Misleidende berichten over stiekeme 'corona-tracker' op je smartphone: hoe zit dat?

Op Facebook en via WhatsApp worden momenteel berichten verspreid waarin stellig wordt beweerd dat er zonder jouw toestemming een (voorzet voor een) corona-app op je smartphone is geïnstalleerd. Het betreft een bericht waar weliswaar een kern van waarheid in zit, maar door de wat paniekerige, overdreven context uit zijn verband wordt gerukt. Hoe zit het precies?

Op de afbeelding hierboven zien we één voorbeeld van een bericht dat momenteel rondgaat, maar er zijn een aantal varianten in omloop die onderling eigenlijk niet zo gek veel van elkaar afwijken. De suggestieve intonatie van het bericht biedt alvast voldoende reden tot enige scepsis, maar compleet verzonnen is het bericht ook niet, en dat is natuurlijk enigszins verwarrend.

Is het nou een app, of slechts een voorzet? En houden overheden en techbedrijven je nu al in de gaten via deze nieuwe functie? Tijd om het misverstand uit de wereld te helpen.

Geen app, maar een API
In de berichten die op dit moment rondgaan, wordt de suggestie gewekt dat techfabrikanten iedere smartphone - of je nu een iPhone hebt of een Androidtoestel - ongemerkt hebben voorzien van een optie om contact- en locatiegegevens te kunnen traceren. In zekere zin klopt dat.

De implicatie van deze berichten is echter dat jouw privacy wordt geschonden en dat je wordt bespioneerd. Smartphonereuzen zouden een loopje nemen met de privacy en uit de omschrijving blijkt de suggestie dat de gang van zaken qua transparantie nogal te wensen overlaat.

Maar is er reden voor paniek? In werkelijkheid verandert het feit dat deze functionaliteit inderdaad is opgeleverd in beginsel nog niets: als gebruiker moet je zelf namelijk een aantal handelingen verrichten voordat deze functionaliteit daadwerkelijk iets doet.

Corona-app voor contactonderzoek
Omdat diverse landen onderzoek (laten) doen naar een effectieve en efficiënte corona-app om contactonderzoek beter mogelijk te maken, hebben Google en Apple samen een API gemaakt, heel kort samengevat een stukje softwarematige definities waardoor computerprogramma's of applicaties met andere programma's of apps kunnen communiceren.

Het uitgangspunt is dat smartphones door het opleveren van deze API technisch al de mogelijkheid hebben om bepaalde data uit te wisselen in het kader van contactonderzoek, maar dat betekent niet dat dat nu daadwerkelijk al gebeurt. Daarvoor moet namelijk eerst een app verschijnen die daadwerkelijk aan alle wet- en regelgeving voldoet. In het kader van het waarborgen van de privacy is zo'n app dan ook aan zeer strenge criteria gebonden.

Google stelt zelf dat deze API alléén kan worden gebruikt door officiële apps van nationale volksgezondheidsinstanties. In Nederland is er op dit moment nog geen corona-app: de API is opgeleverd om ontwikkelaars van zo'n app te helpen, maar doet niets totdat er wel een officiële corona-app in Nederland verschijnt. En zelfs dan moet je die app zelf installeren én moet je er dus zelf bewust voor kiezen om van deze functionaliteit gebruik te maken.

Over de werking van deze API heeft Google een aantal kenmerken uiteengezet: antwoorden op de meest gangbare vragen zijn hier te vinden.

Hoe zit het met de privacy?
Eén stukje uit de hiervoor genoemde link lichten we graag even uit. Dat betreft een toelichting over de privacy, en dat benoemen we hier omdat de insteek van het wat misleidende bericht juist over de privacy gaat. Google zegt hierover het volgende:

U bepaalt of en wanneer u uw gegevens deelt.

Het vergelijkingsproces van de ID's voor blootstellingsmeldingen vindt plaats op uw apparaat zelf. Dit betekent dat alleen u en uw app weten of u meldt dat u COVID-19 heeft, of dat u bent blootgesteld aan iemand die heeft gemeld COVID-19 te hebben. Uw identiteit wordt nooit gedeeld met andere gebruikers, Apple of Google.
Als u een app van een volksgezondheidsinstantie downloadt, kunt u zich aanmelden voor het gebruik van blootstellingsmeldingen.
Als u COVID-19 heeft, kunt u ervoor kiezen uw willekeurige ID's te delen met de app.
De willekeurige ID van uw telefoon wordt elke tien tot twintig minuten gewijzigd om tracking te helpen voorkomen.
Uw telefoon slaat alleen willekeurige ID's van de afgelopen veertien dagen op.
De app van de volksgezondheidsinstantie mag de locatie van uw telefoon niet gebruiken en uw locatie niet op de achtergrond bijhouden.
Alleen officiële apps van volksgezondheidsinstanties kunnen het systeem gebruiken.