Google is nog in gesprek met toezichthouders over 'privacylabels' bij apps

Ontwikkelaars van Apple-apps moeten vanaf dinsdag uitgebreide details geven over het datagebruik in hun apps en Apple gaat die tonen in 'privacylabels'. Dit gebeurt op verzoek van toezichthouders en die willen dat ook Google dit doet. Google geeft daar nog geen gehoor aan, maar zegt nog in gesprek te zijn.

De Nederlandse Autoriteit Consument & Markt meldt in een persbericht dat Apple vandaag officieel begint met het informeren van consumenten over datagebruik van apps. Ontwikkelaars moeten vanaf dinsdag uitgebreide informatie geven over hoe apps met data omgaan, als ze nieuwe apps indienen of updates insturen. Die informatie gaat Apple gebruiken om privacylabels te tonen in de App Store.

Apple voegt de labels toe op verzoek van 27 internationale consumententoezichthouders, waaronder de Nederlandse ACM. De toezichthouders zijn verenigd in ICPEN, het International Consumers Protection and Enforcement Network. Die organisatie deed begin 2019 een oproep aan Apple en Google om consumenten duidelijkheid te verschaffen over het datagebruik en de privacy van apps.

In juni kondigde Apple de komst van de privacylabels aan, die zijn gebaseerd op het voorstel van de ICPEN. De toezichthouders hebben ook gesprekken gehad met Google, maar die techgigant heeft nog geen vergelijkbare plannen aangekondigd. De ACM schrijft dat Google tot nu toe geen gehoor heeft gegeven aan de oproep.

Google zegt desgevraagd tegen Tweakers nog in gesprek te zijn met verschillende ICPEN-leden. Inhoudelijk wil Google daar verder niet op ingaan, omdat die gesprekken nog lopen. Naast de ACM heeft ook de Britse evenknie CMA een persbericht online gezet, waarin staat dat er nog gesprekken met Google lopen.

Bij de aankondiging van de oproep aan Apple en Google schreef de ACM dat toezichthouders sancties kunnen opleggen aan de bedrijven als die niet tegemoetkomen aan de gestelde eisen. De ACM is nog niet bezig met een dergelijke vervolgactie, zegt woordvoerder Saskia Bierlings tegenover Tweakers. De woordvoerder bevestigt dat er nog gesprekken met Google lopen.

Privacylabels in de App Store van Apple

Reacties (27)

[Arnoud Engelfriet]

Wat een ontzettend gemiste kans dat er weer "may be" of "can" opduikt in die teksten. Dat zet je toch ook niet op ingrediëntenlijsten van voedsel?

Trackt die app nou mijn locatie of niet? Zo'n moeilijke vraag is dat niet voor de publisher daarvan. En als die het niet weet (oh ja we gebruiken drie frameworks geen idee eigenlijk) dan mag die het gaan uitzoeken voordat de app live gaat. In plaats van dat ik "deze reep bevat mogelijk pinda's" lees met mijn allergie*.

Ik snap het ook niet want die developer-pagina bij Apple is heel duidelijk dat je het moet weten:

You’ll need to understand whether you and/or your third-party partners use data from your app to track users and, if so, which data is used for this purpose.

Daar zit geen stukje "maybe can sometimes" aan, toch? Waarom komt het nou zo in de appstore terecht?

* Jaja, "kan sporen bevatten" ken ik natuurlijk maar dat is natuurlijk iets anders dan de hele peulvrucht.

[CAPSLOCK2000]

Goed plan, al ben ik wel een beetje bang dat de meeste mensen niet gaan snappen waar al die labels op slaan. Hopelijk blijft er iets hangen als "veel labels is slecht".

Eerlijk gezegd heb ik persoonlijk al moeite met "identifiers". Ik denk dat ze je 'naam' en 'acocuntnummer' bedoelen, maar als ik er al naar moet gokken dan ben ik bang dat het voor de meeste mensen helemaal onbegrijpelijk is.

