NieuweWetten-app in strijd met de wet?
Laatst wilde ik de NieuweWetten-app van de Rijksoverheid installeren op mijn Android-telefoon. Daarbij kreeg ik de gebruikelijke pop-up om de app toegang te geven tot bepaalde functionaliteiten of informatie op mijn telefoon. In de pop-up stond alleen 'identiteit'.
Waarom wil NieuweWetten mijn identiteit weten, vroeg ik mij af. En wat verstaat Android precies onder mijn identiteit? Dat staat er op geen enkele manier bij uitgelegd. Is de NieuweWetten-app daarmee niet in strijd met privacy-wetgeving, die o.a. eist dat er geïnformeerde toestemming bestaat voor het uitlezen of opslaan van gegevens in randapparaten? In dit artikel ga ik daar nader op in.
Als Android-gebruiker zie ik het vaker dan me lief is: een pop-up met toestemmingen die je moet verstrekken om een nieuwe app te kunnen installeren. Bij de meest onbenullige apps met de meest onbenullige functionaliteiten, moet je vaak al toegang geven tot de meest privacy-gevoelige zaken, zoals je camera, foto's, contactenlijst, locatie en je agenda, terwijl onduidelijk blijft waarom en hoe die toegang precies zal worden gebruikt.
Betalen met je privacy, tot die op is?
Bij de meeste apps die zogenaamd 'gratis' zijn, weet je tegenwoordig dat jij zelf het product bent dat wordt verkocht. Je betaalt niet in geld maar met je oogballen (die advertenties te zien krijgen) en met je persoonsgegevens (waarmee advertenties gepersonaliseerd worden). Security-guru Bruce Schneier zegt bijvoorbeeld ook wel dat het business-model van het Internet surveillance is. Al Gore noemt het de 'stalker economy'. Bij veel van de 'gratis' apps, moet je de prijs van de app dus eigenlijk in de privacyverklaring zoeken. Ondubbelzinnig is die vaak bepaald niet, waardoor je als consument helemaal niet wéét wat je feitelijk betaalt. En dat terwijl de prijs van met geld betaalde apps volgens consumentenwetgeving altijd inclusief alle heffingen en toeslagen moet worden getoond. Maar dat is weer een ander verhaal.
Eigenlijk zou ik het misschien als een verademing moeten zien dat NieuweWetten maar één toestemming vraagt, terwijl apps als Facebook en LinkedIn zichzelf de controle over bijna je hele telefoon toe-eigenen. Geen verrassing: ook die notoire privacy-schenders, correctie: bedrijven, willen je identiteit hebben. Maar wat is het nou precies, die;'identiteit' in Android? Google heeft het antwoord. 'Identiteit' geeft o.a. het recht te zoeken naar accounts op het apparaat (incl. je bankieren-app-account?), het lezen van naam en contactgegevens en het toevoegen of verwijderen van accounts.
Wederom: waarom heeft NieuweWetten dit in vredesnaam nodig? Het enige dat de app doet is een notificatie sturen van nieuw aangenomen wetten. Moet ik de app van de Rijksoverheid dan zowel met mijn belastingcenten als met mijn privacy betalen? En waarom moet ik überhaupt eerst zelf gaan Googlen Startpagen naar wat de permissie precies betekent? En waarom heb ik dat probleem iedere keer opnieuw, als er weer eens apps willen updaten, die daarbij weer nieuwe permissies vragen? Iedereen die wat van security weet, weet dat je als verantwoordelijke gebruiker geacht wordt om updates zo snel mogelijk te installeren, voor je eigen veiligheid. Het is dus moeilijk om die update maar te laten zitten, zelfs als de privacy-prijs van de app je eigenlijk te hoog wordt. Het geld in je portemonnee raakt soms op en wordt (als het goed is) weer bijgevuld. Maar wat als je privacy helemaal is opgebruikt? Zo dringt de vergelijking van de kikker zich weer op, die langzaam genoeg wordt gekookt dat hij niet uit de pan springt, maar uiteindelijk wel het loodje legt.
