Datalek bij officiële NL-Alert-app, minister raadt aan om app te verwijderen

Update 1 mei: Een tweede kwetsbaarheid in de NL-Alert-app maakte het mogelijk om de locatie van gebruikers van de app te achterhalen, bevestigt een woordvoerder van het ministerie van Justitie van Veiligheid na berichtgeving van de NOS.

Begin maart bracht de Nederlandse overheid de officiële NL-Alert app uit. De app is een aanvullende dienst op de gewone NL-Alert meldingen. De app geeft extra aanvullende informatie en algemene tips wat je kan doen bij bepaalde rampen. Om meldingen in je buurt te kunnen ontvangen, kon je hiervoor toestemming tot je locatie geven of een voorkeurslocatie invoeren. In een open brief laat minister Grapperhaus van Justitie en Veiligheid weten dat na onderzoek is gebleken dat er sprake is van een datalek.

Datalek bij officiële NL-Alert app

De NL-Alert app is gemaakt door een leverancier in opdracht van de Nederlandse overheid. De app is dus niet in eigen huis ontwikkeld. Medewerkers van het ministerie ontdekten eind maart dat de externe dienst die door de app gebruikt wordt mogelijk niet voldoet aan de AVG-wet. Hierdoor is er onderzoek gedaan en is er juridisch advies ingewonnen bij een extern advocatenkantoor. Hieruit is gebleken dat er inderdaad sprake is van een datalek.

Update 19:00 uur: privacyjurist Jeroen Terstegge meent dat het geen datalek is in de zin van de AVG, omdat er geen sprake is van persoonlijk gebruik. De data zou zijn gelekt naar OneSignal, een dienst voor het versturen van pushnotificaties.

Op dit moment is er bewijs dat locatiegegevens van gebruikers en mogelijk andere persoonsgegevens bij de externe dienst terechtgekomen is. Naast locatie gaat het dan om de geïnstalleerde apps op je toestel en andere informatie over je besturingssysteem. Het is onduidelijk of het lek geldt voor zowel de Android als de iOS-versie, maar daar lijkt het wel op. Het lek wordt gedicht via een software-update.

Advies: verwijder de app
De minister wil niet wachten op de aankomende software-update. Hij adviseert daarom alle gebruikers om de app te verwijderen van je toestel. Ook op de website van NL-Alert en de Rijksoverheid wordt dit nu geadviseerd. Met de software-update wordt de externe dienst die gebruikt werd verwijderd. Het lek is inmiddels ook al gemeld bij de Autoriteit Persoonsgegevens.

Een dergelijk datalek komt op een slecht moment. De overheid heeft nog altijd plannen om zelf een corona-app te maken, maar gebruikers zijn daarbij terughoudend wat betreft de privacy. Het is daarom nog maar de vraag of het de overheid lukt om meteen een privacyvriendelijke corona-app op korte termijn uit te brengen.