Facebook plaatst trackingcookie bij Europese opt-out-site

Facebook volgt ook gebruikers op zijn site die geen account hebben of die nadrukkelijk aangegeven hebben niet gevolgd te willen worden, zo blijkt uit Belgisch onderzoek. Hiermee zou het sociale netwerk Europese cookieregels schenden.

De Belgische wetenschappers deden in opdracht van de Belgische privacycommissie onderzoek naar de trackingmogelijkheden van Facebooks sociale plug-ins op sites van derde partijen. Daarbij gaat het onder andere om de Like-knop en embedded berichten. Bij een scenario lieten ze een persoon die geen Facebook-account heeft, een pagina op het facebook.com-domein en vervolgens een andere site met zo'n sociale plug-in bezoeken. Bij het bezoeken van de site, gayworld.be, bleek een onbeveiligde 'datr'-cookie met browser-id en houdbaarheidsdatum van twee jaar naar het Facebook-domein gestuurd te worden. De cookie bevatte de url van de bezochte site. Als een gebruiker niet vooraf een site binnen het Facebook-domein geeft bezocht, wordt geen cookie geplaatst, ondervonden de onderzoekers.

Als een Facebook-gebruiker ingelogd is en een site met sociale plug-in bezoekt, worden in totaal 11 cookies geplaatst, waaronder 'datr'- en 'fr'-trackingcookies. Ook als de gebruiker de browsertab met Facebook sluit, blijven de cookies naar het Facebook-domein gestuurd worden; pas als de browser geheel afgesloten wordt, stopt dit. Daarnaast ontdekten de onderzoekers dat als gebruikers uitloggen bij Facebook, de dienst nog steeds cookies in de browser blijft volgen als internetters sites met Facebooks sociale plug-ins bezoeken.

Bovendien bleek dat de cookies behouden bleven, ook als een gebruiker zijn Facebook-account opzegt, bijvoorbeeld vanwege privacybezwaren. Wie dus met een gedeactiveerd account een site bezoekt met een Like-knop, blijft trackinginformatie naar het Facebook-domein sturen.

Facebook raadt gebruikers die niet gevolgd willen worden zelf aan dit aan te geven bij de dienst Youronlinechoices van de European Interactive Digital Advertising Alliance. Wie een Europese versie van die opt-out-site bezoekt, krijgt de datr-trackingcookie en nog drie andere cookies van Facebook. Zelfs als de gebruikers de optie 'Alle bedrijven uitzetten' activeert, blijft de datr-cookie behouden. Wie vervolgens sites met Facebook-plug-ins bezoekt, blijft dus gevolgd worden, ondanks de nadrukkelijke opt-out-keuze. Wie het Amerikaanse of Canadese onderdeel van Youronlinechoices bezoekt, krijgt de cookies niet.

Volgens Europees recht moeten internetdiensten het nadrukkelijk aangeven als ze cookies plaatsen, iets wat Facebook niet doet volgens de onderzoekers. De dienst zou dan ook in strijd met Europees recht handelen. Facebook lag eerder al onder vuur vanwege vergelijkbare praktijken.

Het onderzoek is uitgevoerd door onderzoekers van het Computer Security and Industrial Cryptography-department van de Universiteit van Leuven en het Smit-departement van de Vrije Universiteit van Brussel. De bevindingen zijn onderdeel van omvangrijker onderzoek naar Facebooks beleid, in opdracht van de Belgische Privacycommissie.

Reacties (101)

Dit valt toch vrij simpel te voorkomen door 3rd party cookies standaard niet te accepteren? Ik gebruik sporadisch nog mijn facebook account maar dan alleen in een ingocnito tabblad. Er blijft op deze manier geen enkele facebook cookie hangen.

Dit valt toch vrij simpel te voorkomen door 3rd party cookies standaard niet te accepteren?

Nee. Facebook kan vrij eenvoudig via de javascript voor hun like button een cross-domain proxy op basis van een iframe in elkaar hameren waardoor ze alsnog gewoon een cookie vanaf een andere website kunnen zetten, maar dan als first-party; geproxyd via een iframe dat wel op één van hun eigen domains zit.

Misschien zit ik met een andere partij in de war, maar ik meen me te herinneren dat ze dit zelfs al zo doen wanneer gedetecteerd is dat third party cookies uit staan.

[Reactie gewijzigd door R4gnax op 31 maart 2015 20:05]

Dit valt toch vrij simpel te voorkomen door 3rd party cookies standaard niet te accepteren?

Maar dit is beter te blokkeren door social media instellingen in bijv. AdblockPlus aan te zetten (staan standaard uit), waardoor de hele like knoppen niet meer ingeladen worden.

