Hoe bouw je een corona-app die levens redt?

Verslag van Online Tuesday #99 over privacy, contact tracing en falende ICT-projecten

Eindelijk lijkt er een corona-app van de overheid te komen, mét de technologie van Google en Apple. Daar ging een rampzalige tender aan vooraf, waar specialisten afvielen en consultants toehapten – en faalden. Hoe kan zo’n ‘appathon’ beter? En hoe bouw je een app die ons het best beschermt tegen Covid-19? Online Tuesday ging in gesprek over privacy, contact tracing en een betere organisatie van ICT-projecten door de overheid.

ICT-projecten van de overheid hebben de reputatie van geldverslindende mislukkingen. Des te opmerkelijker was het dat CDA-minister Hugo de Jonge (Volksgezondheid, Welzijn en Sport) vorige maand aankondigde dat de Rijksoverheid samen met geselecteerde specialisten onder bloedspoed een corona-app uit de grond ging stampen. Deelnemers aan de ‘spoed-tender’ hadden een lang weekend om een plan te ontwikkelen.

Kritiek was niet van de lucht, maar evengoed meldden zich maar liefst 750 partijen om dit klusje wel even te klaren met de overheid. Een onmogelijke klus, oordeelt Victor Knaap, CEO van MediaMonks, dat ook een gooi deed naar de opdracht. Hij sprak zich er al meermalen publiekelijk over uit, maar lichtte zijn standpunt deze week nog wat uitgebreider toe in de nieuwste webinar van Online Tuesday.

“Er zijn geen 750 bedrijven die dit soort high-performance apps kunnen maken”

“Er is een groot verschil tussen het bouwen van ‘gewoon’ een appje of echt een high-performance app die veel gelijktijdig bezoek moet aankunnen”, zo schetst Knaap de complexiteit van de opdracht. MediaMonks is een partij die geregeld dit soort complexe apps bouwt, zoals voor The Voice en luchtvaartmaatschappijen als AiroMéxico. “Er zijn geen 750 bedrijven die dit soort apps kunnen maken, hooguit een stuk of vijftig. Het draait met name om schaalbaarheid en in kunnen spelen op een enorme hoeveelheid traffic.”

De opzet van de tender was al direct verkeerd, vindt Knaap. “In een paar dagen moest er een voorstel komen, zonder duidelijke doelstellingen maar wel met een heel scherpe deadline: 28 april. Wij hebben ingevuld dat we die deadline niet konden halen en zijn vermoedelijk daarom afgevallen. De realiteit is dat niemand kon die deadline halen – en dat-ie ook niet is gehaald.”

De reden om geen app te kunnen opleveren voor eind april heeft volgens Knaap ook een inhoudelijke reden: Google en Apple komen halverwege mei met een update van de Bluetooth-API. “Die technologie heb je absoluut nodig. Het is heel simpel: bouw geen app als de basis-API niet goed is.”

Overheid toch in zee met Google en Apple

De praktijk geeft Knaap gelijk: de overheid komt naar verwachting eind mei dan toch met een eerste versie van de corona-app, die – zoals geadviseerd door alle afgewezen experts – gebruik gaat maken van een platform dat Apple en Google samen hebben ontwikkeld voor corona-apps van overheden. Dit platform moet er voor zorgen dat de app goed en veilig kan functioneren op iOS- en Android-apparaten. Per land mag slechts één universele app worden uitgebracht die op dit platform is gebouwd.

Het gaat volgens het ministerie van VWS om “een werkende toepassing die op beperkte schaal kan worden getest”, dus nog niet om de definitieve versie. In eerste instantie werkt de overheid aan een traceer-app, die GGD’s moet helpen uitzoeken met wie coronapatiënten in contact zijn geweest. Later moet er ook een thuisrapportage-app komen, die de GGD en het RIVM kan helpen om vroegtijdig een toename van het aantal besmettingen te ontdekken.

Het huidige ontwikkelteam bestaat uit ontwikkelaars die nu al apps bouwen voor de overheid en een aantal externe experts die “veel ervaring met het ontwikkelen, beproeven en beheren van digitale toepassingen”, aldus de overheid.

