AP waarschuwt voor cyclusapps: controleer wat u deelt

Een cyclusapp kan nuttig zijn als geheugensteun, maar de invoervelden gaan al snel verder dan een kalender. Gebruikers noteren menstruatiedata, lichamelijke klachten, seksueel contact, emoties of een zwangerschapswens. De Autoriteit Persoonsgegevens (AP) waarschuwde op 4 augustus dat vaak onduidelijk is wat zulke apps met deze informatie doen en met wie gegevens worden gedeeld.

Dat is geen vaststelling dat iedere cyclusapp gegevens verkoopt of dat er nu een datalek is. De AP noemt geen overtredende app en heeft geen ranglijst van veilige en onveilige diensten gepubliceerd. Nader onderzoek is niet uitgesloten. Gebruikers kunnen daarom beter controleren voordat zij nieuwe intieme informatie invoeren dan de app in paniek verwijderen.

Een veelgebruikte app bevat meer dan cyclusdagen

De waarschuwing sluit aan op onderzoek dat Ipsos I&O in opdracht van Bits of Freedom uitvoerde. In een representatief screeningsonderzoek onder 2.023 Nederlandse vrouwen van 16 jaar en ouder zei 23 procent een cyclus- of zwangerschapsapp te gebruiken. Voor het verdiepende onderzoek vulden 1.498 vrouwen met ervaring met zo’n app in april een vragenlijst in.

Van de 1.438 deelnemers die uitdrukkelijk toestemming gaven voor de onderzoeksvragen over gezondheid, zei 96 procent menstruatiedata in te voeren. Klachten werden door 58 procent vastgelegd, seks of seksueel contact door 39 procent en emoties door 28 procent. Zo kan een kalender uitgroeien tot een compact dagboek van gezondheid en seksueel leven.

Het opvallendste verschil zit tussen vertrouwen en kennis. Van de appgebruikers maakte 77 procent zich weinig of geen zorgen. Tegelijk zei 57 procent niet precies te weten welke gegevens de app opslaat en wat ermee gebeurt. Eveneens 57 procent wist niet of zij apart en duidelijk toestemming had gegeven voor verwerking van gezondheidsgegevens.

Deze cijfers meten gebruikerservaringen, niet het netwerkverkeer of de beveiliging van apps. De onderzoekers hebben dus niet technisch vastgesteld dat een bepaald percentage gegevens deelt, verkoopt of lekt. De uitkomst laat wel zien dat één toestemmingsscherm geen volledig beeld van de datastroom geeft.

Gezondheidsgegevens krijgen extra bescherming

Onder de AVG zijn gegevens over gezondheid en seksueel gedrag bijzondere persoonsgegevens. Verwerking is in beginsel verboden, tenzij een wettelijke uitzondering geldt. Uitdrukkelijke toestemming kan zo’n uitzondering zijn, maar is geen algemene vrijbrief. De aanbieder moet kunnen uitleggen op welke uitzondering en grondslag iedere verwerking rust, waarvoor de gegevens nodig zijn en met welke partijen zij worden gedeeld.

De Europese privacytoezichthouders vatten geldige toestemming samen in vier eisen: vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig. Voor gevoelige gegevens moet toestemming bovendien uitdrukkelijk zijn. Verschillende doelen vragen om afzonderlijke keuzes. Een vaag doel als “de gebruikerservaring verbeteren” is volgens de Europese uitleg niet specifiek genoeg. Intrekken moet net zo eenvoudig zijn als toestemming geven.

De AP legt de verantwoordelijkheid bij de aanbieder. Die moet vooraf duidelijk informeren, een uitzondering op het verbod voor bijzondere gegevens kunnen aantonen en passende technische en organisatorische beveiliging regelen. Een lange privacyverklaring ontslaat de aanbieder niet van die plichten. Voor de gebruiker blijft de verklaring wel de plek waar de naam van de verantwoordelijke organisatie, doelen, ontvangers en bewaartermijnen horen te staan.

Begin met de datastroom, niet met de kleur van het app-icoon

Open eerst de privacyverklaring vanuit de app of de officiële winkelpagina. Zoek vijf concrete antwoorden: wie is de verwerkingsverantwoordelijke, welke invoer en apparaatgegevens worden verzameld, voor welke afzonderlijke doelen, met welke categorieën ontvangers en hoe lang de informatie wordt bewaard. Kijk ook of gegevens buiten de Europese Economische Ruimte kunnen worden verwerkt en waar toestemming kan worden ingetrokken.

