Toezichthouder: te weinig informatie voor privacyoordeel over corona-apps

De zeven corona-apps die dit weekend tijdens een 'appathon' werden uitgedacht, kunnen niet worden getoetst aan de privacywet. De AP zegt dat de door de overheid opgestelde kaders te breed zijn en dat daardoor te weinig informatie beschikbaar is voor een oordeel.

De Autoriteit Persoonsgegevens heeft gekeken naar de zeven apps die het ministerie van Volksgezondheid dit weekend liet meedoen aan een 'appathon'. Daarin beoordeelden experts op het gebied van virologie en ict contact-tracingapps. De apps zijn bedoeld om het contactonderzoek van de GGD in de strijd tegen het coronavirus gemakkelijker te maken. Na de 'appathon' zijn de broncodes van de apps beschikbaar gesteld aan de toezichthouder. Die concludeert nu dat de overheid niet duidelijk genoeg heeft geformuleerd aan welke eisen de apps moeten voldoen. Daarom kan niet worden gekeken of de apps aan de privacywet voldoen. "Uit analyse van de AP blijkt dat de kaders die de overheid stelt voor de corona-app, onduidelijk zijn", schrijft de toezichthouder. "In het programma van eisen voor de app is een aantal fundamentele vragen onvoldoende beantwoord."

Zo is er onduidelijkheid over het nut van de app. De toezichthouder zegt dat de noodzakelijkheid van de apps niet genoeg is aangetoond. "De inzet van contact-tracingapps is een vergaande en ingrijpende inbreuk op het grondrecht van burgers", schrijft de AP. Over de vraag wat de noodzaak van de app is, 'heeft de AP in het onderzoek geen documentatie aangetroffen'. De AP zegt dat ook niet duidelijk is wie precies de verwerkingsverantwoordelijke is. Dat is de partij die gaat over het verzamelen en beheren van de gegevens die de app verzamelt. "Is dat een private partij, een zorgpartij of een overheid?" vraagt de toezichthouder zich af. Die kan door de gebrekkige informatie niet toetsen op proportionaliteit, een belangrijk onderdeel van de AVG. Volgens de AP kan de overheid niet duidelijk maken waarom de apps nodig zijn en waarom minder ingrijpende alternatieven niet werken. Hetzelfde geldt voor de appbouwers. Die konden vaak niet duidelijk maken waarom ze bepaalde technieken inzetten, zoals bluetooth, die bijvoorbeeld tot veel false positives kunnen leiden.

Omdat er vanuit het ministerie zo weinig kaders zijn geschetst, hebben de appbouwers veel aannames moeten doen, concludeert de AP. "Daardoor hebben zij hun plannen onvoldoende kunnen uitwerken, zowel op technisch als op juridisch vlak." De toezichthouder zegt te weinig informatie van de appbouwers te hebben ontvangen om een goed beeld te krijgen van de apps. Zo ging er veel aandacht naar de frontend van de app, maar was er tijdens de appathon weinig informatie over de backend en de technische werking. "Daardoor hebben de appbouwers onvoldoende aangetoond dat de privacy technisch, maar ook organisatorisch gezien gewaarborgd is."

Het advies van de Autoriteit Persoonsgegevens is slechts één factor in de beslissing van het ministerie. In principe wil het ministerie uiteindelijk één app laten ontwikkelen, maar vooralsnog zit dat er niet in. "De perfecte app is er nog niet", zei een woordvoerder dit weekend tegen de NOS. AP-voorzitter Aleid Wolfsen houdt nog een slag om de arm. "Het is nog maar de vraag of de app er wel kan komen", schrijft hij. De Autoriteit Persoonsgegevens kan de inzet van een contact-tracingapp verbieden als die niet aan de privacywetgeving voldoet. De regering kan daarop besluiten met een wet de app alsnog bruikbaar te maken.

Reacties (100)

Het is niet geheel onverwacht dat de AP weinig inhoudelijks kan zeggen over de Apps, er is namelijk weinig concreets opgeleverd.

Dat is enorm jammer, want initiatieven die zeiden "wij hebben een mooie App, maar die kan niet voor 28 april af zijn", die zijn niet toegelaten tot de Appathon. De enige Apps die toegelaten zijn zijn die Apps die blufte dat ze in minder dan twee weken tijd wel een App konden bouwen die door 60% van de Nederlanders gebruikt kon worden. De echt serieuze partijen vallen zo buiten de boot.

Korte samenvatting van de 7 Apps. Aan de hand van gegevens van codefornl welke uitgebreidere analyses heeft gedaan dit weekend:

https://www.rijksoverheid...avirus-app/app-informatie

https://www.codefor.nl/appathon/

https://zijndecovidappsalopensource.nl/

Covid19 Alert: Die van het datalek. Back-end code is offline gehaald nadat er veel fouten in waren gevonden. Verder rammelt het "protocol" aan alle kanten. Niks anoniems aan lijkt het. Een van de makers heeft dubbel belang met een of andere vage cryptocurrency.

DDT: DTACT, digi.me, TNO: Geen App, platform wat ze willen maken heeft niks te maken met contactonderzoek.

Accenture: Kopie van Oostenrijkse App. Oostenrijkse App is nog niet open-source. Accenture heeft ook niks kunnen tonen dat ze zelf al iets gebouwd hebben.

Capgemini: Kopie van Tsjechische App. Wederom geen broncode. Gebruikt telefoonnummer, back-end geeft de "anonieme" IDs uit.

ITO: Enige groep die vrijdag al code online had, waarvoor hulde. Echter een brakke implementatie van een brak protocol. Zitten flaws in. Lijkt ook een groep vrijwilligers te zijn zonder bedrijfsstructuur. Hoe dat met aansprakelijkheid zit enzo is mij een raadsel.

DEUS: Grootste kanshebber omdat die een redelijk goed protocol willen implementeren (DP^3T) (mijn mening). Lijkt pas na de aanbesteding begonnen te zijn. Helaas de grootste kanshebber omdat de rest by-design al afvalt, het is niet dat ze veel concreets hebben.

Sia Partners: Wou aanvankelijk de App alleen bruikbaar maken met registratie van telefoonnummer. Daar zijn ze op terug gekomen (misschien ook wel omdat tijdens de live-demo hun telefoon nummer zichtbaar was en ze gebeld werden). Nu onderzoeken ze de mogelijkheid het zonder telefoonnummer te doen. Is een fork van OpenTrace, welke ook open-source Apps ontwikkeld.

[Reactie gewijzigd door Anoniem: 604938 op 20 april 2020 13:02]

Het oordeel van de Autoriteit Persoonsgegevens gaat wel iets verder dan dat. Het doet namelijk geen uitspraak over de apps, maar over de aanpak van het ministerie van VWS. Het oordeel is snoeihard. Het onderstaande geeft al aan dat VWS blijkbaar het huiswerk niet heeft gedaan. Dit zijn fundamentele vragen die je als ministerie dient te hebben beantwoord, voordat je start met een Appathon.

Zo is niet duidelijk omschreven wie verantwoordelijk is voor de verwerking van de gegevens. Is dat een private partij, een zorgpartij of een overheid? Ook staat in het programma van eisen niet genoemd of de app een onderdeel is van een pakket aan maatregelen en welke maatregelen dat dan zijn. Terwijl het ontwerp en de werking van een app zeer afhankelijk zijn van die overige maatregelen.

Bij een ingrijpend middel als zo’n corona-app moet de AP bovendien kunnen toetsen of de inzet ervan in verhouding staat tot de mogelijke privacyschendingen. Het moet duidelijk zijn waarom alternatieven die minder ingrijpend zijn dan een app, minder effectief zijn om het virus in te dammen. Dat is nu onvoldoende duidelijk. De AP kon de proportionaliteit van de inzet van de corona-apps daardoor niet beoordelen.