Strijd met de wet
We hebben al vaker geschreven over de zogenaamde 'Cookiewet' (art 11.7a Tw), die eigenlijk een veel breder toepassingsgebied heeft dan alleen cookies. Volgens deze bepaling is er voorafgaande toestemming van de eindgebruiker nodig, als zijn of haar gegevens worden uitgelezen of geplaatst bij diens randapparatuur (pc, laptop, tablet, smartphone, etc). En niet alleen dat, er moet ook duidelijke en volledige informatie worden verstrekt over het doel van de (toestemming voor) de toegang.
En daar schort het aan. Niet alleen bij NieuweWetten, maar bij alle apps in Android. En is Apple's iOS dan veel beter? Nee het lijkt er niet op; daar wordt je toestemming gewoon helemaal niet gevraagd.
Hoogste tijd dat hier iets aan wordt gedaan. Een handhavend optreden van het College Bescherming Persoonsgegevens zou leuk zijn. Maar die waakhond krijgt eigenlijk pas echt tanden wanneer de nieuwe Europese privacyverordening in werking gaat. Misschien dat een advocaat een rechtszaak kan beginnen à la gebruikers tegen Facebook?
En tot slot: wie weet bij welke app de onderstaande technische permissies horen?
Matthijs van Bergen is juridisch adviseur bij ICTRecht. Matthijs is specialist in het informatierecht en heeft in het bijzonder veel kennis over grondrechtelijke kwesties op internet, zoals netneutraliteit, privacy en vrijheid van meningsuiting.
dan denk ik, FUCK OFF, .
Maar apps die contacten willen toevoegen, en ook nog een verwijderen komen er hier ook niet op,hehe.
Blijft wel een feit dat ik ook niet snap waarom deze app informatie moet hebben over het account op de telefoon.
dan denk ik, FUCK OFF, .
Als je dat liever niet doet, zeik dan niet zo en gebruik de betreffende apps gewoon niet.
Ik vind 400 euro voor een PS4 te veel geld, dus koop ik hem niet. Jij vind de betaling van je persoonsgegevens te "duur" voor het gebruik van een app, dus "koop" je die niet. Klaar.
Zou je een dergelijke bewering voordat je hem doet willen staven, in het artikel nader willen toelichten met voorbeelden of anders de constatering willen updaten/corrigeren?
Onduidelijk nu is; Geldt dit voor de NieuweWetten App?
Geldt dit volgens jou voor alle apps onder iOS?
Mijn indruk is namelijk heel anders.
Recent heb ik dit uit interesse eens bekeken op een iPad van een ander (met iOS 7. Een een update-versie erna i.v.m. een update bij het bekijken ervan en de verschillen controleren) en heb ik met name naar de gevraagde permissies gekeken.
Uit mijn hoofd; de app permissies zijn op zich eenvoudig te vinden onder iOS 7.
Waar je wel extra op moet letten zijn de soms meer uitgebreide voorkeuren die nog verscholen zitten achter een extra klik onder iets als een Advanced veld ergens nog net onderaan in beeld.
Alhoewel een beetje verstopt zijn die permissie instellingen in voorkomende gevallen dus zeker wel aanwezig, je moet er alleen niet overheen kijken.
Je zou daarbij kunnen denken dat dat bewust beleid is, het geldt in ieder geval ook voor vele andere programma's waar de Advanced modus standaard is ingeklapt en pas ergens achteraan/onderaan staat.
Opletten!
Gekeken naar de App permissies op betreffende iPad, de app-permissies verschilden zeer per geïnstalleerde app maar waren zeker bij een meerderheid aanwezig.
