ActuaCoronaKan ik de Corona-app installeren, of niet? Zijn er risico’s?

4 oktober 20202
https://ministryofprivacy.eu/wp-content/uploads/2020/10/cedrik-wesche-qxu1RE1uahU-unsplash-1-1280x1919.jpg
TL;DR: de applicatie is gebouwd volgens de regels van de kunst. Ze is gekaderd door een expliciet wettelijk kader met veel garanties. De broncode is publiek consulteerbaar. De app is vrijwillig, en mag nooit (impliciet) verplicht worden. Juridische en technische experten hebben toezicht gehouden op de ontwikkeling van de applicatie. Het is een fork van de Duitse Corona-applicatie, die al eerder lof kreeg uit de privacywereld. Het risico situeert zich dus minder rond de applicatie, maar wel rond de data-uitwisseling met Apple en Google.

“Kan ik veilig de Corona-app installeren?”. 

Een slak op de goede weg, wint het van een haas op de verkeerde weg. De Belgische Corona-app (‘CoronAlert’) liet volgens velen te lang op zich wachten. De laatste dagen kregen we opmerkelijk veel vragen en meldingen binnen, van bezorgde mensen die wouden weten wat Ministry of Privacy van de Corona-applicatie denkt. Eerst en vooral moet worden genoteerd dat the Ministry nooit applicaties of software actief zal promoten. Dat staat zo in onze werkingsregels, en moet vermijden dat we op een bepaald moment software promoten die op dat moment weliswaar veilig is, maar enkele weken of maanden later dat niet meer is. Software is immers evolutief, en bedrijven kunnen overgekocht worden. Het is niet de eerste keer dat een privacyvriendelijke tool de weg kwijt raakt doordat een commerciële grote speler het kocht.

De feiten 

Nemen we alle feiten en beschikbare data voor ons, dan kunnen we niet anders dan concluderen dat deze CoronAlert gemaakt is volgens de regels van de kunst. Het Kabinet van De Backer (Open VLD) werkte een streng wettelijk kader uit, met vele waarborgen waar Ministry of Privacy uitdrukkelijk om vroeg. Zo was voor ons het vrijwillig karakter, vrije beschikbare broncode, DP3T-technologie en anonimiteit absolute voorwaarden. Al deze waarborgen zijn expliciet opgenomen.

Over de technische uitwerking was er ongerustheid over de keuze van de gunning, vooral door het onbekende bedrijf Devside – dat ook nog eens valse reviews op haar website plaatste. Die zorg lijkt onterecht – vooral dankzij onderaannemer Ixor, de medewerking van ULB, en de security-expertise van NVISO. De broncode is publiek beschikbaar, en we riepen eerder op aan alle techies om die ook zorgvuldig door te nemen. Buiten wat details kwamen geen meldingen van grote tekortkomingen binnen.

We kunnen niet anders dan concluderen dat CoronAlert gemaakt is volgens de regels der kunst.

Als privacy-activisten zouden we de eerste zijn om op de barricaden te staan mocht de applicatie grondig tekortschieten. Dat is niet zo. Mocht elk overheidsproject uitgevoerd worden als CoronAlert, we zouden een heel pak minder moeten zagen.

Hoe werkt het? 

De applicatie is anoniem. Zo anoniem mogelijk, alleszins. Ze wisselt geen namen, telefoonnummers, of gevoelige medische informatie uit. Elke telefoon heeft een anonieme code, en op basis van die code ‘praten’ onze smartphones met elkaar. Iedereen die langer dan een kwartier op een afstand van ongeveer 1,5 meter met elkaar rondhangt, wordt gelogd (anoniem). 

Concreet: Jan ontmoet Mieke op een terras. Op dat terras zitten zo’n twintig personen, waarvan tien de app hebben geïnstalleerd. Daarna neemt Jan de trein huiswaarts. Enkele dagen later voelt Jan zich niet zo prima. Hij gaat naar de huisarts, en krijgt een Coronatest. Die is positief. Aiai! De huisarts krijgt een speciaal gegenereerde code van Jan om zijn resultaat in een centrale Coronadatabank in te linken (die code wordt niet gelinkt aan een identiteit). Jan beslist echter zélf of hij zijn code wil opladen in de app. Doet hij dat, dan gaan op dat moment de alarmbellen af. Mieke heeft de applicatie ook, en opeens licht het groene standaardscherm rood op: “Je bent mogelijk besmet. Laat je testen en ga in zelfisolatie”. Niet alleen Mieke krijgt echter een melding, maar ook drie mensen op het terras die dicht bij zaten. Ook in de trein ontmoette Jan vijf personen, waarvan twee de app op de smartphone hebben. Ook die krijgen een melding. 