Maar goed, "veel labels is slecht" werkt ook als je de labels niet snapt.

Het worst-case scenario is dat mensen het verkeerd gaan uitleggen. Toen ik als tiener naar de videotheek ging zochten wij de films uit met de meeste waarschuwingen over geweld en sex enzo.

[Reactie gewijzigd door CAPSLOCK2000 op 22 juli 2024 13:51]

[unfold]

Je hebt eigenlijk twee soorten labels:
- Prescriptief. Deze geven een mening "goed" of "slecht" wordt dan bijvoorbeeld samengevat in een score of een kleurtje.
- Descriptief. Deze labels proberen 'objectief' te blijven, en vooral te beschrijven wat er met de data gebeurt, zonder daar een oordeel over te vellen.

Apple's nieuwe app labels zijn bijvoorbeeld descriptief. Google's label zal waarschijnlijk ook deze aanpak kiezen.

Zelf werk ik al 3 jaar met enkele Nederlandse partijen ook aan een descriptief label, genaamd privacylabel.org. De EU heeft namelijk in de AVG gezet dat ze in een later stadium wellicht 'icoontjes' verplicht willen stellen. Hun icoontjes waren dramatisch slecht, dus wij wilden iets beters maken.

Een grote vraag waar we mee worstelden is inderdaad "snapt mijn moeder het". Het lastige is dat de gemiddelde Nederlander op dit moment niet genoeg van het issue snapt. Zo denken de meeste mensen nog steeds dat de profielen vooral gebruikt worden om toegespitste advertenties te tonen- een stadium dat we allang voorbij zijn (zie Cambridge Analytica). Ook denken veel mensen dat "eigenaar zijn over je data" de oplossing is, terwijl het juist gaat om de 'afgeleide' data. De scores die over je worden berekend, die zijn waardevol. En Amerikaanse bedrijven zeggen dan: die scores, dat is niet jouw data, dat is onze mening over over jou.

Enfin, we vermoeden dat over een paar jaar het kennisniveau iets hoger is, en daar anticiperen we dan ook op.

Schaamteloze plug, maar: wie dat wil kan het label nu gebruiken. Het project is open en open source.

Sailant detail is dat we dat label telkens vergelijken met de 'ingredientenlijst' van voedingswaren. Toen Apple's label uitkwam waren we verrast dat Apple precies dezelfde metafoor had gekozen.

[Reactie gewijzigd door unfold op 22 juli 2024 13:51]

[Cerberus_tm]

Mooi initiatief, goed en overzichtelijk. Ik heb twee vragen/suggesties:

- "Location" suggereert mij, als naïeve gebruiker die niets leest, dat het om privégegevens over mijn locatie gaat. Toen ik de tekst erbij las, dacht ik wel te begrijpen dat het daarom niet ging, maar ik blijf het een beetje verwarrend vinden. Misschien beter zoiets als "Data stored where:"?

- Ik zou ook heel graag nog zien wat om wat voor privégegevens het precies gaat. Gebruikt deze organisatie mijn browsegegevens, locatie, inhoud van berichten, of wat allemaal? Dat is belangrijk.

[Janbraam]

- Ik zou ook heel graag nog zien wat om wat voor privégegevens het precies gaat. Gebruikt deze organisatie mijn browsegegevens, locatie, inhoud van berichten, of wat allemaal? Dat is belangrijk.

Ik meen mij te herinneren, dat zodra het gaat over data, helemaal niet over de inhoud van de data gaat (het antwoord op een vraag van jouw vriendin/moeder/vader/#wiedanook), maar dat het gaat over metacommunicatie. Oftewel: hoe vaak stuur jij berichten, naar wie stuur jij berichten, hoeveel tekens gebruik jij, deel je media, wat voor media, van welke partijen is die media enz. enz. enz. Wat voor apps gebruik je, wat is jouw OS, als je foto's verstuurt, wat zit er in jouw EXIF-informatie (!)

