Europese toezichthouders onderzoeken Google om Streetview-data

Diverse Europese toezichthouders zijn een onderzoek gestart naar Google vanwege het verzamelen van privégegevens via zijn Streetview-auto's. In Nederland wil het CBP kijken of Google de wet heeft overtreden in deze zaak.

Google verzamelde via de Streetview-auto's allerlei 'payload data' van onbeveiligde draadloze netwerken, gaf het advertentiebedrijf vorige week toe. Google wilde alleen ssid's en mac-adressen opslaan om de nauwkeurigheid van de locatiediensten te verbeteren. Google claimt dat de code voor het verzamelen van de payload data, zoals websites en foto's die mensen bekeken toen de auto langsreed, per ongeluk nog in de software zat.

Nadat Duitsland eerder een onderzoek had aangekondigd, zijn nu ook toezichthouders in onder meer Spanje en Frankrijk begonnen met een onderzoek naar het verzamelen van de data. In Nederland gaat het College Bescherming Persoonsgegevens kijken of Google over de schreef is gegaan.

Het advertentiebedrijf was bezig het verwijderen van de gegevens, maar inmiddels is Google gestopt met het deleten van de verzamelde payload data. Diverse Europese lidstaten hadden geklaagd dat de zoekgigant bezig was eventueel bewijsmateriaal te vernietigen. Het is onduidelijk wanneer de uitslagen van de onderzoeken gepubliceerd zullen worden.

Deze week zei ict-jurist Arnoud Engelfriet tegen Tweakers.net dat het mogelijk strafbaar is wat Google heeft gedaan. "Computervredebreuk is het binnendringen van een netwerk en ook het verbinding maken met netwerken zonder wachtwoordbeveiliging kan als zodanig beschouwd worden." Het moet de binnendringer wel kenbaar zijn dat hij op verboden terrein zit maar hier zou al gauw aan voldaan zijn als er privégegevens zijn opgevangen. Dat Google claimt dat het per ongeluk ging, pleit het bedrijf volgens Engelfriet niet vrij: "Dat zou ik ook zeggen. Dat zullen ze dan wel moeten bewijzen."

Reacties (90)

De bezwaren tegen de activiteiten van Google richten zich niet tegen het al dan niet opnemen van vertrouwelijke communicatie maar op het overtreden van een artikel van het Europees Verdrag van de Rechten van de Mens. Het gaat om Artikel 8, waarin de bewegingsvrijheid van de Europese burgers geregeld is.

Artikel 8 EVRM - Recht op eerbiediging van privéleven, familie- en gezinsleven

• 1. Een ieder heeft recht op respect voor zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie.

• 2. Geen inmenging van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voor zover bij de wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen.

Het voert even te ver hier uitvoerig op in te gaan maar uit het eerste lid van het artikel vloeit o.a. voort dat de opslag van persoonsgegevens -en dat zijn alle gegevens die uiteindelijk tot een persoon te herleiden zijn- verboden is, tenzij (tweede lid) er een bijzonder belang bestaat hier een uitzondering op te maken. Elke lidstaat afzonderlijk zal dan een wet moeten maken waarin het doel van de uitzondering en ook alle middelen om dat doel te bereiken tot in detail beschreven staat. Voor de activiteiten van Google bestaat zo'n uitzondering niet en als je naar tweede lid van artikel kijkt zal je tot de conclusie komen dat hij er ook niet snel zal komen.

Door een register aan te leggen van SSID's en MAC-adressen van thuisnetwerken treedt Google wel erg in de huiselijke sfeer. Maar het doel is natuurlijk deze markers in de ether te koppelen aan de geografische positie van het waarnemingsautootje. Hierdoor beschikt zij over de mogelijkheid de locatie van toekomstige mobiele gebruikers vast te pinnen en dit gegeven aan derden te verkopen om hen zodoende in staat te stellen ''Location Based Services'' te laten aanbieden: "Waar in de omgeving kan ik parkeren of vind ik een door Google aanbevolen restaurant"? Een goudmijn. Ook als dit met toestemming van die twee partijen gebeurd beschikt Google nog steeds over een register waarin de bewegingen van mensen gevolgd wordt zonder dat hiervoor enige wettelijke basis bestaat. De toestemming van de eigenaar van thuisnetwerk om aan dit alles mee te werken en zijn gegeven commercieel te exploiteren wordt al helemaal niet gevraagd.

