Zo werkt het vaccinatiebewijs in CoronaCheck

CoronaCheck is een app van VWS die een "sein veilig" geeft voor bezoek aan locaties als een café of aan evenementen. In de app - die nu al te downloaden is voor iOS en Android - kan een gebruiker bijvoorbeeld een negatief testbewijs omzetten in een QR-code. Bij de locatie wordt deze QR-code gescand met een scanner-app, die vervolgens aangeeft dat er vanuit deze gebruiker een minimale kans is op verspreiding van het coronavirus.

Op dit moment kan de app alleen negatieve testbewijzen omzetten in een QR-code, maar vanaf donderdag is ook een vaccinatiebewijs in te voeren voor een QR-code. Om dat bewijs op te vragen, moet een gebruiker inloggen met DigiD. De app raadpleegt vervolgens de systemen van de GGD en het RIVM om te zien of een vaccinatie geregistreerd is. Als dat het geval is, kan de gebruiker de QR-code opvragen.

Twee QR-codes

De app biedt de mogelijkheid om twee verschillende QR-codes op te vragen. Eén is voor binnenlands gebruik en kan gebruikt worden om toegang te geven tot evenementen. In deze QR-code staan alleen de initialen van de gebruiker en eventueel de geboortedag.

Daarnaast is er vanaf 1 juli een internationale QR-code beschikbaar, die aansluit bij het Europese Digitaal Corona Certificaat (DCC) en meer gegevens bevat. Daarin staat ook welk vaccin er gebruikt is en of beide vaccinaties al geweest zijn. Deze informatie is vereist omdat ieder land zelf kan bepalen wanneer een toerist welkom is, en bepaalde landen dus meer informatie nodig hebben. Een land kan er bijvoorbeeld voor kiezen dat alleen toeristen met twee Pfizer-vaccinaties toegelaten worden. 

Vanaf 1 juli wordt daarnaast de mogelijkheid toegevoegd om een QR-code te genereren op basis van een herstelbewijs. Het herstelbewijs is een positieve PCR-test van minimaal 11 dagen en maximaal 180 dagen oud, waarmee een gebruiker kan aantonen dat hij of zij al corona heeft gehad en hersteld is. Dit bewijs kan vanaf 1 juli bij de GGD opgevraagd worden, ook als de positieve test voor die datum is afgenomen.

Eén QR-code voor alles

Natuurlijk bestaat de mogelijkheid dat een gebruiker eerst een negatieve testuitslag heeft, daar een QR-code mee aanvraagt, en later ook een vaccinatiebewijs krijgt. De app maakt daar dan geen nieuwe QR-code voor aan, maar behoudt dezelfde. In de app is dus maar één QR-code voor binnenlands gebruik zichtbaar. Degene die de code scant aan de deur ziet bovendien niet waarom het "sein veilig" afgegeven wordt, maar alleen een groen vinkje, en de initialen en de geboortedag van de gebruiker. Blijkt de QR-code niet geldig, dan ziet degene die de code scant alleen een rood kruis. Er wordt dus niet weergegeven waarom de QR-code in kwestie wel of niet geldig is. 

Voor de internationale QR-codes is het beleid anders. Op Europees niveau is afgesproken dat er voor alle mogelijke bewijzen - dus een negatief testbewijs, een herstelbewijs of een vaccinatiebewijs - aparte QR-codes aangemaakt moeten worden. Wie die code scant ziet bovendien meer informatie, zoals welke vaccinatie iemand heeft gekregen. 

Privacyvriendelijk: offline en codes verversen

Om de app zo privacyvriendelijk mogelijk te maken, is besloten de binnenlandse QR-codes offline beschikbaar te maken en regelmatig te verversen. De gebruiker hoeft dus alleen even online te zijn om de QR-code op te halen, maar kan deze daarna ook zonder internetverbinding laten scannen. Op die manier wordt voorkomen dat er een 'online spoor' achtergelaten wordt. De scanner-apps moeten wel elke dag even online komen om informatie op te halen. 

Daarnaast worden de QR-codes regelmatig ververst, zodat het niet mogelijk is om bijvoorbeeld iemand aan de hand van de code te volgen. Ook wordt daarmee voorkomen dat anderen een foto kunnen maken van de QR-code om zich zo toegang te verschaffen tot een locatie, ook al is er vanuit deze persoon een grote kans op de verspreiding van het coronavirus. 