Waar zou dat precies moeten zitten? Of bedoel je dat vinkje van bepaalde zaken toelaten? Moet er wel bij zeggen dat ik ABL gebruik ipv ABP aangezien ik Pale Moon gebruik.

Denk trouwens dat je beter Disconnect voor dit soort zaken kan gebruiken dan ABP en soortgelijke add-ons.

>> Facebook raadt gebruikers die niet gevolgd willen worden zelf aan dit aan te geven bij de dienst Youronlinechoices van de European Interactive Digital Advertising Alliance.

Mooie omgekeerde wereld...

Precies. Ik vind dat ook dat standaard opt-out verboden moet worden en alleen maar opt-in een mogelijkheid moet zijn.

Dat werkt ook niet.
Dat hebben we al gezien met de cookie richtlijn:
==> Accepteer ons cookiebeleid anders kunt u geen gebruik maken van deze site.

dan gebruik je zo'n site niet er zijn genoeg alternatieven tegenwoordig.

Ze staan hier toch ook op Tweakers? Wil je daar ook niet meer komen?

En, mind you, dat "accepteren van cookies"-knopje wordt wel leuk weergegeven, maar dat is NADAT de cookie al wel geplaatst is.
Want je hebt de site immers al bezocht.
Als je dan nee klikt wordt die cookie ook niet weer netjes weggehaald.
Ik heb het dan over sites als VK, AD, etc.

[Reactie gewijzigd door HMC op 31 maart 2015 16:15]

Dat zou dan wel in strijd zijn met de wetgeving geloof ik. Niet dat de cookiewetgeving nou echt zin heeft ofzo

Bijna alle overheidssites deden dat in reactie op de "cookie" wet...

Weinig alternatieven...

[Reactie gewijzigd door wjn op 31 maart 2015 16:13]

Heb je het bericht gelezen? Als example.com een like knop weergeeft, wordt je dus getracked. Hoe kun je nou als gebruiker weten dat example.com je (indirect via Facebook) tracked? Als je nooit op die site bent gekomen, kun je dat moeilijk weten hè...

Sites kunnen perfect werken zonder tracking/reclame cookies.

Opereren wel, verdienen minder.

Dat zou geen eerlijke keuze zijn en daarmee geen valide opt-in.

Zou ze inderdaad sieren om het ten eerste te vragen en ook met een eenvoudige, nee dank u, ook hier gehoor aan te geven. Maar tracking en big data zijn hun inkomsten, dus proberen ze op alle mogelijke manieren om toch die data te vergaren.

zou ze sieren, tja daar doen ze het niet voor. Het gaat om de poen.

Wat mij altijd verbaas is, ik rij te snel, flits bekeuring. Niet betalen, hogere boete.
Dit soort bedrijven lijkt er structureel mee weg te komen om de wet aan hun laars te lappen.

als ze wel een boete krijgen dan is dat ten opzichte van de inkomsten die ze genereren door toch met deze illegale praktijken door te gaan een schrijntje, oftewel wie zegt er dat misdaad niet loont ? Je moet gewoon mer binnen harken dan de boetes en dan is het allemaal wel goed te praten...

>> Facebook raadt gebruikers die niet gevolgd willen worden zelf aan dit aan te geven bij de dienst Youronlinechoices van de European Interactive Digital Advertising Alliance.

Mooie omgekeerde wereld...

Hetzelfde als het Bel-me-niet register of hoe ze het nu ook noemen. Een systeem waarbij je gegevens moet opgeven om die vervolgens niet te gebruiken is hypocriet en werkt niet.

Overigens werkt dit dus niet, want men plaatst een cookie dat je geen cookies wilt. Dat kan uiteraard weer gebruikt worden om te tracken ... Plus zodra je je browser cache leegt je weer bij 'af' bent.

Zelf heb ik een veel effectiever methode gevonden:
Tools -> Internet Options -> Delete Browsing History on exit
Tools -> Delete -> 'uitvinken' van Preserve Favorites website data

Dat zet in de praktijk alle tracking uit.

Omgekeerde wereld inderdaad. Exact de reden waarom ik ook niet bij het bel-me-niet register sta. Je NAW gegevens opgeven zodat je niet gebeld wordt....

Ontopic: Facebook's volg gedrag is de reden dat ik járen geleden alles van facebook heb geblokkeerd via een AdBlock custom rule (voor de geïnteresseerden: ||facebook.com^$third-party , ook voor .net).
Sinds een half jaar is daar ook nog Ghostery bijgekomen.

