Ontwikkelaars moeten opletten: GitHub CLI verzamelt nu telemetrie met opt-out

Ontwikkelaars die GitHubs commandline-interfacetool gebruiken, doen er goed aan hun privacyinstellingen in de gaten te houden. GitHub heeft stilzwijgend telemetrie toegevoegd aan de tool. Dat is via een opt-out uit te schakelen, maar wie dat niet doorheeft omdat GitHub dat niet heeft gecommuniceerd, heeft pech.

Wat is GitHub CLI?

Cli staat voor commandline-interface. GitHub CLI is een tool die in 2020 uitkwam en die het mogelijk maakt voor ontwikkelaars om hun repository's te beheren via een command line, ofwel via een terminal. Zo kunnen ze nieuwe branches maken, repo’s klonen of merges uitvoeren. Dergelijke tools worden de laatste maanden in toenemende mate populair nu AI-agents gekoppeld kunnen worden aan cli’s. Dat maakt het mogelijk om geautomatiseerd(er) te programmeren.

The Register merkt op dat de website voor GitHub CLI plotseling een extra kopje in de footer bevat: 'Telemetry'. In de Wayback Machine is te zien dat dat kopje ergens in de afgelopen week is toegevoegd aan de pagina, zonder dat gebruikers daar actief over zijn ingelicht.

Volgens GitHub verzamelt de tool voortaan 'pseudonieme telemetrie die helpt ons product te verbeteren'. De tool verzamelt voortaan 23 verschillende datapunten over het gebruik, zoals data over de cpu-architectuur, maar ook welke agent_hosts ontwikkelaars gebruiken of welke zichtbaarheid repo's hebben. Sommige van die gegevens worden alleen verstuurd bij het gebruik binnen een bepaalde scope, maar andere weer niet.

Ontwikkelaars kunnen logging inschakelen om te zien welke informatie de tool over hen verzamelt en meestuurt. Ook verwijst GitHub naar de repo waarin gebruikers kunnen zien welke data er precies wordt gelogd.

Het gaat om een opt-outfunctie. Ontwikkelaars kunnen zich op drie manieren afmelden voor de dataverzameling:

  • Via de gh_telemetry-variabele: export GH_TELEMETRY=false
  • Door do_not_track aan te zetten: export DO_NOT_TRACK=true
  • Of door de configuratie aan te passen: gh config set telemetry disabled

Het is niet erg verrassend dat GitHub CLI data gaat verzamelen, maar dat het proces stilletjes en plotseling gebeurt zonder duidelijke communicatie richting gebruikers is wel opvallend. Het bedrijf zegt dat het dat doet om beter te leren hoe gebruikers AI-agents gebruiken. "We gebruiken deze data om ons werk te prioriteren en te evalueren welke functies echte gebruikers nodig hebben."

GitHub Microsoft

Door Tijs Hofmans

Nieuwscoördinator

24-04-2026 • 16:55

56

Submitter: wildhagen

Reacties (56)

Sorteer op:

Weergave:

Kan iemand een voorbeeld gegeven waarom je telemetry nodig bent om software te ontwikkelen? Dit soort telemetry klinkt meer als een stat counter die ook voor browser markt aandeel hebt.
Omdat gebruikers barslecht zijn in feedback geven en als ze dat al doen vaak eerder komt uit frustratie met slechte (als in "met deze feedback kunnen we niet echt iets aanvangen want de gebruiker stelt niet wat het probleem is" en niet "deze mening is negatief") feedback tot gevolg. Zonder telemetry kunnen ontwikkelaars haast alleen maar luisteren naar de meest onstructurele luide mensen.

