9 april 2020
Het kabinet kijkt naar twee apps: één moet inzichtelijk maken of je in contact bent geweest met iemand die besmet is met het virus, de andere kan de gebruiker makkelijk in contact brengen met een arts, net zoals de app die het Amsterdamse ziekenhuis OLVG een paar weken geleden uitrolde.
Minister Hugo de Jonge vindt het nog te vroeg om daar uitspraken over te doen. Hij laat de mogelijkheid dus open om de apps te verplichten. ‘Dat lijkt mij vrij lastig’, zegt privacyjurist Christiaan Alberdingk Thijm. ‘Zo'n app verzamelt medische gegevens, bijzondere persoonsgegevens. Dat mag alleen als de burger daar uitdrukkelijk toestemming voor geeft. In alle vrijheid dus.’
De privacywet AVG kent wel een uitzondering: als het in het algemeen belang is voor onze volksgezondheid. Alberdingk Thijm denkt dat die uitzondering niet van toepassing is, zelfs niet nu we in een grote gezondheidscrisis zitten. ‘Het plan klinkt als een onhandig losgelaten proefballon. Een app kan handig zijn, maar is niet noodzakelijk om corona te verslaan. Zeker niet als je thuis vervolgens niet meteen kan testen of je corona hebt’, zegt Alberdingk Thijm. ‘Ik kan me wel voorstellen dat de overheid risicogroepen deze technologie aanraadt, maar dan wel op basis van vrijwilligheid.’
Naast privacybezwaren zijn er ook praktische bezwaren aan verplicht stellen. Niet iedereen heeft op straat z'n telefoon bij zich of misschien is de batterij leeg. Het is voor de effectiviteit van de app wel belangrijk dat veel mensen hem gaan gebruiken. Volgens onderzoek van het Big Data Institute van de universiteit van Oxford moet in ieder geval 60% van de bevolking zo'n app gebruiken om effectief te zijn.
In Duitsland bestaat sinds kort een app waaraan gebruikers vrijwillig hun gegevens afstaan. De app brengt via een interactieve kaart in kaart waar de meeste besmettingen zijn. Daarvoor worden via smartwatches onder andere gegevens over slaap, lichaamstemperatuur en hartslag verzameld. De informatie wordt aangevuld met gegevens van gezondheidsdiensten.
Dat is nog niet duidelijk. Het is mogelijk om zendmasten af te tappen en om locatiedata van burgers op te slaan in een centrale database. Zo heeft de Israëlische veiligheidsdienst Shin Bet afgelopen maart toestemming gekregen om data van telecombedrijven op te vragen en 30 dagen op te slaan. Wie in contact is gekomen met iemand die het virus draagt krijgt een sms'je met de opdracht in zelf-quarantaine te gaan.
‘Een zendmast is voor zo'n track & trace-app te onnauwkeurig' zegt Natali Helberger, universiteitshoogleraar recht en digitale technologie aan de Universiteit van Amsterdam. 'Potentieel kunnen heel veel mensen tegelijk gemeten worden, wat het heel moeilijk maakt om te bepalen om wie het uiteindelijk gaat.’
De app gaat daarom waarschijnlijk werken op basis van bluetooth. Als deze functie staat ingeschakeld, zoekt de telefoon naar andere bluetooth-apparaten in de buurt. Normaal gesproken wordt dat gebruikt om verbinding te kunnen maken met bijvoorbeeld een draadloze headset.
Maar de functie kan ook worden gebruikt om een lijst te maken met alle bluetooth-apparaten die in de buurt zijn geweest. Als iemand in die lijst later positief getest is op corona, krijgt iedereen die bij die persoon in de buurt is geweest, bijvoorbeeld in de metro of supermarkt, een bericht.
Bluetooth heeft ook belangrijke nadelen. Het is ‘heel erg makkelijk te hacken’, stelt privacydeskundige Brenno de Winter. ‘We proberen juist mensen zo op te voeden dat ze bluetooth niet de hele tijd hebben aan staan.’ Ook gaat de batterij van een telefoon sneller leeg als bluetooth staat ingeschakeld.
In Europa wordt de roep om de inzet van big data om de verspreiding van corona in kaart te brengen, steeds luider. Zo hoopt eurocommissaris Thierry Breton de locatiegegevens van honderden miljoenen Europeanen te kunnen verzamelen met behulp van de telecomproviders.
Als de overheid telecomdata van burgers wil gebruiken om het coronavirus te bestrijden, moet daar eerst een noodwet voor komen die dat regelt. 'Het gebruik van locatiegegevens van burgers door de overheid is zeer ingrijpend' stelde de Autoriteit Persoonsgegevens, in een reactie op plannen van de Europese Commissie. ‘Locatiegegevens zijn nooit volledig anoniem,’ zegt jurist Alberdingk Thijm. ‘Ze zijn altijd wel te herleiden tot de natuurlijke persoon.’
Zo'n app moet niet onder grote tijdsdruk doorgedrukt worden, zegt Helberger. ‘We hebben in China gezien dat mensen die ziek zijn gestigmatiseerd worden. En als we willen dat het goed werkt, moeten mensen zeker weten dat ze niet hun baan kwijt raken omdat ze ziek zijn. Het plan is nog niet goed doordacht.’
Zeker, er zijn er misschien zelfs te veel. Veel ontwikkelaars kijken naar Singapore waar de app TraceTogether is gelanceerd en door honderdduizenden burgers vrijwillig is gedownload. Gegevens waar je bent geweest blijven 21 dagen op je telefoon staan. Het Rode Kruis in Oostenrijk heeft een 'Stop Corona'-app gelanceerd. Ook Polen en Ierland hebben plannen.
Als dadelijk Europeanen weer rondreizen binnen de EU is het niet handig om allemaal nationale apps te hebben. 'Het ergste is als we [binnen Europa] heel veel verschillende tracking apps hebben', zei de woordvoerder van bondskanselier Merkel afgelopen week. De Europees Toezichthouder voor gegevensbescherming (EDPS) heeft daarom afgelopen maandag opgeroepen tot de ontwikkeling van een pan-Europese app te komen.
De Europese Commissie kwam woensdag met een voorstel tot een gezamenlijke Europese aanpak. De commissie wil dat apps uit verschillende landen betrouwbare informatie leveren en met elkaar samen kunnen werken. Informatie over mensen die positief zijn getest op het virus moet volgens de commissie uitgewisseld kunnen worden tussen lidstaten.
Meer dan 130 wetenschappers uit 8 landen werken al aan PEPP-PT, dat staat voor Pan-European Privacy Preserving Proximity Tracing (ja, dat is een onmogelijke naam). De app moet net zo werken als TraceTogether, maar is zo ontworpen dat het aan de strenge Europese privacyeisen voldoet. De bedoeling is dat PEPP-PT zeer binnenkort in Duitsland wordt gelanceerd.