Schakel specialisten in, geen consultants

Ongeacht de laatste ontwikkelingen is Knaap sceptisch over hoe de overheid omgaat met digitale projecten. “Die komen voor nul procent terecht bij gespecialiseerde digitale bureaus”, smaalt hij. “In plaats daarvan worden consultancybedrijven ingehuurd, zoals Cap Gemini. Voor elke fase van zo’n project moet je een specialist inschakelen. Dus om te beginnen ga je om tafel met virologen over de medische wensen voor een dergelijke toepassing. Daarna bespreek je met juristen de privacy-issues. Vervolgens hak je een knoop door of je inderdaad via Bluetooth wil gaat tracken. Wil je dat? Dan is de volgende stap om een appbouwer in te schakelen. Op zo’n moment moet je niet opnieuw een consultant invliegen, want die heb je al geraadpleegd. Nu moet er echt geleverd gaan worden.”

“Digitale projecten van de overheid komen voor 0 procent terecht bij gespecialiseerde digitale bureaus”

Dat het in de praktijk anders loopt, is volgens Knaap de reden dat ICT-projecten vaak zo gruwelijk uit de begroting lopen. Als voorbeeld noemt hij de ICT-systemen van het Team Uitvoering Visserijregelingen (VIRIS), die moesten verhuizen van het ministerie van Landbouw, Natuur en Voedselkwaliteit (LNV) naar de Rijksdienst voor Ondernemend Nederland (RVO). Dat project werd uiteindelijk ruim 20 miljoen euro duurder dan de begrote 8,5 miljoen euro, een overschrijding van bijna 150 procent. Knaap hoort als lid van Dutch Digital Agencies wel eens sterke verhalen van collega-bureaus, maar niet van deze orde.

Is hij na zijn publieke kritiek eigenlijk nog wel eens gebeld door de overheid? “Nee”, zegt Knaap. “Ik ben gebeld door iedere news-outlet van Nederland, maar niet door de overheid. Dat zijn ze ook niet verplicht, maar het is wel een beetje gek.”

Privacy versus gezondheid

Ook de privacy-kwestie van de corona-app kwam aan bod tijdens de webinar van Online Tuesday. Tjeerd van der Stroom, CDO van techbedrijf OptInsight, stelde de vraag hoe bedrijven en overheden een “gezonde keuze” kunnen maken tussen gezondheid en privacy. Zijn bedrijf is gespecialiseerd in de implementatie van de Algemene Verordening Gegevensbescherming (AVG).

Van der Stroom trapte af met de vraag wie de app zou installeren. Dagblad Tubantia onderzocht het onder zijn lezers en schreef dat driekwart de corona-app wel op zijn telefoon zou zetten. Daarbij werd alleen wel een wat overdreven tegenstelling geschetst: ‘Levens redden is belangrijker dan privacy’. De vraag werd namelijk gesteld op een moment dat nog totaal niet duidelijk was wat de app precies behelsde en wat de overheid allemaal met de verzamelde data wilde gaan doen. Redt die app echt levens?

“Levens redden is belangrijker dan privacy. Overdreven tegenstelling?”

Volgens Van der Stroom was er wel meer onduidelijk omtrent privacy in het hele traject rondom de tender voor de corona-app. “Het begon al met extreme tijdsdruk, nog zonder dat precies duidelijk was wat de doelstellingen zouden zijn voor die app. De doelstellingen waren ook veel te generiek gesteld. Moest het via GPS, moest via Bluetooth? Werd het verplicht? Ben je strafbaar als je Bluetooth even uitzet? Hoe en hoe lang worden de data beheerd? Wat gaat de overheid ermee doen? Met wie wordt het gedeeld? Dat laatste is extra relevant door de Big Brother-achtige toepassingen van apps in China en Israël.”

Privacy is volgens Van der Stroom “het recht om met rust gelaten te worden”. Bedrijven en overheden moeten transparant zijn richting de eigenaren van de data over wat ze ermee gaan doen en met welk doel. “De overheid is helemaal geen dialoog aangegaan met de burgers over wat die nu eigenlijk willen. Relevantie is belangrijk. Maak duidelijk waarom een burger de app zou moeten installeren. Wat is de waarde voor burgers? Dat ze eerder naar buiten mogen?”

En wat die “gezonde keuze” betreft is Van der Stroom helder: “Als je het goed regelt, hoef je helemaal geen keuze te maken tussen privacy en gezondheid.”

Online Tuesday is een maandelijks event over digital marketing, georganiseerd door DQ&A, Marketingfacts, Newpeople en Pink Marketing, met steun van hoofdsponsor Pünktlich.