Het geeft informatie over hoe mensen een programma gebruiken; welke features worden veel gebruikt. Welke niet? Zijn er bijvoorbeeld commando's die mensen veel ingeven omdat ze verwachten dat die ondersteund worden, maar niet bestaan? Zijn er typo-versies van commando's die standaard ingebouwd kunnen worden? Welke hardware en software combinatie wordt er wel en niet gebruikt en kunnen de minimumvereisten dus omhoog? Etc.
toch is het model verkeerd, een federated model waar de vragen naar machines toegaan, die lokaal beantwoord worden, en de antwoorden in bandbreetes een dunne random-laag erbij krijgen (differential privacy) is een manier om antwoorden op hun vragen te krijgen zonder een honeypot voor overheden en criminelen aan te leggen...

de technieken zijn er, maar toch wordt er (niet alleen bij github) gekozen voor sleepnet achtige oplossingen
Dat is inderdaad het verhaal vanuit de, laat ik het netjes zeggen, "fans van cijfers en statistieken". In de praktijk is het nogal twijfelachtig of gebruikers echt slecht zijn in feedback geven, en of statistieken echt betere data leveren. Er wordt een hoop geroepen maar er is maar bar weinig fundering voor. En er is flink wat bewijs dat het tegenspreekt, en bijvoorbeeld Nielsen (NNG) heeft zich hier in het verleden ook al over uitgesproken om dat idee van 'data-driven design' te weerleggen; het ging in dat geval over het verkrijgen van representatieve resultaten met een study van minder dan 100 gebruikers.

Er zijn ongetwijfeld dingen waar het zinvol is om die op geautomatiseerde en statistieke wijze te meten, maar dat is behoorlijk ver verwijderd van het idee dat telemetry een superieure onderzoeksmethode is, en dat is wel wat aan dit soort beslissingen ten grondslag ligt. En als je het daadwerkelijk alleen maar gebruikt voor dingen zoals typo-versies herkennen en statistieken over systeembronnen, dan hoef je er ook niet zo geheimzinnig over te doen met een opt-out en roept dat dus de vraag of of dat wel is wat hier gaande is.

Om nog even specifiek in te gaan op "alleen maar luisteren naar de meest onstructurele luide mensen": als dat de situatie is, dan ben je gewoon niet competent in user research, want dat hoort proactief en op basis van voorselectie te zijn. Dat betekent niet dat je telemetrie nodig hebt, het betekent dat je iemand aan het roer moet zetten die wel snapt hoe dit soort dingen werken... en daar dus ook het budget voor vrij moet maken.
  1. Je kunt dan beter focussen op features die veel gebruikt worden.
  2. Fouten (bugs) worden dan gemeld, zodat ze die kunnen oplossen.
Voor ontwikkeling kan dit wel heel bruikbaar zijn, doordat je weet welke functionaliteit het meest gebruikt wordt en wellicht de meeste ontwikkelingsliefde kan gebruiken voor nieuwe features. Het is zeker niet heilig, maar het kan wel helpen je planning richting te geven.
Eerlijk gezegd... I don't care.... Ik zet soms telemetry zelfs aan op producten met een goede ontwikkelaar die mij een goede tool levert. De informatie kan ook werkelijk nuttig zijn voor door ontwikkeling. En als feature komen op basis van mijn gebruik en telemetrie is het voor mij prima.
I care, (dit soort) telemetry is al snel privacy gevoelig en dan mag het van de AVG/GDPR niet eens opt-out zijn en moet het opt-in zin.
Heb je een bron? Specifiek voor deze telemetry? Je kan wel zomaar roepen dat het AVG/GDPR technisch niet mag maar dan verwacht ik ook een onderbouwing welke gegevens dan verzameld worden die onder die wetgeving vallen.

[Reactie gewijzigd door Archcry op 24 april 2026 19:05]

Dat is de omgekeerde wereld. Wanneer een bedrijf, zoals bij Github, gegevens over een systeem van een gebruiker of gebruik van dat systeem wil verzamelen is het wettelijk aan het bedrijf om vooraf aan te tonen dat het niet om persoonlijke gegevens gaat en men het rechtmatig gaat verwerken.

Alleen al het feit dat github de bewering doet dat het gepseudonimiseerd zou verwerken geeft al aan dat men feitelijk persoonlijke gegevens verwerkt. Dat ze het tijdens het verwerken zouden pseudonimiseren wil niet zomaar zeggen dat de eerste verwerking (het verzamelen) dus maar redelijk is of zelfs toegestaan. Daarbij is beweren andermans gegevens te pseudonimiseren niet zomaar hetzelfde als werkelijk onherleidbaar maken naar de persoon.

