Tag: App

About App

Subscribe Feeds

Als ik een app met datagevangenis gebruik, is de leverancier dan verantwoordelijke onder de AVG?

Geplaatst op in Ondernemingsvrijheid, Privacy, 6 reacties
LoboStudioHamburg / Pixabay

Een lezer vroeg me:

Wanneer je data opslaat in een clouddienst, is de exploitant daarvan de verwerkingsverantwoordelijke. Beheer je alles lokaal, dan ben je dat zelf. Tot zo ver duidelijk. Maar wat nu als je de data in een app beheert? De data staat wel lokaal maar zit ‘opgesloten’ in de app, waar de exploitant alle controle over kan uitoefenen. Kun je ze dan onder de AVG sommeren om bijvoorbeeld data-export mogelijk te maken?

Onder de AVG is een verwerkingsverantwoordelijke de partij die beslist voor welke doelen persoonsgegevens worden verwerkt, en met welke middelen. (Een verwerker is een partij die voor een verantwoordelijke een verwerking uitvoert, maar dus niet zelf doel of middelen bepaalt.)

Het klopt dus dat als je data in de cloud opslaat, de partij aan de andere kant (“there is no cloud”) de verantwoordelijke daarvoor is. Soms de verwerker – als jij de uiteindelijke zeggenschap hebt over wat men met die persoonsgegevens mag doen. Dit is minder vaak het geval dan je zou denken.

Omgekeerd, enkel het leveren van middelen maakt je geen verwerkingsverantwoordelijke. Als je dus een lokale applicatie gebruikt en daarin persoonsgegevens verwerkt, heeft de leverancier geen rol onder de AVG. Jij (of je organisatie) bent dan zelf de verwerkingsverantwoordelijke.

De situatie met een app is iets ingewikkelder. De vraagsteller noemt het “opsluiten”, dus de data is niet even uit de app te halen zoals bij desktopapplicaties waar je gewoon databestanden naast het programma hebt staan. En natuurlijk kan een app-leverancier veel makkelijker updates forceren dan een traditionele desktopsoftwareleverancier.

Toch maakt dat hem denk ik niet direct een verwerkingsverantwoordelijke: de appleverancier bepaalt nog steeds niet wat je doet met de app, dat doe jij als gebruiker van de app. Natuurlijk wordt dat anders als er functies ingebouwd zijn die onder controle van de leverancier dingen doen (zoals adresboeken uploaden), maar dan hebben we vaak meteen ook te maken met cloudopslag.

Als verwerkingsverantwoordelijke heb je de plicht te zorgen voor de rechten van de betrokken personen. Dat kan dus betekenen dat je ze een kopie van hun persoonsgegevens moet geven, en correcties moet doorvoeren. Als zo’n app dat niet toestaat, ben jij dus niet AVG compliant. De AVG regelt alleen niet dat jij van je leverancier dan een update kunt eisen waarmee dat wel kan – die zegt, gebruik die app dan maar niet.

Hoe krijg ik security op de kaart bij mijn kinderopvang?

Geplaatst op in Informatiemaatschappij, Privacy, 5 reacties
congerdesign / Pixabay

Een lezer vroeg me:

Onze kinderen gaan naar de kinderopvang. Het bureau gebruikt hiervoor een SaaS-platform van een derde, met daarin dus alle persoonsgegevens (inclusief bsn en benodigde gezondheidsinformatie). Maar meer dan een wachtwoord wordt er niet gebruikt, en je mag zo te zien onbeperkt wachtwoorden proberen. Ik maak me daar grote zorgen over, ik zie dit zo gehackt worden. Wat kan ik doen, zijn er juridische middelen?
Er zijn vele, vele pakketten en diensten als deze. Nu we als maatschappij graag onze zaakjes zo veel mogelijk online willen regelen, is het logisch dat er allerhande portalen, apps en diensten komen waarmee dat kan. En die slaan dan dus al die gegevens op, die vaak wettelijk nodig zijn (zoals bsn bij kinderopvang) of waarzonder men niet kan werken (zoals allergie-gegevens).

Er zijn tegelijk maar weinig wettelijke kaders. De AVG is natuurlijk de bekendste. Deze bepaalt dat zulke gegevens goed beschermd moeten zijn, maar schrijft geen specifieke security-eisen voor. Je moet zelf, op basis van de situatie, de kosten en de te verwachten bedreigingen, een afweging maken om het zo goed mogelijk op orde te maken.

