Corona-apps van de overheid: hoe zit het met privacy en beveiliging?

Het kabinet wil een corona-app gebruiken om in kaart te brengen welke personen bij mogelijke coronapatiënten in de buurt zijn geweest. Daarmee kunnen eventuele nieuwe besmettingen snel worden opgespoord en in quarantaine worden geplaatst.[1] Er worden via de app gevoelige gegevens, zowel locatiegegevens als gezondheidsgegevens (of iemand besmet is), verwerkt. Afgelopen weekend zijn een aantal corona-apps gepresenteerd.

De eerste berichten daarover zijn niet positief. De Autoriteit Persoonsgegevens (AP) liet al weten dat de gepresenteerde corona-apps onvoldoende zijn uitgewerkt om te kunnen beoordelen of daarmee de privacy van de gebruikers voldoende wordt gewaarborgd en of deze apps veilig genoeg zijn. Zo is volgens de AP niet duidelijk omschreven wie verantwoordelijk is voor de verwerking van de gegevens middels de apps en wordt niet genoemd of dit bijvoorbeeld onderdeel is van een pakket aan maatregelen. De AP meent dat het ontwerp en de werking van de corona-apps afhankelijk is van de overige coronamaatregelen die worden ingesteld en de corona-app niet op zichzelf moet staan (dus de enige maatregel moet zijn om besmettingen te detecteren).

Kan de overheid zomaar een corona-app in het leven roepen en hoe zit het dan met (het waarborgen van) de privacy als je die app gebruikt?

Anonimiteit

Wij schreven al eerder een blog over de mogelijkheid van het verwerken van locatiegegevens. In die blog kwamen wij tot de conclusie dat de overheid bij voorkeur gebruik zou moeten maken van geanonimiseerde locatiegegevens, maar dat het lastig is om locatiegegevens volstrekt anoniem te houden.

Als daarnaast ook nog gezondheidsgegevens door de app worden verwerkt, maakt dat het voor wat betreft de privacy niet eenvoudiger. Gezondheidsgegevens mogen in principe niet worden verwerkt, tenzij daarvoor een uitzondering is aan te wijzen in de wet. Een andere mogelijke grondslag voor het verwerken van de gezondheidsgegevens zou toestemming van de gebruikers kunnen zijn. In dat kader is echter van belang dat het gebruik van de app niet verplicht mag worden gesteld, anders is de toestemming niet in vrijheid gegeven en kan op die grondslag geen beroep meer worden gedaan.

De corona-apps claimen echter dat alle gegevens worden geanonimiseerd. In dat geval is de Algemene Verordening Gegevensbescherming (AVG) niet van toepassing en mogen de locatie – en gezondheidsgegevens door de overheid worden verwerkt. Echter is geenszins duidelijk of anonimiteit met die apps wel echt gewaarborgd kan worden. In dat geval mag het gebruik van de app namelijk niet, ook niet indirect, tot individuen te herleiden zijn. Dat kan lastig worden als je op de app een signaal ontvangt dat er een besmet persoon in jouw buurt loopt en daar op dat moment maar één persoon aanwezig is.

Bovendien moeten tijdens de installatie- en uitwisselingsfase van de app toch gezondheidsgegevens worden verwerkt van de gebruiker om vast te stellen of deze persoon wel of niet besmet is. Dat kan niet anoniem plaatsvinden; de app heeft de gezondheidsgegevens van een bepaald individu immers nodig om van nut te kunnen zijn. Daarvoor zal de gebruiker in de regel toestemming moeten geven. In de fases daarna, waarin de gebruiker op basis van gepseudonimiseerde gegevens (waaronder locatiegegevens) wordt geïnformeerd over mogelijk contact met een besmet persoon, kan de overheid wellicht gebruik maken van de AVG in combinatie met de Wet publieke gezondheid (Wpg) als verwerkingsgrondslag.[2]

Veilig?

Als er al een verwerkingsgrondslag is aan te wijzen, dan wel als de gegevens volstrekt anoniem worden verwerkt, dan is de vervolgvraag hoe het zit met de veiligheid van de corona-app. Over de veiligheid van de gepresenteerde apps waren de deskundigen gisteren al zeer kritisch.

Alle gepresenteerde apps gebruiken Bluetooth. Bij het gebruik daarvan kunnen niet besmette personen ook worden geregistreerd, bijvoorbeeld omdat hun apparatuur een connectie maakt met andere apparatuur die zich binnen een bepaalde afstand bevinden (bijvoorbeeld door glas of door een muur). Ook kan de apparatuur van een besmet persoon zich (tijdelijk) niet op dezelfde plaats bevinden, bijvoorbeeld als de apparatuur thuis ligt of iemand anders de apparatuur in gebruik heeft. Geen van de gepresenteerde apps kon dit probleem voldoende ondervangen.

Afgelopen weekend werd zelfs bij één van de apps al een datalek geconstateerd. Dat hield volgens de ontwikkelaar van die app verband met de tijdsdruk waaronder zij de app hebben moeten ontwikkelen.

Kortom

De corona-apps lijken (vooralsnog) dus nog niet veilig genoeg. Ook is onvoldoende duidelijk of de privacy bij het gebruik van zo’n app wel kan worden gewaarborgd.

Het gebruik van een corona-app is een ingrijpend middel. Als er nog zoveel onduidelijk is over de werking daarvan, wie verantwoordelijk daarvoor is en welke maatregelen naast de apps bestaan, kan lastig worden beoordeeld of het gebruik van de corona-app wel in verhouding staat tot het te dienen doel; namelijk het opsporen van nieuwe besmettingen. Wellicht kan dat doel ook worden bereikt op een manier waarbij de privacy niet in een dergelijke mate wordt geschonden.

En heeft een corona-app wel zin als niet iedereen de app gebruikt? Worden wij dan verplicht om de corona-app te gebruiken? Maar als de grondslag toestemming wordt gebruikt, dan kan dat niet worden verplicht, want in dat geval is de toestemming niet in vrijheid gegeven. En hoe zit het dan met ouderen die geen gebruik maken van een smartphone?

Op al deze vragen hebben wij nog geen antwoord gekregen van het kabinet. Wat er nu verder gaat gebeuren met de corona-app, is vooralsnog onduidelijk. Wellicht horen we vanavond meer. Wordt vervolgd!

[1] De apps die de overheid wil inzetten voor het contact met een arts laat ik in deze blog buiten beschouwing.

[2] Artikel 9, tweede lid, aanhef en onder i, AVG jo. artikel 6, eerste lid, aanhef en onder e, AVG jo. artikel 6, eerste lid, aanhef en onder c, Wet publieke gezondheid.