Bij een intelligente lockdown past een intelligente app
Ga niet over één nacht ijs bij het ontwikkelen van een veilige corona-app
Plaats een reactie
De regering wil een app inzetten om de burgers te waarschuwen als ze bij iemand in de buurt zijn die besmet is met SARS-CoV-2. Maar aan zo’n app zitten heel wat haken en ogen.
De wereld is in de greep van het pandemische covid-19. Om verspreiding van het coronavirus tegen te gaan, overweegt het kabinet om gebruik te maken van een contact- en traceerapp. De app werkt via de bluetooth-functie van een smartphone: contacten worden bijgehouden en er wordt gewaarschuwd voor een mogelijke besmetting. Als je zelf besmet bent, kun je dat aangeven in de app, en wordt een alert gestuurd naar de telefoonnummers van de personen in wiens nabijheid je de afgelopen periode bent geweest. Verschillende Europese (Ierland, Oostenrijk, IJsland, Noorwegen, Tsjechië, Cyprus) en Aziatische (Singapore, Zuid-Korea) landen maken gebruik van een dergelijke traceerapp.1
Recentelijk is bekend geworden dat de Nederlandse overheid met een team van deskundigen een eigen app gaat ontwikkelen. De minister wil de app alleen invoeren als aan alle privacyvoorwaarden wordt voldaan. Dat is een mooi streven, maar dat kan pas worden beoordeeld als duidelijk is wat de regering met de app voor ogen staat.
Privacy
Uitgangspunt voor de overheid is een goede bescherming van de privacy van de gebruikers. Voor een app waarbij de privacy is gewaarborgd, moeten vier zaken volstrekt duidelijk zijn.2
1. Wat is precies het doel van de app? Gaat het er louter om de GGD een handje te helpen bij het waarschuwen van contacten van een besmet persoon, of wordt er ook gedacht aan monitoring- en handhavingsdoelen, bijvoorbeeld van quarantaine bij mogelijke besmetting? En welke rol speelt de app binnen de huidige algemene gezondheidsadviezen en beperkingen in het openbare leven, zoals social distancing en handen wassen? Direct rijst de vraag wat het nut van de app is, maar nog belangrijker of dat opweegt tegen de risico’s en de inbreuk op fundamentele mensenrechten waarmee deze hoe dan ook gepaard zal gaan. Als voor de overheid helder is wat het doel is van de app, en dat het nut van de app opweegt tegen de bezwaren, dan is het, zo leert de ervaring, overigens nog een uitdaging om ook de burger daarover te informeren. Daarnaast dient natuurlijk te worden onderbouwd – met een pilot? – dat de app dit doel effectief bereikt.
2. Welke partijen zijn verantwoordelijk voor de verwerking van de gegevens? De Algemene Verordening Gegevensbescherming (AVG) wijst de partij aan die doel en middelen van de gegevensverwerking vaststelt. Is dat hier de centrale overheid, de GGD, het RIVM of wellicht de ontwikkelaar van de app? Om vele redenen, maar ook voor het indienen van een klacht of het eisen van schadevergoeding is van cruciaal belang dat de gebruiker weet tot wie hij zich moet richten.
3. Hoe wordt invulling gegeven aan belangrijke AVG-eisen, zoals het recht van de gebruiker om ‘vergeten te worden’? Zal dat recht betekenen dat een gebruiker al zijn gegevens mag (laten) vernietigen, ook die data die mogelijk op andere telefoons zijn binnengekomen, gesteld dat dat laatste al mogelijk is? Bovendien: als de regering denkt aan een centrale registratie van appgegevens, bijvoorbeeld onder de verantwoordelijkheid van de GGD en/of het RIVM, dan rijst de vraag of de Wet publieke gezondheid (die verplichte melding van besmettelijke ziekten zoals covid-19 regelt) überhaupt wel ruimte laat voor gegevensvernietiging. En toegang tot de appgegevens voor derden, zoals werkgevers, politieambtenaren of medewerkers van het ov, hoe ziet de regering dat voor zich? Als zij wil uitsluiten dat derden inzage in de app eisen of als voorwaarde voor toegang tot een locatie (restaurant, concertzaal, enz.) stellen, vergt dat dan niet een wettelijke regeling van zoiets als een ‘gebruikersgeheim’, vergelijkbaar met het medisch beroepsgeheim?
4. Hoe wordt ervoor ingestaan dat de gebruiker geen beveiligingsrisico’s loopt? Want dat het om het verwerken van privacygevoelige en herleidbare gegevens gaat bij de app, staat buiten kijf. Uit beveiligingschecks is al gebleken dat apps die functioneren met bluetooth, kwetsbaar zijn voor datalekken en de beveiligingsnormen niet snel zullen halen. De juiste beveiliging zal een enorme uitdaging zal zijn, nog los van de vragen over privacyrisico’s die verder gaan dan informatieveiligheid, zoals de kans op discriminatie van bepaalde groepen.
Weegt de app op tegen de inbreuk op fundamentele mensenrechten?
