(1)

De door de huidige Covid-19-pandemie veroorzaakte volksgezondheidscrisis (hierna “Covid-19-crisis”) dwingt de Unie en de lidstaten een uitdaging aan te gaan die ongekend is voor hun gezondheidszorgstelsels, hun levenswijze, hun economische stabiliteit en hun waarden. Geen enkele lidstaat kan alleen slagen in het bestrijden van de Covid-19-crisis. Om een uitzonderlijke crisis van een dergelijke omvang aan te pakken moeten alle lidstaten en alle instellingen en organen van de Unie vastberaden optreden en samenwerken in een echte geest van solidariteit.

(2)

Digitale technologieën en gegevens spelen een waardevolle rol in de bestrijding van de Covid-19-crisis omdat veel mensen in Europa via mobiele toestellen op het internet zijn aangesloten. Die technologieën en gegevens kunnen een belangrijk instrument vormen om het publiek te informeren en de betrokken overheidsinstanties te ondersteunen in hun inspanningen om de verspreiding van het virus tegen te gaan. Gezondheidsinstanties kunnen er ook gebruik van maken om gezondheidsgegevens uit te wisselen. Het risico bestaat echter dat een versnipperde en ongecoördineerde aanpak de doeltreffendheid van de bestrijdingsmaatregelen in de Covid-19-crisis belemmert alsook dat de eengemaakte markt en de fundamentele rechten en vrijheden ernstig worden geschaad.

(3)

Daarom moet een gemeenschappelijke aanpak worden ontwikkeld voor het gebruik van technologieën en gegevens als reactie op de huidige crisis. Die aanpak moet doeltreffend zijn om de bevoegde nationale autoriteiten, en met name de gezondheidsinstanties en beleidsmakers, te ondersteunen, door hen voldoende en nauwkeurige gegevens te verstrekken om de ontwikkeling en verspreiding van het Covid-19-virus en de effecten daarvan te begrijpen. Op dezelfde wijze kunnen deze technologieën burgers in staat stellen om doeltreffende en meer doelgerichte socialeonthoudingsmaatregelen te nemen. Tegelijkertijd beoogt de voorgestelde aanpak de integriteit van de eengemaakte markt te handhaven en de fundamentele rechten en vrijheden, met name het recht op privacy en de bescherming van persoonsgegevens, te beschermen.

(4)

Mobiele applicaties kunnen gezondheidsinstanties op nationaal en EU-niveau ondersteunen om de huidige Covid-19-pandemie in het oog te houden en in te perken. Zij kunnen dienen om burgers te begeleiden en de organisatie van de medische follow-up van patiënten vergemakkelijken. Waarschuwings- en traceringsapplicaties kunnen een belangrijke rol spelen in het traceren van contacten, om de verspreiding van de ziekte te beperken en de besmettingsketen te doorbreken. In combinatie met passende teststrategieën en contacttracering kunnen de applicaties daarom bijzonder nuttig zijn om informatie te verstrekken over de omvang van de viruscirculatie, om de doeltreffendheid van de maatregelen inzake bewaring van fysieke onthouding en afzondering te beoordelen en om strategieën voor het afbouwen van deze maatregelen te ondersteunen.

(5)

In Besluit nr. 1082/2013/EU van het Europees Parlement en de Raad (1) worden specifieke regels vastgesteld inzake epidemiologische surveillance, controle, vroegtijdige waarschuwing en bestrijding in het geval van ernstige grensoverschrijdende bedreigingen van de gezondheid. Krachtens artikel 2, lid 5, van het besluit moet de Commissie in verbinding met de lidstaten zorgen voor de coördinatie en wederzijdse informatieverstrekking tussen de bij dit besluit ingestelde mechanismen en structuren en soortgelijke mechanismen en structuren op het niveau van de Unie of uit hoofde van het Euratom-Verdrag waarvan het optreden van belang is voor paraatheids- en reactieplanning, controle, vroegtijdige waarschuwing en bestrijding in het geval van ernstige grensoverschrijdende bedreigingen van de gezondheid. Het forum om de inspanningen in de context van ernstige grensoverschrijdende bedreigingen van de gezondheid te coördineren is het Gezondheidsbeveiligingscomité, dat is opgericht bij artikel 17 van bovengenoemd besluit. Tegelijkertijd wordt bij artikel 6, lid 1, van het besluit een netwerk voor epidemiologische surveillance van overdraagbare ziekten ingesteld, dat door het Europees Centrum voor ziektepreventie en -bestrijding wordt beheerd en gecoördineerd.