Ik ontdekte Facebook's gedrag toen ik voor een ander project WireShark aan had staan en verzoeken naar Facebook zag gaan als ik sites als business-insider.com bezocht.
Zo te lezen had ik deze bevindingen voor veel geld aan België kunnen verkopen

Gaat bv Ghostery dit soort tracking tegen?

Op deze pagina niet....
Ghostery found 0 trackers
www.facebook.com

Op Tweakers en Fok zie ik ook geen tracking cookies van FB, maar dat komt wellicht omdat ik op FB ingelogd ben?

Nee, omdat tweakers.net simpelweg geen script van facebook heeft opgenomen in de html code.

De like button is er dus, dus dat gebeurt gewoon wel, als ik het goed begrijp.
Daar heeft Tweakers weinig over te zeggen.
(correct me if I am wrong.)

Ik zie geen like button alleen een button met het aantal likes die naar de facebookpagina van tweakers door linkt. Ik denk dus niet dat zie hier kunnen tracken.
Je kan trouwens ook de social buttons blokkeren met je adblocker, dit moet er ook voor zorgen dat ze je niet meer kunnen volgen.

Er zit gewoon een "delen" dingetje onder ieder FP topic. Als je daar op klikt krijg je je opties. Choose.

Edit:
En dit artikel beschrijft nou juist waarom dat niet helpt...geloof ik...

[Reactie gewijzigd door HMC op 31 maart 2015 19:49]

Nooit gezien maar als ik hem inspecteer is ook alleen dit gewoon een linkje en geen iframe dat word ingeladen.

Ok, ik snap.
Daarom vroeg ik eerder ook al om input.
Dus als je niet op "delen" klikt wordt de zooi niet ingeladen?
Dus geen cookies als je niet op "delen" klikt, om je keuze te maken?

Dat is juist wat ik nergens kan vinden.
Voorzover ik weet is dat dus wel zo.
Maar dat kan ik dus mis hebben.

Kan het zo gauw niet vinden maar ik geloof dat er niet te lang geleden in een iteratie genoemd werd dat de social media buttons inderdaad hélemaal niet ingeladen worden tenzij je dat zelf wilt.

Je kan trouwens ook de social buttons blokkeren met je adblocker

Maar dit is de omgekeerde wereld en hierdoor raak je andere bedrijven in hun portemonee voor het gedrag van Facebook. Enige oplossing zijn boetes die het bedrijf pijn doen (een boete van een miljoen doet een bedrijf als FB, Microsoft, Apple of Google niets). Ook al zijn het zogenaamd "bugs" die heel toevallig iedere keer beveiligingen omzeilen en in het voordeel werken van het bedrijf.

Tweakers is nu net de uitzondering die het wel goed doet door het Facebook-plaatje vanaf de eigen servers te hosten.

99% van de sites doet dat niet, die laten een plaatje zien dat op de servers van Facebook staat. Als je browser zo'n plaatje laadt van de servers van Facebook dan komen er cookies mee. Omdat het plaatje vanaf facebook.com komt tellen de cookies niet eens als third-party cookies.

Ok, dat verheldert het één en het ander. Daar was ik zo benieuwd naar.
Ik hoop dat het klopt wat je zegt, maar dat zit wel snor waarschijnlijk.

[Reactie gewijzigd door HMC op 31 maart 2015 20:46]

Pas op met Ghostery. Ze hebben naam gemaakt met hun privacy-minded plugin en Android browser maar ze zijn geen non-profit organisatie. Hoe komen ze dan aan inkomsten? Wel ze verdienen aan jouw data natuurlijk...

https://gigaom.com/2014/1...-focused-android-browser/

Dan maar Disconnect gebruiken hè

Het valt me op dat de reacties nu heel anders zijn dan bij berichten over de "cookie"wet. Over de cookiewet werd moord en brand geschreeuwd terwijl dit precies is waar die wet tegen beschermt.

Mensen willen niet gevolgd worden. De makkelijke oplossing is dan maar alle tracking verbieden. Dat vinden de webmasters weer niks want die vrezen voor hun inkomsten. Het compromis is dan toestemming vragen voor tracking cookies. Mensen willen echter ook niet lastig gevallen worden met pop-ups.

Helaas heeft de cookiewet de schuld gekregen en niet de websites. De websites waren dan ook zo slim om berichten te posten als "door die stomme cookiewet moeten we je pesten met dit bericht". Ik snap ook wel dat ze niet schrijven "wij willen iets dat eigenlijk niet mag van de wet dus je moet nu toestemming geven" maar dat is waar het imho wel op neer komt.

