Telecomaanbieders overtreden privacywetgeving nog steeds
Als je dacht dat de Amerikanen de enige zijn die luistervinkje spelen met hun PRISM-project dan heb je het mis. Ook je eigen telecomprovider is niet te vertrouwen. KPN, Tele2, T-Mobile en Vodafone zijn door het College Bescherming Persoonsgegevens (CBP) op de vingers getikt vanwege hun iets te ruime analyses van het dataverkeer op hun mobiele netwerken.
Twee jaar geleden schreef Computer Idee al over de misstanden in de dataverkeeranalyse, wat in de telecomwereld bekend staat als packed inspection. Tijdens een persconferentie werd toen door KPN al schaamteloos en vol trots gemeld dat zij als een van de eerste telecomproviders ter wereld precies weten wie WhatsApp gebruikt en met wie deze berichten worden uitgewisseld. Deze gegevens zijn voor KPN vooral interessant om de mobiele tarieven vast te stellen, maar de privacy van zijn klanten werd hiermee wel te grabbel gegooid.
Onderzoek CBP
Vandaag publiceert het CBP zijn definitieve bevindingen van de vier grootste mobiele netwerkaanbieders van Nederland. Tijdens het onderzoek zijn bij alle bedrijven overtredingen van de Wet Bescherming Persoonsgegevens en de Telecommunicatiewet geconstateerd, meldt CBP. De bedrijven bleken op detailniveau gegevens te bewaren over de bezochte websites en gebruikte apps. Dit is in strijd met de wet.
Op basis van de wet moeten dergelijke gegevens na het verzamelen zo snel mogelijk worden verwijderd of onomkeerbaar geanonimiseerd. Het CBP acht het niet noodzakelijk om deze op klantniveau te bewaren. Bovendien werden de klanten niet of onjuist over deze praktijken geïnformeerd, wat ook in strijd is met de wet.
Drie telecomproviders nog steeds in overtreding
Naar aanleiding van het onderzoek door het CBP hebben de telecomproviders inmiddels beterschap beloofd. KPN zou naar aanleiding van dit onderzoek maatregelen hebben getroffen. Het bedrijf heeft aangegeven inmiddels apparatuur te gebruiken die de gegevens na het verzamelen zo snel mogelijk anonimiseert. Als dit klopt, dan heeft de telecomprovider als enige van de grote vier voldoende maatregelen getroffen. De rest maakt er volgens CBP nog een potje van.
Tele2 heeft volgens het rapport van het CBP bijna helemaal geen privacymaatregelen genomen. Dit bedrijf versleutelt wel de gegevens over websitebezoek en appgebruik van zijn klanten, maar deze worden niet zo snel mogelijk onomkeerbaar geanonimiseerd. Het bedrijf bewaart deze gegevens gedurende een jaar. Bovendien gebruikt Tele2 de verzamelde gegevens voor marktonderzoeksdoeleinden, zonder toestemming van de klant. Ook dat mag niet.
T-Mobile is nog altijd in overtreding omdat de e-mailadressen niet zo snel mogelijk worden verwijderd. Daarnaast heeft het bedrijf zijn privacyverklaring wel aangepast, maar deze geeft geen duidelijkheid over de bewaartermijnen.
Vodafone blijkt langer dan noodzakelijk persoonsgegevens te bewaren voor het opsporen en oplossen van problemen in het netwerk, ook wel netwerkmonitoring genoemd. Ook bewaarde dit bedrijf persoonsgegevens met betrekking tot websitebezoek en appgebruik op detailniveau, maar Vodafone zou dit nu niet meer doen.
