Na het privacylek: Bruvax sloeg de bal wel vaker mis

Een eigen, Brussels afsprakenplatform moest meer Brusselaars naar de vaccinatiecentra lokken. De nadruk lag in de eerste plaats op toegankelijkheid. De voorbije maanden leidde die keuze meermaals tot technische flaters en privacyproblemen. De huidige versie is in orde, zegt minister Alain Maron (Ecolo). Kroniek van een wankelende website.

“De vaccinatie moet zo toegankelijk mogelijk zijn,” zei Brussels minister van Gezondheid Alain Maron (Ecolo) op 19 april van dit jaar. Die maandag lanceerde het Brussels gewest een eigen, online inschrijvingsplatform voor wie zich wilde laten vaccineren. Brusselaars moesten niet meer wachten op een brief, e-mail of sms met een uitnodigingscode, zoals eerst nodig was bij het interfederale afsprakenplatform Doclr. Een rijksregisternummer en postcode waren voortaan voldoende om een vaccin te boeken.

Aanleiding voor de invoering van Bruvax was de toen al groeiende kloof tussen de vaccinatiegraad van Brussel en de andere gewesten. Midden april waren in Brussel bijna zeven op de tien 75-plussers ingeënt. In Vlaanderen was dat al meer dan 90 procent. Het Brusselse callcenter had de handen vol met telefoontjes van mensen die hun weg niet vonden in Doclr. Dat systeem had in het begin last van bugs en was ingewikkeld voor anderstaligen of laaggeletterden.

Bruvax bood meer eenvoud. Mensen konden zich inschrijven zonder uitnodigingsbrief, apothekers konden hen makkelijk helpen. De ontwikkeling van Bruvax gebeurde door het bedrijf Doctena, dat al ervaring had met online agenda’s. Doctena kreeg daar 270.000 euro voor.

Een serie flaters

De eerste drie maanden maakten meer dan een half miljoen Brusselaars een afspraak voor hun vaccinatie via Bruvax. Al kende het systeem de nodige trial-and-error. Waar mensen in Vlaanderen en Wallonië een vaste afspraak in een vast vaccinatiecentrum kregen, kon je in Brussel een eigen locatie en timing kiezen. Bij het maken van de afspraak viel het type vaccin af te leiden, doordat de termijn voor de tweede dosis meteen bekend was (die verschilt naargelang het vaccin, red.). Vaccinatiecentra die met AstraZeneca werkten, zoals dat van Sint-Pieters-Woluwe, kregen hun afspraken niet volgeboekt.

Ook de officiële wachtlijst van Bruvax ging maar moeizaam vooruit. De vaccinatiecentra van Vorst en Ukkel bleven nog enkele weken met eigen wachtlijsten werken als er vaccins overbleven aan het eind van de dag. Ze trommelden dan kennissen op via sms’jes.

Midden mei bleek dat zo’n tweeduizend Vlamingen en Walen een afspraak hadden geboekt voor een vaccin in Brussel. Ze gaven simpelweg een Brusselse postcode in. Pas na dit nieuws kwam er een automatisch check op wie echt in Brussel woonde.

Toen in de zomer meer en meer vaccinatiecentra zonder afspraak begonnen te werken verdween Bruvax als inschrijvingsplatform naar de achtergrond. Tot in september, met de start van de campagne voor de derde dosis.

Privacylek

Over naar midden november. Privacybeweging Charta 21 verwijt Bruvax een inbreuk op de GDPR-wetgeving. Iemands vaccinatiestatus viel er in één klik af te leiden door zijn werkgever, bankier of verzekeraar. Het enige dat ze daarvoor nodig hadden was het juiste rijksregisternummer en postcode.

“Het rijksregisternummer van een burger mag niet zonder zijn instemming gebruikt worden," verdedigde de gezondheidsinspectie zich. Minister Alain Maron erkende later in het parlement dat er nooit een impactstudie gedaan was rond de privacy. De Gegevensbeschermingsautoriteit vroeg om uitleg.

Dus kreeg Bruvax alsnog een update. Wie inlogt ziet nu de opties ‘extra dosis’ of ‘eerste dosis’. Maar daarbij werden eerst te veel doelgroepen geüpload, waardoor verschillende Brusselaars al in aanmerking kwamen voor een derde prik vooraleer het interfederaal akkoord daarover klaar was.

Sinds deze maandag is ook dat opgelost. De derde dosis is nu opengesteld voor alle volwassen Brusselaars. Bruvax vraagt een verklaring op eer dat je daarvoor in aanmerking komt. Een automatische koppeling van die gegevens is er niet. “Dat moet in de vaccinatiecentra gebeuren,” verklaarde Inge Neven van de gezondheidsinspectie maandagochtend aan BRUZZ Radio.

'Privacy-zuinig systeem'

Alle euvels ten spijt: dat die koppeling niet wordt gemaakt, is volgens sommigen alvast meer privacyproof dan het interfederale alternatief Doclr. “In het beginsel vind ik een vrij inschrijvingssysteem zoals het Brusselse beter dan een oproepingssysteem zoals in Vlaanderen, omdat dat laatste meer gegevens verwerkt. Vanuit privacy-technisch standpunt is het eerste systeem zuiniger,” vindt VUB-professor privacy Paul De Hert. “Natuurlijk moet je de lekken dan dichten. Anders krijg je een heel gevaarlijke schending van de privacy.”

Brussels gezondheidsminister Maron zegt deze maandag dat de huidige versie in orde is met de privacyregels. "Uiteraard zijn aanpassingen nog altijd mogelijk in functie van de noden," zegt zijn woordvoerder Simon Vandamme. Vandamme herinnert eraan dat 20 procent van de Brusselaars geen uitnodiging had ontvangen via de codes van Doclr. "Via Bruvax zijn veel inschrijvingen mogelijk gemaakt bij apothekers. Dankzij dat alles zitten we nu aan 80 procent gevaccineerde 45-plussers in Brussel."