De ontwikkelingen van de Corona App zijn in volle gang. Waar we eerder meer dan eens riepen dat we niks te verbergen hadden als het over privacy ging, zit dat nu toch anders.  

De Autoriteit Persoonsgegevens geeft aan dat er geen oordeel gegeven kan worden over de 7 aangedragen apps. Het ministerie heeft onvoldoende kaders gesteld bij de uitvraag, waardoor nu niet beoordeeld kan worden of de privacy van app gebruikers voldoende wordt gewaarborgd. 

Er zijn op dit een aantal fundamentele zaken onduidelijk:

  • Wie is er verantwoordelijk voor de data? 

  • Is de app een onderdeel van de Corona maatregelen? 

  • Staat de inzet van de app in verhouding met de mogelijke privacy schending? 

Er moet duidelijk naar voren komen of er andere veel minder ingrijpende oplossingen zijn welke net zo effectief kunnen zijn om het virus in te dammen. 

Kaders

Wanneer de kaders niet goed zijn gesteld en snelheid zorgt voor onzorgvuldigheid, wat zal dan de uitkomst zijn? Kun je gebruik van de app weigeren? En als je dit doet mag jou dan de toegang tot school of supermarkt geweigerd worden? 

Juist door het ontbreken van deze kaders, kunnen app-bouwers niet goed het juridische en technische deel van de app onderbouwen. Zo leverden sommige app-bouwers alleen informatie over hoe de app eruitziet voor gebruikers. Informatie over hoe de app ‘aan de achterkant’ werkt, lieten ze achterwege. Daardoor hebben de app-bouwers onvoldoende aangetoond dat de privacy technisch maar ook organisatorisch gezien gewaarborgd is. 

De conclusie volgens Aleid Wolfsen (Voorzitter Autoriteit Persoonsgegevens): “Het is nog maar de vraag of een dergelijke app er wel kan komen.” 

Wij zijn blij met deze conclusie van de Autoriteit Persoonsgegevens. 

Hoe pas je dit toe op je eigen business?

Zorg bij het ontwikkelen van nieuwe applicaties voor een goed ontwerp en stel dus die duidelijke kaders. Hanteer Privacy by Design bij nieuwe ontwikkelingen. Bij het werken volgens Privacy by Design wordt al bij de start van het ontwerpen van een informatiesysteem rekening gehouden met privacy. De aandacht voor privacy blijft tijdens de gehele levensduur van het systeem bestaan. Het doel is de beveiliging van persoonsgegevens te optimaliseren. 

 Je zou hiervoor een Data Protection Impact Assessment (DPIA) uit kunnen voeren. Hiermee breng je vooraf privacy risico’s in kaart, om daarna maatregelen te kunnen nemen om de risico’s te verkleinen. 

Wil je hier meer over weten of zou je ondersteuning willen dan horen wij dat graag!