'Info in privacylabels op Play Store komt vaak niet overeen met privacybeleid'

Een groot deel van de populaire applicaties in de Google Play Store geeft foutieve informatie weer over welke data wordt verzameld en gedeeld. Dat concludeert Mozilla, dat naar veertig apps keek en zag dat de informatie in het Data Safety-veld niet overeen kwam met die in het privacybeleid.

Mozilla onderzocht de twintig populairste gratis en de twintig populairste betaalde applicaties in de Play Store. Het bedrijf keek daarbij specifiek naar de informatie die de appmakers onder het privacylabel zetten. Die privacylabels zijn een initiatief dat Google in 2021 opzette. Appmakers moeten met zo'n label aangeven welke informatie hun apps verzamelen en welke ze delen met derde partijen.

Mozilla vergeleek de informatie onder het privacylabel met de informatie in algemene voorwaarden en privacybeleiden van de apps. In bijna tachtig procent van de gevallen zaten er 'discrepanties' tussen die twee bronnen. Zo schrijven TikTok en Twitter allebei in de Play Store dat ze geen informatie doorsturen naar derde partijen, maar in hun privacybeleid staat van wel. In zestien gevallen waren er 'grote verschillen' tussen de bronnen en in slechts zes van de veertig gevallen was die informatie volgens Mozilla 'ok'.

Volgens Mozilla laat Google meerdere steken vallen bij het controleren van de privacylabels. Die zouden zitten in het aanmeldlabel dat makers moeten invullen als ze een app in de Store zetten. Zo zou Google een beperkte definitie van anonimisering hebben en zouden appmakers niet hoeven door te geven wanneer data naar 'dienstverleners' wordt gestuurd. Ook hoeft niet te worden opgenomen in het label als data geanonimiseerd wordt, waar veel appmakers zich op beroepen.

Reacties (36)

[- peter -]

Toen ik die labels moest invullen, heb ik ook naar enkele concurrenten gekeken. 'Vreemd' genoeg verzamelden die absoluut geen data, terwijl ze gewoon analytics gebruikten en ads toonden. Ik vond dat wel erg demotiverend om zelf dan wel accuraat te zijn. Maar goed, toch maar gedaan. Het heeft me wel geholpen om minder data te gaan verzamelen, maar het blijft oneerlijke concurrentie zo.

[Aldy]

Ja joh, dat is de handel. Vaak snel geld maken. Maar mijn ervaring is dat eerlijkheid zich op den duur altijd uitbetaalt.

[Nas T]

Het verbaast me ook niet meer.
Ik vraag me af hoe lang we nog aan het datadelen blijven vasthangen, of dat we ooit vanuit het principe nul gaan werken: er mag niks verzameld worden, behalve datgene wat absoluut noodzakelijk is (een adres bij het verzenden van een pakket).

[Annihlator]

Eigenlijk is dat al een beetje zo, maar het moet vooral in de uitvoering/praktijk nog blijken.

Zou fijn zijn als er mbt privacy-wetgeving onwettige dingen gebeuren voor een land waar de developer de app wel wil distribueren de app wereldwijd op zwart gaat totdat de developer het vinkje voor het land waar ze onwettige dingen doen uitzetten, kijken hoe snel dan vervolgens wél de veranderingen geïmplementeerd worden.

Het is gewoon hetzelfde verhaal als de cookiemuur, genoeg sites die geen "zo min mogelijk" knop aanbieden of dat via "customise mijn wensen" verstoppen en dan vervolgens allerlij "legitiem belang" vinkjes te zetten die zachtgezegd discutabel zijn... als het daadwerkelijk legitiem belang had geweest, had ik ze vast niet hoeven/kunnen uitschakelen.

[Reactie gewijzigd door Annihlator op 29 juli 2024 13:56]

[dasiro]

Zou fijn zijn als er mbt privacy-wetgeving onwettige dingen gebeuren voor een land waar de developer de app wel wil distribueren de app wereldwijd op zwart gaat totdat de developer het vinkje voor het land waar ze onwettige dingen doen uitzetten, kijken hoe snel dan vervolgens wél de veranderingen geïmplementeerd worden.

maar dat kan dus pas als je effectief schuldig bent verklaard aan het overtreden van een lokale wet en dat kan enkel door een overheid worden gedaan. Dat zie ik zo snel nog niet gebeuren voor tientallen bedrijven, waarvan enkele zeer machtige

[Annihlator]

Tegelijkertijd denk ik ook dat áls het een keer met een goed voorbeeld"slachtoffer" zou gebeuren er genoeg bedrijven zich achter de oren kunnen gaan krabben of ze een vergelijkbaar soort gezichtsverlies zouden wíllen lijden.