(6)

Volgens Richtlijn 2011/24/EU van het Europees Parlement en de Raad (2) betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg heeft het e-gezondheidsnetwerk tot doel te streven naar duurzame economische en sociale voordelen uit Europese e-gezondheidsstelsels en -diensten en interoperabele toepassingen te halen, teneinde een hoog vertrouwens- en veiligheidsniveau te bereiken, de zorgcontinuïteit beter te garanderen en toegang tot veilige en kwalitatief hoogwaardige gezondheidszorg te waarborgen.

(7)

In Verordening (EU) 2016/679 van het Europees Parlement en de Raad (3) betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG worden de voorwaarden voor de verwerking van persoonsgegevens waaronder gezondheidsgegevens vastgesteld. Deze gegevens kunnen onder meer worden verwerkt wanneer een betrokkene uitdrukkelijke toestemming verleent of wanneer de verwerking in het algemeen belang is, zoals bepaald in de wetgeving van de lidstaat of van de Unie, met name voor monitoring en alarmering, de preventie of de bestrijding van overdraagbare ziekten en andere ernstige bedreigingen van de gezondheid.

(8)

Verschillende lidstaten hebben specifieke wetgeving ingevoerd die hen in staat stelt gezondheidsgegevens te verwerken die gebaseerd zijn op het algemeen belang (artikel 6, lid 1, onder c) of e), en artikel 9, lid 2, onder i) , van Verordening (EU) 2016/679). In elk geval moeten de doeleinden en de middelen van de gegevensverwerking, welke gegevens moeten worden verwerkt en door wie, duidelijk en specifiek zijn.

(9)

De Commissie kan de Europese Toezichthouder voor gegevensbescherming en het Europees Comité voor gegevensbescherming raadplegen overeenkomstig artikel 42 van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (4) en artikel 70 van Verordening (EU) 2016/679.

(10)

In Richtlijn 2002/58/EG van het Europees Parlement en de Raad (5) worden de regels vastgesteld die van toepassing zijn op verkeers- en locatiegegevens en op de opslag van informatie en het verkrijgen van toegang tot informatie die is opgeslagen in eindapparatuur, zoals een mobiel toestel, van een gebruiker of abonnee. Overeenkomstig artikel 5, lid 3, van de richtlijn wordt deze opslag of het verkrijgen van toegang alleen toegestaan in nauw omschreven omstandigheden of op basis van toestemming van de gebruiker of abonnee, nadat deze duidelijke en volledige informatie heeft ontvangen overeenkomstig de vereisten van Verordening (EU) 2016/679. Daarnaast kunnen de lidstaten op basis van artikel 15, lid 1, van de richtlijn wettelijke maatregelen treffen ter beperking van de reikwijdte van de bij de richtlijn vastgestelde rechten en verplichtingen, waaronder die waarin artikel 5 voorziet, indien dat in een democratische samenleving noodzakelijk, redelijk en proportioneel is om bepaalde doelstellingen te bereiken.

(11)

De Europese Commissie heeft in haar mededeling “Een Europese datastrategie” (6) aangekondigd dat de EU een eengemaakte markt zal oprichten waarin ongehinderd dataverkeer binnen de EU en tussen sectoren mogelijk is ten behoeve van iedereen, waar de Europese regels, met name op het gebied van privacy en gegevensbescherming, volledig in acht worden genomen en de regels voor de toegang tot en het gebruik van gegevens eerlijk, praktisch en duidelijk zijn. De Commissie heeft met name verklaard te zullen nagaan of er behoefte is aan wetgeving om datadeling van bedrijven naar overheden (“business-to-government”) te stimuleren in het algemeen belang.