Goede zaak dat het college hier tegen optreedt.

In functioneel opzicht hoeft dit alles voor gebruikers geen belemmering te betekenen. Het staat iedereen vrij om zelf zijn geografische positie te verstrekken (al of niet vanuit een applicatie) of daar diensten op aan te bieden. Alleen Google beschikt dan niet over een tataaloverzicht en kan het dan als een ware Big Brother niet meer commercieel uitbuiten. Geen ramp lijkt me.

[Reactie gewijzigd door uflex op 22 mei 2010 20:33]

Door een register aan te leggen van SSID's en MAC-adressen van thuisnetwerken treedt Google wel erg in de huiselijke sfeer.

Hoezo dat? SSIDs worden toch al gebroadcast (tenzij je dat uitzet, maar dan ziet Google je ook niet). Bovendien bevatten ze geen gevoelige informatie (als je je pincode of password als SSID gebruikt ben je een prutser en doe je het jezelf aan). Dus om het opslaan van SSIDs als privacy-schending te beschouwen gaat mijns inziens nogal ver.
En MACs zijn al helemaal geen probleem (los van het feit dat ik niet heb gehoord dat Google die (opzettelijk) opslaat). Het enige privacy-gevoelige wat je daar in theorie uit zou kunnen halen is dat iemand twee kaartjes van dezelfde fabrikant heeft als je twee opeenvolgende nummers ziet.

Het staat iedereen vrij om zelf zijn geografische positie te verstrekken

Behalve dat automagisch sneller en handiger is. En behalve dat je soms je positie niet kent (denk aan een routeplanner-app).

Er zijn nu volgens mij al 10 verschillende onderzoeken aan de gang naar de activiteiten van Google.
Het lijkt me toch duidelijk dat Google niet netjes heeft gehandeld, Google kan dit niet zo makkelijk als fout verkopen, dit past te goed in hun straatje.

Als de functies al per ongeluk in de software zijn achtergebleven is dat een teken dat er gefaald is bij de controle van de producten. Stel je eens voor wat kwaadwillende programmeurs allemaal zouden kunnen doen wanneer er niet gecontroleerd wordt welke code er in de software zit.
Bij mij op het werk kijken de applicatie ontwikkelaars ook naar elkaars code.
Natuurlijk is het mogelijk dat persoon A niet exact weet welke functionaliteit een applicatie van persoon B moet hebben maar toch zullen bepaalde dingen wel moeten op vallen.

Google verkondigd altijd dat ze voornamelijk niet privacy gevoelige data verzamelen. Een functie in de programma code welke privacy gevoelige informatie verzameld op een manier welke in bepaalde landen ook illegaal zou dan toch moeten opvallen ?

Het is natuurlijk wel pas een probleem als er echt inbreuk op privacy gemaakt wordt. Het verzamelen an sich is fout maar het beschikbaar hebben van deze informatie kan ook heel veel goede doelen dienen.

Dat er te veel is verzameld blijkt, maar het is nog niet gezegd dat dit met opzet gedaan is. Wat denk je dat er gebeurd als blijkt dat ze dat wel gedaan hebben? Dat zou enorme reputatieschade opleveren, zeker geen slimme zet. Geen nuchtere manager of directeur die zich daar aan zou wagen gezien je dat enorm veel omzet gaat kosten.

Klopt.
Ook gezien het feit dat in principe in bepaalde landen de wet is overtreden.
Je mag toch in Nederland ook niet meer verbinden met iemand anders zijn netwerk (onbeveiligde netwerk) zonder toestemming ?