[Reactie gewijzigd door Killjoy op 20 april 2020 15:35]

" De enige Apps die toegelaten zijn zijn die Apps die blufte dat ze in minder dan twee weken tijd wel een App konden bouwen die door 60% van de Nederlanders gebruikt kon worden. De echt serieuze partijen vallen zo buiten de boot."

Precies dit. En dit is volgens mij ook de hoofdreden waarom de kosten van zoveel bouw- en ICT-projecten zo gierend uit de klauwen lopen. Is het niet de Noord-Zuid-lijn, dan is het wel het OV-chipkaart-project. Realistische plannen (die tijd nodig hebben om goed doorontwikkeld te zijn) worden aan de kant geschoven ten faveure van plannen die claimen alles binnen een bepaalde tijd te kunnen maken tegen x-kosten.

Realistische plannen (die tijd nodig hebben om goed doorontwikkeld te zijn) worden aan de kant geschoven ten faveure van plannen die claimen alles binnen een bepaalde tijd te kunnen maken tegen x-kosten.

Yup, dat is vaste prik. Wie een realistisch plan presenteert wordt de kamer uitgelachen wegens de veel te lange doorlooptijd en de extreem hoge kosten. In plaats daarvan wordt gekozen voor een partij die voor een dubbeltje de hemel belooft. Uiteindelijk duurt het nog langer en is het nog duurder met een matig resultaat.
Het vervelende is dat de klant het verschil ook niet ziet en/of niet kan beoordelen. Een database met een versleutelde disk is precies dezelfde doos als een database zonder versleutelde disk. Het verschil tussen een rode en een blauwe website kunnen ze wel zien, dus daar gaat het over.

Dat gaat natuurlijk geheid fout bij de oplevering, en dus zit er een partij juristen achter om te zorgen dat de klant geen poot heeft om op te staan.

Het probleem is dat de beslissingen (te) vaak gemaakt worden door de mensen met de minste competentie om dergelijke beslissingen te nemen. Er zijn genoeg hele competente spelers op de markt. Vaak zijn dat kleinere spelers die een realistische en kundige visie hebben, maar omdat die de "bluf" of "brani" niet hebben of wensen te hebben, vallen die partijen vaak buiten de boot. Eindresultaat zijn dan vaak projecten die of falen en/of ver boven budget gerealiseerd worden en/of niet voldoen aan de wens en/of kwalitatief ondermaats zijn.

Ik heb een paar jaar terug nog een baas gehad die een handje vol had van bluffen. Tegen de klant zeggen "oh dat kan wel, kost ons 6 tot 8 uur". Vervolgens 15-30 uur mee bezig, half werkend en dan hopen dat er door de klant bij testen geen grote fouten aan het licht komen. Want bug fixes konden weer als uren worden weggeschreven.

Dat is de werkwijze van veel IT bedrijven, zeker van de groten..

Precies dat! Sinds ik sinds 2000 in het ICT wereldje zit nooit iets anders meegemaakt. En omdat bij de klant de nitwits elkaar aflossen en er nul historisch besef is, juist vanwege al die wisselingen van de wacht, is er ook nul lerend vermogen.

Laten we het er maar op houden dat deze eerste poging om heel snel met een app te kunnen komen gewoon mislukt is. Niet vreemd, want het was ook tegen het advies van de experts in.

De keuze van de deelnemers was ook niet heel verrassend. Het zijn voornamelijk bedrijven waar de overheid vaker zaken mee doet. Een deel van de voorstellen voldeed niet eens aan de basisvoorwaarden.
Ik vraag me ook af waar de keuze op gebaseerd was.
Het wordt nu gewoon weer terug naar het voorstel van de experts en opnieuw de voorstellen bekijken en hopen dat er eind mei een goede en goed geteste app gepresenteerd kan worden. Hoewel ik het nut van een dergelijke app inzie en er wel manieren zijn om de privacy te kunnen waarborgen, vraag ik me af of de app er gaat komen. De mensen die het moeten aansturen en met besluiten moeten komen hebben absoluut geen verstand van zake, maar willen het ook niet (gedeeltelijk) uit handen geven.

Ik weet niet of je dat echt kunt vergelijken in dit geval.

De tijdsdruk heeft hier een hele valide reden ivm dat Corona een acuut probleem is.

De noord-zuid lijn is een wens en is geen acuut probleem, dat er problemen ontstaan is zeker maar niet vergelijkbaar.

Volgens mij gaat het er niet om dat het probleem acuut is, het gaat er om dat er bij de oplossing te veel gehaast wordt.

@Bender, ik zeg niet dat corona geen acuut probleem is, maar de overeenkomst die @Anoniem: 1031525 noemt (bv corona vs Noord-Zuid-lijn) zit hem niet in hoe acuut het probleem is, maar in hoe gehaast de oplossing doorgevoerd wordt. De corona app wordt een probleem als het te gehaast gaat. Haastige spoed is zelden goed, zelfs als het onderliggende probleem (corona) acuut is.

[Reactie gewijzigd door SpazzII op 20 april 2020 18:28]

Volgens mij gaat het bij Corona er wel degelijk om dat het een acuut probleem is.

Mee eens. Maar er toch is snelheid niet het enige wat levens red.
- Buggy app => Incl. debuggen duurt het alsnog langer.
- Een maand extra programmeren zodat de app veel nuttiger wordt voor de medische experts, kan ook levens redden.

Mijn app vol bugs die onbetrouwbare en minimale info geeft is morgen klaar.
Jouw app kost een maandje extra maar is zeer betrouwbaar en geeft meer nuttige info.
Wat gaat het meeste levens redden?

Maand extra programmeren zodat de app veel nutiger wordt? Wat is het nut daarvan want de app is in principe helemaal niet zo zinvol voor medische experts ansich, maar voor traceren. En daarbij moet deze app dus maar 2 dingen doen,
1.bijhouden 'wie' in jouw buurt is geweest,
2.melden wanneer je in de buurt bent geweest van iemand die mogelijk besmet is.
En dat melden gebeurd dus in principe altijd achteraf, dit is geen app die jou realtime waarschuwt als je bv naast iemand aan het lopen bent die besmet is (moet eerlijk zeggen dat dat ook zeker zeer ongewenst zou zijn aangezien dat dan wel heel erg privacy gevoelig is).
Meer hoeft deze app niet te doen, niet dingen met eventuele sensoren waarbij hartslag etc kan worden bijgehouden.
Tuurlijk kun je nog wel meer leuke functies bedenken, maar dat is niet de bedoeling van deze app.

Vraag mij trouwens af, als de keuze komt op een Covid19 Alert app, kan Apple dan eindelijk gedwongen worden om hun App Store GPL-complient te maken?

GPL Enforcement in Apple's App Store

Het publiceren van de Covid19 Alert App op IOS is mogelijk in strijd met de GPL licentie, omdat de GPL licentie bepaling heeft om gebruikersrechten te beschermen en deze zijn niet gewaarborgd binnen de App Store. Deze gebruikersrechten zijn erg belangrijk, dubbel zo in de context van de Corona app, maar Apple heeft er tot dusver een broertje dood aan gehad om gebruikers meer controle te geven.

Dus omdat GPL die extra randvoorwaarden stelt zou Apple daar speciale maatregelen voor moeten nemen/faciliteren of hun policies moeten aanpassen? Hehe, nee. Het is simpeler: kies dan gewoon niet voor GPL of pas die licentie aan. Is ook niet echt vrij met al die dwingende randvoorwaarden, dus sowieso niet een al te beste licentie naar mijn mening. Dan liever een BSD-3 clause, dan heb je ook geen enkel probleem met de App Store en is de software écht vrij in plaats van “Vrij, maar...”. Maar dat zullen velen wel weer veel te permissive vinden...