(12)

Sinds het begin van de Covid-19-crisis zijn uiteenlopende mobiele applicaties ontwikkeld, in sommige gevallen door de overheid, en zijn oproepen uitgegaan van de lidstaten en de particuliere sector om te komen tot coördinatie op het niveau van de Unie, onder meer om problemen op het gebied van cyberbeveiliging, beveiliging en privacy aan te pakken. Deze applicaties blijken drie algemene functies te dienen: (i) burgers informeren en adviseren alsmede de organisatie van de medische follow-up van personen met symptomen vergemakkelijken, vaak in combinatie met een vragenlijst voor zelfdiagnose; (ii) mensen waarschuwen die in de nabijheid van een besmette persoon zijn geweest, met als doel de besmettingsketen te doorbreken en een nieuwe opflakkering van infecties in de fase van heropstart van het sociale leven te voorkomen; en (iii) toezicht op en handhaving van quarantainemaatregelen voor besmette personen, eventueel in combinatie met functionaliteiten die een beoordeling van hun gezondheidstoestand tijdens de quarantaineperiode mogelijk maken. Bepaalde applicaties zijn beschikbaar voor het grote publiek, terwijl andere alleen gericht zijn op gesloten gebruikersgroepen voor het traceren van contacten op de werkplek. De doeltreffendheid van deze applicaties is over het algemeen niet geëvalueerd. Applicaties op het gebied van informatie en symptoomcontrole kunnen nuttig zijn voor de bewustmaking van burgers. Uit adviezen van deskundigen blijkt echter dat applicaties die bedoeld zijn om gebruikers te informeren en te waarschuwen, veelbelovend lijken om de verspreiding van het virus tegen te gaan, ook rekening houdend met de beperktere impact op de persoonlijke levenssfeer. Verschillende lidstaten zijn momenteel het gebruik ervan aan het onderzoeken.

(13)

Sommige van deze mobiele applicaties zouden kunnen worden beschouwd als medische hulpmiddelen wanneer zij door de fabrikant bestemd zijn om onder meer te worden gebruikt voor diagnose, preventie, monitoring, voorspelling, prognose, behandeling of verlichting van ziekten. Zij zouden dan ook binnen het toepassingsgebied vallen van Verordening (EU) 2017/745 van het Europees Parlement en de Raad betreffende medische hulpmiddelen (7) of van Richtlijn 93/42/EEG van de Raad (8). Voor applicaties op het gebied van zelfdiagnose en symptoomcontrole, in gevallen waarin informatie wordt verstrekt die betrekking heeft op diagnose, preventie, monitoring, voorspelling of prognose, moet de mogelijke kwalificatie daarvan als medische hulpmiddelen worden beoordeeld overeenkomstig het regelgevingskader voor medische hulpmiddelen (Richtlijn 93/42/EEG of Verordening (EU) 2017/745).

(14)

De doeltreffendheid van deze mobiele applicaties hangt af van een aantal factoren. Een van deze factoren is de penetratiegraad van de gebruikers, dat wil zeggen het percentage van de bevolking dat een mobiel apparaat gebruikt en het percentage mensen die de applicatie hebben gedownload en hebben ingestemd met de verwerking van de hen betreffende persoonsgegevens en deze toestemming niet hebben ingetrokken. Andere belangrijke factoren zijn het vertrouwen van het publiek dat de gegevens zullen worden beschermd door passende veiligheidsmaatregelen en dat die uitsluitend worden gebruikt om personen te waarschuwen die aan het virus werden blootgesteld, de goedkeuring door de autoriteit voor de volksgezondheid, de capaciteit van de gezondheidsautoriteiten om actie te ondernemen op basis van de door de applicatie gegenereerde gegevens, de integratie van gegevens in en de uitwisseling daarvan met andere systemen en applicaties, en de grens- en regio-overschrijdende interoperabiliteit met andere systemen.

