Ministerie van VWS twijfelt over relatie met Google na CoronaMelder-lek

Er zijn echter geen signalen dat dit ook gebeurd is.

Eerder deze week werd bekend dat Google privacygevoelige gegevens opslaat van apps die wereldwijd worden gebruikt om mensen te waarschuwen als ze in contact zijn geweest met Covid-19-patiënten. De data blijken benaderbaar voor apps die Google standaard meelevert met het Android-besturingssysteem. Een woordvoerder van het ministerie van Volksgezondheid laat na vragen van AG Connect weten dat het probleem ook de Nederlandse CoronaMelder-app treft.

De Nederlandse CoronaMelder gebruikt het framework van Google en Apple om willekeurige codes aan te maken en uit te zenden. Het framework legt daarnaast de ontmoetingen met andere gebruikers met een app als CoronaMelder vast. Door willekeurige codes uit te wisselen met apparaten die in de buurt zijn geweest, wordt vastgesteld of een gebruiker in contact is geweest met iemand die achteraf besmet leek.

Wie was bij wie in de buurt?

Nu blijkt dat Google die codes vastlegt in de system log, ook al was afgesproken dat dit niet zou gebeuren, zegt een woordvoerder van het ministerie van Volksgezondheid tegenover AG Connect. Dat logbestand is via Google Play Services toegankelijk voor een groot aantal apps dat met de telefoon werd meegeleverd.

"Daarmee is het denkbaar dat apps met toegang tot de log kunnen opzoeken of deze willekeurige codes horen bij iemand die besmet was en dat apps met deze willekeurige codes in kaart kunnen brengen welke toestellen in elkaars buurt zijn geweest. Hiervoor moeten ze de willekeurige codes wel combineren met andere databronnen. Dat is in strijd met de wet." De woordvoerder benadrukt dat er nog geen signalen zijn geweest dat dit ook daadwerkelijk heeft plaatsgevonden.

"De prioriteit van VWS is een notificatieapp die zo privacyvriendelijk mogelijk is. Deze app moet daarom geen gegevens vastleggen. CoronaMelder doet dat ook niet, maar het raamwerk daarachter wel. Daar moet de oplossing komen, het raamwerk van Google hoort de gegenereerde codes niet op te slaan."

Google zelf zegt dat het "extreem onwaarschijnlijk is" dat ontwikkelaars van de vooraf geïnstalleerde apps doorhadden dat ze onbedoelde toegang hadden tot de codes. "We hebben dan ook geen indicatie dat gegevens van apps zoals de Coronamelder zijn misbruik", aldus een woordvoerder van het bedrijf.

Onduidelijkheid over andere data

Privacy-onderzoeksbedrijf AppCensus zegt dat dat de apps ook toegang hadden tot gegevens van de toestellen waarmee een contact geïdentificeerd was. Het gaat dan om bijvoorbeeld de naam van het toestel, het MAC-adres en de advertising ID's van andere apps op het toestel. In theorie is het mogelijk voor de systeemapps om deze informatie op te halen en te versturen naar de servers van het eigen bedrijf.

Of dit ook mogelijk was via de Nederlandse CoronaMelder weet het ministerie van Volksgezondheid niet. "Welke andere gegevens in de system log vastliggen en of deze ook inzichtelijk zijn voor de vooraf geïnstalleerde apps is volledig aan Google om te verduidelijken", zegt de woordvoerder. 

48 uur geen meldingen

AppCensus stelt dat Google al op 19 februari gewezen is op het probleem en dat het lek gemakkelijk te verhelpen is. Daarvoor moet slechts één regel code verwijderd worden, die ervoor zorgt dat gevoelige informatie in de system log wordt opgeslagen.

Google zelf ontkent dat het probleem al zo lang bekend was. Het bedrijf meldt in een reactie aan AG Connect dat het enkele weken geleden begonnen is met het uitrollen van een update waarmee het probleem is opgelost. "Naar verwachting is de update in de komende dagen beschikbaar voor alle Android-gebruikers", aldus een woordvoerder van het bedrijf.

Het ministerie van Volksgezondheid zegt op zijn website dat Nederland op 22 april op de hoogte werd gebracht van het probleem via het Europese eHealth Netwerk. Het ministerie is daarop direct een technisch onderzoek gestart en op 26 april werd de Autoriteit Persoonsgegevens op de hoogte gesteld van het mogelijke datalek. Op 28 april meldde Google dat het probleem is verholpen. "Om hier zeker van te zijn worden de komende 48 uur geen codes van Nederlandse gebruikers van CoronaMelder die zich besmet hebben gemeld gedeeld met andere gebruikers van CoronaMelder. Deze tijd wordt gebruikt om te onderzoeken of Google het lek daadwerkelijk heeft gedicht", aldus het ministerie op zijn website.

Of het ministerie na dit incident de samenwerking met Google nog doorzet, hangt volgens de woordvoerder af van de oplossing die het bedrijf levert. "Het is wenselijk dat deze update zo snel mogelijk de problemen verhelpt, want aan de voorkant was met Google (en overigens ook met Apple) afgesproken dat er geen gegevens vastgelegd zouden worden. Het voortzetten van de samenwerking met Google hangt af van de manier waarop en de snelheid waarmee Google een oplossing biedt."