Als er dus een partij is die hoort aan te tonen dat ze rechtmatig persoonlijke gegevens van gebruikers verwerken en onherleidbaar maken is het dus github zelf.
Als je even doorklikt, zie je dat Github dan ook gewoon netjes oplijst welke informatie ze verzamelen.

https://cli.github.com/telemetry
Wat is je punt? Want waar je op wijst toont niet aan dat het pseudonimiseren voldoende is. En ook niet dat ze transparant genoeg zijn over de rechtmatigheid. Eerder juist het tegenovergestelde. Zo verzamelen ze bijvoorbeeld een identificatiegegeven dat uniek voor het persoonlijke systeem van de gebruiker is. En een uniek invocation identificatiegegeven. Samen met een timestamp. Dat is geen pseudonimiseren van gegevens. Dat is het zo herleidbaar mogelijk maken naar een persoonlijk systeem en gebruik.
Wat interessant is om te zien welke commando's er allemaal gelogd worden. Ook xommando's kunnen persoonsgegevens bevatten zoals username opties.
Staat gewoon in het artikel dat je hardware doodleuk gefingerprint wordt.

De combinatie van agent-hosts en repos maakt het mogelijk om mensen individueel te herleiden. Dat maakt het automatisch AVG-gevoelige data.

En dan verzamelen ze nog 20 data-points.

Bron: Dit nieuwsbericht.
AP zegt: "In de Algemene verordening gegevensbescherming (AVG) staat als definitie voor persoonsgegevens: ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon’. Dit betekent dat informatie ofwel direct over iemand gaat, ofwel naar deze persoon te herleiden is."

Oordeel zelf in hoeverre de beschreven datapunten kunnen leiden naar een persoon, ook als ze pseudoanoniem zijn.
GDPR vereist helemaal niet dat telemetry opt-in zou moeten zijn. Telemetry is gewoon een "legitiem doel" onder de GDPR en is hiervan vrijwaart.
Maar een legitiem doel moet wel worden afgewogen tegen de privacybelangen van degene wiens gegevens worden verwerkt.
Artikel 25 van de wet.

Privacy by default. Stelt dat je bij default de meest privacy gunstige setting gebruikt.

En daarmee is het heel vaak opt-in. Tenzijn er een wettelijke grondslag is voor de verwerking van de gegevens. Denk bij voorbeeld aan informatie die nog is om aan de zorgverplichting te kunnen voldoen waar finnanciele instelling aan moeten voldoen

[Reactie gewijzigd door itdinges op 25 april 2026 11:05]

Wat vind je er privacy gevoelig aan?

Opt-in is natuurlijk beter, dat zijn we wel eens. Maar verder zie ik telemetrie niet echt als gevoelig.
Het is geen kwestie van een mening maar feiten. Pseudonimiseren doet een bedrijf niet op gegevens die dat niet nodig hebben. En gezien het soort gegevens dat ze verwerken gaat om het persoonlijke systeem van de gebruiker en het persoonlijke gebruik van dat persoonlijke systeem gaat het dus in de basis om verwerken van persoonlijke gegevens. Daarbij maakt verwerken dit soort gegevens niet zomaar onherleidbaar. Als bedrijf een poging doen en zelf op papier regels te hebben wanneer het volgens hun genoeg gepseudonimiseerd is maakt het in de praktijk niet zomaar onherleidbaar. En zolang github zelf niet aantoonbaar maakt dat het werkelijk onherleidbaar is gaat dus op dat we er vanuit moeten gaan dat ze hier niet alleen persoonlijke gegevens verwerken maar ook dat het andermans privacyrecht onvoldoende respecteert.
Er is een verschil tussen gegevens over een persoon en persoonlijke gegevens, neem de hint van de beoordelingen en bekijk dat verschil eens goed. Niet alles wat over een persoon gaat is prive of geheim. En goede applicatie ontwikkelen is ook weten hoe die applicatie word ingezet en gebruikt. En dat heeft telemetrie nodig voor een goed beeld. En als je niet weet welke persoon achter de computer zat een klikte.... Dan weet je alleen het gebruik van de applicatie, dat het het gebruik van een persoon zijn, maar ook van meerdere personen die dezelfde machine gebruiken.
Ik ben het niet met je eens dat niet alles wat over personen gaat privé is. Maar de discussie gaat er om of wat github verwerkt persoonsgegevens zijn en pseudonimiseren door Github werkelijk zorgt dat het slechts om gegevens over een grote groep gaat. Dus zonder dat het nog te herleiden is.