Testcapaciteit
Voldoende capaciteit om te testen op besmetting met SARS-CoV-2 is een belangrijke voorwaarde voor de effectiviteit van de traceerapp. In Singapore is de app een klein onderdeel van een veel stringenter test- en isolatiebeleid. Het huidige restrictieve testbeleid in Nederland richt zich alleen op patiënten uit risicogroepen en zorgmedewerkers: een enorme uitbreiding is dus nodig.
Momenteel (30 april) worden in Nederland zevenduizend testen per dag uitgevoerd, een stuk minder dan de beloofde 17.500 testen per dag vanwege gebrek aan testmaterialen.3 Zuid-Korea, dat ook gebruikmaakt van een contact- en traceerapp, heeft een testcapaciteit van drieduizend tests per miljoen inwoners per dag. Ter vergelijking: Nederland voert nu nog geen vijfhonderd testen per dag uit per miljoen inwoners.
Maar niet alleen de testcapaciteit is een knelpunt. Als de overheid niet zou kiezen voor verplichte deelname (met sanctionering, alleen mogelijk via spoedwetgeving) is de app alleen effectief als voldoende burgers de app installeren (waarschijnlijk rond de 60%).4 5 In Nederland zijn dit ongeveer acht miljoen burgers (met een leeftijd boven de 18 jaar), waarbij bovendien met beperkte toegankelijkheid (zoals niet bezitten van een smartphone, laaggeletterdheid of visuele handicap) nog rekening moet worden gehouden. Hoe wordt bijgehouden door hoeveel burgers de app wordt gedownload én gebruikt? Een vergelijkbare vrijwillige traceerapp wordt in Taiwan door 1 miljoen inwoners gebruikt, op een bevolking van 24 miljoen.
Europees niveau
Het is belangrijk dat ook op Europees niveau over de randvoorwaarden en effectiviteit van een app wordt nagedacht.6 In eerste instantie keek men naar een Europees initiatief om een app te ontwikkelen die voldoet aan de AVG (Pan-European Privacy Preserving Proximity, PEPP-PT); hierbij zijn deskundigen op het gebied van epidemiologie, dataprotectie, privacy, kunstmatige intelligentie en encryptie betrokken. Er doen momenteel acht Europese landen mee; Nederland heeft zich voorlopig nog niet bij dit initiatief aangesloten. Echter, ook PEPP-PT wordt geplaagd door zorgen over transparantie en blijkt inmiddels de voorkeur te geven aan een centrale databank: minder privacyvriendelijk dus dan het initieel voorgestelde decentrale protocol.7
Intelligent
Het is belangrijk zich bewust te zijn van de beperkte effectiviteit van een app bij onvoldoende deelname en testcapaciteit. Indien de overheid ondanks deze feiten toch voor inzet van een app kiest, moet zij volledig transparant zijn over alle regels en afspraken rond de app, omdat anders niet beoordeeld kan worden of de privacy van burgers en andere waarden op het spel komen te staan. Het is goed dat de overheid voor de ontwikkeling nu ‘epidemiologische’ eisen gaat opstellen (met de GGD en het RIVM), specifiek de hulp van experts inroept (ICT-veiligheidsdeskundigen, privacydeskundigen, ethici, juristen, artsen, economen) en daarnaast wetenschappers de maatschappelijke gevolgen van de app laat beoordelen. Essentieel is dat de burger de regie heeft over zijn of haar appgegevens en alleen gevraagd zal worden de app te gebruiken als het een effectief middel is om de coronapandemie te bestrijden. Laten we net als de lockdown in Nederland, ook de contact- en traceerapp intelligent aanpakken.
Auteurs
Eric Wierda, cardioloog Dijklander Ziekenhuis, gezondheidsjurist en promovendus cardiologie/gezondheidsrecht, Amsterdam UMC
Marieke Bak, promovendus medische ethiek, afdeling Huisartsgeneeskunde, Amsterdam UMC, Universiteit van Amsterdam
Corrette Ploem, gezondheidsjurist, universitair docent gezondheidsrecht afdeling Sociale Geneeskunde, Amsterdam UMC
Contact
cc: redactie@medischcontact.nl
Referenties
2. https://www.bitsoffreedom.nl/2020/04/08/bescherm-onze-gezondheid-maar-bescherm-ook-onze-rechten/.
4. Ferretti L, Wymant C, Kendall M, Zhao L, Nurtay A, Abeler-Dörner L, et al. Quantifying SARS-CoV-2 transmission suggests epidemic control with digital contact tracing. Science. 2020;
5. Hellewell J, Abbott S, Gimma A, Bosse NI, Jarvis CI, Russell TW, et al. Feasibility of controlling COVID-19 outbreaks by isolation of cases and contacts. Lancet Glob Health. 2020;8:e488–96.
6. https://ec.europa.eu/health/sites/health/files/ehealth/docs/covid-19_apps_en.pdf.
7. https://dutchitchannel.nl/644067/experts-trekken-zich-terug-uit-europese-corona-app-pepp-pt.html.
Download dit artikel (PDF)- Er zijn nog geen reacties