Of sommige Apps daarvan beginnen met een actieve toestemming voor het mogen plukken uit privé data (opt-in) die je zelf moet terugdraaien (opt-out) kan ik niet beoordelen daar ik niet wist wat de standaard instelling was van de al aanwezige app's.
Interessante vraag verder is inderdaad nog of een standaard opt-in eigenlijk wel mag op dit gebied.
Verzoek samengevat, als je beweert/suggereert dat het erop lijkt dat Apple er helemaal 'een potje van maakt', dus dat het vragen van toestemming helemaal niet het geval lijkt te zijn. Lijkt mij, zeker binnen de toon en teneur van het artikel, dat je dat dan ook specifiek 'moet' onderbouwen (Waarom lijkt dat zo? Voorbeelden van Apps en iOS versie svp).
Het gaat me niet zozeer om het merk waarop de bewering in dit geval van toepassing is (niet geïnteresseerd in Apple vs Android flames), wel om het waarheidsgehalte van een dergelijke bewering.
Ik hoor ook graag de ervaringen van eigenaren van iOS apparaten bezitters zelf want permissies goed instellen is een belangrijke eerste handeling voor iedereen van elk merk voordat je een app gaat gebruiken.
Goed dus dat daar door jou nu middels dit artikel aandacht aan wordt besteed, interessant en waarvoor dank.
https://twitter.com/jiridh/status/463304744165863424 Wettenpocket app van de overheid :)
Gelukkig heb je onder Android XPrivacy, waarin je per system call kunt aangeven of een bepaalde app die mag aanroepen of niet (en in geval van crash kun je vaak fake data teruggeven). Meestal werkt een app gewoon prima als je identity blokkeert. Het enige voorbeeld dat ik ken van iets dan dat niet meer werkt is het doorgeven van flitsers in Flitsnav (ze gebruiken dat om fakers te kunnen blokkeren).
Je wilt wel (gratis!) gebruik blijven maken van de apps of webdiensten ? Of ben jij bereid daarvoor te betalen met geld in plaats van informatie ? Of ben je van mening dat dergelijke diensten ook gemaakt zullen worden, indien er helemaal niets meer tegenover staat (alsof het ontwikkelen en beheren van dergelijke zaken niets kost, en 100% gratis kan) ?
dan denk ik, FUCK OFF, .
Dan heb jij het verhaal van Matthijs niet goed gelezen. Dit is een app die door de rijksoverheid wordt uitgegeven en is al lang betaald met ons belastinggeld. Bovendien is het in ons aller belang dat wij allen op de hoogte blijven van wetswijzigingen.
Niet iedereen leest de staatscourant, dan is zo'n app zeer handig.
Dan moet je alleen geen drempel opwerpen waardoor alleen mensen die hun privacy willen verkwanselen, toegang krijgen.
En hoe zie jij in de "permission details" dat "Nieuwe wetten" niets doet met je contacten lijst? Je geeft toch echt toestemming om de contactenlijst te raadplegen. ook als je als ontwikkelaar weet dat je alleen 1 contact zult raadplegen, dan moet je er rekening mee houden dat zo'n algemene permissie een grote gebruikersgroep uitsluit. Dan moet je die permissie niet vragen en die ene naam die je wilt in een eigen invul veld laten intypen.
Je aboneert je in feite op een notificatiedienst en dat lijkt me tamelijk lastig te doen zonder wat contactgegevens aan die dienst af te staan. Dat dat dan gevangen wordt onder een algemene noemer "identiteit", daar kan je vraagtekens bij stellen, maar ik snap niet helemaal de ophef over dat deze app deze permissie vraagt...
En wellicht hebben ze die toegang ook nodig voor het delen via social media, maar hoe dat technisch precies in elkaar steekt durf ik niet te zeggen.
Zou je een dergelijke bewering voordat je hem doet willen staven, in het artikel nader willen toelichten met voorbeelden of anders de constatering willen updaten/corrigeren?