Het is gewoon vreemd dat er geen enkele vorm van afbakening mogelijk lijkt, want zowel Google als Apple hebben daarin nogal een WC-eend positie en voor eventuele andere appstores zal dat net-zogoed blijken; maar hoe dwing je dan vervolgens privacy wetgeving zoals de EU en NL bieden dan wel af? Zonder dat er een keer een partij met de billen bloot gaat lijkt dat vooralsnog onmogelijk en ergens voelt dat wel vreemd...

En kán het pas na een proces, of zou bijv. google niet toch verplicht zijn om onwettige content van het platform te halen (dat lijkt ze vooralsnog wel), dus kan komen we eigenlijk aan een situatie redelijk vergelijkbaar aan DMCA's/Copyright maar dan onder veel duidelijkere zwart-wit wetletters.

[dasiro]

Dat zal voor elk land anders zijn en het enige consistente antwoord is de rechterlijke macht. Er zullen genoeg landen zijn die de handhaving ervan bij een andere partij leggen, maar dat kluwen ontwarren is de taak van de partij die internationaal zaken wil doen, zelfs als de lokale wetgeving anders is en zéker als die contradictorisch is aan de wetgeving van je thuisland.

[oef!]

Ik denk eerlijk gezegd dat de Apples en Googles van deze wereld er helemaal geen belang bij hebben om hier strak op te handhaven.

Het overgrote merendeel van de rotzooi apps en games die in de stores staan komen uit Azië. Deze apps weghalen uit de store betekent dat je effectief meer dan de helft van de apps kan delisten.

Praktisch alle Android games hebben de vermelding "your data cannot be deleted". Tijd dat de EU hier als een stoomwals overheen rijdt.

[Annihlator]

Ik denk dat dat belang ook enkel uit een wettelijke verplichting voort kan vloeien en ik vraag mij ook wel af of ze niet enige verantwoordelijkheid hebben te waken tegen onwettige praktijken, het lijkt mij vrij stug dat ze geheel vrijuit gaan als ze op de hoogte zijn van wetsovertredingen en daar niks tegen doen (dus vervolgens indirect bemiddelen/toestaan).

[Sando]

Voor niets gaat de zon op. Als je niet met je data wilt betalen, dan moet je met geld betalen. De keuze heb je vaak al, maar we kunnen inmiddels wel constateren dat klanten liever niet met geld betalen.

https://proton.me/
https://mysudo.com/

[ZwolschBalletje]

De keuze tussen ‘de gebruiker moet reclame accepteren / informatie geven of geld betalen’ zou een acceptabel model kunnen zijn. Hoewel ook dan wellicht niet volgens de Nederlandse wet, zie de hevige kritiek hier destijds op het vroegere cookiebeleid op t.net.

Maar dat is niet waar dit artikel over gaat: Mozilla wijst erop dat bedrijven in het privacy label liegen over welke info ze verzamelen. En dat is in ieder verdienmodel verwerpelijk.

[Reactie gewijzigd door ZwolschBalletje op 29 juli 2024 13:56]

[Sando]

Maar dat is niet waar dit artikel over gaat: Mozilla wijst erop dat bedrijven in het privacy label liegen over welke info ze verzamelen. En dat is in ieder verdienmodel verwerpelijk.

Je hebt gelijk. Maar ik reageer op de stelling:

Ik vraag me af hoe lang we nog aan het datadelen blijven vasthangen

Vandaar dus mijn reactie; als we voor de keuze staan: je complete internetgeschiedenis of een Euro, dat we dan overwegend kiezen voor het data delen.

[jmvdkolk]

Volgens mij is de keuze: betalen met geld en je data, of betalen met je data. De meeste apps die ik betaald heb verzamelen alsnog data van mij. Dat doen ze nl. van alle gebruikers.

[MornixRS]

Inderdaad. En die trend zie je ook overal. Ik voorzie een mooie toekomst voor self hosting.

[MornixRS]

Typisch voorbeeld van het verschil tussen woorden en daden. In de praktijk is het met privacy toch vaak het wilde westen: bedrijven doen waar ze mee wegkomen. De slechte controle van Google hierop laat dat ook zien.

[Teun!]

En laten we eerlijk wezen, Google is ook lang niet altijd even transparant/eerlijk geweest over wat er verzameld word en wie daar toegang toe heeft (en niet alleen google, puur even als voorbeeld).

