"Je paspoort heb je echt nodig." De man, voorzien van ludieke rieten hoed en mondkapje met opdruk van een haaienbek, wijst vooruit naar het einde van de rij bij Ahoy in Rotterdam. Ik zucht: het is best een eindje lopen terug naar de auto en heel erg op tijd was ik al niet bij het Eurovisie Songfestival. Wat de man niet wist: ik heb meerdere achtergrondverhalen geschreven over CoronaCheck, de app om binnen te mogen komen bij het Songfestival. Maar nu ik hem voor het eerst zelf ging gebruiken, was ik vergeten hoe hij werkte.
CoronaCheck gold eerst alleen als app om toegang te krijgen tot evenementen zoals het Songfestival, maar krijgt er vanaf volgende week een belangrijke functie bij. Je zult hem namelijk kunnen gebruiken als je op vakantie gaat, om te laten zien dat je gevaccineerd bent, negatief bent getest of recent corona hebt gehad. Het is naast je paspoort nodig om de douane ervan te overtuigen dat je naar binnen mag.
Dat CoronaCheck nu dat doel gaat dienen, lag niet helemaal voor de hand. Zoals we in maart al schreven, zijn er veel verschillen tussen het systeem van CoronaCheck in Nederland en het 'Europees digitaal coronacertificaat', of DCC, zoals het systeem heet. Om maar eens een paar van die verschillen te duiden: CoronaCheck draaide om sneltests, DCC draait om vaccinaties, tests en recente infecties. CoronaCheck laat minimale data zien, DCC laat veel meer data zien. En vooral: CoronaCheck werkt met decentrale opslag, DCC niet.
Maar de belangen zijn groot. Natuurlijk, veel mensen willen weer eens naar het buitenland op vakantie. Dat is de ene kant van de medaille. Aan de andere kant daarvan staan mensen die geld verdienen met mensen die op vakantie gaan: de reisbranche en toeristensector bijvoorbeeld. Een zomer met weinig corona is in het belang van veel mensen - en daarom moest dit systeem er in sneltreinvaart komen.
Een korte politieke achtergrond
Zaken in Europa duren vaak ongelofelijk lang. Denk maar aan het afschaffen van roaming, waar de EU een jaar of tien mee zoet is geweest. Het opzetten van het systeem rond DCC is in vergelijking daarmee in sneltreinvaart gegaan. Dat moest ook wel, want er was met de zomervakantie in aantocht een harde deadline.
Het eerste concrete plan kwam naar buiten in maart, nog maar drie maanden geleden. Vervolgens hebben de lidstaten na onderhandeling een compromis gesloten over onder meer welke data in de QR-codes zou moeten staan en wat de voorwaarden zouden moeten zijn voor veilig vrij reizen binnen de Europese Unie.
Daarbij speelt mee dat hoewel EU-landen onderling behoorlijk verschillen in bijvoorbeeld besmettingsniveau, alle landen wel ongeveer in hetzelfde schuitje zitten. Dankzij de aanschaf van een grote hoeveelheid vaccins en groots opgezette vaccinatiecampagnes zijn veel EU-burgers al gevaccineerd, wat in combinatie met het effect van het zomerseizoen de pandemie afgelopen maanden in kracht heeft doen afnemen.
Daarbij wilden veel politici dit natuurlijk mogelijk maken, om zo het toeristisch seizoen te redden, iets dat vooral de relatief zwaar getroffen Zuid-Europese landen als Portugal, Spanje en Italië goed uitkomt: zij zijn in relatief hoge mate afhankelijk van inkomsten uit toerisme, veel meer dan landen als Nederland en België. In alle landen kunnen politici natuurlijk goede sier maken met het mogelijk maken van buitenlandse vakanties.
/i/2004441446.png?f=imagenormal)
Wel is er nog een noodrem ingebouwd: landen kunnen aangeven dat ze tóch reizigers niet accepteren, bijvoorbeeld als zij bang zijn voor een nieuwe variant. Het is onduidelijk of landen gebruik gaan maken van die mogelijkheid, bijvoorbeeld als reactie op de delta-variant die onder meer in Portugal de kop op heeft gestoken. Het DCC werkt in alle lidstaten van de EU, maar ook in IJsland, Noorwegen en Zwitserland.