Er is ook geen toezichthouder die preventief je platform komt screenen of een audit komt uitvoeren. Of zelfs maar komt eisen dat jij een audit laat uitvoeren of wat dan ook. Wie het heel treurig wil formuleren, komt dus tot de conclusie dat alles AVG proof is totdat blijkt dat dat niet zo is. Door een hack of datalek dus. Ik word daar inderdaad niet vrolijk van.

En natuurlijk, dan mag de kinderopvang de rommel opruimen en de schade vergoeden. Want ook als ze dit zonder enige kennis van digitale zaken inkopen, zij blijven onder de AVG de verwerkingsverantwoordelijke en zij zijn aansprakelijk voor alles dat er mis gaat. (Op papier kunnen ze dat verhalen op de leverancier, of ze dit in de onderhandelingen van het servicelevelcontract afdwingen blijft natuurlijk giswerk.)

Als je als ouder een vermoedelijk datalek of ander probleem zit, kun je dat natuurlijk aankaarten. Alleen lastig: het bureau kan er niets mee, want die heeft de kennis niet. En de leverancier van het platform is vaak lastig bereikbaar voor de eindklanten, of heeft er weinig belang bij theoretische risico’s snel op te pakken.

Dus veel praktische oplossingen zijn er niet. Specifiek bij kinderopvang is er wellicht nog de route van de oudercommissie, die bij het bureau kan aankaarten dat er zorgen leven en of er wat anders bedacht kan worden. Mijn gevoel is dat bij veel van dergelijke commissies de zorg om digitale veiligheid niet heel hoog is, maar het is het proberen waard.

Arnoud

Kan ik de werkgever aansprakelijk houden voor schade door de 2FA-app?

Geplaatst op in Security, 28 reacties

Een lezer vroeg me:

Mijn werkgever heeft het gebruik van tweefactorauthenticatie verplicht gesteld, en gebruikt daarbij de Microsoft Authenticator app. Alleen, wie geen werktelefoon heeft moet deze maar op de privételefoon installeren. Ik maak me zorgen over de rechten die deze app heeft (foto’s, camera, locatie, contactpersonen en ga zo maar door) en bovendien vraag ik me af of ik mijn werkgever aansprakelijk kan stellen als er iets misgaat met die app.
De vraag over het installeren van apps op je privételefoon is natuurlijk al vaker langsgekomen. In 2018 zei ik nog dat dat eigenlijk niet kan, dat de werkgever maar voor een werktelefoon moet zorgen. Maar ik realiseerde me later dat je vanuit goed werknemerschap best verplicht kunt zijn iets kleins zelf te regelen, ook al is dat strikt gesproken met een privételefoon.

Zo’n authenticator app komt over als iets kleins: het ding produceert authenticatiegetallen waarmee je een inlogpoging afmaakt. Er is geen netwerkverbinding nodig, de app is buitengewoon klein en er zit verder weinig bijzonders aan. Vanuit dat perspectief lijkt me deze app prima passen in dat idee van “doe dat gewoon even, kom op nou” oftewel goed werknemerschap.

Ik zie inderdaad dat deze app ontzettend veel permissies vraagt, en ik zou de FAQ moeten lezen om te weten wat die app allemaal van plan is. Wordt er zo veel gelogd? Waarom moet de app weten waar ik ben en mijn foto’s bekijken alvorens een authenticatiecode af te geven? En zijn er dan toch beveiligings-zwakheden die misbruikt kunnen worden om zo mijn telefoon te infecteren? Geen idee, daar kan ik als privépersoon weinig over zeggen.

Gelukkig voor de werknemer is de werkgever aansprakelijk voor schade die men tijdens het werk lijdt (art. 7:658 lid 2 BW), behalve bij opzet of bewuste roekeloosheid door de werknemer. Dat is vrijwel nooit het geval (en nee, je updates vergeten te bijwerken zie ik niet als bewuste roekeloosheid) dus als de authenticator app die de werkgever voorschrijft schade bij jou veroorzaakt, dan kun je verlangen dat de werkgever die vergoedt.

Arnoud

Mag Clubhouse eisen dat je je adresboek deelt?