@Thinkreal_
Het is inderdaad de eigen schuld van die mensen.
Er wordt tegenwoordig aan alle kanten moeite gedaan om netwerken goed te beveiligen.
Als ik echter bij een kennis in de woonwijk scan met mijn laptop zie ik nog steeds mensen waar de beveiliging van hun Thompson wlan is uitgeschakeld terwijl dit standaard wel aanstaat op die modems.

Als de functies al per ongeluk in de software zijn achtergebleven is dat een teken dat er gefaald is bij de controle van de producten.

Het is één stom bugje. Toegegeven, met grote gevolgen, maar in essentie is het gewoon een foutje; ergens vergeten een optie uit te zetten (bij gebruiken van andere code) of vergeten een filter in te bouwen / aan te zetten / goede opties te gebruiken (bij eigen code).
Ga eerst zelf maar eens (random getal) 10.000 regels bugvrije code schrijven, dan mag je daarna gaan miepen op de bagger QA van Google.

Stel je eens voor wat kwaadwillende programmeurs allemaal zouden kunnen doen wanneer er niet gecontroleerd wordt welke code er in de software zit.

Daar is een naam voor: trojan horse. Met het belangrijke verschil dat Trojans met opzet worden toegevoegd en dit een foutje was.

Bij mij op het werk kijken de applicatie ontwikkelaars ook naar elkaars code.

En met dat "even kijken" vinden ze 100% van alle bugs...?

Natuurlijk is het mogelijk dat persoon A niet exact weet welke functionaliteit een applicatie van persoon B moet hebben maar toch zullen bepaalde dingen wel moeten op vallen.

Dingen die er wel in zitten (maar er niet zouden moeten zijn) vallen veel meer op dan dingen die er niet zijn (maar er wel zouden moeten zijn). Bijvoorbeeld het filtertje dat alle niet-benodigde packets negeert; als elk deel van de code denkt dat een ander stuk dat filter bevat dan is er op het eerste gezicht niks mis met de code, maar in de praktijk gaat het wel fout. Of denk je echt dat ProcessPacket() een call naar StorePrivacySensitiveDataWeShouldntStore() bevat (of iets wat even overduidelijk is)?

Vraag aan dhr. Engelfriet: hoe zit het dan als Google géén verbinding heeft gemaakt en enkel gegevens heeft opgevangen die door de lucht zijn verzonden? (zo ligt het namelijk, voor zover ik ook de verklaring van Google hierover heb gelezen)

Als Google geen communicatie van de netwerken zelf heeft afgetapt, dan heeft ze geen computervredebreuk gepleegd. Maar dat is niet hetzelfde als "enkel gegevens heeft opgevangen die door de lucht zijn verzonden". Of je nou door de lucht of via een kabel iets oppikt, maakt niet uit. Het gaat erom of je binnendringt in een netwerk waar je niet mag zijn. Beveiligd of onbeveiligd, radio of Ethernet, allemaal volstrekt irrelevant.

De juridische vraag is: als jij pakketjes opvangt die niet voor jou bestemd zijn, wist jij dan of had jij moeten weten dat ze niet voor jou bestemd waren? Zo ja, dan is het computervredebreuk. Ook als ze via de open ether zijn gegaan.

Aan een IP-pakket kun je zien of het voor jou bestemd is, want er staat een IP-adres in. Is dat niet aan jou gealloceerd, dan moet dat pakket gedropt. Idem voor een ethernetframe.

Dat is dus het hele verzamelen van MAC en SSID al illegaal. Die frames waar dat instaat zijn niet bedoeld voor de streetview auto (ze zijn voor de eigenaar van het netwerk en zijn of haar hardware) en moeten dus gedropt worden zonder er verder iets mee te doen.

Alle bedrijven die locaties van access points in kaart brengen zijn dus illegaal bezig?