Maar eerlijk gezegd denk ik dat meerdere bedrijven simpelweg gaan kiezen voor een proprietary licentie en helemaal niet aan de haal gaan met standaardlicenties.

[Reactie gewijzigd door WhatsappHack op 20 april 2020 13:47]

Daar is al eens iets mooi filosofisch over gezegd:
Paradox of Tolerence

In deze context:

Ongelimiteerde licentie vrijheid leidt tot het verdwijnen van vrijheid. Als wij tolerant zijn aan hen die onze vrijheid willen ontnemen, dan zal onze tolerantie ons de nek om doen, en zal onze vrijheid verdwijnen

Jij wilt maximale vrijheid nu, maar daardoor zul je vroeg of laat in een walled garden leven.

[Reactie gewijzigd door Eonfge op 20 april 2020 13:53]

Dat gaat over een maatschappij, nogal een slippery slope om dat door te trekken naar softwarelicenties... Dat gaat nergens over imho. Immers kunnen restrictieve en permissieve applicaties prima naast elkaar bestaan en je kan met BSD-3 weliswaar de app pakken, wijzigingen maken en de gewijzigde app closed-source maken (met bronvermelding naar 't origineel): maar dat maakt de originele applicatie niet opeens ook closed-source of verboden - terwijl in een maatschappij als intolerantie het wint van tolerantie de toleranten op een gegeven moment het zwijgen wordt opgelegd. Dat heeft vrij weinig te maken met het risico op tirannie als je intolerantie tolereert. Ik vind eigenlijk de GPL-licentie nogal intolerant en een manier om een bepaalde zienswijze door de strot van anderen te rammen, maarja. Dus met die logica kan je beter GPL niet tolereren omdat het zelf intolerantie eist...

Ik vind het een interessant punt hoor, don't get me wrong. Maar om nou te claimen dat echt vrije software niet zou moeten bestaan omdat je dan het risico loopt dat alles uiteindelijk gedwongen gesloten wordt vind ik nogal een enorme stretch en ik ben benieuwd of er ook data is om dat op enige wijze te staven. Je kan de paradox of tolerance in ieder geval niet doortrekken op deze manier, dat doet het geen eer aan.

GPL is gewoon een te overdreven licentie die de ideologie te hardcore opdringt bij anderen. Het is dan ook niet vreemd dat latere iteraties van GPL steeds minder populair zijn geworden.

De rede dat de GPL 'viraal' is, is zodat niemand het kan uitbreiden met 'gesloten' componenten. Zou dat wel kunnen, dan kun je daarmee de open versies de nek om draaien en zo uiteindelijk alleen de gesloten versie over houden.

Dit is niet wilde speculatie, het heeft zelfs een term:
Embrace, extend, and extinguish

Denk uiteindelijk als we het heel hard spelen ja. Apple verliest......

Zou wat zijn. Apple weigert vervolgens apps toe te laten met een volwaardig GPL licentie, enkel de lichtere GPL vormen die zulke restricties niet hebben dan toch?

Correct. Een mooi voorbeeld van het geneuzel is bijvoorbeeld met de game Super Tux Kart:
https://supertuxkart.net/STK_Dual_licensing

Er is nu een voorstel om de licentie van de GNU Public License naar de Mozilla Public License te veranderen, omdat ze ander hun app niet kunnen uitbrengen op de Playstation, XBOX, Switch, iPhone, en dergelijke.

Het is ook maar net hoe je naar het probleem kijkt: Is Apple's store in gebreken omdat hij de basale gebruikersrechten van iPhone bezitters niet respecteert, of is de licentie in gebreken omdat het eisen stelt aan de maximale financiële exploitatie? Ik neig overduidelijk naar het laatste, maar het is een discussie die gegarandeerd nog verder zal oplaaien.

Andere projecten hebben dit ook gehad. Zo is libVLC van GPL 2.0 naar LGPL gegaan om bijvoorbeeld een iOS app mogelijk te maken:
https://www.videolan.org/press/lgpl.html

Zo te zien ook niet enkel voor de Apple App store, maar ook Google Play, Windows/Xbox Store, Playstation Now, etc... iedere denkbare commerciële app store zal voorzieningen hebben die gebruik inperkt, al is het maar dat je akkoord moet gaan met de voorwaarden van het platform om zo'n app te mogen (blijven) gebruiken.

Met enkel zo'n clausule zou je al niet meer voldoen aan de volledige GPL:
https://www.fsf.org/blogs...app-store-gpl-enforcement

Zou dat niet zo zijn dan kan in principe iedereen meeliften op jouw store en diens hosting, zonder zich aan de voorwaarden daarvan te houden. Is die hosting en store volledig gesponsord / crowdfunded dan is dat misschien wel te doen en past prima in de geest van vrije software, maar lijkt een fundamenteel belangenconflict te zijn met commerciële stores van bedrijven.

Er zijn ook voorbeelden van decentrale 'Stores' die wel GPL complient zijn:
https://f-droid.org/en/
https://www.flathub.org/home

Het is inderdaad een fundamenteel belangen conflict. Jij als gebruiker hebt belang bij de GPL want het garandeert jou vrijheid. Winkels hebben er geen belang bij want het ontneemt hun financiële kansen.

Het garandeert jou vrijheid door jou vrijheid of die van een ander enorm te beperken dus. Blijf ik toch wat apart vinden. Natuurlijk moet je sommige restricties hebben, zo gaat het in de maatschappij ook. Maar GPL gaat daar heel ver en eenzijdig in door, zonder belangen van anderen in acht te nemen of een balans te vinden, en is daarmee haast een ideologie (die soms op haast religieuze wijze wordt opgedrongen aan anderen onder het mom van vrijheid) die uitsluitend te rijmen valt met de idealen van henzelf. Het is maar hoe je het bekijkt... GPL heeft zo z'n doeleinden hoor, daar niet van.

Maar het idee dat alle commerciële partijen zich aan zouden moeten passen vanwege de eisen die een app developer stelt door te kiezen voor een slechte licentie voor wat ze eigenlijk willen is nogal ver gegrepen en volstrekt belachelijk als je het mij vraagt. Je maakt zélf de keuze. Dus als GPL niet te rijmen valt met App Stores: dan moet je kiezen tussen een betere licentie (voor het doel dat je voor ogen hebt) of niet uitbrengen in de App Stores. Eigen keuze! Een vrijheid die je hebt. Dat GPL die vrijheid wilt opheffen is leuk voor de auteurs en aanhangers, maar natuurlijk een tikje overdreven.

Ik ben voor opensource, maar niet voor deze GPL-onzin. Het laat een ding iig zien: vrijheid is een relatief begrip.

[Reactie gewijzigd door WhatsappHack op 20 april 2020 16:34]

of niet uitbrengen in de App Stores. Eigen keuze! Een vrijheid die je hebt. Dat GPL die vrijheid wilt opheffen is leuk voor de auteurs en aanhangers, maar natuurlijk een tikje overdreven.

In de context met de Corona app is het wel een mooi discussie punt; Vindt jij dat beveiligingsonderzoekers in staat moeten zijn om de app zelf te compileren en de versie op hun telefoon naast de zelf-gebouwde versie te leggen? Apple verbied dat nu, je kunt niet hun geleverde versie vervangen voor een versie die jij zelf hebt gecompilerd. Dus zolang dit niet kan, kun je nooit zeker weten of de broncode in jouw handen, ook de code is die op de telefoon draait.

De GPL heeft hiervoor een provisie opgesteld: Ik moet in staat zijn om de code te kunnen compileren, en deze te kunnen gebruiken in plaats van jouw versie. Als dat niet gaat, kan ik nooit de veiligheid of correctheid van jouw versie valideren. Je zou analytics, een backdoor, en dergelijke, kunnen toevoegen voordat jij de code bouwt en verspreid.