Geplaatst op in Ondernemingsvrijheid, Privacy, 20 reacties

Clubhouse, de nieuwe social media app, is echt iets voor dummies, aldus een van de vele blogs over deze nieuwe dienst. Want je hoeft er weinig voor te kunnen: alleen luisteren. De app draait namelijk om live gesprekken, zonder beeld of chatten. De app is nieuw en hip, en je kunt er alleen gebruik van maken als je uitgenodigd wordt (en een iPhone hebt). En daarbij een opmerkelijk detail: “Omdat Clubhouse gebruik maakt van je contactenlijst (in je telefoon) ziet de app direct wie van je bekenden er al gebruik maakt van de app.” Dat is even geleden, dat apps je adresboek standaard leegtrekken om zo andere mensen te kunnen werven. Hoe zit dat ook alweer, mocht dat nou of niet?

Je adresboek moet je delen om anderen te kunnen uitnodigen. Doel hiervan is namelijk dat Clubhouse kan zien wie van deze mensen al een account heeft. Maar indirect natuurlijk ook het opbouwen van een groot informatiebestand van kennelijk kapitaalkrachtige mensen met interesse in high tech en het laatste en hipste, je bent startup of niet natuurlijk. (Tenzij je voor de app betaalt, gaat het om je data en niet om de dienstverlening.)

Dit delen van adresboeken is in Europa problematisch, omdat een vermelding in je adresboek een persoonsgegeven is van die contactpersoon. Die mag jij daar hebben – uitzondering voor persoonlijk gebruik en/of toestemming tot communicatie met die persoon. Maar delen van die vermelding met een ander mag in principe gewoon niet, tenzij het netjes is van wel, en in bulk lijkt me eigenlijk nooit netjes. Dat is niet waarom jij in mijn adresboek zit, juridisch gezegd: de doelbinding ontbreekt, en toestemming is er ook al niet. Dus nee.

Tegelijk zie ik ook wel de legitieme behoefte van alleen uitnodigingen willen sturen aan mensen die de app al hebben. Dus dat Clubhouse wil nagaan of een opgegeven genodigde de app heeft, dat lijkt me legitiem. Precies dat was wat Whatsapp vroeger deed, totdat onze AP ingreep: die gegevens mag je wel verwerken, maar niet zodanig dat je ze óók voor gewone marketingdoeleinden (profielopbouw van niet-klanten) kunt inzetten. De dienst stuurt nu alleen hashes van 06-nummers uit het adresboek, en de server kan daarmee zien of iemand al klant is (men heeft dezelfde hash in het klantenbestand) of niet (hash onbekend). Dit is dus wat Clubhouse ook moet gaan doen.

Arnoud

Facebook moet 3,83 miljoen euro betalen aan ontwikkelaar wegens kopiëren Nearby

Geplaatst op in Intellectuele rechten, 6 reacties

Een Italiaanse rechtbank heeft in hoger beroep bepaald dat Facebook 3,83 miljoen euro moet betalen aan de Italiaanse softwareontwikkelaar Business Competence. Dat las ik bij Tweakers. Een Italiaanse rechtbank vonniste dat de dienst het auteursrecht op een app (genaamd Faround) heeft geschonden door haar eigen concurrerende dienst. Opmerkelijk aspect: dat lijkt met name het geval te zijn geweest omdat BC haar app ter goedkeuring moest voorleggen, en Facebook zo een en ander kon afkijken.

Mijn Italiaans is niet zo sterk, maar het lijkt te zijn gegaan om een combinatie van auteursrechten en oneerlijke concurrentie. En dat laatste is met name waar Facebook vaker commentaar op heeft gekregen (en Amazon ook trouwens): mensen moeten hun app via jou aanbieden, en jij kunt dan kijken wat  er wel en niet werkt – en bij Facebook ook gewoon hoe het werkt. Dat is dan makkelijk scoren, anderen nemen het risico en als het wat oplevert dan maak je het snel na, met inside kennis.

Het is opmerkelijk dat dit Italiaanse bedrijf Facebook aanklaagt, ik ken geen eerdere zaken hierover. Ik vermoed dat veel mensen bang zijn dat Facebook ze dan verbant van hun platform, wat natuurlijk een enorm bedrijfsrisico is.

Uit het vonnis haal ik dat de rechtbank met name het auteursrecht op de databank die achter de app zit, geschonden ziet. Dit gaat om de gegevens over bedrijven en winkels die in de buurt zijn van de Facebook-gebruikers, zodat die snel naar een relevante shop kunnen als ze ergens zijn.

