Zorgen om privacy bij apps: 'Krijgen we straks te maken met corona-schaamte?'

Volgens De Jonge is er 'geen tijd te verliezen'. En dus konden er tot dinsdag 12.00 uur voorstellen worden ingediend over de apps die er mogelijk komen in de strijd tegen het coronavirus. Bureaus in de digitale branche zijn verbaasd dat de inschrijvingen na het weekend binnen moesten zijn bij het kabinet. 'Dat is niet heel veel tijd om een gedegen onderzoek te doen en een oplossingsrichting te formuleren voor zo'n moeilijke case' zegt Victor Knaap van het Amsterdamse productiebedrijf MediaMonks, dat ook een inschrijving de deur uit heeft gedaan.

Voorstellen moeten voldoen aan een reeks specifieke eisen. Zo mag de applicatie persoonsgegevens niet centraal opslaan en mogen gegevens niet herleidbaar zijn tot individuen. 

Het kabinet stuurt aan op twee apps: de één laat zien of een gebruiker in de buurt is geweest van een andere gebruiker die besmet blijkt te zijn en een andere app die het vervolgens makkelijker maakt om vanuit huis contact te houden met de dokter. Al snel rezen er vragen over de privacyschendingen van zulke apps. Vooral de zogenaamde contact-app roept argwaan op, omdat mensen op grote schaal pro-actief bij gaan houden bij wie ze in de buurt komen.

Veel privacy-organisaties maken zich zorgen. 'In de aanbesteding is geen rekening gehouden met een aantal belangrijke voorwaarden', zegt Evelyn Austin, directeur van Bits of Freedom. 'Zo hoeft de broncode van de app niet openbaar te zijn, waardoor niemand kan controleren of de app ook echt doet wat-ie belooft. Dat maakt toezicht houden vrijwel onmogelijk, helemaal als er straks miljoenen gebruikers zijn.'

Premier Rutte wilde vorige week dinsdag niet uitsluiten dat het gebruik van een corona-app verplicht wordt. Austin noemt dat een slechte zaak: 'Er is namelijk een hele reële kans dat het verplichten van het gebruik van zo'n app gaat leiden tot ongelijke behandeling. Misschien zeggen zorgverzekeraars over een jaar wel: jij hebt niet genoeg afstand gehouden, we gaan je premie verhogen. Ik zeg niet dat deze dingen gaan gebeuren, maar de overheid houdt er geen rekening mee.'

Ruim zestig wetenschappers, afkomstig van bijna alle universiteiten en onderzoeksinstituten in Nederland, hebben hun intussen zorgen geuit in een brandbrief aan het kabinet. Ze noemen de inzet van tracking-tracing apps en apps voor gezondheidsmonitoring in de brief ‘zeer ingrijpend’. Volgens hen zal inzet van dergelijke apps de weg vrijmaken voor toekomstig gebruik van vergelijkbare technologieën. 

De wetenschappers pleiten er voor deskundigen op gebieden als recht, sociale wetenschappen en ethiek te betrekken bij het besluit de apps wel of niet te gaan gebruiken. Er moet gewaakt worden voor ineffectiviteit en onbetrouwbaarheid van de apps, omdat die in zulke gevallen voor schijnveiligheid en daarmee een groter risico op besmettingen kunnen zorgen.

Die geluiden van schijnveiligheid komen momenteel uit Singapore, waar eind maart de app TraceTogether werd gelanceerd: een app die via bluetooth werkt en waar het kabinet met grote interesse naar kijkt. Bluetooth is niet bepaald de heilige graal voor de oplossing van het privacyprobleem, zegt Austin: 'De maker van die app zegt dat de bluetooth-functionaliteit niet goed genoeg werkt.' 

Maar wat is het verschil tussen gps en bluetooth? Iedere smartphone zendt via bluetooth constant een uniek nummer uit dat door smartphones dichtbij wordt opgevangen en opgeslagen. Als blijkt dat iemand besmet is, krijgen gebruikers die bij dat toestel in de buurt zijn geweest, een alarmsignaal binnen. De app slaat geen locatiegegevens op, in tegenstelling tot gps. 

Volgens Tim Geenen, bestuurslid van IAB Nederland en werkzaam bij LiveRamp, een van de grootste marketing-, data- en technologiebedrijven ter wereld, bestaat de heilige graal sowieso niet. 'Maar aan de privacyzorgen valt altijd iets te doen, of het nu om gps of bluetooth gaat.'

Geenen benadrukt dat het vooral van belang is dat je als gebruiker de controle kunt hebben om te kiezen wat er wel en niet gedeeld wordt. 'En kiezen begint met inzicht: kan een gebruiker zien wat er verzameld wordt? Zo lang je consumenten informeert en om toestemming vraagt, kun je veel doen op het gebied van privacy.'