Wil jij dus een Corona app onder de GPL voorwaarden, waarmee je kunt valideren dat de code op Github ook de code is van de app die je draait? Of ben je tevreden met een MIT licentie, waarmee je deze garantie niet hebt?

Het hele euvel komt eigenlijk uit een uniek probleem, wat we nog niet kenden voor de computertijd. Apparaten doen wat de eigenaar wilt, en als fabrikant heb je geen controle meer over het product wanneer je het uit handen geeft. Dit gaat echter niet op voor software, want het proces van software bouwen is een eenrichtingsverkeer: Ik bouw de code, jij hebt de hele beperkte binaries. Deze machtsverschuiving is sinds de jaren '80 begonnen en tegenwoordig heb je tractors die niet meer willen starten als de fabrikant het niet wilt.

Ik ben voor opensource, maar niet voor deze GPL-onzin. Het laat een ding iig zien: vrijheid is een relatief begrip.

Maar inderdaad, duidelijk dat ik van mening ben dat vrijheid actief verdedigd moet worden en jij niet. Daarom ook dat er Open Source is en F(L)OSS, hele verschillende termen die helaas nog wel eens door elkaar worden gebruikt.

Apple verbied dat nu, je kunt niet hun geleverde versie vervangen voor een versie die jij zelf hebt gecompilerd.

Dat klinkt incorrect. Als de app opensource is kan iedereen deze gewoon builden en sideloaden naar hun iPhone. Of de ontwikkelaars kunnen wellicht een gesigneerde .ipa ter beschikking stellen, dan is 't nog makkelijker (vooral op Windows, want daar is signeren aardig complex als je geen developer account hebt) - maar dat hangt van 't een en ander af. Het enige nadeel van self-signing (zonder developer membership) op iOS is dat je na 7 dagen je iPhone weer even aan je Mac/PC moet hangen om je handtekening te updaten. Dat is het beveiligingsmechanisme binnen iOS. En voor iemand 't suggereert: nee, daar is dus geen jailbreak voor nodig - met een jailbreak kan je simpelweg zelfs compleet ongesigneerde apps sideloaden (dankzij de Appsync Unified library) en is dat her-signeren niet eens aan de orde, hehe.

Wil jij dus een Corona app onder de GPL voorwaarden, waarmee je kunt valideren dat de code op Github ook de code is van de app die je draait? Of ben je tevreden met een MIT licentie, waarmee je deze garantie niet hebt?

GPL is echt niet de enige licentie waarbij je controles kunt uitvoeren, maar wel een van de agressievere licentie die veelal meer problemen veroorzaakt dan het oplost imho - m.u.v. usecases waar GPL duidelijk nuttig voor is. Dus als antwoord op je enigszins suggestieve vraag: Nee, ik wil geen Corona-app met GPL-voorwaarden, ik zie liever dat er een betere licentie wordt gebruikt. Maar nogmaals: ik denk sowieso dat er niet gekozen gaat worden voor een reguliere opensource licentie... Geen GPL, BSD, Mozilla of wat dan ook. Ik denk dat de meeste apps (-edit- waar de overheid naar kijkt) het gaan houden bij een proprietary licentie en de broncode simpelweg publiceren. Dát zou ik ook niet de beste oplossing vinden want is weer een ander uiterste in het opensource spectrum, maar het is beter dan closed-source of GPL.

Maar inderdaad, duidelijk dat ik van mening ben dat vrijheid actief verdedigd moet worden en jij niet.

Dat klopt ook niet. Ik ben ook van mening dat vrijheden actief verdedigd moeten worden, ik ben simpelweg geen kritiekloze voorstander van GPL en denk juist dat dit averechts werkt en zorgt voor *minder* vrijheden (in deze context.). Als GPL zelf problemen veroorzaakt, dan moet men niet eisen dat anderen zich maar aan GPL hebben aan te passen alsof er niets anders op de wereld is dan GPL en er geen andere belangen zijn dan wat vanuit het ideologische oogpunt van GPL naar voren is gebracht als eisenpakket. Nee, dan past GPL zich maar aan OF kiest men om geen GPL te gebruiken OF heeft men maar te accepteren dat niet iedereen die agressieve licenties omarmt of kan faciliteren (vooral GPL3 is een monster wat dat betreft) en je dus vaak vrijheden verliest omdat je GPL gebruikt. Dat is een keuze die je maakt en daar ben je vrij in. Maar niet klagen als je daar bewust voor kiest en dan tegen problemen aanloopt omdat je een agressieve en restrictieve licentie hebt gebruikt...

[Reactie gewijzigd door WhatsappHack op 20 april 2020 18:18]

Uiteindelijk kan de oveheid gewoon Apple blokkeren in NL en dan kiest ook Apple eieren voor zn geld.... simpel... Onder druk wordt alles vloeibaar.

[Reactie gewijzigd door 01--Rolf--01 op 20 april 2020 14:08]

Haha, dat zeiden ze in Frankrijk ook van Google met het citaatrecht van die kranten. Gevolg: Franse kranten geheel uit de index. Dat verhaal wordt nu nog altijd vervolgd overigens, ben benieuwd.

In redelijkheid wil zo'n bedrijf nog wel mee in nationale wetgeving, maar ver gaan ze echt niet. Misschien als je een miljard inwoners hebt en/of een financiële grootmacht bent op het wereldtoneel, waar ze strategisch niet zonder willen. Frankrijk is dat kennelijk onvoldoende, toch al een stuk groter dan Nederland. Vandaar ook de roep om zulke zaken op EU niveau aan te gaan, dan wordt er misschien nog geluisterd naar zoiets, als enkel Nederland draagt dat niet ver.

Denk stiekem dat Nederland meer voor elkaar krijgt dan vele grootmachten. Ons kent ons is vele malen machtiger dan ....

Welke clausule in de voorwaarden van Apple botsts er dan met GPL?

Ik snap dat GLP3 een probleem is, daarom gebruikt ook niemand dat. Want de tivoisation clausule is onmogelijk bij Apple (evenals veel embedded apparaten trouwens).

Dit gaat over de GPL 2.0. Hier extra tekst en uitleg:
https://www.fsf.org/blogs...app-store-gpl-enforcement

De GPL 3.0 corrigeert inderdaad enkele loopholes welke jouw vrijheid kunnen ontnemen, maar het is veilig om aan te nemen dat de GPL 3.0 ook niet aansluit.

Niemand zegt dat de Corona app onder GPL gelicenseerd moet worden. Denk dat je dat gevecht beter separaat aan kunt gaan.

DP^3T is volgens mij een publiek beschikbaar protocol, dus alle bovenstaande apps (zeker degene waarvan nog geen broncode is vrijgegeven) kunnen hier gebruik van (gaan) maken. DEUS heeft het gebruik echter expliciet kenbaar gemaakt waardoor het protocol in combinatie met deze partij meer genoemd wordt.

Accenture: Kopie van Oostenrijkse App. Oostenrijkse App is nog niet open-source. Accenture heeft ook niks kunnen tonen dat ze zelf al iets gebouwd hebben.

Volgens mij zou de broncode deze week vrijgegeven worden (iets later dan de rest, maar hopelijk dan zonder persoonsgegevens zoals één van de makers die wel snel de code beschikbaar stelde). Echter is de Oostenrijkse App volgens mij het bewijs dat er al wel wat gebouwd is: de code moet alleen aangepast worden aan de Nederlandse vraag (die blijkbaar nogal onduidelijk is).

De directe afvallers voor mij waren:

DDT omdat het way too much wil doen en dat onmogelijk zonder inbreng van persoonlijke informatie mogelijk is.