De originaliteit van Faround bestond erin een reeks criteria te hebben opgesteld van selectie, organisatie en presentatie van gegevens die zijn ontworpen om te werken met categorieën gegevens die worden gehost op het sociale netwerk van Facebook. Eerdere programma’s verwerkt door Facebook (Facebook Places) en derden (Foursquare en Yelp) bezitten deze niet.
De kern van het bezwaar is dan ook dat Facebook deze manier van werken heeft afgekeken, en wel door de verplicht te overhandigen broncode van Faround te inspecteren. Dit werd aangetoond door een deskundige die constateerde dat de nieuwe app van Facebook wel heel veel leek – en bovendien geheel anders was dan die eerdere apps van Facebook zelf. Dat is natuurlijk nogal verdacht.

In zo’n situatie mag de rechtbank de bewijslast omkeren: Facebook, laat je broncode zien zodat we kunnen kijken of er daadwerkelijk iets is overgenomen dat auteursrechtelijk beschermd is bij de klager. Alleen wilde Facebook daar niet aan meewerken. En dat wordt ze zeer kwalijk genomen, zo zeer zelfs dat de rechtbank concludeert dat er dan wel inbreuk moet zijn. Dat kan, hoewel het nogal een stevige conclusie is.

De redenering is dan, we zien dat Facebook veel sneller dan normaal een concurrerende app met sterk gelijkende functionaliteit op de markt heeft, nadat ze geprivilegieerde toegang heeft gehad tot de concurrent én terwijl ze weigert in detail aan te tonen dat ze het echt geheel apart heeft gemaakt. Dan ligt het meer voor de hand dat men toch heeft gekopieerd, dan dat men het echt zelf heeft gemaakt.

Arnoud

 

Misschien doet handhaven op informatieplichten wel meer pijn dan op toestemming/belang?

Geplaatst op in Privacy, 32 reacties

Whatsappen met Wopke Hoekstra? Bellen met Kajsa Ollongren of Carola Schouten? Het kan dankzij Lusha, een onlinedienst die mailadressen en telefoonnummers van het internet plukt. Zo opende Trouw onlangs. Met deze vage dienst zijn mobiele telefoonnummers te vinden van vele, vele mensen. En er is een handige browser plugin waarmee je het telefoonnummer meteen ziet als je iemands social media profiel bezoekt. Natuurlijk is er geen toestemming gevraagd want even zo natuurlijk ziet het bedrijf hier een eigen legitiem belang – fraudebestrijding. Ik word zo moe van die discussie, dus laten we het eens over de informatieplichten hebben.

Een van de grondslagen om onder de AVG met persoonsgegevens te kunnen werken is het eigen legitiem belang. Je zegt dan grofweg, ik heb gewoon een eerlijke reden om dit te mogen doen en ik houd rekening met je privacy, maar dit moet gewoon kunnen. Dat “ik houd rekening met je privacy” is belangrijk; je moet wel waarborgen inbouwen en rekening houden met bezwaren.

Wat zijn nou “eerlijke redenen”? Nou ja, fraudebestrijding dus bijvoorbeeld. Net als netwerkbeveiliging of beschermen van eigendom, de reden dus dat je security monitoring of cameratoezicht mag inzetten. In principe, want je moet dus die afweging maken. Honderd camera’s op de werkvloer gaat hem dus niet worden, dat is niet proportioneel in die afweging ook al heb je eigendommen te beschermen.

Ik roep altijd dat je niet om toestemming moet vragen (tenzij je een nieuwsbrief hebt), en dat blijf ik ook nu doen. Lusha kiest volgens mij inderdaad de juiste grondslag. Ik geloof er vervolgens direct geen bal van dat ze die afweging hebben gemaakt, ze citeren een stukje AVG en produceren een leuterverhaal zonder onderbouwing – ik was blij verrast dat de Trouw-journalist dat keurig affakkelt overigens. Maar ik zie wel hoe je een lange discussie kunt krijgen over de inhoud van zo’n afweging.

De insteek van professor Zwenne (geciteerd in Trouw) is een veel simpeler én effectiever: je hebt als betrokkene het recht geïnformeerd te worden voor of bij het eerste gebruik van die gegevens. En dat is dus niet “wanneer je gebeld wordt” maar “wanneer Lusha je nummer in hun database stopt of via de API opvraagt bij vagedatabases.kremvax.ru”. En dat is niet gebeurd, zeker weten. Dus daarmee overtreedt Lusha keihard de AVG, en als ze een jurist hadden ingehuurd (nee, ik had ze lachend naar buiten gewezen) dan hadden ze dat geweten.