Aangezien Github niet aantoonbaar maakt dat het verzamelen van andermans gegevens (ze verzamelen bijvoorbeeld een timestamp, samen met een uniek identificeerbare gegeven over een persoonlijk systeem en over persoonlijk gedrag) werkelijk gepseudonimiseerd is valt niet simpel te stellen dat het dus maar geen verwerking van persoonsgegevens is. Eerder het omgekeerde.

Natuurlijk kan iemand van mening zijn dat de unieke gegevens over persoonlijke systemen en gedrag van personen met die systemen niet herleidbaar zijn naar een persoon, maar dat hoort dan eerst te blijken. De wet (avg) is niet dat gegevens verzamelen en dan simpel beweren alsof het werkelijk niet om persoonsgegevens gaat maar rechtmatig is. Het hoort vooraf aangetoond te worden. Ik lees niemand hier aantonen dat het niet om persoonsgegevens gaat. En ik lees ook niemand aantonen dat de wet is dat hopen of beweren dat het niet herleidbaar naar personen is maar voldoende is.
De normale gang is dat je bewijst dat de wet gebroken is. Je mag niet verwachten dat anderen gaan bewijzen dat hij niet gebroken is. Dat is niet voor het werkt. De politie zoekt naar bewijs van misdaad. Ze vraagt niet om te bewijzen dat je geen misdaad gepleegd hebt.

En alles wat over personen gaat is prive volgens jou? Dus als je thuis vertelt over je dag met een andere collega, schend jij zin privacy? Als jij het hebt over een voetballer in het Nederlands elftal schendt jij die persoon zijn privacy?

Zulke absolute statements over dat alles wat over een persoon gaat prive is, is wat mij betreft op zijn minst ondoordacht op zijn ergst extreme privacy fanatisme, riekend naar isolationisme. En ook praktisch onhaalbaar. Er zijn zoals eerder aangegeven heel veel persoonsgebonden dingen die niet prive zijn. Of het het feit dat je bijvoorbeeld koffie lekker vind prive? 😂
Gezien je laatste vraag over voorkeur: wettelijk is de grens dat wanneer een bedrijf als github persoonlijke voorkeuren, gedrag of andere kenmerken wil verwerken dat niet zomaar mag. En beweren dat het gepseudonimiseerd is, dat is niet voldoende om het wel te mogen. Zeker niet als github opzettelijk daarbij alsnog uniek identificeerbare gegevens gaat verwerken.

Je stelde in het begin van de draad wel eens gegevens te willen delen in ruil voor mogelijk iets waardevols. Je persoonlijke gegevens, zoals of je koffie lekker meent te vinden of welk systeem je voorkeur heeft om van github gebruik te maken, hebben daarom bescherming. Het zijn gegevens over jou en van jou, die ook nog waardevol kunnen zijn. Ze zijn daarom niet zomaar van een bedrijf. En dan mag het jou prima uitkomen dat je het waardevol meent te vinden dat github gegevens over je is gaan verzamelen, dat doet er niets aan af dat het verwerken niet zomaar rechtmatig is. Het feit dat een bedrijf iets te weten kan komen maakt het opzettelijk opeisen en verwerken van gegevens over een klant tot de klant gaat protesteren nog niet zomaar rechtvaardig.
Maar hoe vaak en applicatie crashed zegt niets over mijn koffie voorkeur en dat is het doel van telemetrie. Hoe vaak en functie word gebruikt zegt niets over wie de gebruiker van die functie is. Het zal wel een persoon zijn. Maar niets herleid het tot een persoon als je gewoon de clicks telt.
Je negeert dat al een aantal keren er op is gewezen dat ze ook uniek identificeerbare gegevens verwerken. Om het nog duidelijker te noemen: ze genereren eenmalig een uniek nummer per persoonlijk systeem. En er is geen uitzondering dat ze dat niet verweken. En dat is niet het enige unieke wat ze genereren en verwerken. Dus ongeacht of ze een rapport verzamelen over alleen een crash of bijvoorbeeld dagelijks of per uur willen weten wat gedrag van een gebruiker was. Het telemetry noemen of gepseudonimiseerd noemen dekt de lading dus niet. Hoeveel voorbeelden je ook probeert te noemen waarbij je geen rekening wil houden met die uniek identificeerbare gegevens. Dit is niets anders dan hoe tracking cookies gebruikt worden. In plaats van moeite te doen unieke gegevens te voorkomen en uit te sluiten passen ze die juist opzettelijk toe.
Je negeert dat al een aantal keren er op is gewezen dat ze ook uniek identificeerbare gegevens verwerken.
Ik negeer niets. Ik stel aan de kaak of dat ook zo is. En niemand geeft daar een antwoord op buiten hun eigen wens dat het zo moet zijn. Maar dat is net zo goed koppig volhouden zonder er werkelijk om in te gaan. Sommige mensen vinden de kleur van de lucht waaronder ze lopen al een persoonsgebonden gegeven.
Het hardware fingerprinten, de agent hosts + repos kunnen het mogelijk maken personen indivieueel te herleiden en dan verzamelen ze nog 20 data-points.

