De Autoriteit Persoonsgegevens (AP) heeft geen oordeel gegeven over de zeven corona-apps die het ministerie van VWS heeft geselecteerd. De AP vindt dat het ministerie de kaders niet duidelijk genoeg heeft gesteld. Daardoor zijn de zeven voorstellen onvoldoende uitgewerkt om te kunnen beoordelen of de bescherming van gevoelige gegevens van Nederlanders voldoende is gewaarborgd.
Het ministerie heeft apps van zeven developers geshortlist voor verder onderzoek. Op 18 en 19 april hebben experts de gelegenheid gekregen om de apps te onderzoeken. Het kabinet heeft opdracht gegeven aan de Landsadvocaat, KPMG en de AP voor spoedonderzoek. Alle drie zijn ze negatief.
AP: fundamentele uitgangspunten ontbreken
In het programma van eisen voor de app is een aantal fundamentele vragen onvoldoende beantwoord. Zo is niet duidelijk omschreven wie verantwoordelijk is voor de verwerking van de gegevens: een private partij, een zorgpartij of een overheid. Ook staat in het programma van eisen niet genoemd of de app een onderdeel is van een pakket aan maatregelen en welke maatregelen dat dan zijn. Ontwerp en werking van een app zijn zeer afhankelijk van die overige maatregelen.
Ook over de software is te weinig bekend. De AP heeft van de appbouwers te weinig informatie ontvangen om een goed beeld te krijgen van de opzet van hun apps. Soms was alleen informatie beschikbaar over hoe de app eruitziet voor gebruikers, maar niet over hoe die onder de motorkap werkt. Bluetooth kan ook zorgen voor veel valse meldingen, maar de afweging daarover is niet gemaakt.
Te weinig gegevens
Bij een ingrijpend middel als zo’n corona-app moet de AP bovendien kunnen toetsen of de inzet ervan in verhouding staat tot de mogelijke privacyschendingen. Het moet duidelijk zijn waarom alternatieven die minder ingrijpend zijn dan een app, minder effectief zijn om het virus in te dammen. De AP kon de proportionaliteit van de inzet van de corona-apps daardoor niet beoordelen.
De AP zegt dat het maar de vraag is of die app er überhaupt kan komen. De toezichthouder zal eventuele nieuwe voorstellen beoordelen, maar alleen als de effectiviteit, de kaders, de plannen en de apps beter uitgewerkt zijn.
