Met behulp van een app wil het kabinet straks de verspreiding van het coronavirus beter in de gaten houden. Door de Autoriteit Persoonsgegevens (AP) is onderzocht of de apps wel ‘privacy-proof’ zijn. Op maandag 20 april zou de AP met een inhoudelijke beoordeling komen van de zeven ‘corona-apps’ die door het Ministerie van Volksgezondheid zijn geselecteerd, maar komt echter met de mededeling dat het op grond van de beschikbare informatie niet heeft kunnen beoordelen of de apps voldoen aan de kaders die de privacywetgeving stelt.
Door Gracièla van Duinkerken
Uit de onderzoeksrapportage blijkt dat de AP van oordeel is dat het Ministerie van Volksgezondheid, Welzijn en Sport (VWS) de kaders rondom de privacybescherming niet goed heeft opgesteld en dat deze te onduidelijk zijn. In het ‘programma van eisen’ voor de app is een aantal fundamentele vragen onvoldoende beantwoord. Zo is onder meer onduidelijk wie verantwoordelijk is voor de verwerking van de gegevens. Ook de proportionaliteit – ofwel of de inzet van de app in verhouding staat tot de mogelijke privacyschendingen – kon niet beoordeeld worden. Het is niet duidelijk of alternatieven voor een app minder effectief zouden zijn om verspreiding van het virus tegen te gaan. De noodzaak van een corona-app is derhalve (nog) niet gebleken.
Te weinig informatie ontvangen
De AP heeft tevens aangegeven dat het van de appmakers te weinig informatie heeft ontvangen om een goed beeld te krijgen van de opzet van hun apps. “Zo leverden sommige appbouwers alleen informatie over hoe de app eruitziet voor gebruikers. Informatie over hoe de app ‘aan de achterkant’ werkt, lieten ze achterwege,” aldus de AP.
Volgens de privacywaakhond hebben de onduidelijke kaders van de overheid de appmakers belemmerd in wat zij aan informatie konden aanleveren. Door de onduidelijke kaders kunnen de appmakers hun plannen, zowel op technisch als op juridisch vlak, onvoldoende uitwerken. Ook kon door de appmakers niet goed onderbouwd worden waarom bepaalde technieken werden ingezet en wat daarvan de beperkingen zijn. Om een oordeel over de apps te kunnen vellen, is een onderbouwing van deze keuzes echter noodzakelijk.
Appathon
Alvorens de AP zijn visie met betrekking tot de zeven corona-apps kenbaar zou maken, zijn de zeven corona-apps afgelopen weekend al voorgesteld aan het grotere publiek en getest door onafhankelijke experts tijdens de zogeheten ‘appathon‘. De experts die meekeken met de appathon hadden forse kritiek op de zeven apps. Bovendien werd binnen 24 uur na de presentatie van de apps al een datalek aangetroffen bij een van de corona-apps.
In hetzelfde weekend werd ook het rapport van de landsadvocaat gepresenteerd, die in opdracht van het ministerie een privacyanalyse uitvoerde op de zeven corona-apps. Daaruit bleek dat de apps op dit moment niet voldoen aan de AVG en dat geen van de voorgestelde apps volledige anonimiteit kan garanderen.
Komt de corona-app er nog wel?
Volgens AP-voorzitter Aleid Wolfsen is het nog maar de vraag of de corona-app er wel kan komen. De zeven voorstellen zijn in ieder geval momenteel nog niet voldoende uitgewerkt om te kunnen beoordelen of de bescherming van gevoelige gegevens van Nederlanders voldoende is gewaarborgd. Wanneer de noodzaak, de kaders, de plannen en de apps beter uitgewerkt zijn, kan de AP pas een afgewogen oordeel vellen.
Het kabinet neemt dinsdag 21 april een besluit hoe het verder gaat met de corona-apps.