De Franse privacytoezichthouder CNIL heeft goedkeuring aan de corona-app StopCovid gegeven. De Franse overheid zal de app, die bijhoudt met wie gebruikers in contact zijn gekomen en waarschuwt wanneer dit een coronapatiënt was, het komende weekend beschikbaar in de appstores van Apple en Google maken.

Volgens CNIL voldoet de app aan alle wettelijke privacyeisen. Het gebruik van StopCovid is vrijwillig en de Franse overheid heeft aangegeven dat het weigeren van de app geen gevolgen zal hebben. Het feit dat de app van gepseudonimiseerde data gebruikmaakt is geen probleem. De verzamelde data zal niet worden gebruikt om een dossier van besmette personen aan te leggen, aldus CNIL.

StopCovid maakt gebruik van een gecentraliseerd contactonderzoekprotocol. Een centrale server kent gebruikers een vast id toe en genereert die tijdelijke id's die aan het vaste id zijn gekoppeld. De app verzamelt de tijdelijke id's van andere app-gebruikers die de gebruiker tegenkomt. Wanneer iemand met corona besmet blijkt te zijn ontvangt de server alle tijdelijke id's met wie deze gebruiker in contact is gekomen. Vervolgens ontvangen deze gebruikers een melding.

De app, die geen gebruikmaakt van de contactonderzoek-api van Apple en Google en ook geen locatiegegevens verzamelt, zal tijdelijk worden gebruikt. De privacytoezichthouder stelt dat een systeem dat automatisch alle contacten van gebruikers bijhoudt een inbreuk op de privacy vormt, die alleen onder bepaalde voorwaarden is toegestaan. Ook verwerkt het systeem persoonlijke gezondheidsdata. De door de Franse overheid genomen waarborgen zijn echter voldoende, aldus CNIL.

De toezichthouder doet wel verschillende aanbevelingen. Zo moet de informatieverstrekking aan gebruikers worden verbeterd, met name wat betreft het gebruik van de app en hun data en het verwijderen van persoonlijke gegevens. Tevens raadt CNIL de Franse overheid aan om de broncode van zowel de app als server openbaar te maken. Afsluitend concludeert de toezichthouder dat de bruikbaarheid van de corona-app na de lancering moet worden onderzocht, en dat het gebruik van de app van deze periodieke evaluaties afhankelijk moet zijn.