Iemand die een Windows XP laptop aanzet ook trouwens, die maakt automatisch verbinding met onbeveiligde netwerken (tenminste, in een eerdere versie. Met de nieuwste updates mogelijk niet meer).

[Reactie gewijzigd door Gerco op 22 mei 2010 12:20]

Dat is dus het hele verzamelen van MAC en SSID al illegaal.

Niet als SSID broadcast aan staat. Een broadcast is immers bedoeld voor (of, in elk geval, geadresseerd aan) "iedereen die het hoort". Op technisch niveau is "geadresseerd aan" hetzelfde als "bestemd voor" kan iemand dat uitleggen aan de mensen die email disclaimers schrijven met "alleen bestemd voor de geadresseerde"...!?. En, als ik me de specs goed herinner, bevat elk packet (dus ook een SSID broadcast packet) de MAC van de afzender.
Dan zou je dus een case moeten maken dat het überhaupt niet toegestaan is om zichtbare SSIDs in kaar te brengen. Hoewel ik me voor kan stellen dat er mensen zullen zijn die dat vinden betwijfel ik of je dat rond krijgt (then again, IANAL), het is immers ook toegestaan om straatnamen en huisnummers op een plattegrond in te tekenen, waarom SSIDs dan niet?

Gedachte-experiment: De AACS-key is 32 hex digits lang. Een SSID is (maximaal) 32 tekens lang. Wat gebeurt er als ik de AACS-key gebruik als mijn SSID en Google publiceert mijn SSID?

Ok, even op die juridische vraag ingaand: wanneer dring je binnen in een netwerk (ook als je er geen verbinding meer maakt en het alleen opvangt)?
En wat is een "technische ingreep" en waarom wordt dat in de wettekst genoemd? (WvS 138a 1.b; van a, c en d is zeker geen sprake in dit geval!)

Daar ben ik ook wel benieuwd naar, ik kan niet anders dan concluderen dat radiosignalen vrij op te vangen zijn maar ik ben dan ook geen jurist.

Ik ben erg benieuwd of de advocaat van Google in een eventuele rechtszaak het voor elkaar gaat krijgen om aan de rechter uit te leggen dat gegevens van een wifi netwerk ook zonder verbinding te maken zijn op te vangen.

Mogelijk dat het opslaan strafbaar is geweest, maar van computervredebreuk is in mijn bescheiden mening geen sprake.

Wel zielig hoor... dat google alles moet gebruiken om data te verzamelen, waarom zijn ze uberhaupt ssid's en mac adressen nodig ?
hoe heeft dat met plaats bepaling te maken ?

hoe heeft dat met plaats bepaling te maken ?

Stel je hebt geen GPS-antenne maar wel een Wifi-antenne. Je kunt dan geen GPS gebruiken om je positie te bepalen.
Wat Google probeert uit te rollen is een truc om toch je positie te kunnen achterhalen. Het is erg eenvoudig om even te kijken welke SSIDs allemaal binnen bereik zijn. (Je hoeft hiervoor alleen passief naar SSID broadcasts te luisteren; het is niet nodig om verbinding met een netwerk te maken.) Op plaatsen waar een redelijk aantal netwerken zichtbaar is zou de combinatie van al die SSIDs best wel eens uniek kunnen zijn. Eventueel in combinatie met de kwaliteit van de ontvangst (en een lookup bij Google natuurlijk) is dan met een bepaalde mate van nauwkeurigheid je positie te bepalen. Hoe nauwkeurig dat gaat zijn is nog even afwachten (bij mijn beste weten is Google alleen nog maar bezig met het verzamelen van de benodigde gegevens; het systeem is nog niet beschikbaar).
De nauwkeurigheid zal uiteraard erg afhangen van je locatie: midden op het IJsselmeer zul je waarschijnlijk geen enkel SSID zien en weet Google niet beter dan dat je op een willekeurige plaats zit zonder SSIDs binnen bereik, of op een plaats die nog niet in de database zit, of misschien zelfs op een plaats waar wel (één of misschien twee) SSIDs binnen bereik zouden moeten zijn maar waar het AP toevallig niet aan staat. Van de andere kant zul je in een stad nog best wel een prima nauwkeurigheid kunnne bereiken. Wie weet, misschien in een dorp ook nog wel. Maar bovendien, het alternatief is geen enkel idee hebben waar je uithangt, dus een vooruitgang is het sowieso.