Hoe is dit niet privacy gevoelig? Je hebt verassend weinig data nodig om data AVG-gevoelig te maken en ze verzamelen best wel veel.
Een pc kan door meerdere personen gebruikt worden. En data over een persoon is niet hetzelfde als persoonlijke data. Niet alles is geheim of prive.

Als een collega van mij altijd een blauw shirt aan heeft dan is data over die persoon, maar het is geen persoonlijke data, niet prive, niet geheim.

Telemetrie, wanneer goed gedaan, zegt iets over het applicatie gebruik van een computer en mogelijk een persoon als die computer 1 gebruiker kent. Maar dat maakt die data niet ineens prive of geheim. Als je als gebruiker bugs of problemen will aantonen kan het ook direct in jou voordeel zijn om die data te verschaffen.
De data hoeft niet per se terug te hoeven leiden tot een persoon. Het kan met 23 data points wel degelijk terug leiden tot een individu

Kijk voor de gein eens op https://coveryourtracks.eff.org zo veel is er niet nodig om je te identificeren.

Telemetrie, wanneer goed gedaan, is opt-in.
Alleen je laatste zijn ben ik het mee eens.

Waar haal je 23 data points vandaan, het is een specifiek getal?

En zelfs and iets terug leid tot een individu, is het dan persoonlijk? Geheim? Prive? Zolang ik zelf kan kiezen om telemetrie aan te zetten is het goed. En soms is dat de moeite waard. Zeker als je bugs en andere issues will communiceren.
De 23 datapoints staat in het artikel.

Zodra iets persoonlijk herleidbaar _kan_ zijn, komt het al in aanmerking voor de GDPR en de GDPR eist simpelweg dat dit soort shit minimaal opt-in is.

Zolang je het aan kan zetten, is er niets mis mee. Een toko mag dat zelfs komen vragen. Iedereens vrije keuze om dat aan te zetten.

Het issue is dat deze telemetry dus opt-out is.
Helemaal eens, maar communicatie erover was wel leuk geweest. Zeker als je weet dat er ellende van kan komen.
Dat is misschien ook wel ergens in een hoekje gebeurd. Maar dat zal rustig niet zijn opgepakt door de nieuws molen of het is een een log beest als een bedrijf ter grote van Microsoft ergens blijven steken.

De optiek is niet geweldig, dat is waar.
... ergens in een hoekje gebeurd.
Nou, ja ... hoekje ... het staat in ieder geval al een maand op github.com.
Misschien ik ook 'I don't care', maar er zullen genoeg mensen zijn die van het bestaan niet afweten en dat op die manier data verzamelt wordt waar die mensen niet blij mee zullen zijn. Als ik het woordje 'opt-out' tegenkom bij een app dan ben ik al scherp en duik ik in de instellingen. Wij tweakers weten dat, maar dat kun je niet van iedereen verwachten.

En voordat je scripts gaat doorvoeren om de opt-out af te dwingen zou het heel nuttig zijn als de app precies verteld wát er wordt verzameld. We moeten niet vergeten dat een deel van AI gebaseerd is op kennisgeving en crowd-sourcing en daar hoort telemetrie ook bij.