DCC-apps zijn geen voorwaarde om te reizen, het is een manier om reizen makkelijker te maken. Gebruikers mogen ook analoog bewijs meenemen om aan de grens te laten zien. Op de papieren versie zal ook een QR-code staan die te scannen is.
Het systeem van DCC is bovendien een tijdelijke maatregel, zo benadrukt de Europese Commissie. Als het niet meer nodig is, omdat de pandemie helemaal voorbij is, dan gaat het systeem eruit. De bedoeling is dat bij een volgende pandemie het systeem weer in gebruik kan worden genomen om reizen mogelijk te blijven maken vanaf het begin van een pandemie - al is het de vraag hoe zinvol dat is. De vorige pandemie van deze schaal was immers honderd jaar geleden, toen radio's nog de hotste nieuwe gadgets waren.
Hoe CoronaCheck is aangepast
De belangrijkste wijziging is natuurlijk dat je in CoronaCheck niet alleen een recente negatieve sneltest moet kunnen opvragen, maar ook vaccinaties en recente positieve testen. Dat klinkt relatief makkelijk, maar is het niet. Het opvragen van een negatieve sneltest gaat met een code die je krijgt in een mail met de uitslag; een relatief simpel systeem.
Maar het opvragen van een vaccinatiebewijs werkt primair via Mijn RIVM, een dienst waarop je kan inloggen via DigiD - integratie met DigiD en alle eisen die daarbij komen kijken is dus nodig. Bovendien zijn er diverse zaken die de boel complex hebben gemaakt. Niet iedereen die een vaccinatie heeft gehad, kreeg die bij de GGD. Mensen tussen de 60 en 65 jaar kregen vaccinaties veelal bij de huisarts en die moeten dat apart in het systeem zetten. Hetzelfde geldt voor mensen die in een ziekenhuis zijn gevaccineerd. Dat gaat nu wel gebeuren of is gebeurd.
De andere belangrijke integratie is uiteraard die met het Europese systeem: DGCG, Digital Green Certificate Gateway. Hoe dat is gegaan, staat op GitHub. Daarbij is het belangrijk dat CoronaCheck compatibele QR-codes genereert, terwijl CoronaCheck Scanner, de scanner-app voor douaniers, die codes kan lezen.
De specs voor de Europese QR-codes staan hier. De data in de QR-code is opgesteld als CBOR Web Token, terwijl de encoding gebeurt via base45. Dat is een variant op het bekendere base64, maar dan met minder karakters. Naast het alfabet en cijfers zijn dat enkele karakters. Oostenrijker Tobias Girstmair heeft de werking van de QR-code uitgeplozen en kwam tot de conclusie dat er inderdaad in staat wat de specs omschrijven.
:strip_exif()/i/2004440924.jpeg?f=imagenormal)
Behalve de verschillen in data zitten er ook technische verschillen tussen de QR-codes, zoals in de manier waarop de encoding werkt; de Nederlandse versie werkt met ASN.1. Daardoor moest er het nodige werk gebeuren om de beide QR-codes in de app te laten werken.
Het is bovendien volgens het ministerie van VWS een vrij bijzondere situatie dat een land voor binnenlands gebruik een andere QR-code gebruikt dan bij reizen. Veel andere landen doen dat niet; die gebruiken dezelfde code.
Je hoeft je tijdens het gebruik daarover geen zorgen te maken. Als je bij een festival staat en je laat je Europese QR-code zien, zal CoronaCheck Scanner aan degene die het scant laten zien dat het een Europese code is en de suggestie geven om de Nederlandse code te laten zien.
Hoe CoronaCheck nu gaat werken
De eisen voor het Europese DCC zijn totaal anders dan voor het Nederlandse systeem voor toegangstesten. Het belangrijkste is natuurlijk dat er andere data in de QR-code staat. In de Europese versie zijn meer datapunten te vinden. Dat is een Europese afspraak geweest, tegen de zin van Nederland in.
Data in QR-code | QR-code voor NL | QR-code voor EU |
Naam | Alleen initialen | Volledige naam |
Geboortedatum | Alleen de datum, niet het jaar | Volledige geboortedatum |
Info bij vaccinatie | Geen | Naam en datum vaccin |
Info bij negatieve test | Geen | Datum en tijd test, type test |
De Nederlandse QR-code geeft alleen initialen weer en een deel van de geboortedatum. Daarmee kunnen de mensen die de codes scannen checken of de gegevens kloppen met het aangeboden paspoort. Dat ziet er dan uit als A_W 26-9. In de Europese QR-code staat dan Arnoud Wokke, 26 september 1998.