Ontbreekt een antwoord of is weigeren niet mogelijk, dan adviseert de AP geen informatie te delen die u privé wilt houden. Een keurige vormgeving of hoge winkelbeoordeling vult die leemte niet. De AP heeft in haar waarschuwing ook geen specifiek merk goedgekeurd. “Populair” en “privacyvriendelijk” zijn verschillende oordelen.

Controleer daarna de rechten op de telefoon. Op Android staan die doorgaans onder Instellingen, Apps, de betreffende app en Rechten. Daar kunnen onder meer locatie, contacten, foto’s en toegang tot gezondheidsgegevens worden beperkt. Op een iPhone staat de lijst onder Instellingen, Privacy en beveiliging. Het privacyrapport van apps kan daarnaast laten zien hoe verleende bevoegdheden en netwerkverbindingen worden gebruikt.

Zo’n rechtenlijst is nuttig, maar niet volledig. Zelf ingetikte cyclusinformatie kan via het account naar de dienst gaan zonder dat de app toegang tot contacten of locatie heeft. Omgekeerd wist het uitzetten van een telefoonrecht geen eerder ingevoerde geschiedenis. Controleer dus zowel de apparaatinstellingen als de keuzes en accountgegevens binnen de app.

Deel alleen wat voor uw doel nodig is

Bepaal vervolgens waarvoor u de app werkelijk gebruikt. Wie alleen een begin- en einddatum wil onthouden, hoeft niet automatisch ook seksueel contact, stemming, exacte locatie of contacten vast te leggen. Laat optionele velden leeg wanneer de extra voorspelling of functie de extra gevoeligheid voor u niet waard is. Dit is een privacykeuze, geen oordeel over welke gezondheidsinformatie medisch relevant is.

Zet ook de accountbeveiliging op orde. Gebruik een uniek wachtwoord en schakel tweestapsverificatie in als de dienst dat aanbiedt. Deel een account niet achteloos met een partner of familielid. Controleer gekoppelde apparaten en sessies, vooral na verlies of verkoop van een telefoon. Sterke accountbeveiliging lost onduidelijke verwerking door de aanbieder niet op, maar verkleint wel het risico dat een ander rechtstreeks inlogt.

Verwijderen begint bij het account

Wilt u stoppen, kijk dan eerst of u een export nodig hebt. Trek daarna niet alleen telefoonrechten in, maar zoek in de app naar account- en gegevensverwijdering. Google Play vereist van apps waarin gebruikers een account kunnen maken zowel een verwijderroute in de app als een weblink voor een verzoek. De winkelpagina kan zo’n link tonen. Dat platformbeleid vervangt uw AVG-rechten niet en garandeert ook niet dat iedere dienst iedere regel correct uitvoert.

Onder de AVG kunt u een organisatie in een aantal situaties vragen persoonsgegevens te wissen, bijvoorbeeld wanneer de gegevens niet meer nodig zijn of wanneer u toestemming intrekt en geen andere grondslag overblijft. De AP biedt hiervoor een voorbeeldbrief. De organisatie moet in beginsel binnen een maand reageren. Volledige verwijdering is niet altijd verplicht, bijvoorbeeld als een wettelijke bewaarplicht of een andere geldige uitzondering geldt. Bij een weigering moet de organisatie uitleggen waarom.

Bewaar de bevestiging van uw verzoek en vraag zo nodig welke gegevens, systemen en ontvangers zijn meegenomen. Verwijder de app pas nadat u de accountstap hebt gevonden of het verzoek hebt verzonden. Een icoon van het scherm halen geeft geen antwoord op wat de aanbieder nog op servers bewaart.

De nuchtere conclusie is daarmee kleiner dan “alle cyclusapps zijn onveilig” en groter dan “ik heb ooit op akkoord getikt”. Controleer welke intieme velden u werkelijk nodig hebt, welke rechten de app op uw telefoon gebruikt, welke organisatie de accountdata verwerkt en hoe u die gegevens kunt laten verwijderen. De waarschuwing van de AP is geen bewijs van een incident. Zij is wel een goede reden om een digitaal cyclusdagboek als gevoelige gegevensverzameling te behandelen.