Blijft natuurlijk het probleem van handhaving: het is een Amerikaans-Israelisch bedrijf, dus een boete opleggen en incasseren is een lastig traject. Ik kon zo gauw geen Nederlandse bv ontdekken waar royalties (de Dutch/Irish sandwich) doorheen gaan of iets dergelijks, in ieder geval.

Wel is het natuurlijk zo dat iedereen die Lusha zakelijk gebruikt, automatisch de AVG overtreedt. Ja, ook als jij zelf wél een duidelijk onderbouwd gerechtvaardigd belang hebt én mensen meteen informeert dat je nummers bij Lusha inkoopt. Want naast die specifieke regels is er ook artikel 5, de basisprincipes. En eentje daarvan is “rechtmatig, behoorlijk en transparant”. Het is natuurlijk niet rechtmatig of behoorlijk dat je gegevens inkoopt bij een bedrijf dat zo duidelijk de AVG overtreedt. Ook niet als je een vrijwaring hebt opgenomen bij een garantie van Lusha dat ze de AVG wél naleven.

Arnoud

Is het een datalek als een app het bsn van je clipboard uitleest?

Geplaatst op in Privacy, 16 reacties

Via Twitter:

Zeg @albertheijn, @Marktplaats en @NUnl. Waarom willen jullie zo graag alles wat ik gekopieerd heb lezen? Inclusief dingen als IBAN nummers, wachtwoorden of persoonsgegevens. Klinkt als iets voor de autoriteit persoonsgegevens.

Er blijken nog veel meer apps te zijn die het clipboard uitlezen als je ze activeert. De vraagsteller kwam erachter omdat zijn nieuwe versie van iOS een melding toont wanneer een app het clipboard uitleest, maar het is volgens mij geen nieuwe feature op zich dat apps dit doen.

Ik heb zelf Android maar weet dat er de nodige apps zijn die dit doen omdat ze dan actie kunnen ondernemen: als ik een track&trace code op het clipboard plaats, biedt de PostNL app vervolgens aan om de zending na te zoeken. Kopieer ik een e-mailadres, dan stelt mijn mailapp voor om een bericht daarheen te schrijven. Andere apps herkennen URLs die van hun eigen dienst zijn, en openen dan bijvoorbeeld een productpagina of bestelformulier. Best handig, en slim om dat via het clipboard te doen want zo kun je vanuit elke applicatie een actie initiëren richting een andere.

Als je als app het clipboard gaat uitlezen, dan neem je inderdaad een risico dat daar een wachtwoord op staat – of zoals de vraagsteller suggereert, een burgerservicenummer. Of andere persoonsgegevens, denk aan een gekopieerd mailtje met een schuldbekentenis of verzin zelf wat dramatisch. Dan staat je app dus persoonsgegevens te verwerken terwijl dat buiten de opdracht viel, want wat moet PostNL met mijn bsn of die schuldbekentenis?

Daar staat tegenover dat die app volgens mij niet meer doet dan “if clipboard matches /3S.*/ then zoekZending else nop endif” zodat ik de term ‘verwerken van persoonsgegevens’ een tikje grootsprakerig vind. Helemaal omdat de app geen invloed heeft op wát er op het clipboard staat.

Maar ik kan niet ontkennen dat er enige ophef is over het fenomeen, want ook apps als TikTok blijken het clipboard uit te lezen:

In March, researchers uncovered a troubling privacy grab by more than four dozen iOS apps including TikTok, the Chinese-owned social media and video-sharing phenomenon that has taken the Internet by storm. Despite TikTok vowing to curb the practice, it continues to access some of Apple users’ most sensitive data, which can include passwords, cryptocurrency wallet addresses, account-reset links, and personal messages. Another 53 apps identified in March haven’t stopped either.

Met name was de ophef omdat na maart de ontwikkelaar van TikTok had gezegd dat ze hiermee zouden stoppen, terwijl dat dus niet het geval bleek te zijn. Oh én omdat de app niet eenmalig bij het opstarten keek wat er op het clipboard stond maar dit deed na ieder leesteken of spatie die je intypte. TikTok zegt dat dit is om spam te voorkomen, wie weet hoe dat een reële maatregel is, zeg het even in de comments alsjeblieft.

