na maatregelen: Laag VWS | Directie Informatiebeleid / CIO - DPIA COVID - 19 notificatie - app 72 | 72 Gegevensbeschermingseffectbeoordeling | PIA