Vind het idee alleen al belachelijk, dat google, een commercieel bedrijf, mag weten waar je uithangt
Maar ja, daar hebben veel mensen minder moeite mee, lijkt het

Stuur ik mijn MAC-adres mee als ik google.com bezoek? Als dat het geval is kunnen ze namelijk wel hele freaky statistieken gaan bijhouden mbt zoektermen en locatie. Echt hele sneaky zet dit.

Nee. Je MAC-adres gaat niet voorbij een gateway/router.

Als je het MAC adres gekloont hebt dan kan het volgens mij weer wel... maar goed.
Dan moeten mensen de boel maar beter beveiligen.

een mac adres gaat NIET voorbij een router. punt. Zou nogal nutteloze overhead geven en aangezien je mac adressen toch niet kunt routeren heeft de ontvangende kant er ook niks aan.

tenzij je je mac adres naar iemand toe mailt

En tussen jouw router en de server met de site/service die je bezoekt zitten meestal wel 10 routers. Doe maar eens een traceroute naar een willekeurige (google) site.

Ja dus? Routers routeren op basis van een IP adres, in dit geval dus het publieke IP van je internetverbinding.

MAC adressen worden gebroadcast op een netwerk. En broadcasts (in het algemeen) KUNNEN NIET worden gerouteerd. Inderdaad: punt.

MAC adressen worden niet alleen gebruikt bij broadcast hoor. Ze worden gebruikt als adres voor alle trafiek binnen het locale netwerk. Dus van host naar host, maar ook van host naar gateway(router). Eenmaal op je router aangekomen wordt het doelmacadres vervangen door het adres van de gateway van de volgende router en het bronmacadres wordt het adres van de router die het doorstuurt.

Ja, maar de eerste router van je ISP haalt dat adres eraf en vervangt het door zijn eigen. Dat is een simpel gevolg van hoe ethernet werkt en daar is weinig aan te doen. Die freaky statistieken kunnen ze nu ook al bijhouden trouwens, met behulp van GeoIP databases. Dat is niet accuraat tot op straat nivo, maar je kan er toch best wat locatiegevevens uit afleiden als je wilt.

Locatiegegevens kunnen ze ook afleiden uit het google maps gebruik zelf. Grote kans dat een veelgebruikte locatie in de buurt ligt van je huisadres, b.v. startlocatie van een route. En dan gekoppeld (vaste?) ipnummer of aan aan vaste patronen van je browsgedrag ('Ads by google' bovenin deze pagina). Aluminiumfolie volstaat niet meer. Maar maps blijft wel een mooie applicatie.

Je MAC-adres die google door deze actie heeft gekregen is het MAC-adres van je wireless aansluiting. Over het algemeen lopen internetverbindingen via je ethernet/kabel/niet-draadloos verbinding welke een ander MAC-adres dan dat je wireless heeft.

Dus al hebben ze je wireless MAC-adres en hebben ze jouw MAC-adres, dan zouden ze deze niet aan elkaar moeten kunnen koppelen. (Al zou dit in de praktijk met mooie heureustieken wel kunnen.)

In theorie is ieder MAC-adres in de wereld uniek. Echter hoeft dit niet het geval te zijn. Er zijn fabrikanten die een product range hebben, hier uit zijn gelopen en dubbele MAC-adressen hebben uitgedeeld. Dit komt voor bij kleine spelers maar ook grote spelers in de netwerk markt.

