Tweede Kamer der Staten-Generaal

2

Vergaderjaar 2020–2021

25 295

Infectieziektenbestrijding

26 643

Informatie- en communicatietechnologie (ICT)

Nr. 1170

BRIEF VAN DE MINISTER VAN VOLKSGEZONDHEID, WELZIJN EN
SPORT
Aan de Voorzitter van de Tweede Kamer der Staten-Generaal
Den Haag, 28 april 2021
CoronaMelder maakt gebruik van het Google Apple Exposure Notification
(GAEN) framework om ontmoetingen te detecteren en gebruikers een
melding te geven als ze in contact zijn geweest met iemand die achteraf
besmet bleek. Het framework maakt gebruik van steeds wisselende
willekeurige codes die worden uitgewisseld wanneer twee telefoons
dichtbij elkaar zijn. Zo kan worden vastgesteld of iemand in contact is
geweest met iemand die achteraf besmet bleek. Dit is een privacyvriendelijke manier om ontmoetingen bij te houden.
CoronaMelder wordt voortdurend getest op veiligheid en het voldoen aan
de privacyvoorwaarden. Daartoe is ook een data protection impact
assesssment (DPIA) uitgevoerd waarin privacyrisico’s staan beschreven
en de maatregelen die zijn genomen om deze te voorkomen. Hieronder
valt ook het risico dat eigen en ontvangen codes worden verzameld en
ingezien door anderen. Dit moet niet mogelijk zijn op de telefoon. De
ontwikkelaars van het framework, Google en Apple, moeten hiertegen
beveiligen.
Op telefoons die gebruik maken van het Google Android operating
systeem blijkt dit niet afdoende geborgd. Het probleem doet zich voor op
alle Google Android toestellen, omdat dit framework een integraal
onderdeel van het besturingssysteem is. Het maakt daarbij niet uit of de
eigenaar CoronaMelder heeft gedownload.
De willekeurige codes worden gelogd in het algemene systeemlogbestand
van de telefoon. Dit is een serieus te nemen fout omdat vooraf geïnstalleerde standaard applicaties die met de telefoon worden meegeleverd hier
toegang toe kunnen hebben. Daarmee is denkbaar dat deze apps
bijvoorbeeld kunnen vaststellen of de telefoon behoort tot iemand die
eerder als besmet is gemeld in CoronaMelder of welke ontmoetingen met
besmette personen hebben plaatsgevonden. Hiervoor moeten willekeurige codes wel eerst gecombineerd worden met andere databronnen,

kst-25295-1170
ISSN 0921 - 7371
’s-Gravenhage 2021

Tweede Kamer, vergaderjaar 2020–2021, 25 295, nr. 1170

1

wat in strijd is met de Tijdelijke wet notificatieapplicatie covid-19. Dit
probleem doet zich voor zover nu bekend niet voor bij Apple telefoons en
Google heeft mij vandaag gemeld geen bewijs te hebben dat eerder
genoemde apps daadwerkelijk data hebben verzameld en gebruikt.
Het betreft een probleem in het framework van Google en raakt daarmee
alle gebruikers. Zo’n 40 landen hebben een notificatieapplicatie
ontwikkeld, die gebruik maakt van dit framework. In Nederland is dat
CoronaMelder. Google is in ieder geval sinds afgelopen februari op de
hoogte van de fout in de software. Nederland is op 22 april via het
Europese eHealth Netwerk op de hoogte gesteld van het probleem. Mijn
ministerie is na ontvangst van de melding direct een technisch onderzoek
gestart om de gevolgen van dit probleem nader in kaart te brengen.
Daarnaast hebben wij maandag 26 april de Autoriteit Persoonsgegevens
op de hoogte gesteld van dit mogelijke datalek van Google. Er is de
afgelopen dagen intensief overleg gevoerd met andere lidstaten in het
Europese eHealth Network.
Het door Nederland uitgevoerde onderzoek heeft vandaag laten zien dat
het inderdaad zo is dat gegevens van gebruikers gelezen kunnen worden
door onbevoegde partijen. Nederland heeft Google donderdag 22 april
2021 van haar initiële bevindingen op de hoogte gesteld. Daarna zijn zij
meermalen op de hoogte gesteld van de aangetoonde misbruikmogelijkheden. Google meldt dat de bevinding bekend is en ook opgelost maar
dat het enige tijd kan duren voordat alle telefoons van deze oplossing zijn
voorzien. Daarbij bleken ze nog niet op de hoogte van de mogelijkheden
voor misbruik die door onze experts aan hen zijn gemeld.
Ik vind het huidige antwoord van Google onvoldoende bevredigend. Het
gaat hier om een serieus te nemen bevinding waarbij door onbevoegde
partijen zou kunnen worden vastgesteld dat de eigenaar van een telefoon
zich besmet heeft gemeld of met welke besmette personen contact is
geweest. Ook al is er, aldus Google, nog geen reden aan te nemen dat een
dergelijk misbruik al zou hebben plaatsgevonden.
De oplossing van het probleem ligt bij Google. Vandaag heeft Google mij
gemeld dat een deel van het probleem is opgelost en de overige risico’s
de komende dagen worden weggenomen. In de tussentijd kan ik wel de
gevolgen van het mogelijke datalek beperken. Daarom worden de
komende 48 uur vooralsnog geen codes van Nederlandse gebruikers van
CoronaMelder die zich besmet hebben gemeld gedeeld met andere
gebruikers van CoronaMelder. Deze tijd wordt gebruikt om te onderzoeken
of Google daadwerkelijk het lek heeft gedicht.
De GGD blijft wel mensen helpen die anderen willen waarschuwen over
een positieve testuitslag. Zodra Google dit probleem heeft opgelost,
ontvangen CoronaMelder gebruikers weer meldingen en worden de nog
niet gepubliceerde willekeurige codes alsnog gepubliceerd.
Ik blijf over dit incident in intensief contact met de andere lidstaten en met
Google. Tot slot heb ik vandaag een formele datalekmelding gedaan bij de
Autoriteit Persoonsgegevens. Ik zal gezien het belang van deze kwestie de
Autoriteit Persoonsgegevens blijven informeren over de voortgang.
De Minister van Volksgezondheid Welzijn en Sport,
H.M. de Jonge

Tweede Kamer, vergaderjaar 2020–2021, 25 295, nr. 1170

2