Wat zo'n app technisch is¶

Een app die je paspoort scant, je gezicht leest of je locatie kent, verzamelt de meest gevoelige gegevens die een mens heeft. Wat de app op het scherm belooft, verandert niets aan wat er onder de motorkap gebeurt. De vriendelijke functie is de verpakking. De techniek eronder leest, kopieert en verstuurt. In dat opzicht is zo'n app een spionage-tool, op dezelfde manier waarop een cookie een tracker is. De naam op het pictogram bepaalt niet wat het ding doet.

Het punt is niet dat de functie zinloos is. Identiteitsverificatie of gezichtsherkenning kan een echt doel dienen. Het punt is dat je bij de installatie je hele hebben en houwen afgeeft aan een partij die je niet kent en die vaak niet onafhankelijk is getoetst. De verpakking maakt het aantrekkelijk. De risico's blijven hetzelfde.

De vergelijking met de cookie is preciezer dan ze lijkt. Een cookie is een klein tekstbestand met een nuttige functie, een winkelmandje onthouden bijvoorbeeld. Diezelfde techniek draagt ook de tracker die je over sites heen volgt. De techniek is neutraal, het gebruik bepaalt wat het wordt. Zo ook bij deze apps. De cameratoegang die je pas laat verifiëren, is dezelfde cameratoegang waarmee je gezicht kan worden vastgelegd en verstuurd. De vraag is wat de app met de toegang doet nadat je die hebt gegeven, los van wat de functie op het scherm belooft.

Waarom een externe blik nodig is¶

Wie zijn eigen werk keurt, mist wat een buitenstaander wel ziet. Dat is geen zwakte van de bouwer, het is een eigenschap van eigen werk. Je kent je eigen aannames zo goed dat je ze niet meer als aannames herkent. Een externe blik ziet de blinde vlek die voor jou onzichtbaar is. Voor apps die zulke gevoelige data raken, is dat externe oordeel daarom noodzaak.

Dat sluit aan bij een breder patroon in mijn werk. De concentratie van gevoelige data bij één ongetoetste partij is riskanter dan de dispersie ervan over veel schakels, omdat één zwakke plek dan alles blootlegt. Zie Privacy faalt door verstrooiing en door concentratie. Een app kan een groot deel van deze functies bovendien volledig lokaal uitvoeren, zonder de data ooit het toestel te laten verlaten. Dat dat kan, maakt de keuze om het toch te versturen tot een keuze. Zie Een app kan volledig lokaal, zonder een enkele netwerkcall.

De externe toets werkt ook omdat ze de juiste vragen stelt die de bouwer zichzelf niet meer stelt. Een bouwer die maandenlang aan een verificatieflow werkt, denkt in termen van werkt het en is het snel. Een buitenstaander vraagt waar de scan heen gaat, hoe lang hij bewaard blijft, wie hem kan opvragen en of het lokaal had gekund. Dat zijn precies de vragen die in de bouw ondersneeuwen onder de druk om iets werkends op te leveren. De expert brengt geen betere techniek, hij brengt een frisse set vragen die de blinde vlek raken.

De context van 2020¶

Er hoort begrip bij de beoordeling. Een app die in 2020 opkwam, ontstond in een tijd met andere privacyspanningen dan nu. De normen lagen anders, de aandacht lag ergens anders, en veel keuzes die toen redelijk leken, ogen achteraf scherper. Dat verklaart hoe iets ontstaat.

Die verklaring is geen vrijbrief. Ze legt uit waarom een architectuur zo werd, en daar houdt haar werk op. De plicht om het te laten nakijken en bij te stellen blijft staan, juist omdat de context sindsdien is verschoven. Wat in 2020 verdedigbaar was, moet in 2026 opnieuw tegen de norm gehouden worden. De ouderdom van een keuze is een reden om te herzien, niet om te berusten.

Het verschil zit in de reactie¶

Het interessante verschil ligt in wat er gebeurt nadat de bevindingen op tafel liggen. De een ontkent. De ander heroverweegt echt. FastID paste na de bevindingen zijn marketingclaims aan en herzag architectuurkeuzes. Dat is hoe het hoort. De reactie laat zien of een partij de bevinding als een aanval leest of als informatie waar ze iets mee doet.

Dat verschil is uiteindelijk een bestuurlijke keuze, geen technische. De techniek levert de feiten. Wat een organisatie ermee doet, ligt bij de mensen die beslissen. Ontkennen kost op korte termijn minder, en het is dus verleidelijk. Bijsturen kost werk en de erkenning dat het beter kan. Wie bijstuurt, verdient krediet, ook als de eerste versie fout zat.

Het geval FastID is voor mij daarom leerzaam op twee niveaus. Op het eerste niveau is het een bevestiging dat de bevindingen hout sneden, want een partij die zijn marketingclaims aanpast en zijn architectuur herziet, erkent daarmee dat er iets te herzien viel. Op het tweede niveau is het een voorbeeld van de gewenste reactie. Het laat zien dat kritiek niet hoeft te eindigen in een loopgraaf. Ik schrijf die reactie op zoals ik hem waarnam, zonder er meer in te leggen dan er is. Wat FastID intern bewoog, weet ik niet en dicht ik niet.

Wat dit voor mijn werk betekent¶

Voor mijn werk betekent dit dat ik de functie en de techniek uit elkaar trek. Ik beoordeel niet of een app nuttig oogt, ik meet wat hij met de data doet. De vriendelijke schil telt niet mee in het oordeel. Alleen het gedrag telt.

Het betekent ook dat ik de reactie meeweeg in hoe ik erover schrijf. Een partij die na bevindingen echt bijstuurt, verdient een ander verhaal dan een partij die ontkent. Aanklagen alleen brengt me niet ver. Het werk is pas af als er iets beter is gebouwd, of als een partij aantoonbaar is bijgestuurd. Zie Apple, Google en Meta verdienen aan tracking binnen de wet.

Ik let er daarbij op dat het woord spionage-tool een oordeel over functie is, geen oordeel over de mensen. Ik zeg ermee dat de app technisch in staat is om je heimelijk uit te lezen en dat die data een onbekende partij bereikt. Ik zeg er niet mee dat de makers je willen bespioneren. Dat onderscheid is belangrijk, want het houdt de claim toetsbaar. Een bouwer kan mijn oordeel over de functie weerleggen door te laten zien dat de data lokaal blijft of dat de partij wel getoetst is. Een oordeel over intenties zou hij nooit kunnen weerleggen, en dus zou ik het niet moeten uitspreken. De functie meet ik. De bedoeling laat ik aan de mensen die haar kennen.

Wat blijft, is een simpele werkregel. Een app die de gevoeligste gegevens van een mens verwerkt, hoort door iemand anders te zijn nagekeken dan de maker, en die nakijkbeurt hoort periodiek te herhalen omdat de norm verschuift. Zolang dat niet gebeurt, geef je je hebben en houwen af op vertrouwen alleen. Dat vertrouwen kan terecht zijn. Of het terecht is, weet je pas als iemand het van buiten heeft gecontroleerd.

Zie ook Privacy faalt door verstrooiing en door concentratie, De sterkste bevindingen liggen achter DigiD en vitale publieke diensten en Een app kan volledig lokaal, zonder een enkele netwerkcall.