Bescherm onze gezondheid, maar bescherm ook onze rechten.

6 oktober 2020

• ▼ 1. Eén doel: het onder controle krijgen van het virus.
  De app en de gegevens die er mee worden verzameld mogen alleen worden gebruikt voor het onder controle krijgen van het virus. Het gebruik moet gericht zijn op het vereenvoudigen van contactonderzoek, dus op het informeren en beschermen van individuen. Ander gebruik moet verboden zijn en voorkomen worden. De applicatie mag bijvoorbeeld niet gebruikt worden voor de handhaving van beleid, voor het bepalen of iemand in aanmerking komt voor een vergoeding van of toegang tot zorg of voor commerciële doeleinden.

  Doelbinding

  De oplossing adresseert een helder omschreven probleem en een helder omschreven doelgroep.

  Toezicht

  Ander gebruik van de oplossing en eventueel gegenereerde data is verboden en wordt voorkomen. Dus ook gebruik in het kader van strafvorderlijk onderzoek of in het kader van inlichtingen- en veiligheidsdiensten. Desnoods door een tijdelijke beleidsregel van het Openbaar Ministerie en de inlichtingen- en veiligheidsdiensten. Vertrouwen van burgers is hier essentieel, dit vertrouwen mag niet beschaamd worden.
• ▼ 2. Gebaseerd op wetenschappelijk inzicht en bewezen effectief.
  De inzet van de app en de daarmee verzamelde gegevens moet gebaseerd zijn op wetenschappelijke kennis en aantoonbaar bijdragen aan het onder controle krijgen van het virus. Het moet vooraf helder zijn welke factoren van belang zijn voor de effectiviteit van de app, zoals bijvoorbeeld het percentage van de bevolking dat de app moet gebruiken. De app is vooraf getest op een beperkte groep gebruikers, op basis waarvan aantoonbaar is dat deze applicatie noodzakelijk, effectief en proportioneel is.

  Onderbouwd

  De inzet van de dienst en eventuele verzamelde data moet gebaseerd zijn op wetenschappelijke kennis, maatschappelijke validatie en aantoonbaar bijdragen aan het onder controle krijgen van het virus. De makers tonen bewustzijn van gelijksoortige initiatieven en leggen uit hoe eerder opgedane inzichten (binnen en buiten Nederland) zijn meegenomen in het ontwerp. Bij de onderbouwing wordt gebruik gemaakt van zowel epidemologische inzichten, de GGD-praktijk, sociale aspecten als de state-of-the-art van privacy-by-design.

  Meetbaar

  Het is helder welke factoren van belang zijn voor de effectiviteit van de dienst.

  Getest

  De dienst is vooraf getest met een beperkte groep gebruikers, op basis waarvan aantoonbaar is dat deze dienst noodzakelijk, effectief en proportioneel is.

  Evaluatie

  Voortdurende evaluatie van de dienst waarbij effectiviteit aantoonbaar moet zijn. Bij gebrek daaraan wordt de dienst gedeactiveerd. Voorbeeld: Het is gespecificeerd hoeveel mensen de dienst moeten gebruiken om hem effectief te laten zijn.
• ▼3. Bewezen betrouwbaar en vanuit expertise.
  De app wordt ontwikkeld op basis van de expertise en onder de supervisie van onafhankelijke deskundigen, zoals dat nu ook al gebeurt voor wat betreft de medische aspecten van de bestrijding van het virus. Naast deskundigheid is ook publieke verantwoording en transparantie van de oplossing noodzakelijk. Daarmee worden de betrokken partijen scherp gehouden op zowel de effectiviteit als op het beschermen van mensenrechten en democratische beginselen. Op geen enkel moment in de ontwikkeling en inzet van de applicatie mogen we afhankelijk zijn van één enkele partij of systeem. De broncode van de applicatie en de overige infrastructuur is openbaar onder een vrije software licentie, zodat iedereen de werking van het systeem kan controleren. Ook moet aandacht besteed worden aan de controleerbaarheid van de daadwerkelijk gebruikte applicatie.