[Cerberus_tm]

Van alle gegevens, zowel meta- als non-meta-, zou ik willen weten welke een partij precies van mij verwerkt...

[unfold]

@Cerberus_tm Goeie feedback over het locatie icoon, dank je!

Er is ook een 'advanced' optie van het label waarbij je ook de details die je noemt kunt bijhouden. Dat deel is optioneel, en hebben we voor nu even in de ijstkast gezet. Het is nu een beetje verstopt op de website omdat we een fijnere, simpelere tool hebben gebouwd om label te genereren. Veel partijen hebben ook niet zo de behoefte om in zulk detail te communiceren, mede omdat het label dan sneller achterhaald raakt. Maar je kunt het hier uitproberen.

[Reactie gewijzigd door unfold op 22 juli 2024 13:51]

[Cerberus_tm]

Goed om te weten. Ik hoop dat Europa jullie initiatief zal aangrijpen...

[c-mattic]

Goed plan, al ben ik wel een beetje bang dat de meeste mensen niet gaan snappen waar al die labels op slaan.

Je hebt helemaal gelijk. Ik vermoed dat de meeste identifiers niet zoveel zeggen voor de meeste gebruikers van apps. Zij hebben geen idee hoe datapunten worden gecombineerd en effectief gebruikt. Bijvoorbeeld, ik weet dat Zalando aankoopgedrag gebruikt om lifestyle clusters te maken en te verkopen aan targeting partijen. Op basis van mobile advertising ID's (MAID) kan je dan advertenties tonen aan bv mensen die recent kinderkledij gekocht hebben. Natuurlijk kan je dit veel verder verfijnen door andere data te koppelen (demografie, inkomen, sportgedrag,...). Noem maar op, bijna elke grote app verkoopt data (al is het maar je locatiedata die ze zonder dat je het doorhebt frequent opvragen op de achtergrond).

Het is pas eens data zwaar misbruikt wordt en de bevolking bewust emotioneel, financieel of fysiek geraakt zal worden dat er verandering zal komen die verder gaan an ellenlange wettelijke voorwaarden of nietszeggende (te) vereenvoudigde pop-ups zoals deze. Althans dat is mijn gevoel.

[WillySis]

Goed begin!
Eigenlijk zou elk bedrijf bij elke app gewoon netjes moeten vermelden welke data ze verzamelen, hoe vaak en waar ze de data voor gebruiken en met welke apps of partners data wordt gedeeld.

Gewoon volledige transparantie vooraf.

[er0mess]

Ik kan dit alleen maar toejuichen.

Nu Windows nog

[Javaantje_75]

En Google dus ook

[copi]

Wat ik me afvraag of de data die Google en Apple op de achtergrond verzamelen (door gebruik van api en/of sdk) ook wordt meegenomen in het label

[Chinco]

Daar zit het waarschijnlijk het grote probleem voor Google...

[gr0bi]

Of dit nu echt verbetering met zich mee brengt. Mensen lezen sowieso slecht en klikken vaak door omdat ze snel gebruik willen maken van een app of service. Dat daar dan een extra mogelijke informatievoorziening bij komt is op papier mooi bedacht maar zal in de praktijk vermoed ik niet veel uithalen.

Doet me denken aan vreuger. De berg aan meldingen die Google een tijd geleden toonde in o.a. Gmail, Zoeken en tal van andere services m.b.t. een nieuwe privacy policy o.a. Pop-ups, knoppen, e-mails aan gebruikers, meldingen dat men MOEST lezen alvorens akkoord te gaan want het was belangrijk.
Ik zat toentertijd nog op hun helpforums en we verwachtten een stortvloed aan meldingen over de irritante pop-ups, meldingen en dergelijke....bleek dat men zo snel mogelijk alles wegklikte om maar de service te kunnen gebruiken .

[erwn]

Hopelijk draagt de transparantie wel bij aan het beperken van de benodigde toestemmingen. Al is het maar omdat de technische voorhoede het wel leest en over het thema schrijft in reguliere media.

