Nieuws
27 augustus 2020

AP keurt corona-app terecht niet goed

Jacob Spoelstra ging hem vorige week nog niet gebruiken, de corona-app van de rijksoverheid. Nog vervelender voor het ministerie van Volksgezondheid is dat de Autoriteit Persoonsgegevens (AP) de app ook nog steeds niet veilig genoeg vindt op privacy-gebied. Terwijl hij toch helemaal volgens privacy-by-design-principes ontwikkeld is, volgens de makers en netjes van een dpia (data protection impact assessment) is voorzien. Hoe kan het dan toch weer misgaan?

Ze waren gewaarschuwd, de makers, zelfs door de Consumentenbond. Laten we eens met die dpia (data protection impact assessment), gegevensbeschermingseffectbeoordeling, volgens de AVG, beginnen. Want dat een stel ontwikkelaars en virologen en zelfs Brenno de Winter in hun enthousiasme om toch de langverwachte en al zo vaak afgewezen app nu eindelijk te mogen lanceren, iets essentieels op privacy-gebied over het hoofd zien, is goed voor te stellen. Maar dan zou toch de functionaris gegevensbescherming (FG) van de directie informatiebeleid/cio van VWS in het advies bij de dpia op dergelijke tekortkomingen wijzen en adviseren eerst verbeteringen aan te brengen. Dat lijkt niet het geval en van de 31 onderzochte privacy-gevoelige data-verwerkende onderdelen in de app, worden er maar twee met de inschatting 'na maatregelen medium risico' beoordeeld. De rest is laag of zelfs laag-laag.

De AP neemt bij de voorgestelde wijziging van de telecommunicatiewet één van de medium risico's ook al op de korrel in zijn advies, namelijk dat wetenschappers ook de gegevens krijgen. Daar proberen de ambtenaren van J&V het begrip openbare veiligheid op te rekken met volksgezondheid, terwijl de AVG volksgezondheid al apart als uitzonderingscategorie noemt. Maar dan valt het beoogde gebruik voor wetenschappelijk onderzoek er natuurlijk niet onder.

In dit geval beschrijft de dpia dat de uitgewisselde tokens (tek's) weliswaar goed versleuteld zijn, maar als ze langer dan vijftig jaar bewaard worden het onzeker is of de sleutels dan niet meer eenvoudig te kraken zullen zijn. Ach, theoretisch gevaar in een lab-omgeving en hoe privacy-gevoelig zijn die contactgegevens over vijftig jaar nu nog (als een groot deel van de gebruikers niet eens meer leeft)? Het andere medium risico bestaat volgens de dpia uit een nep-backend. Dan zou er ook een pki-overheidscertificaat vervalst moeten worden en als het soc van de Belastingdienst goed oplet is de kans laag. Maar mocht het succesvol gebeuren, dan is de impact, hier onder meer heel plastisch beschreven als 'ellende uithalen', nu eenmaal erg groot. Risico's die aanvaardbaar worden geacht, gezien het grote belang van de app.

Lees verder >>

FacebookTwitterLinkedinMailPrint

Lees ook

Hoofdmediapartner
Mediapartners