SNIP SNIP VEEL TE VEEL TEXT SNIP
.
iOS vraagt er helemaal niet om. Niet bij deze app en niet bij andere apps. Wel heeft iOS (sinds v7 ofzo geloof ik) een nieuwe feature en kunnen sommige apps om permissies vragen, maar dan pas als ze ze nodig hebben. Dat is echter alleen voor adres boek toegang en bv camera toegang. Er zijn een hoop permissies waar iOS gewoon nooit om vraagt.
Android slaat weer teveel de andere kant op, en vraagt meteen alle mogelijke permissies in hoog detail bij de installatie vooraf. Te onduidelijk voor de meesten, en die klikken dan maar gewoon op OK.
Beide oplossingen kunnen nog wel wat werk gebruiken
...
Voor fetchen is geen identiteit nodig!
Mocht push verkeer om wat voor andere reden toch nodig zijn dan heeft iOS daar een kant en klare oplossing voor. Hoe dat bij android is weet ik niet.
dan denk ik, FUCK OFF, .
Dan heb jij het verhaal van Matthijs niet goed gelezen. Dit is een app die door de rijksoverheid wordt uitgegeven en is al lang betaald met ons belastinggeld.
- Plaats wetswijzigingen direct in de digitale agenda.
- Deel uw wetswijzigingen via Facebook, Twitter, LinkedIn of e-mail.
Vandaar dat de app permissies nodig heeft om op accounts te controleren.
Weggeknipt heb je de vraag om concrete voorbeelden, die worden wederom niet gegeven (reactie niet gelezen? waarom dan wel een antwoord?).
iOS vraagt er helemaal niet om?
Er zijn een hoop permissies waar iOS gewoon nooit om vraagt?
Komt het dan bij Apple iOS apparaten veel voor dat tegelijkertijd
- èn de app zelf niet om toestemming vraagt
- èn iOS niet om toestemming vraagt?
waardoor de gebruiker volledig overgeleverd is aan de onzichtbaar graaiende willekeur van de fratsen van de app makers.
Dàt geloof ik nog niet en wil het daarom graag weten.
Om welke hoop (=veel =lange lijst met voorbeelden s.v.p.) permissies gaat dat dan?
Je stelligheid vraagt om een lijst concrete voorbeelden.
"ofzo geloof ik?"
Over welk iOs heb je het dan wel?
iOS 7 is inmiddels een jaar oud, laten we dat dan eens als uitgangspunt nemen en niet een verouderd iOS, geen oud iOS aanhalen, dat is weinig zinvol binnen dit verhaal, het gaat om hoe het er nu voorstaat.
Voorbeelden op een rij over een recent iOS (iOS 7.1.2) graag.
Daar kan iedereen dan wel wat van opsteken en kijken hoe daar actie op te ondernemen!
Aan maar wat roepen zonder voorbeelden heeft een lezer hier niets, dan wordt het een mening.
Wat is het risico hiervan, m.a.w. waar wil je je eigenlijk tegen beschermen ? Is het ook een probleem dat websites je identiteit zien, als je bijvoorbeeld naar een website gaat over nieuwe wetten, aangezien je IP wordt geregistreerd ? Is het een probleem dat de overheid indien je met hen emailt je email adres en IP kunnen zien ?
Er zijn veel apps waar ik een probleem heb m.b.t. de permissies in verband met misbruik. Hier zie ik het probleem niet zo, en er zijn zoals eerder aangegeven ook functionele redenen voor de permissie. Het lijkt wel alsof sommigen vergeten dat bepaalde permissies nodig zijn om een app goed te laten functioneren.
Bij programma's op je PC geef je eigenlijk soortgelijke permissies, het wordt slechts minder expliciet vermeld.
Wat is het risico hiervan, m.a.w. waar wil je je eigenlijk tegen beschermen ? Is het ook een probleem dat websites je identiteit zien, als je bijvoorbeeld naar een website gaat over nieuwe wetten, aangezien je IP wordt geregistreerd ? Is het een probleem dat de overheid indien je met hen emailt je email adres en IP kunnen zien ?
