Factcheck: nee, dit is geen bewijs dat de QR-code aan je bankrekening wordt gekoppeld

Deze factcheck is uitgevoerd op basis van de beschikbare informatie op de datum van publicatie. Lees hier meer over hoe we werken.

Een screenshot van een document veroorzaakt ophef op sociale media. De Nederlandse regering lijkt een plan te hebben om de QR-code te koppelen aan persoonsgegevens zoals je bankrekening. Dat klopt niet. Het gaat over een document dat niets te maken heeft met de QR-code.

In de Facebookgroep ‘Nee tegen het vaccin’ (11.800 leden) post iemand op 10 januari een screenshot van een document met het volgende bijschrift: ‘De QR-code is er nooit gekomen voor de volksgezondheid, maar voor algehele controle. Deze code wordt overal aan gekoppeld, zelfs aan uw bankrekening. Mocht u “ongehoorzaam” zijn in welk opzicht ook, dan bent u direct te straffen. Precies zoals momenteel al gebeurt in China. Complottheorie? Nee hoor, pure feiten.’ Het bericht wordt 46 keer gedeeld en bereikt zo 2100 mensen.

De QR-code verwijst naar het Belgische Covid Safe Ticket of de Nederlandse CoronaCheck. Beide coronapassen kunnen bewijzen dat je bent gevaccineerd, of dat uit een test blijkt dat je geen corona had, of dat uit een test blijkt dat je corona hebt gehad en bent hersteld.

Ook op Twitter wordt hetzelfde screenshot gedeeld om te bewijzen dat de QR-code een middel zou zijn van de overheid om meer controle uit te oefenen op de bevolking. Er worden ook al langer privacybezwaren geuit over het Covid Safe Ticket. Dat er plannen zouden zijn om de QR-code in de Europese Unie te koppelen aan een bankrekening, is echter opvallend.

We zoeken het oorspronkelijke document (1), gaan na of er een link is met de QR-code van het Covid Safe Ticket of de coronapas (2) en bekijken eventuele privacybezwaren (3).

1) Oorspronkelijk document

Om het oorspronkelijke document te vinden, googelen we een deel van de tekst uit het screenshot tussen aanhalingstekens. Zo zoekt Google naar websites waarop exact dezelfde tekst voorkomt.

We krijgen slechts twee resultaten, die beide verwijzen naar een bericht op Facebook van 22 september 2021 van de pagina ‘Meldpunt Nederland III’. In dit bericht wordt niet verwezen naar de QR-code in het coronabeleid.

Het bericht bevat ook een link naar het oorspronkelijke document op de site van de Nederlandse Tweede Kamer. Als we het screenshot (links) naast het document ‘Lijst EU-voorstellen commissie BiZa’ van de commissie Binnenlandse Zaken van 10 juni 2021 (rechts) leggen, zien we dat het over hetzelfde document gaat. Op het screenshot werden enkele aanduidingen toegevoegd.

In dit document lezen we niets over het coronabeleid of de QR-code. Wel gaat het over de elektronische identiteitskaart (eID) en over een Europese digitale portemonnee.

2) Geen link met de QR-code

We leggen het document voor aan assistent-professor Internationaal en Europees Recht Merijn Chamon (Universiteit Maastricht). ‘Nee, met de QR-code heeft deze tekst niets te maken’, zegt hij. ‘Dit gaat over eIDAS, wat staat voor electronic IDentification Authentication and trust Services, een Europese verordening (een soort wet, nvdr.) over het gebruik van elektronische identiteitskaarten binnen de Europese interne markt.’

Wat betekent dat concreet? Chamon: ‘Stel dat je als Belg een villa wilt kopen in Spanje. Dan moet je bij een Spaanse notaris kunnen bewijzen dat jij bent wie je bent. In België zou je daarvoor je elektronische identiteitskaart gebruiken, maar die werkt niet in Spanje. Dat is dus een heel gedoe en om dat te vergemakkelijken werkt de Europese Unie eIDAS uit. Op termijn zou het daarmee even makkelijk moeten zijn om als Belg een tweede verblijf te kopen aan de Belgische kust als aan de Spaanse Costa Brava. Nu is dat veel moeilijker door obstakels, waarvan identificatie er eentje is.’

Chamon benadrukt dat dit met de QR-code niets te maken heeft. ‘Die is trouwens al erkend in heel Europa, maar ze vormt geen identiteitsbewijs.’

De verordening eIDAS dateert al van 2014. Het document gaat over een mogelijke aanpassing van die Europese wet.