Algemeen zou ik dus zeggen dat een app géén datalek is omdat ze het clipboard kunnen uitlezen en dan per ongeluk persoonsgegevens te pakken krijgen, zolang de app maar niets doet met gegevens die niet voor haar bestemd zijn. Ik kan me geen app voorstellen die een bsn nodig heeft (oké, misschien de declaratie-app van een zorgverzekeraar) en dan is het in theorie handig dat je dat nummer kunt selecteren uit je Evernote, OneNote of Google Keep en dat de app dat getal herkent en in het juiste veld invult. Maar andere apps zouden dat gegeven alleen mogen bekijken om te constateren dat het niet voor hen is, en dan vrolijk verder draaien. Doen ze meer, al is het maar “uploaden voor kwaliteitsdoeleinden”, dan is dat wél een datalek.

Arnoud

Mag ik de hardcoded sleutel van een app gebruiken voor mijn eigen aanroepen?

Geplaatst op in Ondernemingsvrijheid, 36 reacties

Een lezer vroeg me:

Ik wil gebruik maken van een online tool vanuit mijn eigen software. Helaas is een zakelijke licentie op die tool veel te duur. Nu zat ik in de bijbehorende app voor consumentengebruik te kijken, en die blijkt met een hardcoded key te authenticeren. Ik kan daarmee dus perfect een aanroep simuleren, want het http verkeer is ook nog eens onversleuteld. Is dit toegestaan?

Het is in principe de bedoeling dat je aangeboden tools gebruikt zoals ze je aangereikt worden. Dat staat niet letterlijk in de wet maar volgt volgens mij uit wat juristen de redelijkheid en billijkheid noemen. Maar daar staat tegenover dat het dus niet automatisch strafbaar of onrechtmatig is als je iets anders inzet dan de aangeboden tooling.

In het geval van de vraagsteller kun je die app zien als niet meer dan een schil waarmee een server wordt aangeroepen. Ik zie het onrechtmatige niet in het zelf doen van die aanroep. In dit geval wordt er geen account van een ander gebruikt of een achterdeurtje aangeroepen. Alle apps hebben dezelfde sleutel, dus waartegen die sleutel moet beveiligen is me een raadsel.

Ook vraag je op deze manier geen informatie op waar je geen recht op had. Je had exact deze gegevens gekregen als je via de app de informatie op had gevraagd. Van computervredebreuk – ergens binnengaan waar je weet dat je niet mag zijn – kan ik dus niet spreken hier. Wellicht als je de API gaat manipuleren door extra velden te proberen, of counters gaat veranderen buiten de range die de app zelf gebruikt. Dat zou ik dus afraden.

Een complicatie bij deze vraag is dat de aanbieder zakelijke licenties onderscheidt van consumentengebruik met de app. De werkwijze van deze vraagsteller leidt ertoe dat hij onder een consumentenmantel informatie krijgt die hij zakelijk gaat inzetten. Dat zou je kunnen zien als contractbreuk: er staat vast iets in de app-licentie dat de informatie uitsluitend huishoudelijk of privé gebruikt mag worden.

Daar staat voor mij tegenover dat de vraagsteller ook met de app in de hand de informatie had kunnen verkrijgen en dan zakelijk inzetten. Daar doet die app niets tegen. Ik zie de schade niet voor de aanbieder in dat geval, dus waarom zou het dan wél schadelijk zijn als hij dat met een eigen tool doet?

Arnoud

Wat gaan we doen met die corona-app van de overheid?

Geplaatst op in Privacy, Regulering, 30 reacties

De Nederlandse overheid is van plan om twee apps te gebruiken om besmettingen met het coronavirus te traceren. Dat meldde Tweakers eergisteravond. De eerste app “vertelt je of je in de buurt bent geweest van een andere gebruiker, die besmet blijkt te zijn. Je krijgt dan het advies om binnen te blijven en het verzoek om een tweede app te gebruiken”, aldus de minister. Die tweede app is bedoeld om makkelijk contact te houden met een dokter in de buurt. Het roept natuurlijk de nodige privacyvragen op, inclusief de onvermijdelijke dooddoener dat privacy zou moeten wijken voor volksgezondheid. Helaas is er nog veel onduidelijk hoe het werkt, zodat het lastig is precies te zeggen of dit nu goed gaat of niet.

