De privacy rond corona-app CoronaMelder is nog onvoldoende gewaarborgd. Dat zegt de Autoriteit Persoonsgegevens (AP), die onder andere vindt dat de minister afspraken moet maken met Google en Apple over de software die zij leveren voor de inzet van de app.

Ook vindt de AP dat er een wet moet komen om de inzet van de app goed te regelen en dat duidelijk moet worden dat de servers die de app gebruikt ook veilig zijn. De AP adviseert het kabinet de app pas in te zetten als de adviezen zijn opgevolgd.
“Verder is de AP wel positief over de ontwikkeling van de app op zichzelf”, zegt AP-voorzitter Aleid Wolfsen. “Die is duidelijk ontworpen met privacy als uitgangspunt. Met allerlei technische waarborgen voor de privacy van gebruikers, zoals versleuteling van het dataverkeer en het versturen van nepcodes om te voorkomen dat je iets kunt aflezen uit het dataverkeer.”

App staat niet op zichzelf
Maar de app staat niet op zichzelf en is afhankelijk van andere technische onderdelen én wetgeving. Wolfsen: “Daar zitten onze zorgen. Die app is niet alleen wat jij op je scherm ziet, maar ook de techniek van Google en Apple en ook de servers waar je jouw gegevens heen stuurt. Die app is onderdeel van een systeem. Ook in die andere onderdelen van dat systeem moet de privacy op orde zijn, net zo goed als in de app zelf.”
De grootste zorg van de AP gaat over het zogeheten Google Apple Exposure Notification framework. Dat is de onderliggende software in de mobiele besturingssystemen Android en iOS die de Nederlandse corona-app mogelijk maakt. “Het is voor de AP niet duidelijk of deze Amerikaanse techgiganten via de combinatie van het framework en het besturingssysteem gegevens van gebruikers in handen krijgen en wat daarmee gebeurt. En het gaat hier om gezondheidsgegevens, zeer gevoelige gegevens van heel veel mensen”, zegt Wolfsen. “Dus dat is zorgelijk. De overheid moet duidelijke afspraken maken met Google en Apple, voordat ze de app in gebruik neemt. En de AP moeten kunnen controleren of dit goed geregeld is. Dat is nu niet het geval.”

Wetgeving als basis
Gezien de omvangrijke en veelomvattende impact van een corona-app, is een wet volgens de AP de meest logische basis. Die wet zou moeten regelen dat de minister van VWS de bevoegdheid krijgt deze gegevens te verwerken én zou ook privacywaarborgen moeten bevatten. Wolfsen: “Er moet bijvoorbeeld in staan dat je helemaal zelf mag bepalen of je de app wilt gebruiken. Dat betekent ook dat je bijvoorbeeld niet geweigerd mag worden in de horeca als je de app niet op je telefoon hebt staan. En dat je werkgever jou niet mag verplichten de app te gebruiken.”
Het laatste hoofdpunt van het advies van de AP is dat de ‘achterkant’ van de app goed geregeld moet zijn: alles wat er op de servers gebeurt. “Pas vanavond werd duidelijk wie dat zullen beheren”, zegt Wolfsen. Hoe die partij de beveiliging heeft geregeld weten we nog niet. Het moet duidelijk zijn dat die beveiliging goed is. Pas dan kan de app ingezet worden.”

Noodwet
Er komt overigens wel een noodwet voor de CoronaMelder. Hierin staat onder andere dat iemand bij misbruik van de app een boete kan krijgen van 8000 euro of een half jaar celstraf. Onder misbruik valt ook een restaurant of café dat gasten aan de deur vraagt om de app te laten zien. Zo wil het kabinet voorkomen dat mensen gedwongen worden de CoronaMelder te gebruiken. Behalve voor de horeca geldt dat ook voor werkgevers, zorgverzekeraars, onderwijsinstellingen en winkels. Het wetsvoorstel ligt nu bij de Raad van State en daarom nog niet openbaar. Dat wordt het als het in september naar de Tweede Kamer wordt gestuurd.