Meedoen aan een grootschalig mediaonderzoek is tegenwoordig makkelijk met de MediaCell+-app van de Stichting Kijk Onderzoek (SKO). Uit nader onderzoek blijkt dat deze app echter wel erg veel informatie verzamelt over de gebruikers. Informatie die niet altijd nodig is voor het onderzoek. De vraag is of we die app eigenlijk wel moeten gebruiken.

Omroepen, radiostations, uitgevers en aanbieders van internetcontent willen allemaal graag een inkijkje in het mediagebruik van Nederlanders. Naar welke televisieprogramma’s kijken we, naar welke radiostations luisteren we en wat is ons internetgebruik? Hiervoor is het Nationaal Media Onderzoek in het leven geroepen.

Het onderzoek is opgezet door de Stichting Kijk Onderzoek (SKO), aanverwante (media)onderzoekbureaus en de Verenigde Internet Exploitanten (VINEX). Ook zijn alle publieke en commerciële omroepen, grote uitgevers van dagbladen en tijdschriften en advertentie-exploitanten betrokken. De uitvoer van het onderzoek is uitbesteed aan het onderzoeksbureau Ipsos.

Wie aan dit Nationale Media Onderzoek deelneemt, hoeft hiervoor tegenwoordig alleen maar een app op zijn of haar smartphone te installeren. Een mobiele app maakt dit soort onderzoek vanzelfsprekend makkelijker. Het NMO gebruikt hiervoor de specifieke Ipsos Media Cell+-app van het onderzoeksbureau. Deelnemers aan het onderzoek kunnen de app voor Android downloaden uit Google Play. De app is ook beschikbaar voor iOS, maar die wordt buiten de Apple App Store aangeboden. In dit artikel gaan we specifiek in op de Android-app.

Flinke dataverzameling

Voor onderzoek is de app erg handig, maar er zijn toch wel een hoop haken en ogen die de app in een ander daglicht plaatsen. Vooral als het gaat over de grote hoeveelheid privacygevoelige data die de applicatie verzamelt. Dit ontdekte Jaap-Henk Hoepman, universitair hoofddocent en privacyonderzoeker aan de Radboud Universiteit Nijmegen.

De Ipsos Media Cell+-app is eigenlijk een elektronisch meetsysteem. Dit systeem draait op de achtergrond en registreert waar precies naar wordt gekeken of wordt geluisterd. Hiervoor moet de microfoon altijd aanstaan. Via voor mensen onhoorbare audiosignalen wordt een code gegenereerd op basis van het geluid van een televisieprogramma of een radiostation. Deze code wordt doorgestuurd naar Ipsos. De geluiden zelf worden niet doorgestuurd naar de onderzoekers. Daarnaast wordt informatie verzameld over het gebruik van andere apps en functies, hoe vaak met netwerken verbinding wordt gelegd en wat de locatiegegevens zijn.

Stap verder in data verzamelen

Het verzamelen van deze specifieke gegevens is, hoewel al zeer uitgebreid, niet echt bijzonder. De Ipsos Media Cell+-app gaat echter nog een flinke stap verder. De app laat gebruikers ook een aparte VPN-verbinding installeren waarmee Ipsos al het internetverkeer via het device registreert. Andere (VPN-)internetverbindingen worden hierdoor uitgeschakeld, zodat de onderzoekers een compleet inzicht krijgen van alle bezochte websites en diensten. Ook in de zoekopdrachten van de gebruikers.

Voor het laten functioneren van deze speciale VPN-verbinding moeten gebruikers eerst een root-certificaat downloaden en installeren. Het certificaat schakelt alle andere verbindingen uit, waardoor de servers van de onderzoekers kunnen meekijken met het internetverkeer. Hierdoor verdwijnt wel de encryptie van het verkeer. Dit geeft de onderzoekers toegang tot anders versleutelde informatie als wachtwoorden en andere login-informatie, financiële gegevens, e-mail en chatberichten.

