Het volledige Juryrapport Genomineerden Big Brother Awards 2009 is hier te lezen.

1. De illegale verzamelpraktijken van Advance
2. Albert Heijn voor de proef ‘TiP2Pay’
3. T-Mobile en Vodafone: doorgifte van sms-inhoud aan opsporingsdiensten

* * *

1. De illegale verzamelpraktijken van Advance

Quizmasters verdienen goed geld met je echte leeftijd

Advance Concepts BV (Advance) oogstte onder het mom van leuke quizjes de afgelopen jaren gevoelige informatie van meer dan twee miljoen mensen, en verkocht die geaggregeerde informatie vervolgens door aan bedrijven. Advance schond daarmee de privacy van miljoenen Nederlanders en misleidde haar bezoekers. Het College Bescherming Persoonsgegevens (CBP) stelde vast dat Advance de Wet bescherming persoonsgegevens op 7 verschillende manieren heeft overtreden. De gevoeligheid van de gegevens, de schaal van de privacyinbreuk en de misleiding door Advance verdienen een nominatie voor een Big Brother Award.

Advance beheert verschillende interactieve websites waar bezoekers quizjes kunnen invullen, zoals ‘Je echte leeftijd’ en ‘De waarde van je woning’. Gebruikers vulden daar uitgebreide vragenlijsten in over onderwerpen als gezondheid (‘wat is je bloeddruk?’), seks (‘hoe vaak masturbeer je?’) en financiële situatie (‘wat zijn je bezittingen waard?’). Op die manier heeft Advance gegevens van ongeveer 2,2 miljoen Nederlanders verzameld: door de informatie van de quizzen te combineren, wist Advance van circa 300.000 mensen meer dan 100 persoonskenmerken te achterhalen, aldus Webwereld. Advance koppelde die gegevens vervolgens aan de persoon die de quiz had ingevuld. Ze verkocht daarmee ontwikkelde profielen aan bedrijven en stuurde namens bedrijven gerichte marketing aan geprofileerde doelgroepen.

Het CBP constateerde dat Advance handelde in strijd met de Wet bescherming persoonsgegevens. Advance heeft bezoekers onvoldoende geïnformeerd over het feit dat hun gegevens werden verzameld, gecombineerd, doorverkocht en gebruikt voor direct marketing. Voor de verzameling en verwerking van medische gegevens geldt bovendien in beginsel een verbod, en Advance handelde in strijd hiermee. Door persoonsgegevens van miljoenen Nederlanders in kaart te brengen en door te verkopen aan onder meer Amerikaanse bedrijven, schond Advance de wet, de privacy en het vertrouwen van miljoenen Nederlanders.

De jury is van oordeel dat Advance een nominatie verdient vanwege de schaal, de gevoeligheid en de misleiding. Niet alleen heeft Advance een belangrijk deel van de Nederlandse bevolking door middel van testjes in kaart gebracht, maar de informatie die zij verzamelde over haar bezoekers en doorverkocht betrof ook nog eens intieme details. Dat zij dit deed onder het mom van een leuke quiz, maakt het alleen maar ernstiger. Inmiddels heeft Advance aangekondigd de opgebouwde profielen te zullen vernietigen, en voortaan binnen de richtlijnen van het CBP te zullen opereren. Dat klinkt bemoedigend, maar omdat Advance aangeeft dat zij het niet met de conclusies van het CBP eens is, heeft zij de bezwaren kennelijk niet écht begrepen.

Meer informatie
Volkskrant, ‘Je hele privéleven op internet’ (13.02.09)
Onderzoek CBP naar verwerking persoonsgegevens door Advance (15.12.09) (PDF)
Persbericht ‘Advance past privacybeleid aan op basis van CBP onderzoek’ (18.12.09)

