De Koninklijke Nederlandse Voetbalbond (KNVB) en de Zwolse app-ontwikkelaar Sipp laten een supporters-app onderzoeken door een externe partij. Dat gebeurt nadat een beveiligingsonderzoeker aan de bel trok over onrechtmatig gebruik van persoonsgegevens zoals het Burgerservicenummer (BSN) door de app.
Het onderzoek wordt uitgevoerd door het bedrijf Sportinnovator. ‘De uitkomsten worden uiterlijk in augustus 2026 verwacht’, meldt de KNVB na vragen van Computable. Het gaat om een pdt-app (persoonlijke digitale toegang) van de Zwolse leverancier Siip die de identiteit van een gebruiker koppelt aan een toegangskaart voor voetbalwedstrijden. De app wordt door meerdere clubs in het betaald voetbal gebruikt. De app-ontwikkelaar stelt dat het id-profiel van de gebruiker het toestel niet verlaat en dat dit niet op een server wordt opgeslagen.
Maatschappelijk hacker en beveiligingsonderzoeker Mick Beer stelde na een test vast dat privacygevoelige data naar een server worden gestuurd en claimt dat dit in strijd is met privacyregels. Het gebruik van persoonsgegevens zoals BSN is volgens hem niet gegrond voor het doel van de app: toegangscontrole bij de verkoop van tickets voor voetbalwedstrijden. Of er op de server ook opslag plaatsvindt van die data is nog onderdeel van zijn vervolgonderzoek.
Volgens de leverancier worden gegevens alleen geverifieerd via een proces dat versleuteld op de achtergrond loopt, maar worden gegevens niet opgeslagen in de app. Het id-profiel en de data blijven volgens de app-bouwer op het toestel van de gebruiker en worden ook niet op een server opgeslagen.
De app-maker kondigde in een mailwisseling met de hacker een onafhankelijke externe audit aan naar de genoemde privacy-klachten. Het gaat om hetzelfde onderzoek dat nu ook door de KNVB bevestigd is.
Op eerdere artikel reageerde ik met de Six Honest Serving men van Rudyard Kipling want welke vragen worden beantwoord met het onderzoek? Tenslotte presenteert Sportinnovator zich als een partij die partijen bij elkaar brengt, innovatie versnelt en samenwerking stimuleert. De vraag is dus of de slager nu zijn eigen vlees gaat keuren of dat er een serieuze zorg is over de privacy?
Er is nu eenmaal regelmatig kritiek op de proportionaliteit van gegevensverwerking bij de sportbonden en club. Blijkbaar is de reflex nog steeds om meer persoonsgegevens te verwerken dan noodzakelijk waarna achteraf wordt onderzocht of dat binnen de grenzen van de AVG past. Privacy by design betekent dat je die afweging vooraf maakt en niet nadat er iemand aan de bel trekt.