Er zijn veel apps waar ik een probleem heb m.b.t. de permissies in verband met misbruik. Hier zie ik het probleem niet zo, en er zijn zoals eerder aangegeven ook functionele redenen voor de permissie. Het lijkt wel alsof sommigen vergeten dat bepaalde permissies nodig zijn om een app goed te laten functioneren.
Bij programma's op je PC geef je eigenlijk soortgelijke permissies, het wordt slechts minder expliciet vermeld.
Rare benadering... wat is het risico? Waar wil je tegen beschermen.
Bij verwerking van persoonsgegevens ben je wettelijk verplicht aan te geven welke gegevens worden verwerkt en voor welk doel het is.
Als jij mijn gegevens niet hebt, kun je mij niet spammen of lastig vallen. Als ik mijn gegevens niet geef hoeft ik daar dus ook niet bang voor te zijn en beperk ik het risico op misbruik.
Een PC verwerkt soortgelijk permissies. Het grote verschil met een PC is dat jij 100% beheer hebt. Je installeert een firewall met een outbound denie all en vervolgens ben je van je problemen af. Overigens geven veel virusscanners een melding bij dergelijke programmatuur....
Probeer maar eens een firewall op je telefoon te installeren.... dit gaat gewoon niet omdat je hier de rechten niet voor hebt. Je moet het toestel dus rooten (waarbij de garantie vervalt) om je zelf enigzins te beschermen ....
Maar misschien moeten ze jou eens vertellen over de tweede wereld oorlog en verschil tussen "het doel waarvoor informatie is verkregen" en "het doel waar informatie uiteindelijk voor wordt gebruikt" . Mensen lieten zich als "jood" registeren om na hun dood op de begraafplaats te komen liggen. Het initiatief is goed, echter vonden de Duitser die ook erg makkelijk, die gebruikt deze informatie namelijk voor een ander doel, namelijk; het opsporen van de joden om deze vervolgens te deporteren met alle gevolgen voor deze mensen van dien .....
In grote lijnen gaat er ook niet om of jij als individu problemen heb met de verwerking, maar of de verwerking ook echt noodzakelijk is. Immers loopt u en ik een risico (hoe klein die van u ook mogen zijn) terwijl het voor de werking van de programmatuur niet noodzakelijk is, dit noemen we in de volksmond; onnodig risico lopen. Daarnaast stelt het bedrijf zich vervolgens ook onnodig bloot aan risico's. Aan de verwerking van persoonsgegevens zijn immers regels verbonden waardoor maatregelen noodzakelijk zijn..... als men dit niet doet loopt men een theoretisch risico dat het College Bescherming Persoonsgegeven (CBP) een keertje om kijkt. Meer dan waarschuwen doen ze niet en alhoewel ze ook mogen handhaven zijn voldoende voorbeelden geweest dat dit had gekunnen maar is het CBP lekker op haar achterste blijven zitten .....
De permissie wordt bovendien door de Android SDK standaard aangevraagd als je ook voor oudere Android-versies ontwikkelt, omdat deze nog geen permissie voor dit stukje gegevens vroegen en de Software Development Kit wil voorkomen dat apps voor oude Android niet meer werken op nieuwe Android.
Een app vraagt bepaalde permissies, en iemand die goed van vertrouwen is zal denken "O, dat zit wel goed", iemand die zich wat meer bewust is van dit soort zaken zal er (te?) snel wat achter zoeken.
Wat mij betreft zou het een goede ontwikkeling zijn als er niet alleen aangegeven wordt welke permissies er nodig zijn, maar ook waarvoor ze gebruikt worden. Uiteraard moeten daar ook wel consequenties aan zitten als je iets anders doet dan je de gebruiker laat zien.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