(15)

Waarschuwings- en traceringsapplicaties zijn voor de lidstaten van nut bij het traceren van contacten en kunnen een belangrijke rol spelen in het geval van inperkingsmaatregelen tijdens het afbouwscenario. Zij kunnen voor burgers ook een waardevol instrument zijn om een daadwerkelijke en meer doelgerichte sociale onthouding toe te passen. De impact ervan kan worden versterkt door een strategie om ruimer te testen. Contacttracering impliceert dat de autoriteiten voor de volksgezondheid snel alle contacten van een bevestigde Covid-19-patiënt identificeren, deze vragen om zichzelf te isoleren en snel overgaan tot testen en isoleren van mensen die symptomen ontwikkelen. Bovendien kunnen geanonimiseerde en geaggregeerde gegevens die uit dergelijke applicaties afkomstig zijn, in combinatie met informatie over de ziekte-incidentie, worden gebruikt voor de beoordeling van de doeltreffendheid van maatregelen inzake bewaring van fysieke onthouding en afzondering. Deze applicaties hebben voor de lidstaten een voor de hand liggend nut maar kunnen ook toegevoegde waarde bieden voor de werkzaamheden van het ECDC.

(16)

Applicaties op het gebied van zelfdiagnose en symptoomcontrole kunnen relevante informatie opleveren over het aantal gevallen die met Covid-19 compatibele symptomen vertonen, volgens leeftijd en week, uit duidelijk afgebakende gebieden waar de applicatie een hoge dekking heeft. Indien de applicatie succes heeft, kunnen de nationale instanties voor volksgezondheid beslissen de gegevens van de applicatie te gebruiken voor Covid-19-syndroomsurveillance in het kader van de eerstelijnszorg. Deze gegevens kunnen wekelijks aan het ECDC worden doorgegeven, in geaggregeerde vorm (bv. aantal influenza-achtige ziekten (ILI) of acute respiratoire infecties (ARI) per week, volgens leeftijdsgroep, uit de totale populatie die door de sentinelartsen wordt gedekt). Dit zou de nationale autoriteiten en het ECDC in staat stellen de positieve prognostische waarde van respiratoire symptomen in een bepaalde gemeenschap te ramen en aldus op basis van de gegevens uit de applicatie informatie te verstrekken over het niveau van de viruscirculatie.

(17)

Gelet op de hierboven beschreven functies van smartphoneapplicaties kan het gebruik ervan afbreuk doen aan de uitoefening van bepaalde grondrechten, zoals het recht op eerbiediging van het privéleven en het familie- en gezinsleven. Aangezien elke aantasting van deze rechten in overeenstemming met de wet moet, dienen wetten van de lidstaten die de uitoefening van bepaalde fundamentele rechten zouden beperken of mogelijk maken, in overeenstemming te zijn met de algemene beginselen van het recht van de Unie zoals neergelegd in artikel 6 van het Verdrag betreffende de Europese Unie, hun constitutionele tradities en hun verplichtingen uit hoofde van het internationaal recht.

(18)

Om ervoor te zorgen dat de verschillende soorten applicaties (en de onderliggende informatiesystemen over infectieketens) op aanvaarding kunnen rekenen en voldoen aan het gestelde doel van epidemiologische surveillance, moeten de onderliggende beleidskeuzen, verplichtingen en controles worden afgestemd en op gecoördineerde wijze worden uitgevoerd door de bevoegde nationale gezondheidsautoriteiten. Uit de ervaring die in verschillende lidstaten is opgedaan met contacttraceringsapplicaties blijkt dat, om de aanvaarding van applicaties te vergroten, een geïntegreerd beheer ter voorbereiding en uitvoering van de maatregelen nuttig is waarbij niet alleen de gezondheidsautoriteiten maar ook andere autoriteiten (onder meer de gegevensbeschermingsautoriteiten) moeten worden betrokken alsmede de particuliere sector, deskundigen, academici en belanghebbenden zoals patiëntengroepen. Om een applicatie ingang te doen vinden en succesvol te laten worden, is het ook van groot belang dat daarover ruim wordt gecommuniceerd.