Ivo Roefs, voorzitter van Dutch Digital Agencies: 'Als het erop neer komt dat je geïnformeerd kunt worden over het feit dat je in contact bent geweest met iemand die corona heeft, dan vind ik dat een positief iets. Is dan mijn privacy aangetast? Nee, dat denk ik niet. Wij kunnen dit niet bekijken door de bril waarmee we reguliere zaken beoordelen. Teveel haast is natuurlijk niet goed, maar ik zou willen dat er zo snel mogelijk een app komt; liever gisteren dan vandaag.'

Een andere app waar het kabinet naar kijkt, is die van het OLVG. Inmiddels gebruiken ruim 100.000 (75 procent actieve gebruikers) mensen de app en zijn er 4200 'coronaverdachten' geïdentificeerd. De app komt uit de koker van het Amsterdamse techbedrijf Luscii en controleert gebruikers op coronasymptomen om de druk op huisartsen en spoedeisende hulp te verlichten.

Mede-oprichter van de app, Joris Janssen, zegt dat ook Luscii de plannen heeft ingestuurd. Janssen snapt de zorgen over privacy, maar benadrukt dat het belangrijk is om onderscheid te maken tussen de twee verschillende apps. 'Die contact-app brengt veel complexere materie met zich mee.'

Janssen: 'We zijn al sinds 2014 met deze app bezig, destijds voor ziekenhuizen. Daarom voldoen we aan alle regels. We zijn heel zorgvuldig bezig met security en privacy. Wij bieden een medische dienst, dus privacy is key', benadrukt Janssen. 'We bieden onze data geanonimiseerd aan de autoriteiten en wetenschap aan om inzicht in het coronavirus te krijgen. Onze app heeft bewust geen locatietracking.'

Het kabinet ziet corona-apps voor smartphones als 'enige mogelijkheid' om de economie en de maatschappij weer geleidelijk van het slot te halen. Vreemd, vindt Austin. 'We zouden ook moeten kijken naar andere oplossingen die de druk om de zorg kunnen wegnemen. Die zijn niet altijd in data en techniek te vinden, maar dat is wel altijd het eerste waar de overheid naar grijpt. Terwijl het nog helemaal niet bewezen is of die apps überhaupt effectief zijn.'

Austin: 'We krijgen signalen binnen van huisartsen die zeggen dat er de laatste week veel minder gebeld wordt. Als je me vorige week had had gevraagd of zo’n app van nut kon zijn, had ik ja gezegd, maar inmiddels zeggen huisartsen: patiënten kunnen ons gewoon bellen.'

Janssen zegt nog geen geluiden te hebben ontvangen van huisartsen die met de armen over elkaar zitten. 'Maar als dat zo zou zijn, dan is de effectiviteit natuurlijk wel meteen bewezen', zegt hij lachend. Op serieuze toon: 'Wij willen zorg zoveel mogelijk ontlasten dus als dat lukt is het een heel mooi resultaat. Maar het is natuurlijk niet de bedoeling om huisartsen hun werk te ontnemen.'

In de week voorafgaand aan 28 april moet bekend worden hoe de mogelijke apps eruit komen te zien. Dan beslist het kabinet op welke manier Nederland de maatregelen tegen de ongecontroleerde verspreiding van het coronavirus voortzet.

Als de app straks niet aan bepaalde privacy-eisen voldoet, gaat Bits of Freedom 'keihard' campagne voeren. Austin: 'Want naar welke maatschappij keren we terug? Ontstaat er een soort kliksysteem? Of krijgen we te maken met corona-schaamte? Word je ongelijk behandeld omdat je besmet bent of bent geweest? Dat soort risico’s liggen wel degelijk op de loer.'

'Omdat het allemaal zo snel gaat, ontstaat er een gebrek aan informatie en inzicht. Het is natuurlijk ook niet zo dat de overheid een fantastische credibility heeft als het gaat om technologie. Maar dat er persoonlijke data nodig is voor een app, is nu eenmaal onvermijdelijk. De overheid heeft hulp nodig om dat in goede banen te leiden', zegt Geenen - die er groot voorstander van is dat technologiebedrijven als Apple en Google het privacyprobleem oplossen. 'Van hen zullen we de komende tijd veel meer gaan horen.'

'We willen absoluut niet beweren dat wij de wijsheid in pacht hebben, maar op basis van het onderzoek dat wij in korte tijd hebben kunnen doen is de Google en Apple contact-trackingtechniek de enige betrouwbare weg voorwaarts', laat ook Knaap van MediaMonks weten. 

Roefs sluit zich daarbij aan. 'Ik volg met interesse het verhaal van Google en Apple: als het niet ingebakken is in de software, gaat het niet werken. Dus dat moet gewoon gebeuren. Het moet een heel solide systeem zijn. We hebben met zo’n uitzonderlijke situatie te maken, het gaat hier om het maatschappelijk belang. In hoeverre is privacy een issue als er zoveel doden vallen?'