Het zal allicht een stap vooruit zijn.

[gr0bi]

Laten we het hopen! Al zou ik zeker inzetten ook op het digitaal opvoeden van mensen 😁. Het is af en toe verassend om te zien hoe scheef men denkt over dit soort zaken.

[Vexxon]

Nogal logisch dat Google dit niet wil, al die standaard geïnstalleerde apps van Google harken nogal wat data binnen

[rickboy333]

Tja, slager die zijn eigen vlees keurt, ookal is het vlees van verschillende boeren.

[SinergyX]

Dus je krijgt dan alleen de bevestiging van waar je al zeker het vermoeden van had, in de vorm van een plaatje waarom de 'mogelijkheid' staat dat deze data klopt.

Labels zijn 0,0 waard, acties is waar zulke zooi hoort. Apps die net eens werken als je ze geen toegang geeft tot contacten of locatie, geweldig dat je dat nu via een label te zien krijgt.. maar zulke shit hoort niet eens te bestaan. En nee, we praten dan niet over een navigatie app, gewoon simpele zooi als een DB-meter en een tetris game.

[NxCPU]

Ontwikkelaars van Apple-apps moeten vanaf dinsdag uitgebreide details geven over het datagebruik in hun apps en Apple gaat die tonen in 'privacylabels'.

Dinsdag vandaag, of dinsdag volgende week?
IK heb ze nog niet gezien. Dus kan ik aannemen dat ze pas vanaf volgende week dinsdag (eventueel) verschijnen?
Is dit ook van toepassing voor reeds geinstalleerde apps?

[funnel20]

• Dinsdag als in gisteren, aangezien de verwijzing in het artikel 8 December noemt.
• Dat is de datum waarop developers verplicht worden om voor nieuwe apps én updates voor bestaande apps, deze privacy data toe te voegen.
• Reeds geïnstalleerde apps waarvoor geen update beschikbaar is, zijn dus niet verplicht en hoeven deze privacy data niet in de App te Store te tonen. Een ontwikkelaar kan er wel voor kiezen om alsnog voor een bestaande app zonder update deze privacy data toe te voegen aan de App Store product pagina. Omdat wij deze transparantie toejuichen, hebben wij dit zelf voor een aantal apps gedaan, waarvan op korte termijn geen updates noodzakelijk zijn.
• Wanneer de privacy data zichtbaar wordt is nog de vraag. Gezien de Release Notes van iOS 14.3 Release Candidate gisteravond, lijkt het erop dat iOS 14.3 geïnstalleerd moet zijn:

  Privacy
  - New privacy information section on App Store pages that includes a developer-reported summary of the app’s privacy practices

  Ondanks dat wij deze versie geïnstalleerd hebben, zijn de privacy details van onze apps nog niet zichtbaar in de App Store. Apple zal het dus later of gefaseerd uitbrengen. Mogelijk doet Apple dat volgende week, als iOS 14.3 publiekelijk beschikbaar wordt.

[Reactie gewijzigd door funnel20 op 22 juli 2024 13:51]

[NxCPU]

Hartelijk dank voor de uitgebreide uitleg. Ik had de informatie op de developer website waar dit artikel naar verwees inderdaad niet gelezen. Het is nu duidelijk waarom ik labels nog niet kon zien. Ik hoop dat er meer ontwikkelaars zijn die ze toch aan reeds bestaande apps, zonder updates, toevoegen. Want ik ben toch wel benieuwd wat verzameld wordt.
Ik kan je reactie helaas niet als Informatief of Spotlight modereren want ik zie dit : "Reacties op je eigen reactie kan je niet modereren.". Nogmaals hartelijk dank.

[funnel20]

Graag gedaan.