Accenture omdat het nog niet open-source is maar idd niets concreets heeft laten zien dan wat filmpjes.

CapGemini omdat ik dit bedrijf sowieso niet serieus neem. In het verleden teveel bijzondere situaties gezien bij dit bedrijf dat ik voorgoed vraagtekens zal hebben.

Sia omdat ze in eerste instantie stug aan dat telefoonnummer vast blijven houden, en bij de eindpresentatie een sneer richting Covid19-Alert deden dat Sia de broncode pas op een later moment publiek had gemaakt zodat ze er zeker van zouden zijn dat er geen data op github zou staan die daar niet thuis hoorde, om vervolgens zelfs zo dom te zijn z'n eigen telefoonnummer op een livestream in te voeren.

Covid19-Alert omdat je de vieze vlek van een data-lek nooit meer kwijt gaat raken, en het sowieso bijzonder amateuristisch is. De link met "een of andere vage cryptocurrency" mening deel ik echter niet volledig. Digibyte is niet "een of andere vage" cryptocurrency, maar een degelijk project, en ze willen de onderliggende blockchain daarvan (of EEN blockchain, het is niet gezegd dat dat die van DGB zal zijn) gebruiken om de broncode te valideren. Ik zie het nut niet daar eerlijk gezegd niet helemaal van in want het is sowieso bijzonder lastig (zeker voor de eindgebruikers van zo'n app) om de compiled code die op je telefoon geinstalleerd wordt te gaan vergeleken met een soort van checksum die in een blockchain staat.

Blijven Deus en ITO over.. Deus gebruikt het DP^3T protocol, en dat is op zich natuurlijk ok, alhoewel ook dat protocol nog in alpha/beta fase zit als ik het goed heb. ITO had al een deels werkend iets en de uitleg die zij gaven wat de app zal gaan doen, en ook alleen maar dat zou gaan doen, was een prima theorie.

Ikzelf vind het jammer dat https://www.privatetracer.org/ niet mee deed. Naar wat ik heb horen zeggen (ik weet niet of het waar is, niet geverifieerd) hebben ze uit eigen beweging niet meegedaan aan de appathon omdat ze zichzelf daar niet klaar voor vonden. Maar ook zij gebruiken DP^3T.

Zelf vermoed ik dat tegen de tijd dat er een werkende app is dat we al reeds grotendeels zo niet volledig uit de "intelligente lockdown" zijn. Neem niet weg dat een dergelijke app überhaupt voor de toekomst een hulpmiddel kan gaan zijn voor de GGD in het geval ze normale contactonderzoeken niet meer kunnen uitvoeren vanwege de grote schaal van verspreiding.

Neem niet weg dat een dergelijke app überhaupt voor de toekomst een hulpmiddel kan gaan zijn voor de GGD in het geval ze normale contactonderzoeken niet meer kunnen uitvoeren vanwege de grote schaal van verspreiding.

Op zich mee eens. Maar daarvoor is een ander traject beter geschikt. Een traject met veel minder tijdsdruk.
"Wij betalen een vast bedrag xxx euro voor de app die we in Januari 2021 kiezen"

Ik verwacht echter dat de keuze al gemaakt was voor de appathon.

Ik denk dat het op zich wel mogelijk is om in korte tijd een hele simpele app (en het moet juist simpel zijn en blijven, gewoon kaal en geen poespas) te maken op basis van het DP^3T protocol. Het punt ligt meer in de infra daarachter bij het feit dat een besmetting door de GGD bevestigd moet worden alvorens jouw app in de mode "infected" gaat, en de infra die nodig is om alle apps periodiek een download te laten doen van "infected" cases. Ook dat is technisch gezien niet eens zo heel moeilijk en kan ook in korte tijd gerealiseerd worden, maar ik zou zelf m'n handtekening er niet onder zetten die beweerd dat die infra geheel veilig is. Daar heb je simpelweg meer tijd voor nodig dan 2 a 3 weken.

Ik vond ITO qua preseantatie van wat ze willen een goed alternatief.

Ik vind nog steeds dat vooral hier Europa te traag is. Want TNO (en ook ITO) wil is eigenlijk meer een platform. En dat is wat je moet willen.

Er moet een (bij voorkeur globaal) platform komen waarmee je mensen kan informeren. Als dat in Land X annoniem kan prima, maar dat hoeft niet. (omdat de overheid bv eist van niet).

Het kan dus zomaar zijn dat de app soms anoniem werkt maar soms ook niet. Maar als deze altijd werken zou dat mooi zijn.

Ik hoop ook dat we straks niet (als landen het wel verplichten) bv 10 apps op onze telefoon hebben staan omdat je ergens naartoe wil/gaat.

Heb je toevallig ook een lijstje van de Belgische kandidaat apps?

Zo ver ik weet werd er enkel gesproken over Covid19 Alert. Mijn overheid beschouwd privacy niet als essentieel (zie vingerafdruk op de identiteitskaart, zie lek NMBS, zie lek bij het Belgisch leger, bovendien word er enorm veel bespaard op de ziekenhuizen en ICT van de politie) dus zou er niet van schrikken moest de app alsnog gebruikt worden. Dit vraagt om problemen in de handen van een incompetente regering.

In ons land (België dus) is er nog geen sprake van een app te laten ontwikkelen. Wel hebben een hele rits onderzoekers een open brief naar onze regering gestuurd: https://hiw.kuleuven.be/wgpt/coronanl (is hier ook een artikel van zag ik net).

Ik zie het somber in, temeer omdat - zoals je al aanhaalt - er ook veel kritiek geweest is op de vingerafdrukken en dat is er toch gekomen.

Het erge aan die vingerafdrukken vind ik dat ze het uitrollen maar niet duidelijk communiceren wanneer het in gaat of verplicht word. De gemeente hier weet het niet.

Aan de ene kant dus te weinig informatie, aan de andere kant is er nu alweer veel meer duidelijk dan normaal. Als ze nou met de intentie van een eerste brainstorm dit weekend waren begonnen, had je er misschien veel meer uit kunnen halen. Grote kans dat de echte kanshebbers (als er al een app komt) niet eens bij deze 7 zaten.
Als je nou gewoon iedereen weer minimaal 2 weken geeft om iets met de gegeven feedback (al dan niet van de zijlijn) te doen, zou je dan weer zo'n weekend kunnen organiseren. Je kan dan ook meewegen wat de progressie is die geboekt is. Een partij die nog niet zoveel had klaar liggen kan dan aantonen dat het veel aannemelijker is dat zij een app op een kwalitatieve manier afkrijgen, dan een partij die een fork had liggen waar nog veel aanpaswerk aan verricht moet worden.
Iedereen die dus in de 1e ronde zat, zou gewoon weer gescreend moeten worden.

Of we echt een goede app gaan krijgen die mensen actief willen gaan gebruiken is wel echt de vraag nu.

Capgemini: Kopie van Tsjechische App. Wederom geen broncode. Gebruikt telefoonnummer, back-end geeft de "anonieme" IDs uit.

Kleine correctie: Cap had zondag wel code online. In de middag sessie vertelden ze dat dat de grootste aanpassing die ze gedaan hadden die centraal uitgegeven ID's te vervangen door decentrale.

Edit @onder: derde van boven. Directe link naar Github.

[Reactie gewijzigd door TheekAzzaBreek op 20 april 2020 14:00]

Die staat dan niet op de website van de rijksoverheid:

https://www.rijksoverheid...avirus-app/app-informatie

citaat daniel verlaan : "Weetje voor de liefhebber

In de broncode van de apps werden hardcoded plaintext wachtwoorden aangetroffen waarmee toegang kon worden verkregen tot de databases met gegevens en/of achterliggende infrastructuur 🤯"

https://twitter.com/danie.../1252141778049863680?s=21

Ja en? volgens mij is dat in zo'n vroege ontwikkeling heel normaal.

