CBP: winkels schenden privacywet met wifi-tracking
Winkels die mensen via wifi-signalen van hun mobiele apparaten volgen zonder hen hierover te informeren schenden de Wet bescherming persoonsgegevens, zo heeft het College bescherming persoonsgegevens (CBP) bepaald na onderzoek bij het bedrijf Bluetrace.
Bluetrace verzamelt en analyseert meetgegevens die het bedrijf verkrijgt via wifi-tracking. Het bedrijf biedt winkeliers daarmee bedrijfseconomische informatie: hoeveel mensen passeren de winkel, hoeveel bezoekers gaan de winkel in en hoelang blijven zij op een bepaalde plaats in de winkel. Dit soort gegevens is volgens het CBP gevoelig van aard. Het gaat om locatiegegevens die iets zeggen over iemands verblijfplaats en winkelgedrag. Bluetrace voldoet echter niet aan de wettelijke voorwaarden om dit te mogen doen. Het bedrijf informeert de winkelbezoekers bijvoorbeeld niet over de gegevens die worden verzameld en waarvoor dat gebeurt.
"Mensen komen ongevraagd en onwetend in bestanden waaruit bijvoorbeeld valt af te leiden waar zij wanneer waren en wat hun winkelgedrag is. Dat mag niet", zegt Wilbert Tomesen, vicevoorzitter van het CBP. "Deze gegevens kunnen worden gebruikt om mensen anders te behandelen of mensen te confronteren met hun afgelegde route. Dat gaat veel te ver, zeker als dat stiekem en op de openbare weg gebeurt."
Maatregelen
Bluetrace heeft na het onderzoek aangegeven maatregelen te hebben getroffen, waaronder het hashen van gegevens en het verkorten van de bewaartermijn tot 48 uur. Het CBP heeft nog niet beoordeeld of deze maatregelen daadwerkelijk leiden tot beëindiging van de geconstateerde overtredingen. Bluetrace verzamelt zowel gegevens van mensen binnen als buiten de winkel. Bovendien meet Bluetrace 24 uur per dag, zeven dagen per week en bewaart zij de gegevens voor onbeperkte tijd.
Het CBP stelt dat Bluetrace haar doel ook zou kunnen bereiken door op een beperktere schaal te meten en minder gegevens te verwerken, gedurende een kortere periode. De wifi-sensoren van Bluetrace registreren ook het aantal voorbijgangers op de openbare weg buiten de winkels. Bluetrace legt daardoor ook de aanwezigheid van voorbijgangers en buurtbewoners vast. Het bedrijf maakt volgens het CBP onvoldoende duidelijk waarom dit noodzakelijk is en mag deze gegevens daarom niet verzamelen.
Dixons zijn van die winkels die menen dat dit allemaal prima in orde is en dat ze ons hierdoor beter kunnen helpen.
Gekke jongens die marketeers ;)
Heb je bewezen dat je je niet gedragen? dan laten we het daar mooi bij.
Zolang we die gedachtengang niet gaan hanteren, zúllen bedrijven télkens weer van alles proberen wat "op het randje" zou zijn. Je blijft maar van die rand af of gaat de dakrand op in securityland.
In het blog van Ius Mentis waar naar wordt verwezen staat trouwens: "Ik lees bij Retecool dat het mac-adres gehasht wordt, maar of dat de boel verandert? Ook het gehashte nummer is uniek voor de telefoon. En zodra een nummer uniek is voor een persoon, is het een persoonsgegeven."
Dat Bluetrace de nummers hasht zou dus nog altijd het probleem niet verhelpen.
Je maakt zelf het volgen mogelijk.
Je maakt zelf het volgen mogelijk.
Je moet je telefoon dus buiten laten liggen.
Weet jij hoe ver buiten de winkel je die moet laten liggen om te voorkomen dat ze je tracken.
Hmm, als je die telefoon 100 meter voor de winkel laat liggen en je er alleen langsloopt, ben je dus eigenlijk verplicht om dezelfde weg terug te lopen. Anders kom je niet terug bij je telefoon. Al is die dan natuurlijk al lang weg.
Peter
Over de plank mis slaan gesproken... Het gaat om het opgevangen netwerksignaal van je telefoon, aan de hand daarvan kan men precies zien waar je je in een winkel bevindt, hoe lang je ergens stilstaat en welke route je volgt door de winkel. Het gaat in dit geval niet eens over het verkeer wat je eventueel genereert. Dus of je nou wel of geen VPN maakt, je mobiele device is uberhaupt al traceerbaar omdat het netwerk signalen uitzendt. In dit geval biedt een VPN jou dus niks meer dan iemand die zonder VPN zijn mobiele device gebruikt met WiFi en/of Bluetooth ingeschakeld...
