Defensie zet Polarsteps op deny-lijst voor diensttelefoons

Reisapp Polarsteps mag niet meer op diensttelefoons van Defensie. Een woordvoerder van het ministerie bevestigde dat zaterdag, nadat Follow the Money had aangetoond dat tientallen militairen via de app tot aan hun woonadres te volgen waren.

Niemand hackte Defensie. Een Amsterdams reisbedrijf gaf gegevens vrij via zijn eigen koppeling, militairen hadden die app privé geïnstalleerd, en het enige waar het ministerie zelf aan kon draaien zat op zijn eigen toestellen. Dat is precies de positie van elke werkgever met telefoons in beheer. De beveiliging van andermans app kun je niet repareren, je kunt alleen bepalen of die app op jouw apparaten mag staan. Dat besluit staat los van de vraag wie er juridisch fout zat.

Kazernes, vliegbases en een oefening in Litouwen

Follow the Money kon militairen volgen in Nederland en op oefening in het buitenland. Van velen was eenvoudig het woonadres te achterhalen, plus waar zij werkten en wanneer, schrijft het onderzoeksplatform in het vervolgstuk dat zaterdagochtend verscheen.

Zichtbaar werden onder meer de Prinses Margrietkazerne in Wezep, de Johannes Postkazerne in Havelte, het schietkamp bij 't Harde, de Koningin Maximakazerne op Schiphol en de Oranjekazerne in Schaarsbergen. Ook de F-35-vliegbases Volkel en Leeuwarden kwamen in beeld, net als de NAVO-basis Rukla in Litouwen en Amerikaanse, Britse, Franse en Belgische militairen op bases in Duitsland, Japan, Zuid-Korea en Qatar.

Een pseudoniem hielp niet. Wie geen echte naam gebruikte, was via de vastgelegde reizen alsnog naar een woonadres te volgen, en daarna kwamen volledige naam en geboortedatum er vaak vanzelf achteraan. Losse gegevens die op zichzelf onschuldig lijken, krijgen waarde zodra iemand ze op elkaar stapelt en met elkaar in verband brengt. Defensie erkent dat mechanisme tegenover FTM.

De aanleiding lag een dag eerder. Follow the Money haalde via de open API van Polarsteps de namen, foto's en ongeveer een miljard gps-punten van ruim 23 miljoen gebruikers op zonder ook maar een wachtwoord te kraken. Polarsteps bestrijdt dat het om een datalek gaat en zegt daarover in contact te staan met de Autoriteit Persoonsgegevens.

Defensie wacht het oordeel van de toezichthouder niet af

Polarsteps staat nu "op een zogeheten deny-lijst, waarop applicaties staan die niet op Defensie-devices mogen worden gebruikt", laat de woordvoerder weten. Of hier juridisch een datalek plaatsvond is niet vastgesteld en ligt bij de Autoriteit Persoonsgegevens. Het ministerie handelde zonder dat antwoord af te wachten, en dat is een ander type besluit: geen juridisch oordeel, maar een risico-afweging over wat er op een toestel mag staan.

Op de privételefoon houdt die zeggenschap op. Daarover zegt de woordvoerder alleen dat er in specifieke omstandigheden, zoals missiegebieden en op bijzondere locaties, meer specifieke regels gelden dan op andere locaties. Over de maatregelen zelf doet het ministerie geen uitspraken.

Het patroon is niet nieuw. In 2018 verbood Defensie het gebruik van sport- en fitnessapps nadat militairen via onder meer Strava traceerbaar bleken. Zeven jaar later maakte een openbaar Strava-account het huisadres, de vakanties en de camperstalling van de MIVD-directeur jarenlang herleidbaar, zonder dat iemand in de organisatie dat account beheerde.

Wat een deny-lijst wel en niet oplost

Een app blokkeren op beheerde toestellen is het snelste instrument dat een organisatie heeft. Het werkt dezelfde dag, het vergt geen onderhandeling met de leverancier en het wacht niet op een oordeel van een toezichthouder. Precies daarom greep Defensie ernaar.

De grens zit in het bereik. De maatregel raakt alleen apparaten die je beheert. Staat dezelfde app op de privételefoon van iemand die elke ochtend naar jouw pand rijdt, dan blijft het patroon zichtbaar. Voor de meeste werkgevers is dat de meerderheid van de toestellen, en daar reiken alleen voorlichting en richtlijnen.

De vraag die eraan voorafgaat is een andere dan meestal wordt gesteld. Niet: is deze app kwaadaardig. Wel: wat publiceert deze app over waar je mensen zijn, en hoe staat dat standaard ingesteld. Reis-, sport-, dating- en fotodeel-apps combineren locatie met een publiek profiel, en juist die combinatie maakt een deny-lijst achteraf nodig.

Wat deze zaak verschuift, zit niet in de app. Bij Strava en bij Polarsteps ging het om gegevens die gebruikers zelf deelden, in producten die daar precies voor gemaakt zijn. Het risico ontstaat in de optelsom: honderden losse profielen naast een kazernepoort leggen, en er rolt een beeld uit dat niemand ooit heeft gepubliceerd. Een deny-lijst haalt één app van één set toestellen. De zichtbaarheid van een organisatie hangt aan de instellingen van iedereen die er werkt, en die staan grotendeels op telefoons waar de werkgever niets over te zeggen heeft.