Het is treurig om te zien hoe de regering wordt beschuldigd van gebrek aan kennis van internet terwijl ze in dit geval wel hebben begrepen dat er iets moest gebeuren terwijl de domme massa het probleem nog niet zag.

Het probleem met de cookiewet vind ik vooral dat ik nu op accepteren moet drukken anders krijg ik de website niet te zien, dit is ook precies wat je eigenlijk niet wilt hebben. Het mooie zou zijn als je een makkelijk systeem, net zoals het in je browser deactiveren van cookies zou kunnen hebben waar de gebruiker zelf bepaald, dus niet de website of die cookies wilt of niet (dus dat ook al ga je niet met de voorwaarden akkoord, dat de website nog steeds werkt).

Ik heb er een sport van gemaakt om dat soort blokkades te omzeilen. Negen van de tien keer is alle content er maar staat er alleen zo'n melding overheen. Als je een beetje handig bent met CSS en de developertools van je browser sloop je die overlays er zo uit
Er zijn een heleboel browserplugins die je helpen om cookies te beheren. Zelf gebruik ik Ghostery en TACO. Als veel mensen dit soort tools gaan gebruiken zullen de websites echter andere manieren vinden om je volgen. Ofwel door je te dwingen om die cookies toch te accepteren ofwel door een andere trackingtechniek te gebruiken. Naast cookies zijn er nog een heel stel andere manieren. Die worden nog niet zo heel veel gebruikt omdat cookies zo makkelijk zijn maar ze zijn al beschikbaar. Tegen sommigen daarvan (zoals fingerprinting) kun je bijna niks doen.

De zo gehate cookiewet heeft daar ik in voorzien. In de hele wet komt het woord cookie niet voor. Het is een verbod op tracking, onafhankelijk van welk technisch middel daar voor gebruikt wordt.

Facebook en een heleboel bannerboeren zijn juist de reden waarom deze cookiewet er is. Deze moeten juist aangepakt worden.

De cookiewet is er nog wel schuldig aan dat die 'stomme cookiemeldingen' tevoorschijn komen.
Als FB en de bannerboeren je niet zouden volgen over alle sites die je bezoekt, dan was de hele cookiewet niet nodig.

En daarom blokkeer ik àlle tracking, dus ook op sites waar ik best wel reclame op wil accepteren...
En hoe meer dit soort informatie naar boven komt hoe meer mensen een Ghostery-achtige plugin gaan installeren of dat browsers anti-tracking functionaliteit gewoon standaard gaan inbouwen (buiten het belachelijke Do Not Track vinkje dat toch genegeerd wordt).
Zou het aantal mensen dat alle tracking blokkeert ondertussen nog niet groot genoeg zijn zodat het de moeite begint te lonen voor adverteerders om een soort failover-reclame beginnen te tonen die géén tracking bevat maar zo toch iets opbrengt?

Ik denk dat het aandeel dat tracking blokkeert erg klein is. Het merendeel haalt zijn schouders op bij dit soort berichten en gaat vrolijk verder. Een ander deel weet niet hoe zich hier tegen te wapenen. Slechts een kleine groep weet wel van wanten en via hen breidt het zich wel uit maar snel groeit het blokkeren nog niet.

Zijn cookies niet al wat voorbijgestreeft? Tegnewoordig wordt je getracked via je browserfingerprint en dat lijkt me helaas nog niet vermijdbaar... (en mocht ik dat fout inschatten: let me know!)

Zit ik hier al het commentaar te lezen, en zie een heleboel langs komen, maar kan nog niet echt een antwoord vinden hoe ik dit dus tegen kan gaan. en hoe ik mede lot genoten binnen de familie hier mee om kan leren gaan.

Werkt iets als adblocker nu wel of niet tegen dit verhaal? werkt het om zoals genoemd alle Facebook domeinen te blokkeren? Of is er eigenlijk niets tegen te doen? Je weet van te voren nooit welke website wel en niet de like button heeft, en of die dan via FB of via een eigen server gaan.

Wellicht werkt facebookdisconnect goed genoeg? Ik gebruik dit al best lang, maar weet eigenlijk niet in hoeverre dit werkt. Er is vast wel een Tweaker die dit kan uitleggen.

Zou gewoon in je firewall de facebook ip's blokkeren, kunnen ze tracken wat ze willen maar je firewall stopt het gewoon

Ik begrijp het niet helemaal, kan facebook mij dus tracken zonder dat ik
lid ben van facebook door een website te bezoeken die de facebook link
gebruiken of mij tracken zodra ik op de facebook pagina kom als niet lid?