  Expertise

  De betrokkenen hebben relevante expertise in de domeinen waar de dienst aan raakt.

  Interdisciplinair en divers

  Interdisciplinaire en diverse teams zijn beter in staat om vraagstukken in kaart te brengen en dragen betere oplossingen aan.

  Open en transparant

  Naast deskundigheid is ook open ontwerproces, participatie, publieke verantwoording en transparantie van de dienst noodzakelijk.

  Mensenrechtelijk kader

  De dienst bevordert mensenrechten en democratische beginselen.

  Open source

  De broncode van de applicatie en de overige infrastructuur is vanaf de start openbaar toegankelijk, toetsbaar en de dienst is reproduceerbaar op basis van de broncode. Naast de broncode worden ook de ontwerpdocumenten, zowel functioneel als technisch, en de API-specificaties openbaar gemaakt. Ook is (nog?) niet helder hoe een gebruiker kan controleren of de code die op zijn telefoon draait ook de code is die openbaar is gemaakt.

  Vrije software

  De broncode van de applicatie en de overige infrastructuur wordt gepubliceerd onder een vrije software licentie

  Data commons

  Voor zover er niet-persoonlijke data wordt gegenereerd wordt deze in een data commons of data trust ondergebracht en onder publiek toezicht geplaatst. Voorbeeld: Als de oplossing gebruikt moet worden door een aanzienlijk deel van de bevolking, mogen we op geen enkel moment in de ontwikkeling en inzet van de applicatie juridisch afhankelijk zijn van één enkele partij of systeem.
• ▼ 4. De inzet van de applicatie is per definitie tijdelijk.
  De app mag alleen worden gebruikt voor het bovengenoemde doel en voor een vooraf bepaalde termijn. Enkel en alleen indien aantoonbaar noodzakelijk is dat de app langer wordt gebruikt, kan deze termijn worden verlengd. Als de applicatie niet meer effectief of noodzakelijk is, wordt de uitrol teruggedraaid en wordt de data verwijderd. Dit kan ook indien er maatschappelijke onrust ontstaat, bijvoorbeeld omtrent veiligheid of mogelijk misbruik van de applicatie. Terugdraaien kan door de functionaliteit van de app ongedaan te maken en de geregistreerde gegevens te verwijderen.

  Horizonbepaling

  De oplossing mag alleen worden ingezet voor het vooraf gespecificeerde doel en voor een vooraf bepaalde termijn. Enkel en alleen indien aantoonbaar noodzakelijk is dat de dienst langer wordt gebruikt, kan deze termijn worden verlengd.

  Effectief terugdraaien

  Als de dienst niet meer effectief of noodzakelijk is, wordt de uitrol teruggedraaid en wordt de data verwijderd. Dit kan ook indien er maatschappelijke onrust ontstaat, bijvoorbeeld omtrent veiligheid of mogelijk misbruik van de dienst. Terugdraaien kan door de functionaliteit van de dienst ongedaan te maken en de geregistreerde gegevens te verwijderen.
• ▼ 5. Niet tot individuen herleidbaar.
  Het moet onmogelijk zijn om met de gegevens, die door de app worden verzameld, gebruikers te de-anonimiseren, ook niet als de gegevens worden gecombineerd met andere gegevens. Dit betekent dat het systeem niet gebouwd kan zijn op het gebruik van identificatienummers van hardware of andere identificerende gegevens, zoals het "Bluetooth Device Address".

  Anoniem

  Wanneer persoonsgegevens verwerkt worden, moet het onmogelijk zijn om met deze gegevens gebruikers te de-anonimiseren, ook niet als de gegevens worden gecombineerd met andere gegevens. Voorbeeld: Een contactonderzoek-app mag niet gebouwd zijn op het gebruik van identificatienummers van hardware of andere identificerende gegevens, zoals het "Bluetooth Device Address".
• ▼ 6. Zo min mogelijk gegevens worden gebruikt.
  De app slaat zo min en zo kort mogelijk gegevens op. Dat betekent bijvoorbeeld dat de app geen gegevens over iemands locatie vastlegt, maar slechts het identificerende nummer van andere gebruikers in de buurt. Ook is het niet nodig om het precieze tijdstip van zo'n ontmoeting te registreren. Om de gegevens op tijd te kunnen verwijderen is alleen een datum van registratie nodig, geen tijdstip.