Zolang twee identieke MAC-adressen niet binnen 1 netwerk voor komen is er ook niks aan de hand, want het is een laag-2 broadcast domein adres, dus google heeft niks aan die gegevens, anders dan dat ze kunnen achterhalen welke merken producten ze tegenkomen.

Leuke linkt voor MAC-adres vertaling naar fabrikant en andersom: http://www.curreedy.com/stu/nic/

In IPv4 niet. rfc2373 beschrijft echter een veel gebruikte methode om op basis van een EUI-48 MAC een IPv6 adres te genereren. Daarbij wordt weliswaar één bit veranderd, je MAC wordt onderdeel van je autoconfigured IPv6 adres.
(hiertegen zijn dan weer Privacy Extensions als rfc3041 bedacht, gebruikt door Windows 7)

Om gegevens van een onbeveiligd netwerk op te vangen hoef je geen verbinding te maken. Lijkt me ook sterk dat Google dat gedaan heeft trouwens. Aangezien het opvangen van radiosignalen niet strafbaar is lijkt me Google niets te verwijten. Het bewaren is mogelijk wel strafbaar, maar aangezien de gegevens zijn verwijderd zodra bekend was dat ze die überhaupt hadden lijkt me dit alles een enorme storm in een glas water.

Dat hebben ze dus wel gedaan: ze hebben de SSID en MAC adressen uitgelezen en opgeslagen, en daarnaast heeft Google onversleutelde communicatie wat over zo'n netwerk gaat ook opgevangen en opgeslagen.

Dat laatste doe je niet per ongeluk lijkt me aangezien je daarvoor specifieke software moet ontwikkelen; als je alleen SSID en MAC adressen wilt opvangen dan kan ik me niet voorstellen dat de software die je daarvoor ontwikkelt 'per ongeluk' ook alle communicatie over zo'n netwerk gaat loggen, van de ruwe binaire data paketten weer zinnige gegevens maakt en die data vervolgens opslaat in een bruikbaar formaat.

heb jij een draadloos netwerk? dan ben je ook strafbaar volgens de blog, je vangt namelijk wat informatie op van zowat elk draadloos netwerk in je buurt.

wat een onzin, dan verwijderen ze heel de ramptamp, moeten ze er met stoppen (omwille van het bewijsmateriaal).

ze komen er zelf mee naar buiten, iedereen gaat roepen dat ze wel moesten omwille van dit en dat. Als ze er niet mee naar buiten komen gaan ze nog harder roepen.

Kan Google eigenlijk nog iets goed doen volgens jullie? Het is volgens veel mensen nooit goed wat commerciele bedrijven doen, of het nu a is of b, het is altijd slecht... Soms vind ik dat mensen verder mogen nadenken dan hun eerste gedachte.

[Reactie gewijzigd door Yoshi op 22 mei 2010 10:30]

Google is een bedrijf wat per definitie op de randen van het toelaatbare opereert wat betreft privacy. Alleen daarom is het goed dat er ophef is hierover. De volgende keer dat ze nieuwe ideeën hebben denken ze nog net iets langer na, en controleren ze weer net iets beter of het toelaatbaar is.

En inderdaad, het is moeilijk iets goed te doen als een grote fout hebt gemaakt! Er was niks aan de hand geweest als ze zelf beter gecontroleerd hadden wat ze over een periode van drie jaar in meerdere landen hadden opgeslagen... Nu moeten ze wellicht op de blaren zitten, afhankelijk van de resultaten van zo'n onderzoek.

Dus ja, sommige mensen moeten misschien wat verder denken dan een eerste gedachte; jezelf en google inclusief.

Google is een bedrijf wat per definitie op de randen van het toelaatbare opereert wat betreft privacy.

Hoezo dat dan? Wat is jouw definitie van Google (of wat ze doen) dan?

De volgende keer dat ze nieuwe ideeën hebben denken ze nog net iets langer na

Het idee was om (in bebouwde gebieden) een "soort van GPS" beschikbaar te maken voor apparaten die geen GPS data kunnen ontvangen (maar wel een Wifi-antenne hebben). Ik heb er niks over gehoord dat die dienst geschrapt wordt. Het probleem hier was enkel en alleen de implementatie (het verzamelen van de benodigde data, waarbij iets teveel data is verzameld), niet het idee zelf.