Wat is de juridische waarde van dit document van het Nederlandse parlement? ‘Als de Europese Commissie een wetsvoorstel doet, wordt dat ook voorgelegd aan de nationale parlementen’, legt Chamon uit. ‘De Nederlandse commissie Binnenlandse Zaken kan dus een opinie geven over dit voorstel, maar die mening heeft geen bindende kracht. Het parlement kan wel duidelijk zeggen aan de minister van Binnenlandse Zaken dat het om een goed voorstel gaat waarvoor de minister zeker moet pleiten, of dat het parlement opmerkingen heeft, of dat het vindt dat de minister tegen moet stemmen op Europees niveau. Het parlement bepaalt daar dus mee het standpunt van de minister van Binnenlandse Zaken.’

‘De Raad van de EU* en het Europees Parlement moeten zich nog over dit voorstel buigen. Zolang er tussen die instanties geen akkoord is, kan het nog geen wet worden. Het zou kunnen dat dit voorstel er in 2022 doorkomt, maar dat hangt van de politiek appetijt af. Er kan ook niets van in huis komen.’

Op de website EUR-Lex kun je zelf volgen in welke fase het voorstel zit. Op die site vinden we ook het eindresultaat van de bespreking in het Nederlandse parlement. Hun advies bevat opmerkingen en vragen van GroenLinks en PvdA.

3) Privacybezwaren?

In de Facebookpost lezen we de vrees voor ‘algehele controle’ van de overheid en dat ‘deze code overal aan gekoppeld wordt, zelfs aan uw bankrekening’. Het gaat dus niet over de QR-code, maar in het document staat wel dat de ‘Europese digitale identiteit (digitale portemonnee) […] wordt gekoppeld aan documenten als een paspoort, rijbewijs, diploma’s, huwelijksakte, bankrekening of andere documenten’. Dit roept vragen over privacy op.

We nemen contact op met advocaat en privacy-expert Kris Seyen (deJuristen). Volgens hem is de tekst van het Nederlandse parlement ‘erg inaccuraat’ in woordkeuze en formulering. Seyen: ‘De tekst doet uitschijnen dat we allemaal een Europese digitale wallet krijgen en dat daarin de info van onze bankrekening zal zitten. Niets is minder waar. De woordkeuze “wordt gekoppeld” is misleidend, er had moeten staan: “kán worden gekoppeld“. Het gebruik van de Europese digitale portemonnee is namelijk volledig vrijwillig.’

Als je er als burger voor kiest, wat betekent die koppeling dan? Seyen: ‘Het gaat over identificatie: op een betrouwbare manier kunnen aantonen dat je bent wie je bent. Vergelijk het met de Itsme-toepassing in België. Die koppeling betekent dat die identificatie ook mogelijk zal worden om bijvoorbeeld in het buitenland een bankrekening te openen. Dergelijke technologische oplossingen worden overigens niet door de EU of een andere overheid beheerd – het is dus niet zo dat we data zullen delen met de overheid.’

Het voorstel bevat daarnaast nog een soort digitale kluis van de burger. Ook hier, zo benadrukt Seyen, wordt er geen data gedeeld met de overheid.

Zijn er geen risico’s qua privacy? ‘Die zijn niet groter of niet anders dan voor elke andere toepassing’, zegt Seyen. ‘Wanneer ik een bankrekening open via de papieren weg, en naar aanleiding van een renovatie van het bankkantoor komt mijn dossier ongewild op de straat terecht, dan is er een privacyprobleem. Wanneer ik een digitale kluis heb, en die zou technisch niet state-of-the-art zijn en ze zou worden gehackt, dan is er evident een groot privacyrisico.’

‘Het privacyrisico zit hem met andere woorden niet in de technologie zelf, maar in de uitwerking, de toepassing of het gebruik ervan’, meent Seyen. ‘Gegevenbeschermingsautoriteiten en de European Data Protection Board moeten daarover waken. En zelfs mochten zij een steek laten vallen, dan zijn er tal van privacy-activistische organisaties die dit met argusogen zullen volgen. Ook de juiste technische keuzes zullen zij nauwlettend in de gaten houden.’

Seyen concludeert: ‘Het lijkt er sterk op dat Europese digitale portemonnee een stap in de goede richting is en het individu opnieuw meer controle geeft over zijn of haar data. De idee dat het hele opzet eigenlijk een verborgen agenda dient, namelijk om de overheid controle te geven over onze data, wordt door alle elementen tegengesproken. En met de QR-code heeft het al zeker niets te maken.’