De Nederlandse CoronaMelder-app stuurt 48 uur geen waarschuwingen. Minister Hugo de Jonge heeft dat besloten om 'de gevolgen van een mogelijk datalek' bij de Android-versie te beperken. Standaard-apps op Android-telefoons blijken toegang te hebben tot data.
De minister van Volksgezondheid, Welzijn en Sport schrijft in een Kamerbrief dat de willekeurige codes die CoronaMelder genereert op Android-telefoons worden opgeslagen in 'het algemene systeembestand' waar ook vooraf geïnstalleerde standaard-apps toegang toe hebben. Nederland is op 22 april via het Europese eHealth Netwerk daarvan op de hoogte gesteld, Google is al op 19 februari ingelicht door beveiligingsonderzoekers.
Door de toegang tot de data is het in theorie mogelijk dat standaard-apps kunnen vaststellen of de telefoon behoort tot iemand die als besmet is gemeld in CoronaMelder en welke ontmoetingen er hebben plaatsgevonden. Voor dat laatste moeten meerdere databronnen gecombineerd worden, omdat alleen willekeurige codes zichtbaar zijn. De Jonge benadrukt dat dit in strijd is met de wet. Volgens Google is er geen bewijs dat apps daadwerkelijk data hebben verzameld en gebruikt. Bij Apple speelt het probleem niet.
Na het ontvangen van de melding is het ministerie een onderzoek gestart en op maandag 26 april is de Autoriteit Persoonsgegevens op de hoogte gesteld van een mogelijk datalek. Uit dat onderzoek is gebleken dat onbevoegde partijen inderdaad bij gegevens kunnen van CoronaMelder op Android-telefoons.
Google is op de hoogte van het probleem en zegt dat op te lossen, maar zegt ook dat het enige tijd kan duren voordat alle telefoons 'van de oplossing zijn voorzien'. De onderzoekers van het Nederlandse ministerie hebben Google na het initiële onderzoek meerdere keren ingelicht over verschillende mogelijkheden voor misbruik en volgens de Kamerbrief was Google nog niet van alle mogelijkheden op de hoogte.
Volgens Google was woensdag 'een deel van de problemen opgelost' en worden de 'overige risico's' de komende dagen weggenomen. De Jonge vindt dat antwoord onbevredigend en om 'de gevolgen van het mogelijke datalek te beperken' worden er 48 uur geen codes van Nederlandse CoronaMelder-gebruikers die zich besmet hebben gemeld gedeeld met andere gebruikers. Die tijd wordt gebruikt om te onderzoeken of Google het lek daadwerkelijk heeft gedicht, aldus de Kamerbrief. Daarna kunnen de codes alsnog gedeeld worden, om gebruikers te waarschuwen voor een mogelijke besmetting.
Update, 08:51: Google zegt in een reactie tegen Tweakers dat de uitrol van de update enkele weken geleden is begonnen en dat die naar verwachting begin volgende week beschikbaar is voor alle Android-gebruikers. Volgens Google is het 'extreem onwaarschijnlijk' dat ontwikkelaars van de voorgeïnstalleerde apps doorhadden dat ze toegang hadden tot de willekeurige Bluetooth-ID's en is er geen indicatie dat het systeem is misbruikt.