En inderdaad, het is moeilijk iets goed te doen als een grote fout hebt gemaakt!

Hoezo dat? Na het maken van die fout kun je toch je best doen om de gevolgen daarvan zo veel mogelijk te beperken? Heb je nooit een rectificatie in een krant zien staan? Dat is net zo goed een vorm van je vergissingen toegeven en proberen de gevolgen binnen de perken te houden. Wat white modder waarschijnlijk bedoelt is "Okee, ze hebben een fout gemaakt, maar dat hebben ze toegegeven. Ga niet hun pogingen om het op te lossen bij voorbaat afkraken omdat je zo verontwaardigd bent over de originele fout.".
Als iemand (uit zichzelf!) toegeeft te hard te hebben gereden ga je dan ook zeuren als ie (vrijwillig!) op zoek gaat naar een snelheidsbegrenzer? Want dat is zo heerlijk veel makkelijker dan proberen anderen te vinden, en af te zeiken, die ook te hard rijden (en dat blijven doen!) maar die nog niet betrapt zijn en het niet uit zichzelf toegeven.

Er was niks aan de hand geweest als ze zelf beter gecontroleerd hadden wat ze over een periode van drie jaar in meerdere landen hadden opgeslagen... Nu moeten ze wellicht op de blaren zitten, afhankelijk van de resultaten van zo'n onderzoek.

"Een vergissing is menselijk" ofzo? Als ze nooit iets zouden doen zouden ze inderdaad nooit iets fout doen, maar da's ook niet echt een werkbare oplossing.

Nouja je kunt wel zeggen "Een vergissing is menselijk" maar het blijft een feit dat ze een fout hebben gemaakt en dat die er niet zou zijn geweest als er betere controle was geweest.

En google heeft het wel netjes zelf toegegeven maar dat mag niet betekenen dat er geen onderzoek moet worden gedaan of ze strafbaar zijn geweest of niet! Ik vind goed dat hier onderzoek naar word gedaan omdat als een ander bedrijf het zou doen het ook zou gebeuren.

Daar vergis je je in. Er is namelijk al plenty software om alles wat een wireless NIC ziet gewoon naar schijf te dumpen voor latere analyse (en daarvoor heb je geen IP adres nodig, dus geen verbinding met het netwerk). De makkelijkste manier om dus zo'n MAC scanner te maken is om zo'n bestaand stukje software te pakken en een beetje te verbouwen, de weg van de minste weerstand zeg maar.

Als Google dus gewoon een paar bestaande stukjes software aan elkaar gelijmd heeft, hebben ze heel makkelijk deze fout kunnen maken.

Het specifiek alleen opvangen van MAC adressen en SSIDs is wel specifieke software voor nodig en het is veel duurder om die te schrijven dan om alleen een paar bestaande programmas aan elkaar te knopen.

Overigens is nergens gezegd dat Google die datapakketten heeft geinterpreteerd en op een bruikbare manier opgeslagen. Er is alleen gezegd dat ze die gegevens hebben, als dat in de ruwe binaire vorm is waarin ze initieel uit de lucht zijn opgevangen zou me dat in het geheel niet verbazen.

[Reactie gewijzigd door Gerco op 22 mei 2010 10:31]

Dat laatste doe je niet per ongeluk lijkt me aangezien je daarvoor specifieke software moet ontwikkelen;

Zoals libpcap?

nee, voor enkel SSID en MAC op te vangen heb je specifieke software nodig. Alle software doe hetzelfde; alles opvangen. Specifieke software gaat dan filteren.

...aangezien de gegevens zijn verwijderd zodra bekend was dat ze die überhaupt hadden lijkt me dit alles een enorme storm in een glas water.