Als deze vijf personen zich vervolgens laten testen, en het resultaat is positief, krijgen we hetzelfde scenario met hún contactpersonen. Is het negatief, dan gebeurt er niets. 

De achillespees

Het kan zeker helpen, zo’n applicatie. Als iedereen die app heeft, en de meldingen beginnen binnen te komen, dan duurt het echter hooguit een aantal weken (in het beste geval, maanden) vooraleer iedereen een rood scherm heeft gehad – tenzij de pandemie sterk in kracht zou afnemen. Ook al ben je op dat moment niet besmet, de onzekerheid neemt natuurlijk gevoelig toe. 

Bovendien – en dit is wel privacygevoelig -, hebben we géén zekerheid wat Google en Apple uitspookt met onze medische data. Door de koppeling (API-call), wordt er immers data uitgewisseld met deze twee techbedrijven. En hoewel Apple zich de laatste jaren uitdrukkelijk situeert als de techhoeder van onze privacy, is dat voor Google veel minder het geval. Je belt ook geen pyromaan om je huis te blussen als het in brand staat. Al moeten we erbij zeggen dat Google een deel (!) van zijn GAEN API-code publiek heeft gesteld.

Een onafhankelijke audit zou heel wat zorgen wegnemen, maar dat laten de twee techgiganten voorlopig niet toe. Ook bij Google is er een probleem: zonder locatiebepaling aan te zetten, is het niet mogelijk om de app te activeren. Technici wezen er echter al eerder op dat dit vooral een theoretisch risico is. Vanaf Android 11 zou het mogelijk worden om de app te gebruiken zonder GPS.

Alé, moet ik hem installeren? 

We gaan je hier niet overtuigen om de applicatie te installeren, noch om hem af te wijzen. De applicatie zelf is prima gebouwd, en – op moment van schrijven – privacyvriendelijk. Hou er rekening mee dat software kan evolueren, en aanpassingen mogelijk zorgen voor een verlaagd niveau van privacy. Apple en Google geven – ondanks gedetailleerde documentatie – onvoldoende garanties dat onze medische data niet voor andere doeleinden zal gebruikt worden. Anderzijds, doen ze dat wel, dan mogen ze zich verwachten aan gigantische reputatieschade. Daarnaast weet Google (maar ook Apple) al erg veel over onze medische toestand (via slimme polshorloges, gezondheidsapplicaties, etc). De vraag rijst dan ook of deze twee bedrijven de COVID-19 wél echt nodig hebben. Het antwoord is wellicht negatief.

Google (maar ook Apple) weet al erg veel over onze medische toestand. Of ze ook de COVID-19 data echt nodig hebben, lijkt eerder onwaarschijnlijk.

We geloven dat de applicatie kan helpen in het bestrijden van de pandemie. We hebben heel hard (en lang, sinds maart 2020) gevochten voor de meest privacyvriendelijke versie, en die staat er ook. Het zou dan ook bijzonder hypocriet zijn om deze applicatie af te raden aan het grote publiek. Zoals gezegd, is het vrijwillig karakter ervan echter essentieel. U beslist dus vooral zelf of u de app op uw smartphone wil verwelkomen, of net niet.

Update 07/10/2020: het artikel werd bijgewerkt met feedback van Bart Preneel.

Belangrijk: Ministry of Privacy zal nooit software promoten of een ‘seal of approval’ geven. Dat is niét onze taak. Als privacystichting waarschuwen we voor mogelijke problemen en privacy-inbreuken, en willen we die maximaal proberen te remediëren. We geven ook advies aan overheidsinstanties en zelfs aan private bedrijven die betere ‘privacy practices’ willen implementeren. Lees meer over onze taken hier

 

Ministry of Privacy

2 comments

Leave a Reply

Your email address will not be published. Required fields are marked *

https://ministryofprivacy.eu/wp-content/uploads/2020/01/logo-web.png
Neem je privacy terug in handen
Contact
Private Stichting
Nr. 0716.922.347
+32 9 320 00 34