Om deze persoonsgegevens gaat de CoronaCheck-app vragen

CoronaCheck is een nieuwe app van de overheid die dan dient een "sein veilig" te kunnen geven voor bezoek aan bijvoorbeeld evenementen. De app toont middels een QR-code op het smartphonescherm dat er vanuit deze gebruiker een minimale kans is op verspreiding van het coronavirus. De gebruiker heeft namelijk ofwel een negatieve uitslag van een coronatest gehad in de afgelopen 48 uur, óf de gebruiker is gevaccineerd. "Door het zo te regelen, weet degene straks aan de deur niet om welke reden jij niet besmettelijk bent en dus een groen vinkje in die app krijgt", aldus De Jonge dinsdag tijdens de persconferentie.

Controle met legitimatiebewijs

Maar in theorie is misbruik van de app ook mogelijk. Iemand kan zijn telefoon met een "sein veilig" aan een ander geven, ook al is die ander mogelijk wél besmet. Om dat te voorkomen, worden er persoonsgegevens toegevoegd aan de app. Een woordvoerder van het ministerie van Volksgezondheid laat aan AG Connect weten dat het gaat om de eerste letter van de voornaam, de eerste letter van de achternaam, de geboortedag en -maand, de datum en tijd waarop de test werd afgenomen, en een digitale handtekening.

Al deze gegevens worden in een QR-code gecodeerd. De controleur bij de toegangspoort voor een evenement scant die QR-code met de CoronaCheck Scanner-app, vertelt de woordvoerder. "Bij de controle wordt de geldigheid van de digitale handtekening gecontroleerd in combinatie met de verstreken tijd vanaf het moment waarop de test is afgenomen. Als er een geldig testbewijs is, wordt in het scherm van de Scanner-app een groen scherm getoond met daarbij de eerste letter van de voornaam, eerste letter van de achternaam, geboortedag en geboortemaand, zodat de controleur dit kan vergelijken met het legitimatiebewijs."

Beveiliging van de gegevens

Het testbewijs zelf wordt gemaakt door CoronaCheck: die app krijgt van de teststraat de testgegevens en zet die om in het bewijs. Deze gevoelige gegevens worden alleen op de smartphone van de gebruiker opgeslagen, vertelt het ministerie van Volksgezondheid. "Op de telefoon zelf worden de gegevens in een sandbox beveiligd opgeslagen. Het datatransport van en naar de app is versleuteld met HTTPS TLS 1.3 voor de modernere telefoons en TLS 1.2 voor de oudere OS-en die nog geen TLS 1.3 ondersteunen. Het testresultaat wordt aangeleverd door een teststation, voorzien van een p7-S/MIME signature met minimaal SHA256 hash."

Het testbewijs is na 48 uur niet meer geldig en wordt dan automatisch van de telefoon verwijderd, evenals het testresultaat. Is de app op dat moment niet opgestart, dan worden de gegevens direct bij het opstarten verwijderd. Waar het testbewijs zoal wordt gebruikt, wordt nergens bijgehouden. Volgens het ministerie is het daarnaast technisch onmogelijk gemaakt om individueel gebruik te volgen.

Om verder misbruik te voorkomen wordt de QR-code regelmatig ververst. Elke paar minuten wordt er een nieuwe QR-code getoond, zodat het niet mogelijk is om de verschillende QR-codes te traceren. De app voegt daarnaast een bewegende animatie aan de QR-code toe, waarmee te zien is dat het een live beeld is en dus niet een screenshot van een QR-code die van een iemand anders komt.

Bij de eerste test anders

CoronaCheck wordt aankomend weekend voor het eerst getest bij de Fieldlabs-evenementen. Mensen die zich ingeschreven hebben krijgen in een afgesloten testomgeving toegang tot de app. Bij deze eerste test wordt bij de installatie van de app echter niet alleen om de geboortedag en -maand van de gebruiker gevraagd, maar ook om het geboortejaar.

"We kunnen dan op basis van de geboortedatum ook controleren of de testresultaten die ze in de app hebben geüpload ook bij deze mensen horen. Verder wordt er niets met de geboortedatum gedaan", vertelt de woordvoerder van het ministerie. In de definitieve versie van de app wordt niet langer om de volledige geboortedatum gevraagd, maar alleen om de geboortedag en -maand.

April, mei

De test van CoronaCheck loopt door tot en met mei, met een capaciteit van 100.000 testen per dag in april. In de maand daarna moet die capaciteit verhoogd zijn naar ruim 400.000 testen per dag. Wanneer dan de definitieve versie van de app verschijnt, en algemeen gebruik kan beginnen, is nog niet precies bekend.