Het is in het Brussels Hoofdstedelijk Gewest mogelijk om met iemands rijksregisternummer diens vaccinatiestatus op te zoeken, zo heeft het grondrechten- en privacycollectief Charta21 ontdekt. Brussels minister bevoegd voor Gezondheid Alain Maron ontkent het gegevenslek niet, maar wil voorlopig niet inhoudelijk reageren. Oppositiepartijen PVDA en MR vragen wel dat Maron zich verantwoordt in een speciale commissie.

Gevaccineerd of niet

Bij het Brusselse vaccinatie-inschrijvingsplatform BRUVAX kun je erachter komen of iemand gevaccineerd is of niet, als je iemands rijksregisternummer weet en je er eender welke Brusselse postcode intypt. Niet elke medeburger heeft natuurlijk een rijksregisternummer van iemand anders. Maar banken en bedrijven wel.

‘Het Brussels Gewest heeft in tegenstelling tot de andere gewesten een eigen informaticaplatform voor vaccinafspraken,’ zegt Hubert Petre van Charta21. ‘Als je een rijksregisternummer en een Brusselse postcode nu ingeeft op de site, dan krijg je ofwel een scherm dat zegt dat je niet meer in aanmerking komt voor vaccinatie, of dat je een afspraak kan maken. Dat zegt op zich genoeg over iemands vaccinatiestatus, voor zover die persoon in Brussel woont.’

Geen melding bij GBA

‘Wij vinden dit een zwaar potentieel gegevenslek en een zware inbreuk op iemands privacy. Arbeidsrechtelijk mag een werkgever die gegevens niet opeisen. Maar nu kan iemands werkgever dus gemakkelijk de vaccinstatus van een werknemer controleren, of kunnen banken en verzekeraars met die informatie aan de slag. De Brusselse gezondheidsinspectie schijnt niet van plan te zijn dat gegevenslek aan de Belgische Gegevensbeschermingsautoriteit (GBA) mee te delen binnen de wettelijk voorziene 72 uur. Op dit moment is het euvel ook nog niet aangepast’, zegt Petre.

‘Maar volgens ons zijn ze er wel van op de hoogte, want initieel was het informatievenstertje dat iemand die al gevaccineerd was te zien kreeg, de boodschap “U bent al gevaccineerd”. Nu vind je alleen een droge “U komt niet in aanmerking” terug.’

Geen sancties voor overheden

Charta21 neemt geen standpunt in over vaccinatie. ‘We vinden gewoon dat de Belgische overheden zich aan hun eigen wetten moeten houden, en de privacy van de burger moeten beschermen. Bedrijven die zich aan privacy-inbreuken bezondigen, worden streng aangepakt. Maar als de overheid zelf zondigt, dan staan daar hier, in tegenstelling tot de meeste andere Europese landen, geen sancties tegenover.

Dat is niet fair, en typisch voor een Belgische overheid: buiten de lijntjes kleuren, aanmodderen, en het probleem negeren. België lacht privacy eigenlijk vierkant uit met die houding. Dat kan tot grote lekken leiden, die kunnen worden opgepikt door duistere geesten of bedrijven. Maron mag blij zijn dat wij hem op dit probleem wijzen.’

Charta21 is wel duidelijk een tegenstander van het CST — de vaccinpas. Ze procederen in kort geding om de opschorting te verkrijgen van CovidScan, de controle-app van de CST. Die heeft immers ook een veiligheidsgebrek, met een datalek tot gevolg. Die zaak komt in december voor de rechtbank. Petre: ‘Daar gaan we niet op vooruitlopen. Maar wij vinden bij Charta21 dat je vaccinatie — die zijn nut heeft — moet scheiden van het CST, dat een vrijheidsbeperkend en privacy-ongevoelig instrument is.’

‘Dit is een misdrijf’

‘Mag ik u erop wijzen dat wie het rijksregisternummer van iemand anders gebruikt, een misdrijf pleegt?’, zo reageert Nicolas Roelens, de woordvoerder van Alain Maron bij Doorbraak.be. ‘We onderzoeken nu samen met de GGC (Gemeenschappelijke Gemeenschapscommissie, waarbinnen Maron bevoegd is voor gezondheid, red.) de juridische consequenties van wat Charta21 aankaart, en zullen ons dan ten gronde uitspreken over de kwestie.’

‘De website BRUVAX is bewust makkelijk toegankelijk gemaakt om in Brussel zoveel mogelijk mensen aan te zetten tot vaccinatie’, zo zegt Roelens. ‘Daar moet u rekening mee houden als u privacy afweegt tegenover zoveel mogelijk mensen vaccineren.’

Roelens ontkent de feiten niet, maar wil ook na aandringen niet veel kwijt. ‘Dat een bank of derde partij iemands vaccinstatus op deze manier kan opvragen, is een deductie die Charta21 maakt. De berichten die je krijgt wanneer je je op de bovenvermelde manier aanmeldt, zeggen op zich niets over de werkelijke vaccinatiestatus van iemand. Er kunnen andere situaties zijn.’

Welke situaties? Daarop wil Roelens na aandringen niet verdergaan.

Financiën

Oppositiepartijen PVDA en MR vragen ondertussen dat Alain Maron zich voor het gegevenslek komt verantwoorden in een speciale Commissie Gezondheidszorg van de GGC in het Brussels parlement. Beide partijen hebben het probleem nu al benoemd als ‘Bruvaxgate’. Het gegevenslek werd uitgebracht door de kranten Le Soir en De Tijd.

‘Alain Maron zal na ons onderzoek gepast reageren en vragen beantwoorden’, zo zegt Roelens. ‘Maar momenteel is het ook druk in het Brussels parlement. Er zijn vele commissies over de overheidsfinanciën die nu voorrang krijgen.’

Nicolas Roelens

‘Bruvaxgate’: vaccinstatus Brusselaars in de openbaarheid