Kan een corona-app ons uit de crisis helpen?
Een app die je waarschuwt als je in de buurt van een met het coronavirus besmette persoon geweest bent. Dat zou de oplossing zijn om uit de coronacrisis te raken. Maar werkt dat wel? En kunnen we zo’n corona-app vertrouwen?
Contact tracing is essentieel om de verspreiding van het coronavirus in te dammen. Van iemand die positief test, zou men moeten vragen met welke personen die de dagen ervoor contact heeft gehad, om hen te waarschuwen dat ze ook besmet zouden kunnen zijn. Maar het coronavirus verspreidt zich momenteel zo snel, dat dit niet meer op de klassieke manier met interviews kan. Volgens wetenschappers hebben we dus een app voor proximity tracing nodig, die automatisch bijhoudt of je bij geïnfecteerde mensen in de buurt was.
De Europese Commissie publiceerde op 8 april aanbevelingen rond het gebruik van mobiele apps en locatiegegevens voor de strijd tegen corona. Daarin ijvert de Commissie voor een aanpak op Europees niveau om de wildgroei aan apps die nu aan het ontstaan is in te dijken. Bovendien moet zo’n app volgens de Commissie data alleen verwerken waar het adequaat en relevant is en beperkt tot wat nodig is, op een gedecentraliseerde manier.
Een van die projecten die op een gedecentraliseerde manier werken is DP-3T, een samenwerking tussen 25 academici van zeven Europese onderzoeksinstellingen. DP-3T lijkt, zeker na de aanbevelingen van de Europese Commissie, de meest veelbelovende oplossing. Het project zou heel binnenkort met broncode van een referentie-implementatie komen, en momenteel kun je op de GitHub-issues al gedetailleerde technische discussies volgen.
Hoe werkt zo’n app?
De app van DP-3T werkt ruwweg als volgt. Via Bluetooth stuurt je smartphone continu een code uit, die regelmatig verandert. Ook anderen met dezelfde app sturen continu zo’n code uit. Je app houdt de codes bij van personen die bij je in de buurt zijn geweest de laatste 14 dagen.
Als je nu ziek bent, ga je naar de dokter voor een test. Als je positief test voor het coronavirus, scan je bij de dokter een qr-code met je app. De codes die jouw app de laatste 14 dagen uitgestuurd heeft, worden naar een centrale server gestuurd. De app van iemand anders controleert deze lijst met ‘geïnfecteerde’ codes regelmatig. Als meerdere van deze codes voorkomen in de lijst met codes die de app van deze persoon in de laatste 14 dagen gezien heeft, krijgt die een waarschuwing dat hij zelf mogelijk besmet is.
Omdat de codes zo vaak veranderen, en opgeslagen blijven op je eigen smartphone, blijft je privacy beschermd. De onderzoekers hebben een ingenieus algoritme ontwikkeld waardoor er zo weinig mogelijk data over je gedeeld wordt met de centrale server. In ieder geval blijft je locatie geheim: er wordt op geen enkele manier van geolokalisatie gebruikgemaakt.
©PXimport
Werkt zo’n app technisch?
De vraag is of een app betrouwbaar de nabijheid bij besmette personen kan bepalen. Zo varieert de signaalsterkte van Bluetooth afhankelijk van de chipset, batterij en het ontwerp van de antenne tot een factor 1000, blijkt uit de whitepaper van BlueTrace . Uit de signaalsterkte een afstand afleiden, is dan ook niet zo vanzelfsprekend. De afstandsberekening van de app zou eigenlijk gekalibreerd moeten worden op elk model smartphone.
Bovendien kan de app nooit de context weten. Als je in je appartement tv zit te kijken en aan de andere kant zit je buur die besmet is, zou de app jou als mogelijk besmet beschouwen. Je bent immers misschien een half uur lang op anderhalve meter van je buur geweest. Die muur ertussen ziet je app niet, ook al verzwakt die het signaal licht. Hetzelfde als je naar een bankkantoor gaat: de bankbediende aan het loket zit achter glas, maar dat ziet je app niet. Volgens een whitepaper van de American Civil Liberties Union werkt dit soort apps in de praktijk dan ook niet. Volgens de Singaporese overheid is het daarom belangrijk om altijd een mens de relevantie van de contacten die de app opleverde te laten evalueren.
Werkt zo’n app maatschappelijk?
Zelfs al lukt het om een app te ontwikkelen die op een betrouwbare manier erop wijst dat je in de buurt van een besmette persoon bent geweest, dan is dat nog geen succes. Volgens onderzoekers moet minstens 60 procent van de inwoners een app voor proximity tracing gebruiken om een effectief wapen tegen COVID-19 te zijn. Ter vergelijking: minder dan een vierde van de Singaporezen heeft TraceTogether geïnstalleerd, de app die de overheid daar heeft ingevoerd.
Het is dus duidelijk dat de overheid het vertrouwen van de burgers moet winnen bij het invoeren van zo’n app, of ze is gedoemd om te mislukken, hoe technisch goed ze ook in elkaar steekt. Een eerste kans om het vertrouwen van de burgers te verkrijgen heeft minister Hugo de Jonge al verkeken. Hij bleef immers tijdens de presentatie van de app vaag over de werking en suggereerde tegelijk al dat de app wel eens verplicht zou kunnen worden, iets wat overigens wettelijk nog niet kan en praktisch gemakkelijk te omzeilen. Zijn aanpak was uiteraard voldoende om mensen nog wantrouwiger te maken. Onmiddellijk publiceerde een brede coalitie van Nederlandse deskundigen een manifest met voorwaarden voor een corona-app .
Volledige transparantie
De overheid verwacht nu van de burgers dat die transparant zijn over met wie ze in contact komen. Dan mogen die burgers wel verwachten dat de overheid even transparant is. Want hoe weet je zeker of de overheid geen misbruik maakt van die informatie? Hoe kun je de overheid vertrouwen? Dat kun je alleen als de overheid volledige transparantie biedt.
In sommige landen wil men die transparantie bieden door te beloven dat de app opensource wordt. Dat is zo het geval met TraceTogether in Singapore, waarvan de broncode en het BlueTrace-protocol zopas gepubliceerd is, maar pas nadat ze al weken in gebruik was.
Volledige transparantie bereik je maar met een opensource ontwikkelingsmodel vanaf het begin, zodat burgers de ontwikkeling kunnen volgen en bijsturen, zelf commentaar kunnen leveren en zo kunnen bijdragen aan de app. Bovendien moet je als gebruiker ook kunnen verifiëren of de app die de overheid ter download aanbiedt wel degene is waarvan je de broncode bekijkt. Dat kan met reproduceerbare builds. Dat laatste is ook een van de vereisten van de Chaos Computer Club.
