Zorgen over privacyprobleem CoronaMelder-app voor Android

Google werkt aan een oplossing voor een privacyprobleem in de CoronaMelder-app. De fout zit in het onderliggende systeem en niet in de app zelf. Het ministerie van Volksgezondheid kan nog niet zeggen wanneer het probleem is verholpen. De Autoriteit Persoonsgegevens wil snel duidelijkheid van de techgigant en vindt dat de app anders al dan niet tijdelijk offline moet.

De fout maakt het in theorie mogelijk voor bepaalde apps om te achterhalen of de eigenaar van de telefoon in contact is geweest met iemand die besmet is. Een woordvoerder van Google zegt dat het "extreem onwaarschijnlijk" is dat er misbruik is gemaakt van de fout, maar kan het ook niet volledig uitsluiten.

Technieuwswebsite The Markup meldde gisteren dat Google een blauwdruk maakte voor CoronaMelder-apps waar problemen in zitten. Het probleem leidt ertoe dat data van de CoronaMelder in het centrale logboek van de telefoon terechtkomen. Voorgeïnstalleerde apps (bijvoorbeeld een browser) die horen bij een bepaald toestelmerk, Samsung of Huawei, kunnen ook bij dat centrale logboek.

Besmetting zien

The Markup voert een deskundige op die uitlegt dat dit betekent dat zo'n app zou kunnen inzien of de eigenaar van het toestel in de buurt is geweest van iemand die besmet is met het coronavirus. Deze data zouden in theorie kunnen worden verzameld en doorgestuurd naar het bedrijf achter de desbetreffende app. Bewijs dat dit is gebeurd, is er niet.

De woordvoerder van het ministerie benadrukt dat de data van de CoronaMelder in de vorm van een code in het logboek komen. Er moet dus aanvullende identificerende informatie aan worden toegevoegd voordat een partij hier iets mee kan. Dat is tegen de wet, zegt de woordvoerder. Google wijst er ook op dat de code elke 15 minuten verandert, het moment waarop er iets mee kan worden gedaan is dus heel beperkt.

Nederland weet sinds vorige week donderdag van het probleem af, zegt de woordvoerder. Het ministerie is hier toen over ingelicht door de Europese Commissie en begon vervolgens een onderzoek naar de consequenties van het probleem. Er volgt nu een gesprek met Google. "Het vervolg van de samenwerking met Google hangt af van de manier waarop en de snelheid waarmee zij een oplossing kunnen bieden voor dit probleem."

Zeer zorgelijk

Als het nieuws klopt is dat volgens Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens, zeer zorgelijk. "Het gaat hier om gezondheidsgegevens, zeer gevoelige informatie van heel veel mensen. Het ministerie van VWS is er verantwoordelijk voor dat gebruik van de app helemaal veilig is. En het ministerie heeft ervoor gekozen de software van Google te gebruiken."

De AP benadrukt dat het kabinet vorig jaar al in een advies is gewezen op kwetsbaarheden in het systeem. Als grootste zorg in dat advies werd de onderliggende software in mobiele besturingssystemen Android en iOS die de Nederlandse corona-app mogelijk maakt, genoemd.

Volgens Google is de locatie van gebruikers of andere identificeerbare informatie nooit zichtbaar geweest. Er zouden ook geen aanwijzingen zijn dat de apps op de hoogte waren van het probleem.