* * *

2. Albert Heijn voor de proef ‘TiP2Pay’

Thumbs down voor vingerafdrukbetaling

Twee weken nadat Albert Heijn een proef begon met vingerafdrukbetaling, werd TiP2Pay al gekraakt. Tot verbazing van de jury noemt een woordvoerder TiP2Pay niettemin ‘een succesvolle proef’. Albert Heijn geeft zich te weinig rekenschap van de fraudegevoeligheid van de vingerafdruk en het onderliggende probleem van vingerafdrukbetaling: de databank waarin de vingerafdrukken worden opgeslagen en gekoppeld met financiële gegevens en identiteitsdocumenten. Deze databank is een potentiële schatkist voor criminelen enerzijds, en opsporingsdiensten – die toegang tot deze vingerafdrukkendatabank zullen afdwingen – anderzijds. Weinig identiteitskenmerken zijn zo eenvoudig te vervalsen als de vingerafdruk. Bij al deze security- en privacyimplicaties lijkt Albert Heijn niet te hebben stilgestaan.

TiP2Pay startte als proef in een filiaal in Breukelen op 17 juni 2008. Het doel van de proef was ‘om te kijken of klanten enthousiast zijn over deze nieuwe manier van betalen’. Met de vingerafdrukbetaling zou dit ’snel, gemakkelijk en veilig’ kunnen. De veiligheid was echter al binnen twee weken onderuit gehaald door biometrie-expert Ton van der Putte, die met een rubberen kopie van een vingerafdruk gewoon kon betalen. Albert Heijn reageerde vervolgens door te stellen dat klanten geen enkel risico lopen. ‘Complete onzin’, volgens expert Van der Putte: ‘eens gestolen is voor altijd gestolen.’ Met een simpele vervalsing kunnen mensen boodschappen doen op andermans rekening.

Albert Heijn heeft het onderliggende probleem van vingerafdrukbetaling nooit geadresseerd. De supermarkt heeft vijf miljoen vaste klanten, waardoor de brede acceptatie van deze betaalmethode de grootste biometrische databank van Nederland zou creëren – na de vingerafdrukkendatabank ORRA vanwege de nieuwe Paspoortwet (die een nominatie ontvangt in de categorie Overheid). De vingerafdruk van een klant is gekoppeld aan de financiële gegevens, eventuele kortingsprogramma’s en de identiteitsbewijzen van al die klanten. Het risico dat de gegevens van een groot deel van de bevolking op straat komt te liggen neemt daarmee toe. Dit zou niet alleen het gebruik van de vingerafdruk als opsporingsmiddel ondermijnen, maar is vooral koren op de molens van identiteitsfraudeurs en andere criminelen. Ook kunnen opsporingsdiensten eenvoudig toegang verwerven tot deze databank via de Wet bevoegdheden vorderen gegevens. De databank zou daarmee de privacy van burgers onder druk zetten.

Juist van één van de leidende retailbedrijven in Nederland verwacht de jury meer prudentie. Ook al betrof het een proef, het naïeve Albert Heijn begeeft zich op glad ijs en onderkent de risico’s van vingerafdrukbetaling en het aanleggen van een omvangrijke biometrische databank onvoldoende. Met een nominatie voor een Big Brother Award, wil de jury de vinger op de zere plek leggen.

Meer informatie
Persbericht ‘Albert Heijn en Equens introduceren TiP2Pay’ (17.06.08)
Webwereld, ‘Onderzoeker kraakt vingerafdrukbetaling Albert Heijn’ (30.06.08)
Security.nl, ‘Albert Heijn doet biometrisch betalen in de ijskast’ (17.03.09)
Wet bevoegdheden vorderen gegevens, art. 126nd lid 1, p.4 (PDF)

* * *

3. T-Mobile en Vodafone: doorgifte van sms-inhoud aan opsporingsdiensten

Telecomproviders nemen de ’stomme tap’ wel erg letterlijk

‘Niet nadenken, gewoon doen.’ Iets van die strekking moet bij telecomproviders T-Mobile en Vodafone jarenlang de heersende mentaliteit zijn geweest. Totdat op 30 mei 2009 bekend werd dat beide bedrijven ook de inhoud van sms-berichten meeleverden als de opsporings- en inlichtingendiensten de verkeersgegevens van hun klanten vorderden. T-Mobile en Vodafone hebben de privésfeer en het vertrouwen van hun klanten te grabbel gegooid. Dit klemt des te meer daar beide tenminste vier maanden daarvoor al van hun fout op de hoogte waren gesteld tijdens een overleg met de opsporings- en inlichtingendiensten.