En dan nu de keerzijde...
Een probleem is dat de meeste ontwikkelaars los van hun eigen algoritmes, ook software van derden in hun apps integreren. Bijvoorbeeld om in te loggen, voor analyse, reclames en crash logs.
Grote spelers in deze markt zijn (je verwacht het niet): Google (AdMob), Facebook en Twitter (MoPub). Maar ook honderden advertentie bedrijven.
Deze leveren allemaal SDKs, die ontwikkelaars in hun app stoppen en zo deze data-hongerige bedrijven blijven voeden.

Om de privacy details van je eigen app in te vullen, moet je als ontwikkelaar dus de details van ieder van deze SDKs die je gebruikt weten. Als ontwikkelaar ben je dus afhankelijk van deze partijen of zij op tijd duidelijke en eerlijke inzage geven in hun gedrag ten aanzien van deze Apple privacy details.

Aangezien dit artikel over Google gaat, kan ik wel verklappen dat Google ook weinig behulpzaam is richting iOS ontwikkelaars, op hun eigen GitHub pagina van hun Firebase SDK.
Uiteindelijk hebben ze pas een paar dagen geleden na 5 maanden een lijst gepubliceerd die niet 1 op1 matcht met de lijst van Apple.
Iedere ontwikkelaar of hun juridische afdeling moet nu met de hand deze vertaalslag maken. Naast het risico dat dit voor ieder individu multi-interpretabel is, zal hier ook weinig animo, tijd of budget voor zijn.
Of hier dus een eenduidig en transparant beeld uit komt in de vorm van de App Store privacy badge vraag ik me af.

Een ander 'gevaar' is dat (net als vaak bij de Privacy Policy) alles maar aangekruist wordt, zodat Apple hun App Store account nooit kan sluiten, aangezien alles wat hun app doet altijd binnen de maximaal opgerekte privacy badge valt. Alleen weet je dan als gebruiker nog steeds niet wat ze exact doen, behalve dat ze alles verzamelen en tracken.

Ondanks de goede bedoelingen is er een kans dat deze verbetering een wassen neus wordt, net als de cookie wet.

[Reactie gewijzigd door funnel20 op 22 juli 2024 13:51]

[NxCPU]

Wat een beerput. Het slechtse, voor mij althans, vind ik wel dat de getoonde informatie hoogstwaarschijnlijk niet juist gaat zijn.

[NxCPU]

Excuus. Verkeerde niveau.

[Reactie gewijzigd door NxCPU op 22 juli 2024 13:51]

[funnel20]

De privacy labels zijn nu beschikbaar in de App Store, mits je de iOS 14.3 update van gisteren installeert.
Of via de web versie van de App Store; Google bijvoorbeeld met je desktop op "App Store marktplaats".
Vergeet niet op de knop "Zie details" te klikken, want dan wordt de complete lijst zichtbaar, met de maximaal 6 "Data use" categorieën per badge.

Om de rest van mijn bericht te begrijpen, eerst wat definities van de Privacy labels.
Er zijn 3 vormen van data collectie:

• Gegevens die worden gebruikt om je te volgen
• Aan jou gekoppelde gegevens
• Niet aan jou gekoppelde gegevens

Binnen elke vorm zijn er 6 categorieën:

• Reclame van derden
• Reclame of marketing van de ontwikkelaar
• Analyses
• Product­personalisatie
• App-functionaliteit
• Andere doeleinden

Binnen elke categorie geldt de lijst van Apple met 32 types data.

Zoals ik in mijn post hierboven al aangaf, kruizen sommige apps maar van alles aan. Zo ook de #1 app in Nederland; WhatsApp. Maar liefst 32 items in 5 van de 6 "Data use" categorieën. En allemaal "Aan jou gekoppelde gegevens".
Dat hadden we stiekem wel verwacht van een Facebook product.

Maar dit verbleekt bij bijvoorbeeld de Marktplaats app:

Gegevens die worden gebruikt om je te volgen
43 items in 5 categoriën

Aan jou gekoppelde gegevens
48 items in 5 categoriën

Niet aan jou gekoppelde gegevens
11 items in 5 categoriën

Schaamteloos. Maar gaan mensen de app minder gebruiken? Vul zelf maar in...