De Europese QR-code heeft daarnaast meer gegevens over de test of vaccinatie. De Nederlandse QR-code bevat alleen de informatie dat iemand een groen vinkje mag krijgen, zonder te vermelden of dat is door een vaccinatie of negatieve test. Bij de Europese QR-code staat erbij of je gevaccineerd bent, met welk vaccin en wanneer precies. Bij een negatieve test staat erbij wanneer die test was, waar die test was en om wat voor test het ging.
In de app kun je dus twee verschillende QR-codes aanmaken en onderaan het scherm kun je kiezen welke je wil laten zien. Daarbij heten de opties 'ik ben in Nederland' of 'ik reis internationaal'. Bij toegangstesten in Nederland gebruik je de Nederlandse, de internationale versie is uiteraard voor reizen. De beide codes hebben aparte vereisten en dus ook aparte geldigheidsdata.
Het gaat dus zo werken dat je na vaccinatie via DigiD kan inloggen en een QR-code kan aanmaken. Bij een negatieve test kan dat via DigiD of de huidige manier met een code. Het maken van de QR-code vereist een internetverbinding. Vervolgens blijft die code staan op de telefoon, ook als je offline gaat. Daardoor is hij ook scanbaar als de telefoon geen internet heeft.
De nabije toekomst van de app
Deze week gaat de functie live om QR-codes aan te maken om te reizen. Dat gebeurt donderdag. Het ministerie acht de kans groot dat het systeem down gaat. De capaciteit is 25 per seconde: meer mensen kunnen niet tegelijkertijd QR-codes maken. Naar verwachting willen veel mensen de app deze week proberen. De bedoeling is om dat aantal op te schalen, maar daar zit een limiet aan. DigiD heeft bijvoorbeeld een limiet van 160 aanmeldingen per seconde en wordt uiteraard ook gebruikt voor allerlei andere dingen: daar kan het dus al niet boven zitten.
Het herstelbewijs is de eerste upgrade voor de app die eraan komt. Die volgt komende week. Als je afgelopen half jaar positief getest bent bij de GGD, kun je dat gebruiken om een groen vinkje te krijgen. Vanaf half juli moet dat ook lukken bij positieve testen die niet bij de GGD zijn gedaan.
Half juli komt daar ook de mogelijkheid bij om een papieren bewijs in te scannen in de app. Die maakt een digitale kopie van de analoge QR-code. Dat gebeurt bijvoorbeeld als mensen via een arts een bewijs van vaccinatie meekrijgen, iets dat bijvoorbeeld in ziekenhuizen of bij huisartsen kan.
Later deze zomer moeten ook meerdere talen dan Nederlands en Engels in de app komen. Voor augustus staat nog iets op de planning: het toevoegen van QR-codes voor meerdere personen, zoals ouders die kinderen willen toevoegen. Dat is nu nog niet mogelijk.
Tot slot
De vragen blijven staan. De ontwikkeling is snel gegaan en iedereen is zo hard bezig geweest met de vraag hoe dit zou moeten werken, dat de vraag of we dit als maatschappij eigenlijk wel willen nauwelijks gesteld is.
Maar de deadline is gehaald: voor de zomervakanties losbarsten en veel mensen in het hoogseizoen op vakantie willen, is er een Nederlandse app om QR-codes te genereren die aan de grens in het buitenland geaccepteerd worden. In België is die er ook in de vorm van CovidSafe.
De vraag blijft nog altijd hoeveel landen hier echt op gaan controleren. Immers: als de besmettingscijfers blijven dalen en alle landen in elkaars optiek 'groen' zijn, zien zij in binnenkomende reizigers geen reëel besmettingsgevaar. In dat geval levert het scannen van al die QR-codes op luchthavens en bij grenzen alleen maar vertraging op.
In Nederland zal de app in gebruik worden genomen voor het houden van grootschalige evenementen tijdens deze pandemie. Regels zoals afstand houden zijn dan niet nodig met dank aan het bewijs van vaccinatie, herstel of een negatieve test. Door de beperkte tijd is het Europees testen van dit systeem ook beperkt geweest. Deze zomer zal moeten uitwijzen hoe nuttig en handig apps als CoronaCheck en buitenlandse evenknieën écht zullen zijn.