Samsung heeft een aanvullende stap in de installatie van versie 4.9.7 zijn Magician-software opgenomen, waarin het bedrijf toestemming vraagt voor het verzamelen van gegevens als een ip-adres en device id. Zonder toestemming kan een gebruiker geen firmware-update uitvoeren.
Op verschillende plekken, waaronder Tweakers zelf, melden gebruikers dat de software, waarmee gebruikers hun Samsung-ssd kunnen beheren, een nieuwe installatiestap heeft in de laatste versie. De melding over dataverzameling zou bijvoorbeeld niet aanwezig zijn in versie 4.9.5. In de mededeling stelt Samsung dat het gegevens nodig heeft met het doel om diensten te kunnen uitvoeren en de gebruiker te authenticeren.
Daarbij stelt Samsung dat het onder andere een ip-adres, device id en serienummer verzamelt, maar uit de bewoording blijkt ook dat er aanvullende gegevens opgeslagen kunnen worden. Deze gegevens deelt het bedrijf vervolgens met derden, die het aanduidt als 'affiliates'. Deze staan met Samsung in verband door 'mede-eigendom' of controle door Samsung. Bovendien stelt het bedrijf dat de gegevens buiten de grenzen van de EU kunnen worden opgeslagen en dat het beschermingsniveau van de privacywetgeving in de betreffende landen lager kan zijn.
Ook noemt het bedrijf geen expliciete bewaartermijn, maar zegt het de gegevens zo lang te bewaren als nodig is voor het bereiken van de doelstelling waarvoor zij zijn verzameld. Samsung voldoet met de mededeling aan de verplichting om gebruikers te informeren over het verwerken van persoonsgegevens, maar stelt ook het verkrijgen van firmware afhankelijk van het verlenen van toestemming. Een privacy policy dient er echter over het algemeen alleen toe om een gebruiker te informeren, het is geen document waar men akkoord mee dient te gaan.
Het is onduidelijk of Samsung deze informatie al langer verzamelt, bijvoorbeeld voor het vaststellen van het type ssd, en er nu pas voor gekozen heeft om gebruikers daarover te informeren. Het is nog steeds mogelijk om de software te installeren zonder toestemming te verlenen.
In een zaak voor het Europese Hof van Justitie stelde de advocaat-generaal recentelijk dat ook dynamische ip-adressen in bepaalde gevallen als persoonsgegevens kunnen worden gezien, bijvoorbeeld als een provider beschikt over de aanvullende informatie om een gebruiker te identificeren. De Nederlandse toezichthouder beschouwt een ip-adres als persoonsgegeven.