  Dataminimalisatie

  De dienst slaat zo min en zo kort mogelijk gegevens op. Er is geen centrale infrastructuur waarin gegevens uit de app worden uitgelezen. Dit geldt ook voor gebruiksstatistieken of andere app-feedback; dit is enkel toegestaan indien het epidemiologisch van belang is. Voorbeeld: Een contactonderzoek-app hoeft geen gegevens over iemands locatie vast te leggen, maar slechts het tijdelijke identificerende nummer van andere gebruikers in de buurt. Ook is het niet nodig om het precieze tijdstip van zo'n ontmoeting te registreren. Om de gegevens op tijd te kunnen verwijderen is alleen een datum van registratie nodig, geen locatie.
• ▼7. Geen centraal opgeslagen persoonsgegevens.
  Alle gegevens en processen worden in beginsel lokaal op iemands telefoon verwerkt. Dat betekent bijvoorbeeld dat het proces van de beoordeling of een gebruiker recent in contact is geweest met een besmet persoon, bij de gebruiker plaats moet vinden. Mocht het toch nodig zijn om gegevens te delen, bijvoorbeeld na het constateren van een besmetting, dan alleen na vrijwillige, expliciete en geïnformeerde toestemming van de gebruiker. De gegevens die wél de telefoon van de gebruiker verlaten, mogen op geen enkele wijze herleidbaar zijn tot die gebruiker.

  In beginsel lokaal

  Alle gegevens en processen worden in beginsel lokaal op het apparaat van de gebruiker zelf verwerkt.

  Alleen uitlezen voor contactonderzoek

  Gegevens mogen uitsluitend uitgelezen of gedeeld worden als er sprake is van a) contact- of brononderzoek als bedoeld in art. 6 Wpg, of b) toestemming van de gebruiker.

  Persoonsgegevens alleen lokaal

  Gegevens die wél het apparaat van een persoon verlaten, mogen op geen enkele wijze iets zeggen over het verplaatsingsgedrag, tijdstip, locatie of sociale netwerk van die persoon. Voorbeeld: In het geval van een contactonderzoek-app vindt het proces van de beoordeling of een gebruiker recent in contact is geweest met een besmet persoon, bij de gebruiker plaats.
• ▼8. Veilig en bestand tegen misbruik.
  Het is belangrijk dat de vertrouwelijkheid en integriteit van gegevens beschermd worden. Dat kan door het gebruik van encryptie en andere beveiligingstechnologiën. Soms is meer nodig. Denk bijvoorbeeld aan een situatie waarin de app enkel bij de constatering van een besmetting een seintje geeft aan een andere gebruikers. Versleuteld of niet, uit de verzending van gegevens is al af te leiden dat de desbetreffende gebruiker mogelijk besmet is.

  Non-discriminatoir

  Risico's op uitsluiting of oneerlijke behandeling zijn in kaart gebracht en er wordt overtuigend uitgelegd hoe deze risico's worden ondervangen, in het bijzonder de kans op stigmatisering door het hebben van een positieve COVID-19-status.

  Integriteit en vertrouwelijkheid

  Het is belangrijk dat de vertrouwelijkheid en integriteit van gegevens beschermd worden. Dat kan door het gebruik van encryptie en andere beveiligingstechnologiën. Soms is meer nodig. Denk bijvoorbeeld aan een situatie waarin de app enkel bij de constatering van een besmetting een seintje geeft aan een andere gebruikers. Versleuteld of niet, uit de verzending van gegevens is al af te leiden dat de desbetreffende gebruiker mogelijk besmet is.