(19)

Om nabije ontmoetingen tussen gebruikers van verschillende contacttracerende applicaties op te sporen (dit scenario komt waarschijnlijk het meest voor onder mensen die de nationale/regionale grenzen passeren), moet interoperabiliteit tussen de applicaties worden voorzien. De nationale gezondheidsinstanties die toezicht houden op besmettingsoverdrachtketens moeten interoperabele informatie over gebruikers die positief hebben getest met andere lidstaten of regio’s kunnen uitwisselen om grensoverschrijdende overdrachtketens aan te pakken.

(20)

Bepaalde ondernemingen zoals telecomproviders en belangrijke technologieplatformen hebben geanonimiseerde en geaggregeerde locatiegegevens bekendgemaakt of aan de overheidsinstanties ter beschikking gesteld. Deze data zijn noodzakelijk voor onderzoek om het virus te bestrijden, en om de verspreiding van het virus en de economische gevolgen van de crisis te modelleren. Met behulp van deze gegevens kunnen we met name de epidemie beter begrijpen, de ruimtelijke dynamiek ervan modelleren, en de gevolgen van socialeonthoudingsmaatregelen (reisbeperkingen, sluiting van niet-essentiële activiteiten, totale lockdown enz.) op de mobiliteit beoordelen. Dit is van essentieel belang, in de eerste plaats om de gevolgen van het virus te beperken en de behoeften, met name op het gebied van persoonlijk beschermingsmiddelen en intensivecareafdelingen in kaart te brengen, en in de tweede plaats ter ondersteuning van de exitstrategie middels gegevensgestuurde modellen die de mogelijke gevolgen van de versoepeling van de socialeonthoudingsmaatregelen laten zien.

(21)

De huidige crisis heeft aangetoond dat volksgezondheidsinstanties en onderzoeksinstellingen gebaat zouden zijn bij verdere toegang tot essentiële informatie om de evolutie van het virus te analyseren en de doeltreffendheid van volksgezondheidsmaatregelen te beoordelen.

(22)

Bepaalde lidstaten hebben maatregelen getroffen om de toegang tot noodzakelijke gegevens te vereenvoudigen. De gemeenschappelijke inspanningen van de EU ter bestrijding van het virus worden echter gehinderd door de huidige versnippering van de benaderingen.

(23)

Een gemeenschappelijke Unie-aanpak van de Covid-19-crisis is ook noodzakelijk geworden, omdat de maatregelen die in sommige landen zijn getroffen, zoals het locatiegebaseerd volgen van individuen, het gebruik van technologie om mensen een score te geven op basis van hun gezondheidsrisico, en de centralisatie van gevoelige gegevens, vragen doen rijzen vanuit het oogpunt van verscheidene in de rechtsorde van de EU gewaarborgde grondrechten en fundamentele vrijheden, waaronder het recht op privacy en het recht op bescherming van persoonsgegevens. In ieder geval moeten, krachtens het Handvest van de grondrechten van de Unie, beperkingen van de uitoefening van de daarin vastgelegde grondrechten en fundamentele vrijheden gerechtvaardigd en evenredig zijn. In het bijzonder moeten dergelijke beperkingen tijdelijk zijn, dat wil zeggen dat zij strikt beperkt blijven tot hetgeen noodzakelijk is om de crisis te bestrijden, en niet zonder passende rechtvaardiging blijven bestaan nadat de crisis voorbij is.

(24)

Bovendien hebben de Wereldgezondheidsorganisatie en andere instanties gewaarschuwd voor het risico dat applicaties en onzorgvuldige gegevens kunnen leiden tot de stigmatisering van personen die bepaalde kenmerken hebben, vanwege het vermeende verband met de ziekte.

