Het Ministerie van Justitie en Veiligheid heeft de kwetsbaarheden die vorig jaar werden aangetroffen in de net uitgebrachte NL-Alertapp te laat gemeld bij de Autoriteit Persoonsgegevens (AP), zo blijkt uit onderzoek van de Auditdienst Rijk (ADR). Demissionair minister Ferd Grapperhaus heeft de Tweede Kamer middels een kamerbrief op de hoogte gesteld van deze conclusies.
Volgens de ADR had het Ministerie van Justitie en Veiligheid al bij de eerste signalen over mogelijke kwetsbaarheden in de NL-Alertapp melding moeten maken bij de AP. Dit gebeurde echter pas op 30 april 2020. De NL-Alertapp werd in maart 2020 uitgebracht.
Nadat er kwetsbaarheden werden geïdentificeerd in de NL-Alertapp, is deze uit de applicatiewinkels gehaald. Ontdekt werd dat via de NL-Alertapp locatiegegevens van gebruikers en mogelijk andere persoonsgegevens, zoals informatie over het besturingssysteem en andere geïnstalleerde apps, bij een externe dienst terechtgekomen kon zijn zonder dat de gebruikers daarvoor toestemming hebben gegeven. Na het verschijnen van het extern juridisch advies heeft minister Grapperhaus de aanbieder van de externe dienst verzocht het verzamelen van data via de app per direct te staken en de al verzamelde data te vernietigen.
Nieuwe werkwijze
In zijn Kamerbrief stelt Grapperhaus dat de mogelijke inbreuk onverwijld gemeld had moeten worden bij de AP. Volgens Grapperhaus was dit voor het ministerie een belangrijk leerpunt dat inmiddels in de werkwijze is verankerd.
NL-Alertapp
De NL-Alertapp was bedoeld als aanvulling op de NL-Alert die wordt uitgestuurd in een crisissituatie. Via de app konden gebruikers zien waar NL-Alerts zijn uitgestuurd en aanvullende informatie vinden over de betreffende crisissituatie. De app was echter geen vervanging voor NL-Alert, aangezien NL-Alert berichten via Cell Broadcast worden verzonden en ook verstuurd kunnen worden op het moment dat mobiele netwerken overbelast zijn. De NL-Alertapp is afhankelijk van een (mobiele) internetverbinding en werkte dus niet op het moment dat mobiele netwerken overbelast zijn.
Volgens Grapperhaus voorzag de NL-Alertapp overigens wel in een bredere behoefte bij Nederlandse burgers. Om die reden wordt nu een nieuwe NL-Alertapp ontwikkeld die voor release uitgebreid extern getest en gecontroleerd wordt op mogelijke kwetsbaarheden, datalekken of privacyinbreuken.