Zowel de Officier van Justitie als de AIVD kunnen van telecomproviders de levering van verkeersgegevens van sms-berichten vorderen: gegevens over telefoonnummers, geadresseerde, datum en tijdstip van een smsje. Daarnaast hebben zij de bevoegdheid om voor een beperkte periode toekomstige verkeersgegevens te vorderen. De verkeersgegevens worden in dat geval real-time geleverd – de zogenaamde ’stomme tap’. Het absoluut niet de bedoeling dat bij zo’n stomme tap ook de inhoud van een smsje wordt meegeleverd. Daarvoor bestaat een aparte wettelijke regeling, namelijk het aftappen van telecommunicatie, waarvoor de toestemming van de rechter-commissaris of de minister nodig is. Toch hebben T-Mobile en Vodafone de inhoud van sms-berichten meegeleverd bij deze stomme taps, en zijn zij hiermee doorgegaan nadat zij hierop werden gewezen door de Commissie van Toezicht betreffende de Inlichtingen- en Veiligheidsdiensten (CTIVD). Bij één stomme tap, ontving de AIVD ‘binnen geringe tijd zelfs 150 sms-berichten’. T-Mobile en Vodafone verdedigden zichzelf aanvankelijk door te zeggen dat het technisch gezien onmogelijk was inhoud en vorm van smsjes te scheiden. Collega KPN meldde echter prompt dat zij de real-time verstrekking van sms-berichten wel kan filteren op inhoud. Anders gezegd: het was onwil, geen onvermogen.

Het jarenlang systematisch doorgeven van de inhoud van sms-berichten vormt een ernstige privacyschending van de klanten van T-Mobile en Vodafone. De AIVD beschouwt deze berichten namelijk als ‘bijvangst: We vragen er niet om, maar het komt wel mee. Dat is natuurlijk een lastig dilemma’, alus een woordvoerder van de AIVD. De inlichtingendiensten hebben de onterecht ontvangen gegevens wél bestudeerd, zo bleek.

Het CTIVD geeft terecht aan dat de inhoud van sms-berichten valt onder het telefoongeheim van artikel 13 van de Grondwet. Merkwaardig genoeg wordt de toezichthouder hierin niet gesteund door minister Ter Horst, die het kennisnemen van de smsjes goedkeurt omdat de inlichtingendiensten nooit hadden gevraagd om de inhoud van de berichten. Zij doet de kwestie af met het bevel de sms-inhoud voortaan apart op te slaan en het gebod haar om toestemming achteraf te vragen. Maar dan is de buit natuurlijk al binnen. Los van de beschamende reactie van minister Ter Horst – de jury nomineert haar niet voor niets in de categorie Personen – hadden T-Mobile en Vodafone deze privacyschending kunnen en moeten voorkomen door na het overleg in februari hun verantwoordelijkheid te nemen. Pas toen het schandaal aan het licht kwam, werkten de telecomproviders inderhaast aan een oplossing.

Vooral dit laatste aspect heeft de jury zwaar laten meewegen in haar oordeel de beide bedrijven te. Klanten moeten erop kunnen vertrouwen dat de telecomprovider hun privacy waarborgt. T-Mobile en Vodafone gooiden de smsjes echter zonder na te denken over de schutting. Zelfs na een overleg werden de benodigde maatregelen niet getroffen. Dat getuigt volgens de jury van laksheid en onwil. Ondertussen werd de ‘bijvangst’ gebruikt door de AIVD. Dit maakte het door beide bedrijven in het leven geroepen risico op privacyschending compleet.

Meer informatie
Toezichtsrapport CTIVD nr. 19, ‘De inzet van de afluisterbevoegdheid en de signaalinterceptie door de AIVD (2009) (PDF)
Officiële reactie minister Ter Horst (20.02.09) (PDF)
NRC Handelsblad, ‘SMSjes gaan ongevraagd naar de politie’ (30.05.09)
Webwereld, ‘SMS-tap schendt mogelijk de grondwet’ (03.06.09)

* * *