(25)

Overeenkomstig het beginsel van gegevensminimalisatie moeten volksgezondheidsautoriteiten en onderzoeksinstellingen persoonsgegevens alleen verwerken waar dat geschikt, relevant en tot het noodzakelijke beperkt is, en passende waarborgen zoals pseudonimisering, aggregatie, versleuteling en decentralisatie toepassen.

(26)

Doeltreffende maatregelen op het gebied van cyberbeveiliging en gegevensbescherming zijn van essentieel belang om de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van de data te beschermen.

(27)

Overleg met de gegevensbeschermingsautoriteiten, overeenkomstig de bepalingen van het Unierecht inzake de bescherming van persoonsgegevens, is van essentieel belang om ervoor te zorgen dat persoonsgegevens rechtmatig worden verwerkt en de rechten van de betrokkenen worden geëerbiedigd.

(28)

In artikel 14 van Richtlijn 2011/24/EU is bepaald dat de Unie de samenwerking en de uitwisseling van informatie tussen de lidstaten steunt en bevordert in het kader van een vrijwillig netwerk waarin de door de lidstaten aangewezen nationale autoriteiten die verantwoordelijk zijn voor e-gezondheid met elkaar worden verbonden (“het e-gezondheidsnetwerk”). De doelstellingen omvatten het streven om duurzame economische en sociale voordelen uit Europese e-gezondheidsstelsels en -diensten en interoperabele toepassingen te halen, teneinde een hoog vertrouwens- en veiligheidsniveau te bereiken, de zorgcontinuïteit beter te garanderen en toegang tot veilige en kwalitatief hoogwaardige gezondheidszorg te waarborgen. Uitvoeringsbesluit (EU) 2019/1765 van de Commissie (9) bevat voorschriften voor de oprichting, het beheer en de transparante werking van het e-gezondheidsnetwerk. Gezien de samenstelling en de deskundigheid ervan moet het e-gezondheidsnetwerk het belangrijkste forum zijn voor besprekingen over de gegevensbehoefte van de volksgezondheidsautoriteiten en onderzoeksinstellingen, en tegelijkertijd medewerkers van nationale regelgevende instanties inzake elektronische telecommunicatie, de voor digitale aangelegenheden bevoegde ministeries en de gegevensbeschermingsautoriteiten erbij betrekken.

(29)

Het e-gezondheidsnetwerk en de Commissie moeten ook nauw samenwerken met andere organen en netwerken die de nodige input kunnen leveren om uitvoering te geven aan deze aanbeveling, inclusief het Gezondheidsbeveiligingscomité, het netwerk voor epidemiologische surveillance en beheersing van overdraagbare ziekten, het Europees Centrum voor ziektepreventie en -bestrijding, het Europees Comité voor gegevensbescherming, het Orgaan van Europese regulerende instanties voor elektronische communicatie en de Groep voor samenwerking op het gebied van de beveiliging van netwerk- en informatiesystemen.

(30)

Transparantie en duidelijke en regelmatige communicatie, met de mogelijkheid van input voor de zwaarst getroffen personen en gemeenschappen, is van het grootste belang om het publiek vertrouwen in te boezemen bij de bestrijding van de Covid-19-crisis.

(31)

Met het oog op de snelle ontwikkeling van de situatie in de verschillende lidstaten met betrekking tot de Covid-19-crisis is het van essentieel belang dat de lidstaten verslag uitbrengen en dat de Commissie de in deze aanbeveling vervatte aanpak snel en regelmatig herziet, voor de gehele duur van de crisis.

(32)

Deze aanbeveling moet, waar nodig, worden aangevuld met aanvullende richtsnoeren van de Commissie, inclusief op het gebied van gegevensbescherming en de gevolgen voor de privacy van het gebruik van mobiele applicaties voor waarschuwingen en voorkoming,