Om te voorkomen dat de app aanstaande donderdag, of op 1 juli - als het herstelbewijs beschikbaar wordt - of later storingen krijgt veroorzaakt door drukte, is er een limiet toegevoegd aan de app. Aanstaande donderdag kunnen maximaal 25 mensen per seconde inloggen via DigiD om een QR-code op te vragen. Proberen meer mensen dan dat maximum tegelijkertijd een code op te vragen, dan wordt er een scherm getoond om de gebruiker te laten weten dat het (te) druk is.

Het opvragen van de QR-code hoeft echter niet vaak: een testbewijs is tot 40 uur na het moment van testen geldig en een vaccinatiebewijs minstens 365 dagen. Binnen die tijd kan een gebruiker met dezelfde QR-code meerdere evenementen en locaties bezoeken. Gebruikers kunnen dus thuis al de QR-code ophalen en vervolgens bij de deur laten scannen.

Mogelijk wordt de capaciteit later nog verhoogd, mochten de achterliggende systemen en DigiD de drukte goed aankunnen.

CIMS vormt knelpunt

Ondanks al deze maatregelen is er nog wel een knelpunt: het vaccinatieregistratiesysteem CIMS bevat nog niet alle data. Dit systeem van het RIVM bevat de vaccinatieregistratiegegevens van mensen die toestemming geven om die data met het RIVM te delen. De CoronaCheck-app gebruikt deze data en de data van de GGD's om de vaccinatiebewijzen op te halen. Maar op dit moment is naar schatting 9% van die data nog niet aanwezig in het systeem.

Volgens VWS heeft dat meerdere oorzaken. Zo kan het voorkomen dat een huisarts ook mensen heeft gevaccineerd die niet zijn patiënt zijn. De huisarts mag alleen de gegevens van zijn eigen patiënten invoeren, dus deze mensen moeten eerst naar hun eigen huisarts toe om de gegevens te laten verwerken. Een ander voorbeeld is dat de gegevens alleen in het gewone vaccinatiescherm zijn ingevuld en niet in het systeem voor Covid-19. Wat het probleem precies is, verschilt dus per huisarts en zorginstelling. 

Wie via de GGD gevaccineerd is, kan zijn vaccinatiebewijs gewoon ophalen. Maar wie zich bijvoorbeeld via de huisarts heeft laten vaccineren en tot de 9% behoort die nog niet in CIMS staat, kan nog geen vaccinatiebewijs in CoronaCheck laden. VWS laat weten dat het RIVM, de huisartsen, zorginstellingen en de leveranciers van de systemen nu hard werken om alle gegevens in CIMS te krijgen. De komende dagen moet er dus veel meer data in de systemen terechtkomen. Wanneer alle data in CIMS staan, kan VWS niet zeggen. 

Bewijs via de huisarts

Naast deze groep mensen is er ook nog een groep die geen toestemming heeft gegeven om de vaccinatiegegevens met het RIVM te delen en die zich niet via de GGD hebben laten vaccineren. VWS schat op basis van het aantal uitgeleverde vaccins dat dit een groep van ongeveer 150.000 mensen is. Deze mensen kunnen alsnog een vaccinatiebewijs krijgen, maar moeten daarvoor naar de huisarts. Wie nog niet in CIMS staat en zich niet via de GGD heeft laten vaccineren, kan ook naar de huisarts om een vaccinatiebewijs op te halen.

Huisartsen kunnen via een speciaal webportaal een verklaring afgeven. Daaruit komt dan een PDF met alle beschikbare QR-codes. Er komen dus zowel QR-codes uit voor binnenlands gebruik als voor buitenlands gebruik. Hoewel dit een extra belasting is voor huisartsen, verwacht VWS dat het extra werk beperkt blijft. Als de 150.000 mensen ongeveer gelijk verdeeld zijn over alle huisartsenpraktijken in Nederland, moeten huisartsen rekening houden met dertig patiënten per praktijk voor wie handmatig een QR-code gemaakt moeten worden.

Ook is er een optie om de QR-codes zelf uit te printen. Via de website van CoronaCheck is het mogelijk om een vaccinatiebewijs of een negatief testbewijs op te halen en om te zetten in een QR-code. Die code kan vervolgens afgedrukt worden en meegenomen naar de locatie of op reis. Wie geen DigiD heeft, of de app of website niet wil of kan gebruiken, kan ook naar de huisarts om QR-codes op te vragen. Zij krijgen die dan afgedrukt mee.