Je ziet dit met Windows. Als iedereen een deel van de telemetrie ingeschakeld zou houden dan kunnen ze ook gerichter patchen en kan het betrouwbaarder worden. Sowieso is data verzenden naar Microsoft heel nuttig als het gaat om crash-rapports. Het is niet allemaal slecht :)
Lekker, net VSCode een schop gegeven, Zed zitten nerven om de telemetrie uit te zetten, en nu dit weer.

Ik weet nog dat telemetry een doodzonde was en de wereld op zijn kop stond als een partij het implementeerde. Goeie ouwe tijd. _/-\o_
Is daar iets aan veranderd dan?
Tja, het nog steeds de goede oude Microsoft.
Iedereen verzamelt telemetrie tegenwoordig. Niet bepaald alleen Microsoft.
Niet iedereen, maar veel. En de meeste zijn er niet meerdere keren in verschillende landen op verschillende moment op teruggefloten.

Met de grootte van MS zou je verwachten dat ze een "compliance department" hebben, maar dat zou eerder een "malicious compliance department" zijn.

En alleen maar om dat veel andere het ook doen maakt het niet acceptabel.

[Reactie gewijzigd door elmuerte op 24 april 2026 17:10]

Ik denk in zekere zin dat het gewoon de "American Way" is. Ze zijn niet gewend aan dat de rest van de wereld regels heeft en consumenten probeert te beschermen. Dat grijpen wat je grijpen kan niet overal normaal is.
Ook in de VS is MS vele malen op de vingers getikt. Het probleem is altijd dat deze tikken niet echt in de buurt komen van de winst die ze er uit gehaald hebben.
Vooral voor bedrijf tegen bedrijf acties. Zelden voor iets tegen consumenten.
Laat Microsoft nou net wel de partij zijn die zo te koop liep met hun GDPR acceptatie en dit zelfs globaal uitgerolt hebben naar praktisch de hele wereld als minimum-standaard.

Vervolgens maken ze dit soort privacy gevoelige functionaliteit aan de lopende band opt-out. :X
Ooit wel eens in zo een bedrijf rondgelopen? De ene kant weet niet wat de andere kant doet. Het is een stad aan werknemers verspreid over de wereld.
Alleen is Microsoft daar zelf een van de aanstichters in en deden ze dat destijds ook niet op een behoorlijke manier met transparantie en gebruikers actief controle willen geven. Bij girhub herhalen ze het kennelijk weer.
Tijdje terug al `DO_NOT_TRACK=true` toegevoegd aan mijn shell config. De meeste programma's lijken dit te ondersteunen en te honoreren, gelukkig de GitHub CLI ook.

Ik snap dat telemetrie erg handig is maar ik sta het alleen bij bedrijven toe die er open en eerlijk over zijn (en dus vaak opt-in).

Nu maar in de gaten houden of het ook opt-out blijft en niet straks altijd verplicht is. De GitHub CLI is namelijk best handig maar ook weer niet zo handig dat ik niet zonder kan ;)
Maar waarom GitHub cli gebruiken? Meeste kan toch ook met de gewone git cliënt?
Waarom github-cli gebruiken als er ook gewoon git is? Dat is al commandline. En het is zo ongeveer overal beschikbaar. En het is vrij bruikbaar.

Andersom: Wat is de toegevoegde waarde van github-cli?

Toegegeven, :o de vraag stellen laat mijn gedachten al afdwalen... Er zit zoveel featuritis :+ in github. Er zijn meer redenen waarom mijn voorkeur (voor source-code-controle) uit gaat naar gitlab. }>

[Reactie gewijzigd door beerse op 24 april 2026 18:07]

Dit is geen git alternatief.
Zover ik weet doet het veel meer dan puur git.
Oa alle communicatie naar github toe, actions kunnen beheren en zo
Mja alles heeft telemetry, dotnet runtime ook...
Tweakers heeft ook (een soort van) telemetry. Elke klik die je uitvoert wordt doorgestuurd naar ajax/clicks/log. Zelfs clicks waar er niets te klikken valt. Hiermee kunnen ze oa heatmaps bouwen etc.

Om te kunnen reageren moet je ingelogd zijn