Obfuscate: Winkels inlopen met 10 mobielen in je tas. Of de boel frustreren met een draadloze router-zender in de rugzak?
Ik kies tegenwoordig voor hide.
Het gebeurt namelijk ook via de zelfscan. Die scanner is verbonden via wifi met een locatieprogramma, dat precies je gangen in de winkel nagaat. Kan precies zien hoe lang je naar een bepaald artikel of aanbieding staat te kijken, en houdt natuurlijk vervolgens ook bij of je op de aanbieding ingaat. Koppeling van dit gedrag aan een betaalrekening kan ten slotte bij het afrekenen gebeuren........
Je maakt zelf het volgen mogelijk.
Je moet je telefoon dus buiten laten liggen.
Weet jij hoe ver buiten de winkel je die moet laten liggen om te voorkomen dat ze je tracken.
Hmm, als je die telefoon 100 meter voor de winkel laat liggen en je er alleen langsloopt, ben je dus eigenlijk verplicht om dezelfde weg terug te lopen. Anders kom je niet terug bij je telefoon. Al is die dan natuurlijk al lang weg.
Peter
Buiten laten liggen is natuurlijk de enige mogelijkheid...
Wat dacht je van:
1. Thuis laten liggen
2. Geen mobiele telefoon hebben
Zo ver is men dus al heen. LOL
Een leven zonder mobiele telefoon is voor sommigen niet eens meer voor te stellen.
Uitzetten is enige oplossing.
Of je schakelt wifi niet permanent in. Lijkt me gemakkelijker dan je telefoon buiten blijven liggen (bovendien maakt het permanent aanzetten van wifi, of van bluetooth, je ook kwetsbaar voor criminelen en dergelijke. Nog iets vervelender dan deze ''privacy schending'' door de winkelier.
Ik zou wel een proof of concept willen zien van deze techniek; via wifi tracking door muren heen zien wie met wie naar bed gaat. Dan kan enkel in jouw fantasie wereld ;)
Wat ik overigens mis in dit verhaal is informatie over de vraag *welke* gegevens er worden opgeslagen met dit systeem. Wordt de informatie geanomimiseerd ? Of juist helemaal niet ?
het zijn tenslotte persoonsgegevens.
Het draait om 'identiteit': In dit geval het kunnen aanwijzen van een persoon op basis van gegevens, In dit geval:
- Het mac-adres van mobiele apparaten, met name telefoons;
- De signaalsterkte van het geregistreerde wifi- signaal van de apparaten;
- Het serienummer van de sensor;
- Het tijdstip van de meting.
Persoon is identificeerbaar omdat: (1) via nadere stappen, door gegevens die alleen of in combinatie met andere gegevens zo kenmerkend zijn voor zijn persoon
Dit als persoonsgegevens aanmerken gaat veel te ver vind ik. Zo is bijna alles een persoonsgegeven, zeker in het kader van beveiligingsmaatregelen. Het rapport noemt dat een winkel zo dieven (identificeerbaar) zou kunnen opsporen. Graag!
Er staat 2 opmerkelijke zaken in: bedrijf zou geen privacy beleid hebben (pag 6) en (vermoedelijk, tussen de regels door) gebruiken ze een eigen ('slimme vertrouwelijke') hash methode (pag 15) ipv een standaard uit bijvoorbeeld de SHA serie.
Ik neem aan dat het volgende in het rapport fout is (pag 33):
Het CBP heeft in paragraaf 3.5 van dit rapport vastgesteld dat Bluetrace zelf de hashing algoritmen heeft die binnen het bedrijf gebruikt worden. Daarmee heeft Bluetrace de sleutel in handen om de hashwaarden terug te rekenen naar de originele waarden.
Of is dit juist een eigenschap van de eigen slimme vertrouwelijke (dus niet) 'hash' methode?
Raar dat we dit op het internet heel vreemd vinden, maar overal om ons heen waar we de dagelijkse boodschappen doen schijnbaar niet? (omdat we het niet weten).
Mag ik zomaar vreemde mensen gaan afluisteren zonder hen te vertellen dat ik dat doe? (heimelijk), mag ik ook die gegevens dan opnemen zodat ik ze later nog eens kan beluisteren/bekijken?
Mag Bluetrace dat wel?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
