Waar blijft de Corona app?

Ongeveer anderhalve maand geleden schreef ik al een blog over de Corona app, nadat minister voor Volksgezondheid Hugo de Jonge hier tijdens een persconferentie hoog over opgaf. Hij stond naast premier Rutte op dat inmiddels welbekende podium en verkondigde dat er binnen afzienbare tijd zo’n app zou komen, als boegbeeld in de strijd tegen verdere verspreiding. Er zouden al enkele voorstellen liggen, die de week daarop gepresenteerd zouden worden aan de betreffende werkgroep. Dit was half maart.

Inmiddels is het juni, en is nog geen spoor te bekennen van deze ooit zo geprezen Corona app. Waar ik in mijn vorige blog nog vooral focuste op de privacy-zorgen waar iedereen al meteen op sprong, blijkt nu dat we allemaal iets te voorbarig zijn geweest. Zonder de werkende technologie is er immers helemaal niets om ons druk over te maken.

Het project heeft niet stilgelegen, dat is het niet. Niet echt, in elk geval. Half april schreef Hugo de Jonge een brief naar de Tweede Kamer, waar hardop afgevraagd werd of er niet eerst onderzoek afgewacht moet worden dat het gebruik van zo’n app überhaupt ondersteunt. In zijn brief gaf minister de Jonge toe dat er inderdaad nog weinig wetenschappelijk bewijs is dat een app zou werken.

Al, zo zegt hij ook, ‘suggereren’ simulatiemodellen en eerste wetenschappelijke inzichten dat een app die waarschuwt als iemand in contact is geweest met een besmet persoon, ‘kan bijdragen’ aan het ‘verminderen van de tijd tussen besmetting en het inseinen van andere geïnfecteerden’.

Klinkt wat vaag, maar goed: hij wilde verder met de app en niet wachten op inzichten vanuit de wetenschap. Op dat moment lagen er nog zo’n 750 voorstellen voor een traceerapp op tafel. De werkgroep zou er hier 5 uit kiezen, die vervolgens online geplaatst zouden worden voor de welbekende ‘publieke beproeving’ in de vorm van een appathon, waarmee iedereen kon meehelpen aan het uitwerken van de app.

Aan succesvolle apps werden door het kabinet de volgende eisen gesteld:

1. Herleiding naar een persoon is onmogelijk.
2. Broncode en ontwerp van de app zijn publiekelijk
3. De app moet makkelijk en veilig te downloaden zijn.
4. Alle communicatie is bewijsbaar veilig.
5. De match van ziektemeldingen met recente contacten gebeurt op de eigen telefoon of elders volledig anoniem.
6. De app is tenminste in het Nederlands en het Engels beschikbaar.
7. Er is geen centrale opslag van persoons- of locatiegegevens.
8. De app communiceert op basis van gangbare en open standaarden.
9. De gebruiker kan de applicatie verwijderen en dan worden ook alle gegevens verwijderd.
10. De leverancier van de app biedt de mogelijkheid om updates uit te voeren.
11. De aanbieder verklaart dat de app voldoet aan geldende wet- en regelgeving.

Uiteindelijk werden er 7 apps gekozen, die in het weekend van 18 en 19 april gepresenteerd werden aan het publiek. De appathon was een feit. Hoera, zou je zeggen, daar moet wat uitgekomen zijn? Dat moet betekenen dat de Corona app nu al zo goed als klaar zou kunnen zijn?

Helaas niet. Op heel veel vlakken was de appathon een grote mislukking. Een misberekening van het ministerie en een tenenkrommende vertoning voor de kritische toeschouwer. De deelnemers waren niet de minsten, met partijen als CapGemini en Accenture die hun voorstel op de tafel legden, maar allemaal schoten ze tekort. Haastwerk, slordig, onduidelijk, onveilig – een aantal van de omschrijvingen die naar boven kwamen.

Het was dan ook niet verrassend dat minister de Jonge eind april een nieuwe brief schreef naar de Tweede Kamer, en daarin aangaf met geen van de voorstellen verder te willen: “Op basis van conclusies van KPMG, de landsadvocaat, het College van de Rechten van de Mens en de Autoriteit Persoonsgegevens heb ik besloten nu geen opdracht te geven voor de inzet van een of meer specifieke oplossingen zoals die nu zijn ingediend.”

Kort gezegd? Er was geen enkel voorstel dat voldeed aan de 11 hierboven gestelde eisen. Geen enkele van de 750 originele voorstellen. Dat is nogal wat.

Wel hadden ze veel belangrijke en nuttige inzichten opgedaan tijdens de appathon, benadrukte hij, waardoor het absoluut geen verloren tijd en moeite is geweest. Maar toch leek het hem beter om zelf een app te ontwikkelen, daarbij gebruikmakend van een multidisciplinair team met experts op het gebied van ict, privacy, grondrechten en nationale veiligheid. “Ik zoek nog de passende wijze om te komen tot een dergelijk team“, schreef hij ook in de brief.