Dit geeft vanzelfsprekend hoge privacyrisico’s, ondanks dat het onderzoeksbureau in zijn met de app meegestuurde privacyverklaring garandeert dat deze gegevens niet worden ingezien. Kortom, eigenlijk krijgen de onderzoekers via de app op de smartphone alles over te weten over wie de gebruikers zijn, wat zij doen, wat hun interesses of gedachten zijn en hoe zij daar hun toestel voor gebruiken.

Toepassen van fingerprinting

Niet alleen verzamelt de app vrijwel alle gebruiksgegevens, maar deze zijn ook aan de verzamelde locatiegegevens te koppelen. Dit geeft de onderzoekers de mogelijkheid om nauwer gezet te bepalen aan wie de gegevens toebehoren.

Ipsos past ook (passieve) fingerprinting toe. Hierbij worden de verzamelde browser-, IP- en andere computergegevens omgezet in een uniek serienummer. Dit serienummer koppelt het onderzoekbureau aan eerder verzamelde ‘vingerafdrukken’. De gecombineerde gegevens worden daarna weer samengevoegd met andere gegevens voor onderzoeks- en marketingdoeleinden. Zo komen de onderzoekers toch weer meer over gebruikers te weten.

Grote inbreuk op privacy

Hier blijft het niet bij. Wie de ‘kleine lettertjes’ in de privacyverklaring bestudeert, verbaast zich nog meer over hoe met de verzamelde gegevens wordt omgegaan. Ipsos en de samenwerkende organisaties (niet zijnde Kantar) geven hierin aan dat zij de verwerkingsverantwoordelijken zijn, maar de daadwerkelijke verwerking handelt collega-onderzoeksbedrijf Kantar af.

Uit de privacyverklaring wordt ook duidelijk dat naast de zogenoemde meetgegevens, ook extreem veel persoonsgegevens worden geregistreerd. Van naam tot etnische afkomst, religie en politieke voorkeur.

Deze grote inbreuken op de privacy van eindgebruikers zijn best zorgwekkend. Het roept de vraag op in hoeverre de gegevens een echte relatie hebben met het doel; onderzoek naar mediagebruik. Ook is niet duidelijk wat er verder met deze data gebeurt. Wat kan -in dit geval de verwerker- Kantar allemaal met de data doen? Ipsos deelt de data ook met de opdrachtgevers en zelfs reclamebureaus en softwareleveranciers. De gegevens die de Ipsos Media Cell+-app verzamelt, blijken dus bij een heleboel partijen te eindigen.

Niet in lijn met eisen AP

Een volgende vraag die zich opwerpt, is of deze verzamelwoede van de app vanwege grote inbreuk op de privacy, wel aan de eisen van privacywaakhond Autoriteit Persoonsgegevens (AP) voor apps voldoet. Vooral in het kader van de GDPR-regelgeving.

Wat we nu over de Media Cell+-app weten, lijkt flink tegen deze regelgeving in te gaan. Er wordt geen aparte toestemming gevraagd voor de verschillende soorten persoonsgegevens, de doelen waarvoor de gegevens worden gebruikt, zijn niet echt duidelijk en begrijpelijk. Verder worden gegevens niet alleen verzameld voor de werking van de app, maar blijkbaar ook voor andere doeleinden.

Conclusie

Meedoen aan het NMO wordt op deze manier een lastige afweging. De uitgebreide fingerprinting-methoden en de kleine lettertjes in de privacyverklaring maken het gebruik zeer twijfelachtig. Gebruikers laten te veel informatie over zichzelf verzamelen. Bovendien is het gebruik van deze gegevens ook zeer onduidelijk.

Bovendien lijkt de verzamelwoede van de Media Cell+-app niet te voldoen aan de strikte (GDPR) regelgeving die het AP aan apps stelt. Het NMO en de aangesloten organisaties zouden zich daarom nog maar eens flink achter de oren moeten krabben of zij hiermee wel op de goede weg zijn. Een aanpassing van de app is zeer zeker wel gerechtvaardigd.