Een oud gezegde in de IT luidt: ongeacht het probleem is de oplossing een database. Dat zou hier ook vrij voor de hand liggen, zeker als er met haast aan een app wordt gebouwd. De app stuurt door waar je bent geweest, dat wordt centraal opgeslagen en zodra bekend is dat persoon X besmet is, kijk je in die database welke personen bij hemhaar in de buurt waren en stuur je iedereen een quaraintaineverzoek.

Nadeel: dan heb je dus een database waar van iedere Nederlander in staat waar ie is geweest, en dat zal onvermijdelijk leiden tot feature creep en ander ongewenst gebruik. Want niets zo permanent als een noodoplossing (de noodgebouwen van mijn vwo-school stonden al 10 jaar toen ik brugwup was, en werden vijf jaar geleden gesloopt). En ik hoop dat ook de “privacy moet even wijken voor de volksgezondheid/ de economie”-mensen het met me eens zijn dat dit geen handige oplossing is.

Hoe moet het dan wel? Nou ja, uit gaan van het minimale, beginnen met privacy en dan kijken waar je aan moet knabbelen. Bijvoorbeeld heel simpel, de app houdt lokaal bij wie hij heeft gezien, en pas bij een besmetting wordt er -op peertopeer wijze- informatie uitgewisseld tussen telefoons. Ik hoef niet te weten wie er in Groningen besmet is als ik in Amsterdam thuis blijf, dus er hoeft geen database te zijn waarin mijn locatie en die van die Groningse opgeslagen is.

Is er een besmetting, dan wordt een unieke code voor het slachtoffer verspreid onder appgebruikers (zeg maar een pushbericht) en je telefoon kan dan nagaan of je die persoon in de buurt hebt gehad. Hier gaan techneuten dan los met hashing en zero knowledge proofs; ik vat dat even samen met dat je dan niet meer weet dan “je was in de buurt van een besmet iemand” en dat kan zodanig dat je niet eens een persoonsgegeven hebt in de vorm van iemands serienummer. Een uitwerking hiervan is al beschikbaar ook: Pan-European Privacy-Preserving Proximity Tracing.

Op Twitter las ik het voorstel voor, ahem, ‘Covimon Go‘ van André Koot. Die zet de toegang tot informatie voorop, wie mag erbij en waarom. Dergelijke systemen zijn bekend bij onder meer Pokemon Go, vandaar de naam. Je hebt dan niet meer nodig dan “Op deze geo heeft het afgelopen uur iemand met de status ‘besmet’ rondgehangen.” in de centrale database, en die informatie kan dan worden ontvangen door iedereen die daar ook recent geweest is. Je hebt dan niet eens een login of zelfs maar een identifier nodig.

Probleem blijft natuurlijk: hoe weten we dat iemand de status ‘besmet’ heeft? Met weinig testen is dat heel ingewikkeld, en dan heb je ook nog eens de vals positieven zoals de automobilist die naast een besmette fietser stond bij het stoplicht of bij de buren in de flat met dikke muur er tussen.

Verder werkt dit natuurlijk alleen als genoeg mensen (ik zou zeggen 80% van de bevolking) meedoen met deze app. Dat zal een heel eind lukken op vrijwillige basis, genoeg mensen willen immers weten of ze op een onveilige plek zijn geweest – en misschien kan de app zelfs zeggen, blijf even weg van locatie X want daar is net een besmetting gemeld.

Het verplicht stellen vanuit de overheid lijkt me een heel ander verhaal. Dat kan onder de AVG alleen onder de voorwaarde van artikel 6 lid 1 sub e AVG:

De verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

Onder “algemeen belang” kun je ook de volksgezondheid rekenen, dus dat gaat op papier goed. Vervolgens krijg je de eis (lid 3) dat een en ander in een wet moet zijn uitgewerkt die ook nog eens de nodige waarborgen kent en de vereiste details uit de AVG (zoals bewaartermijn) uitwerkt. Vereist is ook dat de maatregel (dus het verplichte karakter) evenredig is met het belang dat de wet wil dienen.

Het komt dus neer op de vraag: moet je dit echt van iedereen eisen (de mensen zonder smartphone even uitgezonderd natuurlijk). Wat levert het op dat we niet op andere wijze kunnen bereiken, bijvoorbeeld door te zeggen: blijf gewoon binnen, zoals we nu al doen. Ik moet zeggen dat ik dat echt niet weet.

Arnoud