Inmiddels zijn we weer ruim een maand verder, en blijft het akelig stil op het app-vlak. Wel is er aan een andere belangrijke voorwaarde voldaan: sinds afgelopen maandag kan en mag iedereen die klachten heeft zich laten testen bij de GGD. Dit was een cruciale pijler van de app, waar adequate en tijdige testmogelijkheden aan de basis staan. Zodra iemand getest en positief bevonden is, kan via zo’n app immers eenieder die onlangs bij hem of haar in de buurt geweest is gewaarschuwd worden.

Mooi, zou je zeggen. Vooraf leek juist het opschalen van de testcapaciteit een enorm probleem. Nu blijkt dat dit dus niet de grootste horde was. Er is geen app die hierop voort kan borduren, erkent het ministerie. De focus ligt nu op het testen, gevolgd door een uitgebreid contactonderzoek. Bij zo’n contactonderzoek wordt een positief geteste persoon uitgebreid ondervraagd om te achterhalen met wie hij onlangs in contact is geweest.

Zo kunnen zijn collega’s, huisgenoten of voetbalmaatjes op de hoogte gesteld worden van de besmetting. Hen wordt vervolgens geadviseerd om minimaal 14 dagen thuis te blijven en zich bij klachten direct te laten testen. Zo kun je het virus onder controle krijgen, is nu de heersende gedachte.

Geen gekke gedachte, absoluut niet. Toch zitten er nog wat haken en ogen aan. Want: je bent niet alleen maar thuis, of op kantoor. Je loopt door de supermarkt voor je boodschappen. Je neemt de trein naar je werk. ’s Avonds loop je door de buurt en kom je her en der wat mensen tegen. Allemaal mensen die niet gewaarschuwd kunnen worden, omdat je simpelweg niet weet wie zij zijn.

Dit is het gat wat nu de gemiste kans is. De app had hier perfect op kunnen inspringen. In mijn vorige blog legde ik de werking al uit, maar kort gezegd komt het erop neer dat je via de traceerfunctie in de app ‘handen schudt’ met iedere andere app-gebruiker in de buurt. Dus, iedereen in de supermarkt met de app op zijn of haar telefoon. Je ziet hun namen niet, je weet niet wie het zijn, maar de app ‘onthoudt’ al deze contacten.

Mocht iemand dan positief testen, kan via de app een automatisch bericht naar al deze mensen gestuurd worden: ‘Je bent onlangs in de buurt geweest van een besmet persoon. Blijf voorlopig thuis en/of laat je testen bij klachten’.

Je kunt niet zien wie de besmette persoon was, noch kun je zien waar en wanneer je met hem of haar in contact bent geweest. Maar nu ligt de verantwoordelijkheid bij jou: blijf thuis en laat je direct testen bij klachten.

Dit vult het gat in het contactonderzoek. Mensen kunnen een contact vergeten, bewust weglaten, onzorgvuldig omschrijven, of simpelweg niet weten wie het zijn. Daar kan deze app in helpen, door op anonieme wijze een alternatief contactonderzoek uit te voeren.

Waarom wordt het dan nu niet doorgezet? Dit hangt samen met de onzekerheid over de effectiviteit van zo’n app. Kan technologie een goede inschatting maken van het risico? Hoe groot is de groep mensen die onbewust rondloopt met het virus, voordat zij symptomen beginnen te vertonen? Vanaf wanneer zijn zij een besmettingsgevaar, dus hoe lang terug moet je contacten waarschuwen? Moeten er verschillende gradaties van besmettingsrisico zijn, bijvoorbeeld als iemand dichterbij was? Kun je dat überhaupt meten en onderscheiden?

Daar komt nog bij wat mensen zelf met de app gaan doen. Zullen mensen actie ondernemen als zij via de app een waarschuwing krijgen? Hoe zorg je ervoor dat er zo min mogelijk ‘valse alarmen’ tussenzitten, zodat mensen het echt serieus blijven nemen? Hoe beveilig je het om misbruik te voorkomen? Wie meldt een persoon ‘ziek’ en alarmeert vervolgens zijn of haar contacten?

Er lijken voorlopig meer vragen dan antwoorden. Het feit dat geen van de initiële voorstellen deze allemaal wist te beantwoorden en tegelijkertijd kon voldoen aan de 11 eisen van de regering, maakt wel duidelijk hoe groot deze puzzel is. Een simpele traceerapp zal het niet kunnen zijn, maar welke vorm het wel moet aannemen, blijft nog maar de vraag.

Ook eentje waar voorlopig geen antwoord op komt: de door minister de Jonge opgestelde werkgroep hangt nog vast op de simpelste vraag van allemaal. Is het mogelijk om mensen te waarschuwen die niet door het bronnenonderzoek van de GGD bereikt of achterhaald kunnen worden? Pas wanneer de traceer-techniek waterdicht is gebleken, wordt het tijd voor de volgende stap.

Je zou bijna terugverlangen naar de tijd een paar maanden terug dat we ons al druk maakten om de privacy-kwestie.