Je gaat zeker geen hardcoded credentials naar een publieke repo pushen.

Helemaal niet gezien ze dus toegang geven tot persoonsgegevens van andere projecten.

Als er alleen testdata in had gezeten had ik het met je eens geweest dat dit soort dingen nou eenmaal gebeuren bij proof of concepts. Echter was dat niet het geval, zie ook nieuws: Database van corona-app lekt uit tijdens appathon waarbij RTLNieuws blijkbaar ook persoonsgegevens van nederlanders gevonden heeft.

Zonder meer data of het om hetzelfde ding gaat kan je daar niet over oordelen.

Zodra je echte data gaat gebruiken. Let wel ik weet nog even niet hoe je aan echte data komt want als dat bv medewerkers van het bedrijf zijn die wisten hoe het geheel in elkaar zat is dat ook weer anders (in mijn ogen).

Deze meldingen zijn allemaal veel te kort door de bocht. Bedrijven hebben snel iets in elkaar gehackt en de eisen verzonnen (die waren niet duidelijk van de overheid). Hierna gaan we klagen dat het nog niet goed werkt.

Nee tuurlijk werkt het niet goed. En de 28 een goed werkende app hebben die voor zoveel mensen veilig en goed werkt op een gebied wat eigenlijk nog niemand heeft gedaan is bijna onmogelijk.

Een demo app hebben die werkt (wat sommige al hadden) is denk ik een prima basis. Oordelen of iets velig is is ook niet te doen op zo'n korte tijd. Stel je voor je bent de 28 "klaar" hoe ga je dan alles beoordelen op lekken. Dat kost ook nog flink wat tijd. Ik denk dat daarom ITO (of een andere opensource oplossing) de enige keuze kan zijn omdat er dan werklijk continue kan worden meegekeken.

waarmee toegang kon worden verkregen tot de databases met gegevens en/of achterliggende infrastructuur

Dit is in ieder geval niet normaal.

Het is helemaal niet zo lastig om bij het schrijven van een app configuratie, zoals wachtwoorden, en de code te scheiden. Hiermee voorkom je dat je, per ongeluk, deze gegevens lekt. Ook in de 'vroege ontwikkeling' van een app is het heel normaal om deze scheiding aan te brengen.

Er wordt gezegd dat dat niet normaal is onder daniel zijn tweets dat dit standaard encrypted zou moeten zijn *ik weet het verder ook niet beter*

Het is niet netjes, maar aan de andere kant is het vreemd dat een POC wordt getoetst alsof het een complete productie waardige applicatie is. Dit is denk ik eerder een bewijs dat het doel van deze hackathon ook onder de deelnemende bedrijven compleet onduidelijk was.

Als jij als bedrijf een POC maakt om te bewijzen dat je contact onderzoek kunt doen m.b.v. Bluetooth is dat het primaire doel van je app en steek je daar dus de (veel te korte) ontwikkeltijd in. Nogmaals: het is geen excuus om hardcoded wachtwoorden te gebruiken. Maar als jij een hackathon in gaat met het idee dat er een POC wordt gevraagd voor contact onderzoek snap ik dat je security model niet waterdicht is. Normaliter wordt er daarna gevraagd omdat POC dan uit te werken tot een applicatie, vaak zelf in een complete andere taal of compleet ander platform.

Ik denk dat de kritiek dan ook vooral is dat de hackaton verkeerd is opgezet qua vraagstuk; misschien had die meer moeten zijn "ontwerp een model dat goed werkt qua detectie, privacy, etc" ipv "maak een mooi uitziende front-end" (dat was vast ook niet de letterlijke vraag, maar zo lijkt die wel opgevat te zijn).

Een ander kritiekpunt van een expert in het panel van de Appathon gisteravond was het feit dat de vraag of zo'n App effectief is nog niet beantwoord is. De vraag is, zelfs als die ideale App er zou zijn, en 60% installeert hem, en Bluetoothtracking werkt goed, en de GGD kan het aan, of het dan de besmettingsgraad omlaag brengt. Deze wetenschappers stellen van niet:

https://simassocc.files.w...cht-16-4-2020-assocc1.pdf

Heb je al gekeken wat het alternatief is. Alle contacten na bellen met de hand zoals nu gebeurd. Met dito fout mogelijkheden (mensen vergeten) en privacy schending jij gaat telefoon nummers delen..... Kortom al is de app maar 1% effictief scheelt veel werk in ieder geval.... Verder zal door vertragende unlockdown het nog meer geld gaan kosten. Kortom de druk blijft en is gigantisch hoog......

De GGD zelf heeft aangegeven dat ze zelf altijd willen bellen naar eventuele besmettingen. Dat kan natuurlijk niet met een anonieme App. Dus het ministerie heeft een aanbesteding uitgezet voor een App die de GGD niet wil...

Oftewel, de GGD wil weten van elk contact wie dat is geweest en in welke context, om daar zelf een melding naar door te zetten. Dat gaat niet samen met de anonimiteit.

En daarin is het heel belangrijk dat een arts, dat kan de huisarts zijn maar ook de GGD, samen met de melder bekijkt hoe zitten die contacten in elkaar, en is dat de moeite waard om die melding door te zetten.

Uit de livestream, interview met Paul van der Velpen: https://www.youtube.com/w...&feature=youtu.be&t=24318

Dat het alternatief ook niet aantrekkelijk is wil niet zeggen dat het dus verstandig is om maar een middel waar men kansen in zag te gaan gebruiken.

Dat een middel een beetje effectief kan zijn op gebied van privacy of beperken van besmetting wil niet zeggen dat het je dus als samenleving vooral voordeel op gaat leveren.

Het is vergelijkbaar met medicijnen ontwikkelen. Je kan nu wel snel snel snel hopen op effectiviteit, maar je net zo goed een grote kans hebt dat je vervolgens schijnveiligheid hebt ben je nog verder van huis.

Maar welke privacy jij genegeerd random BTid en zend uit. Ontvangt diverse BTid bv 60 sec lang lijstje in je telefoon 2 weken lang. Dan wissel je 1x per dag jouw status uit en ontvangt lijstje met BTid die ziek zijn. Zit er een ziek BTid in je lijst krijg je waarschuwing controleer themperatuur 2x per dag. Weinig spannends aan tóch. Bij klachten neem contact op met huisarts ( of ggd telefoon wat ze willen )

[Reactie gewijzigd door 01--Rolf--01 op 20 april 2020 14:18]

Als je doel is om verspreiding onder controle te krijgen en toch meer bewegingsvrijheid en voldoende privacy te hebben dan verwacht ik dat je kan noemen waaruit blijkt dat de oplossing effectief is.
Er is tot nu toe geen oplossing die nauwkeurig kan aangeven of iemand werkelijk voldoende contact heeft gehad, laat staan dat die oplossingen werkelijk privacy vriendelijk blijken te zijn.
Ik lees nergens dat de voorstellen die er zijn effectief zijn om verspreiding te beperken of waaruit blijkt dat het helpt om de maatschappij zinvol op te starten. En al helemaal niet hoe dat in voldoende verhouding staat tot een duidelijkere gestelde voorwaarde, privacy.

Dat heeft het GGD onderzoek ook niet. Blijkt maar weer toen er < 10 besmette mensen in NL waren. Dus hun methode werkt ook niet

Het gaat ook niet om wat er vroeger gebeurde. Het gaat om wat vanaf nu effectief gaat zijn om verspreiding onder controle te krijgen en toch meer bewegingsvrijheid en voldoende privacy te hebben.

