De Autoriteit Persoonsgegevens (AP) laat maandagochtend weten geen oordeel te kunnen vellen over de zeven corona-apps die afgelopen weekend zijn voorgesteld. Volgens de toezichthouder heeft het ministerie van Volksgezondheid, Welzijn en Sport (VWS) de kaders rondom de privacybescherming niet goed opgesteld.
De kaders zijn te onduidelijk, meldt de AP. De toezichthouder zegt dat in de lijst van eisen een aantal fundamentele vragen “onvoldoende” wordt beantwoord.
“Zo is niet duidelijk omschreven wie verantwoordelijk is voor de verwerking van de gegevens”, schrijft de AP. “Is dat een private partij, een zorgpartij of een overheid?”
De toezichthouder zegt te moeten kunnen toetsen of de inzet van een corona-app in verhouding staat tot de mogelijke privacyschendingen. “Het moet duidelijk zijn waarom alternatieven die minder ingrijpend zijn dan een app, minder effectief zijn om het virus in te dammen. Dat is nu onvoldoende duidelijk.”
De AP zegt dat de zeven voorstellen nog niet voldoende zijn uitgewerkt om te kunnen beoordelen of de bescherming van gevoelige gegevens van Nederlanders voldoende is gewaarborgd.
Te weinig informatie van ontwikkelaars
Van de appbouwers kreeg de AP te weinig informatie om een goed beeld te krijgen van de opzet van de apps. “Doordat de overheid de kaders rondom privacy niet duidelijk genoeg heeft aangegeven, zijn veel appbouwers nog zoekende. Daarom hebben zij hun plannen onvoldoende kunnen uitwerken, zowel op technisch als op juridisch vlak.”
Bij het aanleveren van informatie konden ontwikkelaars bijvoorbeeld alleen laten zien hoe de app eruitziet voor gebruikers. Informatie over achterliggende techniek bleef achterwege.
Ook kon niet goed onderbouwd worden waarom bepaalde technieken werden ingezet en wat daarvan de beperkingen zijn. De AP heeft deze keuzes nodig om een oordeel te kunnen vellen.
“Het is nog maar de vraag of die app er wel kan komen”, zegt AP-voorzitter Aleid Wolfsen. “Natuurlijk zal de AP eventuele voorstellen voor apps opnieuw beoordelen, mocht de overheid dat vragen. Maar alleen als de effectiviteit, de kaders, de plannen en de apps beter uitgewerkt zijn.”
AP kan app verbieden als die niet voldoet
Als het kabinet een app kiest die niet aan de eisen van de privacywet voldoet, kan de AP de app verbieden.
Het kabinet kan er vervolgens wel voor kiezen een nieuwe wet op te stellen die de inzet van de app alsnog mogelijk maakt, schrijft de toezichthouder. Zo’n wetsvoorstel moet wel door het parlement worden goedgekeurd. Ook in dat geval zal de AP advies geven.
Landsadvocaat: Apps garanderen anonimiteit gebruiker niet
Afgelopen weekend voerde de landsadvocaat in opdracht van het ministerie al een privacyanalyse uit. Daaruit bleek dat de apps op dit moment niet voldoen aan de AVG.
“Daarmee is niet gezegd dat niet alsnog aan de AVG kan worden voldaan”, staat in het rapport. “Dat vergt enerzijds een doorontwikkeling en anderzijds een meer gedetailleerde uitwerking van de voorstellen.”
In het rapport staat verder dat geen van de voorstellen volledige anonimiteit kan garanderen. Ook werden kwetsbaarheden in de apps gevonden. Zo werd binnen 24 uur na de presentatie van de app al een datalek aangetroffen bij de kandidaat-app Covid 19 Alert.
Volg de laatste ontwikkelingen rond het virus in ons liveblog.
