De privacy rond corona-app CoronaMelder is nog onvoldoende gewaarborgd. De Autoriteit Persoonsgegevens (AP) vindt dat de minister afspraken moet maken met Google en Apple over de software die zij leveren voor de inzet van de app, dat er een wet moet komen om de inzet van de app goed te regelen en dat duidelijk moet worden dat de servers die de app gebruikt ook veilig zijn. De AP adviseert het kabinet de app pas in te zetten als de adviezen zijn opgevolgd.
De AP is positief over de ontwikkeling van de app op zichzelf, zegt AP-voorzitter Aleid Wolfsen. ‘Die is duidelijk ontworpen met privacy als uitgangspunt. Met allerlei technische waarborgen voor de privacy van gebruikers, zoals versleuteling van het dataverkeer en het versturen van nepcodes om te voorkomen dat je iets kunt aflezen uit het dataverkeer.’
Maar de app staat niet op zichzelf. De app is afhankelijk van andere technische onderdelen én wetgeving. ‘Daar zitten onze zorgen. Die app is niet alleen wat jij op je scherm ziet, maar ook de techniek van Google en Apple, en ook de servers waar je jouw gegevens heen stuurt. Die app is onderdeel van een systeem. Ook in die andere onderdelen van dat systeem moet de privacy op orde zijn, net zo goed als in de app zelf.’
De grootste zorg van de AP gaat over het zogeheten Google Apple Exposure Notification framework, de onderliggende software in mobiele besturingssystemen Android en iOS die de Nederlandse corona-app mogelijk maakt. ‘Het is voor de AP niet duidelijk of deze Amerikaanse techgiganten via de combinatie van het framework en het besturingssysteem gegevens van gebruikers in handen krijgen en wat daarmee gebeurt. En het gaat hier om gezondheidsgegevens, zeer gevoelige gegevens van heel veel mensen’, zegt Wolfsen. ‘Dus dat is zorgelijk. De overheid moet duidelijke afspraken maken met Google en Apple, voordat ze de app in gebruik neemt. En de AP moeten kunnen controleren of dit goed geregeld is. Dat is nu niet het geval.’
Gezien de omvangrijke en veelomvattende impact van een Corona-app, is een wet de meest logische basis. Die wet zou moeten regelen dat de minister van VWS de bevoegdheid krijgt deze gegevens te verwerken én zou ook privacywaarborgen moeten bevatten.
Wolfsen: ‘Er moet bijvoorbeeld in staan dat je helemaal zelf mag bepalen of je de app wilt gebruiken. Dat betekent ook dat je bijvoorbeeld niet geweigerd mag worden in de horeca als je de app niet op je telefoon hebt staan. En dat je werkgever jou niet mag verplichten de app te gebruiken.’
Het laatste hoofdpunt van het advies van de AP is dat de ‘achterkant’ van de app goed geregeld moet zijn: alles wat er op de servers gebeurt. ‘Pas vanavond werd duidelijk wie dat zullen beheren’, zegt Wolfsen. ‘Hoe die partij de beveiliging heeft geregeld weten we nog niet. Het moet duidelijk zijn dat die beveiliging goed is. Pas dan kan de app ingezet worden.’
De AP zond het ministerie van VWS op 6 augustus 2020 haar advies toe. Het is aan de minister om dit advies op te volgen.