  Geaudit

  Opzet, bestaan en werking worden gecontroleerd door (bij voorkeur meer dan één) auditerende partij. Zowel voorafgaand aan de lancering als op regelmatige basis totdat het systeem definitief wordt uitgeschakeld. Ook ziet zij erop toe dat uiteindelijk alle verzamelde gegevens en toestemmingen permanent worden verwijderd.

  Meldpunt

  Er moet een adequaat meldpunt beschikbaar en eenvoudig te bereiken zijn waarop meldingen van fouten en kwetsbaarheden in ontwerp en implementatie gemeld kunnen worden. Het moet helder omschreven zijn binnen welke termijn en op welke wijze er terugkoppeling wordt verleend en bevestigde fouten en kwetsbaarheden verholpen zijn. Melders moeten beschermd zijn middels een responsible disclosure-beleid en hebben het recht tot onvoorwaardelijke publicatie van hun bevindingen.
• ▼ 9. Gebruiksvriendelijk en toegankelijk.
  De applicatie is zo gebouwd dat deze voor iedereen in Nederland die het wil, te gebruiken is. Daarom moet nagedacht zijn over mensen die, bijvoorbeeld, niet beschikken over een smartphone, de Nederlandse taal niet machtig zijn of vanwege een beperking speciale aanpassingen behoeven.

  Makkelijk in gebruik

  Het ontwerp en de functionaliteit van de oplossing sluit aan bij de beoogde doelgroep. In het geval van een brede doelgroep wordt in het bijzonder aandacht besteed aan het gebruik van de oplossing door kwetsbare groepen.

  Toegankelijkheid

  Iedereen kan de dienst gebruiken, los van technologische of persoonlijke beperkingen.

  Maatwerk

  Een goede digitale oplossing voor iedereen is niet hetzelfde als één oplossing voor iedereen.

  Co-creatie

  De doelgroep(en) waarop de dienst betrekking heeft, wordt betrokken bij het maakproces.
• ▼ 10. Nooit onder dwang van overheid en derden.
  Het gebruik van de applicatie mag op geen enkele manier worden afgedwongen. Als blijkt dat de app nodig is, dan is het belangrijk dat een groot deel van de bevolking deze app gebruikt. Dat kan alleen als de fundamentele grondrechten van de gebruiker worden gerespecteerd. Dus óók de keuze om de app niet te installeren. De overheid mag het gebruik ook niet met bijvoorbeeld een financieel lokkertje stimuleren. De applicatie moet daarnaast tijdelijk uit te schakelen en permanent te verwijderen zijn. Aan het weigeren van het gebruik mogen geen negatieve consequenties verbonden zijn. Dat betekent dat ook andere partijen, zoals een luchtvaartmaatschappij, zorgverzekeraar of een restaurant, geen voorwaarden mogen stellen aan het gebruik van de app. In het bijzonder moet het gebruik door werkgevers jegens werknemers en door opleidingsinstanties jegens scholieren/studenten strikt verboden worden.

  Keuzevrijheid

  Het gebruik van de dienst mag op geen enkele manier worden afgedwongen. De keuze om een dienst niet te gebruiken is er altijd.

  Geen stimulans

  Personen mogen ook met bijvoorbeeld een financieel lokkertje niet worden gestimuleerd om de dienst te gebruiken.

  Pauze

  In geval van een gedownloade applicatie, moet deze tijdelijk uit te schakelen en permanent te verwijderen zijn.

  Geen consequenties

  Aan het weigeren van het gebruik mogen geen negatieve consequenties verbonden zijn. Dat betekent dat ook andere partijen, zoals een luchtvaartmaatschappij, zorgverzekeraar of een restaurant, geen negatieve dan wel positieve gevolgen mogen verbinden aan al of niet gebruik van de app. Dit geldt ook voor de gevallen waarin het niet gebruikt kán worden, zoals voor mensen die geen smartphone bezitten.

  Machtsrelaties

  In het bijzonder moet het gebruik door werkgevers jegens werknemers en door opleidingsinstanties jegens scholieren/studenten strikt verboden worden.