Beiden. Facebook trackt je middels de 'Like' knop die op ongeveer elke denkbare site wel te vinden is. En uiteraard kunnen ze volgen wat er op hun eigen servers gebeurt.

Facebook is niet de enige die op deze manier mensen volgt op internet, Google doet het net zo hard met hun +1 knop, Reddit, Stumble, Digg, noem de hele santenkraam maar op.

Elke like of share knop op een site is een tracker. Die dingen koppelen terug naar de achterliggende bedrijven dat jij de knop hebt geladen en op die manier kunnen ze je volgen.

Beste is om Ghostery addon te gebruiken (Firefox) die blokkeert alle sociale knoppen als je ze toch niet gebruikt. Ik heb zelf ook geen facebook

Ik gebruik die ook maar dacht altijd dat als je lid was dat ze je dan kunnen tracken,
maar nu blijkt dus dat ze mijn lidmaatschap niet eens nodig hebben.

Onze privacywetgeving hinkt jaren achterop. En zonder sanctiebeleid gaat het altijd een lege doos blijven.

Gelukkig worden alle Facebook gebruikers buiten de VS bedient door een BV van Facebook in Ierland, welke onder Europese regels valt. Via die route vallen ze dus onder EU privacyregels.

En zoals hier uit blijkt zet dat totaal geen zoden aan de dijk. Ik gebruik een combinatie van peerblock en ghostery om zoveel mogelijk tegen te houden.
Deze optie is ook niet waterdicht, maar goed altijd nog beter als niks.

Maar verwacht niets van de overheid qua privacy. Want privacy is alleen maar lastig voor politie en geheime dienst.

En dat maakt ook maar enig verschil uit omdat...?

Overheden gaan daar niets aan doen, zij vinden het enkel maar handig dat ze maar naar enkele bedrijven hoeven te stappen om daar alle data van iedereen te krijgen. Scheelt hunzelf heel wat geld, moeite en werk om iedereen zelf te tracken. Misschien dat ze er een wetje doorduwen voor de schone schijn zoals die nutteloze cookie wetgeving maar daar zal het ook bij stoppen.

Beste is gewoon om jezelf zoveel mogelijk te beveiligen dat ze geen data krijgen en als ze eens iets te pakken krijgen dat ze er niets aan hebben. Al is het volgens mij bijna onbegonnen werk om 100% veilig te zijn.

Nou, snel allemaal weer klagen en gewoon die social media knoppen op je website laten staan. Dat zal Facebook leren!

Precies. Het is hier op Tweakers al meerdere keren langsgekomen, maar de knoppen staan er nog gewoon.
Tweakers zou hier juist met een vuist op tafel kunnen slaan, maar ja. de inkomsten.
En je moet natuurlijk wel een artikel zoals deze kunnen delen met je "vrienden" zodat zij ook doorhebben hoe "evil" FB wel niet is op...FB.

[Reactie gewijzigd door HMC op 31 maart 2015 16:12]

Hadden ze die youronlinechoices.eu site nou niet zo kunnen maken dat je opt-out van hun eigen cookies? En moest het nou nog Wordpress zijn ook (met natuurlijk 2 verschillende jquery-versies)? Geen verassing dat zoiets niet serieus wordt genomen

Geen verassing dat zoiets niet serieus wordt genomen

Niet alleen dat, maar het is een rubbertegel oplossing.
Iemand vind XYZ aanstootgevend, dus er moet een service opgezet worden om je te beschermen....

WTF ?
Wat is er gebeurd met de zelfstandigheid en het eigen initiatief ?

Als mijn kind over een stoeptegel valt, lach ik hem uit, help ik hem overeind en wijs op de betreffende tegel .. "volgende keer beter uitkijken !"

Niet hem in de pampers wikkelen, een ijsje kopen om hem te stoppen met huilen, en vervolgens de gemeente te bombarderen met drempels, rubbertegels en 'veiligheidsmaatregelen' !
Daar leert hij niets van, de eerst volgende tegel gaat hij WEER op zijn bek, en begint het spel opnieuw ....

Lol, mijn idee, zo doe ik dat ook met m'n kids... Maar een tegel is een tegel en blijft een tegel. 99℅ van de mensen weet niet eens wat voor een dataspoor ze achter laten. Dit is meer een geval alsof iemand je portemonnee pikt, en dat elke dag weer probeert te doen.
Dan moet je je dus steeds beter beschermen. Dit gaat echter maar tot een bepaalde hoogte. In dit geval krijg je elke dag een klap op je achterhoofd en gaan ze er met je portemonnee vandoor...