Locatiedata van miljoenen Nederlanders online te koop

In een onthullend onderzoek, uitgebracht door BNR, is aan het licht gekomen dat locatiegegevens van miljoenen Nederlandse telefoongebruikers online te koop zijn. Deze schokkende bevinding onthult een verontrustende handel in persoonlijke gegevens die privacy en veiligheid van burgers in gevaar brengt.

BNR verkreeg via een Duits bedrijf ,datarade.ai, toegang tot meer dan 80 gigabyte aan locatiedata. Deze enorme hoeveelheid data bevat de coördinaten van miljoenen mobiele telefoons, verzameld via apps die toestemming hebben gekregen van gebruikers om locatiegegevens te gebruiken. Telefoonnummers waren niet direct bij de data inbegrepen, maar de mogelijkheid om individuen te identificeren en te volgen blijkt aanzienlijk.

De gegevens, verzameld en verkocht door datahandelaren, bevatten niet alleen ruwe locatiecoördinaten, maar ook een advertentie-ID. Dit maakt het mogelijk om individuele gebruikers te volgen, ondanks het ontbreken van directe persoonlijke informatie zoals telefoonnummers. De implicaties van deze praktijken zijn verstrekkend, aangezien het mogelijk is om de bewegingen van een persoon te volgen, inclusief waar zij werken en wonen.

Het onderzoek van BNR toont aan dat zelfs gevoelige locaties niet zijn beschermd tegen deze inbreuk op privacy. Zo werden er bijvoorbeeld 370 telefoons geregistreerd op Vliegbasis Volkel, waar kernwapens zijn opgeslagen, en 70 telefoons in Huis ten Bosch, het woonpaleis van de Koning. Ook werd vastgesteld dat tot wel 1.200 mobiele telefoons locatiegegevens gedeeld werden vanuit het kantoor in Zoetermeer, waar belangrijke instanties zoals de Nationale Politie, het Landelijk Parket en Europol gevestigd zijn. Dit brengt niet alleen de privacy van individuen in gevaar, maar ook de nationale veiligheid.

Deze praktijk van het verkopen van locatiedata is niet nieuw. Zo bleek in 2020 dat een islamitische gebedsapp locatiedata van miljoenen gebruikers verhandelde, en in 2021 werd bekend dat de populaire app Life360, waarmee gezinsleden elkaars locatie kunnen zien, gevoelige gegevens van miljoenen klanten had verkocht aan datahandelaren.

Lees meer...

Lees ook:
Waarom organisaties nu al moeten beginnen met het beheersen van quantumrisico

2 Praktijkvoorbeelden persoonlijke inbreuk op privacy

Er worden ook enkele specifieke voorbeelden genoemd van hoe individuen in de praktijk gevolgd zijn na deze inbreuk op hun privacy door de verkoop van locatiedata.

Hoge Militaire Officier: BNR kon een hoge officier van de Nederlandse landmacht volgen. Ze konden zijn bewegingen traceren van zijn huis naar de Militaire Inlichtingen- en Veiligheidsdienst (MIVD). Dit geeft aan hoe gedetailleerd en specifiek de bewegingen van individuen kunnen worden gevolgd, wat ernstige veiligheidsrisico's met zich meebrengt, vooral voor personen in gevoelige of hooggeplaatste posities.
Bezoekers van de Penitentiaire Inrichting Vught: BNR was ook in staat om het woonadres te achterhalen van iemand die de Penitentiaire Inrichting in Vught bezocht, een gevangenis waar terroristen en zware criminelen worden vastgehouden. Dit soort informatie kan bijzonder gevoelig zijn, gezien de aard van de locatie.

Ruim 4 miljoen Nederlanders slachtoffer

Volgens de verstrekte informatie zijn de gegevens afkomstig van diverse apps die toestemming hebben gekregen om locatiedata van hun gebruikers te gebruiken. Fitness- of navigatie-apps, bekend om hun locatie-tracking mogelijkheden, zijn slechts enkele voorbeelden van hoe deze data verzameld kan worden. Deze apps verkopen vervolgens de verzamelde gegevens door aan bedrijven als Factori en Datastream Group die deze bijvoorbeeld weer doorverkopen op het eerder genoemde platform datarade.ai.

De omvang van deze gegevensverzameling is verbijsterend. Datastream Group beweert in hun promotiematerialen dat ze elke maand bijna de helft van alle Nederlandse telefoons kunnen volgen. In de door hen aangeleverde proefbestanden waren meer dan vier miljoen unieke identifiers aanwezig.

Een belangrijk detail is dat mobiele telefoons alleen gevolgd kunnen worden als de gebruiker expliciet toestemming geeft voor locatietracking. Ook heeft men de mogelijkheid om de advertentie-ID handmatig te resetten, maar in de praktijk gebeurt dit zelden, zegt Jaap-Henk Hoepman universitair hoofddocent Digital Security aan de Radboud Universiteit.

ios 16 iphone 14 pro allow app to track activity prompt

Handel mag niet, maar overheid grijpt niet in

Anouk Ruhaak, voorzitter van de Stichting Data Bescherming Nederland (SDBN) ,wijst erop dat het gebrek aan actie tegen grootschalige privacyschendingen te wijten is aan een gebrek aan politieke prioriteit. Volgens haar draait het allemaal om financiële middelen. Hoewel de bestaande wetgeving toereikend is, beschikt de Autoriteit Persoonsgegevens simpelweg niet over voldoende personele capaciteit om adequaat in te grijpen in alle gevallen.

Cybersecurityexpert Paul Pols noemt de openlijke handel in locatiegegevens 'onbegrijpelijk'. De Autoriteit Persoonsgegevens benadrukt dat voor locatiedata de Algemene Verordening Gegevensbescherming (AVG) van toepassing is, en dat apps specifiek om toestemming moeten vragen om dergelijke gegevens te bewaren en gebruiken. Het verkopen van deze gegevens zonder duidelijke toestemming van de gebruiker is een ernstige schending van de privacy.