Locatiegegevens van gebruikers van ruim honderd Nederlandse apps, waaronder Buienalarm, worden op internet verkocht, zo stelt BNR op basis van onderzoek dat het samen met het Duitse Netzpolitik.org, de Franse krant Le Monde, het Amerikaanse Wired, de Noorse omroep NRK, de Zweedse krant Dagens Nyheter en de Beierse omroep BR uitvoerde.

De gegevens zijn afkomstig van een datahandelaar die eerder bekendstond als Datastream Group, maar nu onder de naam Datasys actief is. De onderzochte dataset bestaat uit 380 miljoen locatiegegevens afkomstig uit 137 landen, gekoppeld aan zo'n veertigduizend verschillende apps. De locatiegegevens bevatten ook het mobiele advertentie ID van de smartphone, wat als een uniek kenmerk fungeert en het eenvoudiger maakt om mensen te volgen.

Sommige van de apps in de dataset hebben geen nauwkeurige locatie van hun gebruikers, terwijl andere apps over de exacte locatie van gebruikers beschikken. In het geval van de eerste categorie zijn gebruikers niet op basis van hun gps gelokaliseerd maar op basis van ip-adres. Waar de data precies vandaan komt is onbekend. Volgens Netzpolitik.org is er veel dat suggereert dat de gegevens door middel van real-time bidding (RTB) zijn verzameld.

Elke keer dat iemand een website bezoekt of app gebruikt en een gerichte advertentie te zien krijgt, worden gegevens over wat hij of zij leest of bekijkt naar bedrijven gestuurd. Dit worden ook "bid requests" genoemd. Advertentiebedrijven versturen deze gegevens naar tal van bedrijven om zo adverteerders in real-time te laten bieden om advertenties aan bezoekers te tonen. Bedrijven kunnen zo gericht adverteren.

De bid requests die dit mogelijk maken bevatten vaak allerlei persoonlijke informatie van internetgebruikers, zoals hetgeen dat de bezoeker leest of bekijkt, locatiegegevens, informatie over het gebruikte apparaat, uniek tracking-ID en ip-adres. Sommige van de apps in de onderzochte dataset hebben miljoenen gebruikers, aldus de onderzoekers. Die voegen toe dat de app-ontwikkelaars zelf ook niet altijd precies weten hoe gegevens van hun gebruikers bij de datahandelaar terecht zijn gekomen.

Anouk Ruhaak, voorzitter van de Stichting Data Bescherming Nederland (SDBN), stelt tegenover BNR dat hier sprake van een grootschalige privacyschending is. "Het is heel eenvoudig om iemand hiermee te identificeren en te volgen. Ook met ip-data. Dit kan jaren later nog schadelijke gevolgen hebben." Datasys wilde niet op vragen van de onderzoekers reageren, maar stelt online dat gebruikers toestemming hebben gegeven voor het delen van gegevens. Onlangs bleek dat een aanvaller heeft ingebroken bij een datahandelaar genaamd Gravy Analytics. Daarbij zijn de locatiegegevens van mogelijk miljoenen mensen buitgemaakt.