[kodak]

Het is niet slechts een verschil tussen woorden en daden. Het is zelfs een verschil tussen als bedrijven wel de voordelen voor zichzelf willen maar niet verantwoorden voor nadelen voor de gebruikers.
Als het slechts om een verschil tussen woorden en daden zou gaan dan hadden ze op zijn minst overduidelijk laten zien dat hun beweringen kloppen bij wat ze doen. Maar dat doen ze niet.

[MornixRS]

Geen idee wat je hier precies zegt maar ik stel vast dat ze A zeggen (namelijk we delen geen gegevens) en B doen (delen wel gegevens).

[Sniperlogit]

Ik heb een aantal apps in de playstore staan. Google heeft deze in het verleden wel eens verwijderd omdat de informatie niet overeen kwam met wat de app aan rechten gebruikte en wat ik had vermeld. Persoonlijk vind ik het ook best lastig om duidelijk aan te geven welke SDK wat gebruikt..

[david-v]

Dat is precies mijn punt wat ik hieronder schrijf. Het is best wel lastig om dat naar eer en geweten in te vullen. Allerlei sdks die nodig zijn en die vervolgens bepaalde rechten vereisen. Het is al best lastig voor een professioneel bedrijf, laat staan voor mensen die het als bijverdienste doen of omdat ze het leuk vinden om te doen.

[andru123]

En?
Als je dat niet weet, geef aan de allerlaagste privacy niveau - neem aan dat er alle data van gebruiker wordt verzameld. Makkelijk en eerlijk.

[david-v]

Dat is niet de oplossing, ik hoop dat je dat wel snapt. Je wilt als consument weten waarom een app toegang heeft tot je contacten, of je camera, of je locatie. Bij allerlaagste geef je aan dat je toegang wil tot alles wat mogelijk is. Ik denk niet dat veel mensen dan zin hebben om je app te downloaden.

Een beter alternatief zou zijn dat het geautomatiseerd te bepalen is voor een app bouwer welke rechten zijn applicatie een alle bijbehorende sdks nodig hebben van een device. Dus eerst je app uploaden ter review, dan de lijst van permissies voorgeschoteld krijgen en overal de reden opgeven waarom je dat nodig hebt. Daarna pas de app vrijgeven in de store.

[andru123]

Eens, als het gewoon automatisch was makkelijker.
Google moet met een API komen dat alle data op een standaard wijze verzamelt en stuurt, en alle apps moeten dan alleen via die API data verzamelen. Dan kan je ook automatisch controleren.

[Polydeukes]

Data, incl persoonsgegevens, is een betaalmiddel geworden. En mensen zijn gemaksdieren. We willen alles gratis en lezen niet waarvoor we toestemming geven.

[memphis]

Tja, wie controleert het? Google blijkbaar ook niet.

[Accretion]

Het ergste is eigenlijk dat de bedrijven en het management er ook gewoon mee weg komen.

Maar als je als persoon iets verkeerd doet niets doet, kun je al gemarkeerd worden als fraudeur zie toeslagen affaire / of schade aan je huis krijgen (Groningse gaswinning), volgens mij zijn die mensen ook nog niet eens allemaal schadeloos gesteld...

[Reactie gewijzigd door Accretion op 29 juli 2024 13:56]

[swhnld]

Dus de privacy policy en de privacy labels komen niet overeen, maar wat wordt er nu werkelijk verzameld?
Zolang wat werkelijk verzameld wordt past binnen de beide gezamenlijk gedeelde privacy waarden gaat het juridisch gezien goed want je verzameld niet meer dan de gebruiker over geïnformeerd is.
Bij het keuren van de app in de store vind ik dat dat ook gecontroleerd moet worden dat het klopt. Dat mag zelfs wettelijk afgedwongen worden.

[Mizgala28]

Net beide Twitter en TikTok gecheckt op App Store en de info daar lijkt wel wat meer compleet qua privacy (geen idee of het allemaal wel klopt)

_{wat wel opviel in de App Store was dat Twitter meer data graait dan TikTok, dat vond ik wat vreemd met dat laatste}

Want ik ben dan benieuwd of Apple het wel beter doet dan Google, en wat Play Store betreft dit moet beter of ze kunnen er net zo goed meer stoppen met het vermelden ervan.

[Jazco2nd]

Sja, ene kant voorspelbaar andere kant zijn de voorbeelden in dit artikel wel heftig:
https://arstechnica.com/g...misleading-privacy-labels

[david-v]

Tja, de slager die zijn eigen vlees keurt. Had iemand iets anders verwacht dan wat er nu uit het onderzoek is gekomen? En ik ben er van overtuigd dat veel app bouwers wel goeie bedoelingen hebben maar het soms niet goed of verkeerd invullen omdat ze niet beter weten.