Je bent van mening dat er iets moet gebeuren met een app maar als je dan vragen krijgt hoe dat effectief is en aan eisen voldoet dan kom je met antwoorden waar het niet uit blijkt of draai je er om heen. Je wekt de indruk dat het je eigenlijk niet zo veel uit maakt of het effectief is en of er aan de eisen zal worden voldaan zolang het maar een app is. Dat lijkt mij geen zinnige discussie en al helemaal geen verstandige manier om een oplossing te selecteren.

Denk dat de app zeer affectief is. Hij houd anoniem bij, Wie er in mn buurt is geweest. Wordt iemand daarvan ziek krijg ik een melding van houd je zelf in de gaten. Lijkt me een super app. Hoe lang en hoe hoog het BT signaal moet zijn is is kwestie van afregelen. Kan allemaal anoniem gebeuren.

Er is geen 'de app'. Van wat er wel aan plannen was blijkt niets dat het voldoende aan de voorwaarden voldoet. En in alles wat jij hier schrijft blijk je geen enkel antwoord te willen of kunnen geven waarom jou bedenksels wel effectief zouden zijn en aan de voorwaarden zouden voldoen. Genoeg kansen gehad. Einde discussie.

Jij blijft lekker binnen zitten want Ooh er is geen oplossing te bedenken voor mijn probleem. Van deze mensen hebben we genoeg in NL. Inderdaad einde discussie blijf save binnen......

Alleen omdat het anoniem is, weten ze niet wie er wel/niet geïnformeerd zijn en moet je alsnog iedereen bellen waarvan contact bekend is.

Waarom moeten ze bellen, kunt ook vragen bij klachten bel.......
Of we willen graag in contact komen met je
.....

Stoere manager taal hoor, dat 'alles vloeibaar' kan worden, maar vraag dat ook eens aan die inkoper die miljoenen mondkapjes ingekocht heeft die achteraf gezien niet voor medisch gebruik geschikt waren.
In veel gevallen loont het zorgvuldig te zijn en het hoofd koel te houden, juist in geval van crisis.

De kans is levensgroot dat we straks met een app zitten die niet helpt en bijzonder ongewenste neveneffecten heeft. Zeg maar een lose-lose situatie om het in stoere managetaal uit te drukken.

Geen idee welke oorlog je bedoelt waarin een miljard(!) mensen per dag omgekomen zijn. Juist omdat het om leven en dood gaat is zorgvuldigheid de weg vooruit. Alleen maar 'vooruit met de geit' roepen en geen tijd nemen om na te denken levert uiteindelijk alleen maar troep op waar niemand wat aan heeft en wat netto alleen maar tijd, geld en privacy kost die we beter hadden kunnen inzetten.

1.000.000.000 euro verlies per dag

Hoe zouden ze nog actiever moeten worden? Ze hebben in een weekend een onderzoeksrapportage gedaan en op basis daarvan deze conclusies getrokken. Veel sneller dan dat is de AP nog nooit geweest.

Of bedoel je wellicht dat de toezichthouder een loopje moet nemen met z'n verantwoordelijkheid?

Is het hen gevraagd geweest?
Enigste dat ik nu lees, is dat er hen gevraagd is achteraf hun advies te geven.

Waarom moet AP vooruit denken? De regels zijn er toch? Hun advies achteraf was om te bepalen of die apps zich aan die regels gehouden hebben.

En kan evengoed zijn dat ze al vooruit gedacht hebben maar dat dit niet terug komt in het artikel. Als ze nu al hun advies klaar hebben, betekent volgens mij dat ze toch één en ander voorbereid hadden. Anders kan het gewoonweg niet zo snel gaan

Voor zover ik nog mee ben met alles, is zo ongeveer alles aan dit proces zeer bizar verlopen. Maar denk niet dat AP daar iets te maken heeft

[Reactie gewijzigd door Kenhas op 20 april 2020 13:44]

Te weinig info = [X] Ongeschikt

Zo'n app kan alleen in gebruik worden genomen als er geen twijfels zijn privacy, het gebruik en hoe wij als maatschappij de app willen gaan gebruiken. Eerst duidelijkheid, dan een app en niet andersom.

Misschien, maar sommige waren opensource. Is dat dan voldoende info?

Nee, want zoals de AP ook aan geeft, de overheid kan niet eens laten zien of deze apps uberhaupt zullen werken.

Binnen de AVG is het nodig om verwerkingsdoelen op te stellen. Een wettelijke basis kan zo'n doel zijn (betaalgegevens, 7 jaar) maar ook bijvoorbeeld het leveren van een dienst (winkelmandje, zolang de sessie duurt). De overheid heeft volgens de AP niet goed kunnen samenvatten welk legitiem doel deze informatieverwerking dient. Let hierbij op, de overheid kan niet aantonen dat deze app iets zou uithalen. daarnaast moet je als organisatie ook aantonen dat er geen alternatieve, meer privacy vriendelijke, methoden zijn om Corona in kaart te brengen... zoals testen bijvoorbeeld.

Al met al is het dus een lastig pakket voor de overheid. Eventueel zou een noodwet dit probleem kunnen omzeilen, maar dan is het 'vrijblijvende' karakter ook meteen verdwenen.

Edit.
Even ter illustratie, kassa systemen in een winkel, welke gebruik maken van vinger-scanners zijn niet toegestaan, want het personeel zou zich ook kunnen legitimeren met een pasje. Dat dit andere nadelen heeft (pasjes wisselen makkelijker dan vingertopjes) is een probleem voor de winkelier; daarin biedt de AVG geen clementie.

nieuws: Werkgever mag vingerafdruk niet zomaar verplichten

[Reactie gewijzigd door Eonfge op 20 april 2020 13:13]

Het doel is de mogelijke verspreiding in kaart te brengen. De vraag ligt nu of mogelijke verspreiding voldoende grond is om het goed te keuren. Maar het blijft vrijblijvend dus mogelijk zou dat voldoende zijn.

De bewaartermijn van de data is relatief simpel. Het is gebleken dat 2-3 weken nodig is. Dus je zou bv kunnen zeggen 3 weken dan weet je of iemand ziek is geworden.

Het legitieme doel is om grootschalige verspreiding van de ziekte te voorkomen. Dat lijkt mij een heel legitiem doel. Waarbij er andere methodes zijn zoals testen, maar deze momenteel niet voldoende ingezet kunnen worden om het doel goed te bereiken.

Het zeggen je moet meer testen is dus leuk, maar in tegenstelling tot het pasje ipv de vinger is dat pasje wel voor iedereen beschikbaar. Maar ik kan mezelf niet laten testen (nou ja ik en alle 16.5 m andere niet geteste Nederlanders). Waardoor je dus kan zeggen er is geen alternatief.

Als je naar China kijkt lijkt dit redelijk effectief. Hoewel het daar makkelijk te verplichten is. De vraag zal echter grotendeels afhangen wat het RIVM zegt als die zeggen dit gaat al helpen als 10% van de mensen de app heeft.

Toch bizar eigenlijk dat men er nu pas achter komt dat dit allemaal veel te hals over kop is gegaan? Dat kon je van te voren wel bedenken, daar heb je geen "appathon" voor nodig, dat is gewoon nooit haalbaar met de zovele factoren waar je rekening mee moet houden.

[Reactie gewijzigd door Luca op 20 april 2020 12:48]

Buiten dat de AP de apps niet kan beoordelen op privacy en regeling rondom de GDPR mis ik nog een andere cruciale vraag: in hoeverre zijn deze apps nuttig voor instanties als de GGD en het RIVM?

Het hele ontwikkelproces is een bizarre aangelegenheid. Het lijkt mij logisch als we eerst eens een doel opstellen en met het RIVM/GGD kijken wat zij van zo een app verwachten. Daarna gaan we dan kijken hoe we dit gaan realiseren in een zo privacy vriendelijk mogelijke vorm. Het is mij een compleet raadsel op basis van welke requirements deze apps zijn ontwikkeld. Super goed dat iedereen nu de focus op privacy heeft, maar misschien dat iets functioneels uitwerken ook wel handig is.

[Reactie gewijzigd door n9iels op 20 april 2020 13:21]

Dit hele circus komt op mij ook een beetje over als de manager die ooit riep: "gaan jullie vast programmeren dan ga ik vragen wat de klant wil". (het zou grappig zijn als het niet waar was)

De AP zegt dat ook niet duidelijk is wie precies de verwerkingsverantwoordelijke is. Dat is de partij die gaat over het verzamelen en beheren van de gegevens die de app verzamelt. "Is dat een private partij, een zorgpartij of een overheid?" vraagt de toezichthouder zich af.

Dat deze vraag open staat is de grootste faal in de eerste stap voor het maken van een app die op deze schaal de bewegingen van mensen inzichtelijk probeert te maken.

Ik heb nu al zoveel fouten en problemen rondom dit initiatief gehoord, dat ik er sowieso niet meer aan mee zou willen doen, al zou er later alsnog een heel duidelijke en afgebakende, privacy-garanderende app komen.

De correcte volgorde moet zijn:

- Testen, testen en nog eens testen
- Centrale registratie testresultaten overheid
- Bovenstaande in combinatie met voldoende (door de overheid bescihkbaar gestelde) fysieke beschermingsmiddelen (maskers) en toezien op goede naleving maatregelen m.b.t. o.a. afstand houden
- Ontwikkeling van app
- Gebruik maken van app

Mijn inschatting is dat Nederland dan zeker 2-3 maanden verder is. Dan kan je (hopelijk) de vraag stellen of de ontwikkeling van een app (die al zal deze op basis van max. testen voldoende data heeft om nuttig te zijn) nog wel zin heeft?

Laten we gewoon stoppen met het onnozele idee van een corona app.
Gaat hem niet worden en kost alleen bergen geld.
Tel daarbij op dat zo'n app niet verplicht wordt en er eerder aangegeven werd dat minstens 60% van de mensen zo'n app zou moeten installeren om enigszins een zekere werking te hebben dan is de conclusie heel simpel:kansloze missie.
En dan laten we voor het gemak alle regelbrij omtrent de AVG nog buiten beschouwing..
Als overheid maak je je naar mijn mening volstrekt belachelijk, er zijn belangrijkere en meer effectieve dingen die voorrang nodig hebben zoals beschermingsmateriaal.

Als overheid maak je je naar mijn mening volstrekt belachelijk, er zijn belangrijkere en meer effectieve dingen die voorrang nodig hebben zoals beschermingsmateriaal.

Op zich eens, maar wil daar toch over opmerken dat het een het ander niet uitsluit he.

Ja laten we alle coders naar een fabriekshal sturen om maskers te naaien met materialen die nergens te krijgen zijn omdat er een GLOBAAL tekort is.

Die mensen zitten zich thuis te vervelen ze kunnen beter iets semi nuttigs gaan doen. Het is niet zo dat door de app bezigheden er niets anders gedaan kan worden. Er kan niets anders gedaan worde omdat de hele wereld op zijn gat licht en er extreem veel maskers gebruikt en verbrand worden.

En meer tests is niet mogelijk omdat er niet genoeg testvloeistof in de wereld is en ook niet op korte termijn gaat komen. Daarnaast is er niet genoeg kundig personeel om deze machines (of meer machines) te bedienen dus zelfs als dat er wel zou zijn is er een limiet.

Nog meer verwachten van overheden is net als verwachten dat ze kunnen toveren en geldbomen in de openbare parken planten die iedereen oneindig leeg kan plukken.

Er valt niets meer te doen dan thuis blijven en niet met je gat toch naar buiten gaan als het niet ECHT nodig is. En dan bedoel ik dus je heb geen eten of luiers voor je kind meer en er is geen bezorg service beschikbaar. niet omdat je kriebels in je kont heb en even een blokje moet lopen volgens je hersenpan.
Het is ronduit bizar dat mensen nog meer verwachten van de overheid terwijl je zou verwachten dat 2 weken na isolatie thuis en nog 2 weken voor degene die nog besmet waren we nog steeds dagelijks vele duizenden nieuwe mensen hebben die besmet zijn en andere besmetten. Ergens gaat het als samenleving dan toch goed mis. Anders hadden de getallen veel drastischer moeten zakken. Er zijn nog altijd heel veel mensen die anderen besmetten anders had dit probleem zichzelf langzaamaan al wel opgelost en dat lijkt niet het geval. Er worden nog altijd 1000+ mensen getest en dat zijn dus 1000+ mensen die weer anderen besmetten.

Capgemini is ook een lachwekkend bedrijf. Daar heb ik serieus nog nooit iets goeds uit zien komen. Te veel dure consultant zonder kennis, besteden alles uit want zelf kunnen ze amper iets en alles is gewoon rete duur zonder dat de kwaliteit ernaar is.

Ik snap al die (bewust gecreeerde) ophef niet in Nederland.
Nogmaals je kan nog zo'n goede app hebben die door een meerderheid van de bevolking wordt gebruikt - zonder voloende test data is deze volkomen nutteloos.

En er wordt in Nederland (in vergelijking met landen waar een app relatief enig nut heeft) nauwelijks tot niet getest. Dus de hele discussie over een app, laat staan over de privacy gevoeligheid hiervan kan je afdoen als nutteloos. Ik vergis me: voor de overheid heeft het één nut, het leidt de werkelijke discussie waar het om moet gaan af

Het punt is dat een app en testen elkaar niet in de weg staan, het zijn gewoon 2 gescheiden trajecten die je perfect tegelijkertijd kan opstarten.

Dat is waar, alleen er wordt slechts plannen gemaakt voor de invoering van een app. Nu volg ik het nieuws uit Nederland (letterlijk op grote afstand) voor mijn werk, ik zie een enorme hoop discussies over het ontwikkelen van een app en de privacy - maar niets over het massaal testen (en evenzo belangrijk een goede centrale regisratie hiervan.)

Het massaal testen en centrale registratie vergt een enorme logistieke zowel fysiek/ICT-technische (althans hier in Azie) inzet. Losstaande of er bij u in Nederland voldoende testen klaar zijn - als de app al klaar is.

Tja, over massaal testen hoef je ook niet te discussieren zolang je niet voldoende testen hebt...

Als er genoeg testen verkregen zijn, dan gaat er vanzelf wel weer de discussie losbarsten met anti-vaxxers en hoe/wie/wat/waar getest moet worden etc.
Alleen er valt weinig te discussieren over de noodzaak van testen zolang je het gewoon niet kan.

Terwijl je eeuwig kan discussieren over de eisen voor een app (want in tegenstelling tot een test is iedereen expert qua wat een app moet kunnen doen)

Inderdaad - mbt dat testen in Nederland - dus die app gaat niet werken. Kan je hem nog wel ontwikkelen natuurlijk en hele discussies houden over de privacy. Het enige positieve van de hele app discussie vindt ik de manier waarop de NL overheid omgaat met idee van de ontwikkeling an sich - middels inschrijving en toegang om mee te kijken als onafhankelijk privacy experts. Dat moet er in blijven.

Voor de rest sluit het hele idee van die app sluit aan bij de eerdere maatregel groepsimmuminiteit (weet u nog?) Tijd rekken en langzaam brengen we versoepelende maatregelen in - kinderopvang en scholen weer open (zetten we daar al onze aandacht op in.) Dan uiteindelijk verwaterd ook de hele discussie over die app vanzelf net als groepsimmuniteit - en ondertussen als verantwoordelijk bestuurders wel weer 3 weken verder.