Dus als je achteraf een fout direct goed maakt, is 't niet meer erg erg slechts een storm in een glas water?
Dus als je als digitale bankrover 't geld na ontdekking direct terug stort, is 't niet meer erg erg slechts een storm in een glas water?

Wanneer je een opmerking uit de context trekt kun je inderdaad dat soort dingen gaan zeggen ja...

Wanneer iets een oprechte fout is (dat moet Google nog bewijzen, maar ik denk van wel) en je maakt het goed zodra je de fout opmerkt en niemand heeft schade opgelopen (als die informatie niet is gebruikt is er geen schade): Ja.

Een digitale bankrover maakt geen vergissing, die breekt in. Als Google kan bewijzen dat ze niet hebben ingebroken, maar oprecht een vergissing hebben gemaakt zie ik de reden van al die ophef niet.

een vergelijking van niks natuurlijk, de digitale bankrover snapt zelf ook nog wel dat hij geld steelt, Google had niet de wetendheid dat ze deze bestanden hadden, en wanneer ze er ZELF achterkwamen ook openbaar gemaakt en verwijdert hebben. Storm in glas water dus

R+R Voor Google dus! (op z'n Hyves)

Aangezien het opvangen van radiosignalen niet strafbaar is lijkt me Google niets te verwijten

Het opvangen is niet strafbaar nee, maar dat wil nog niet zeggen dat je er vervolgens van alles mee zou moeten doen, zoals opslaan in databases om later commercieel te gaan gebruiken om er winst mee te maken (en daar gaat het bij Google immers om, het is een commerciele bedrijf, daar moet winst gemaakt worden).

Dat lijkt me dus Google wel degelijk te verwijten, want men heeft dat dus wél gedaan.

Daarnaast heb je nog zoiets als goed fatsoen, ethiek, en 'maatschappelijk verantwoord ondernemen'. Ook al is het wettelijk mogelijk niet strafbaar, het druist nog altijd tegen die drie principes in.

maar aangezien de gegevens zijn verwijderd zodra bekend was dat ze die überhaupt hadden

En dat is dus te laat. Men had die niet eens moeten opslaan, niet pas ingrijpen toen er ruchtbaarheid aan gegeven werd!

[Reactie gewijzigd door wildhagen op 22 mei 2010 09:29]

om later commercieel te gaan gebruiken
...
niet pas ingrijpen toen er ruchtbaarheid aan gegeven werd!

Dat is ook niet wat Google zegt dat hier gebeurd is. Google heeft zelf naar buiten gebracht dat ze die gegevens hadden opgeslagen en verwijderd. Dat hebben ze niet onder druk van de media gedaan, die wisten immers nog van niets. Ze hadden het ook stil kunnen houden en commercieel exploiteren en dan had niemand ervan geweten.

Google neemt een serieus risico door deze fout in het openbaar toe te geven. Mensen die het niet goed begrijpen trekken meteen de conclusie dat Google kwaadwillend op netwerken inbreekt om de gegevens die daaroverheen gaan op te slaan. Wat ze in daadwerkelijk gedaan hebben lijkt me niets meer dan alle WiFi verkeer die ze tegenkwamen opslaan om daar de MAC adressen van de access points uit te destilleren.

Toegegeven: Dat is een bepaald onhandige en luie manier om die gegevens te verzamelen en Google had beter moeten weten, maar ik zie hier geen criminaliteit in. Een boete is wellicht op zijn plaats omdat ze die gegevens niet hadden mogen opslaan, maar beschuldigingen van commercieel exploiteren wanneer alles erop wijst dat ze dat juist expliciet niet doen lijken me wat overtrokken (nogmaals: ze hadden ook gewoon niets kunnen zeggen).

Op je eerste alinea over het stilhouden: dat was inderdaad beter geweest.
Wat niet weet, wat niet deert.


Klinkt heel fout, maar zo is de praktijk.

Stilhouden beter? Mwah, zo is de theorie juist. In de praktijk hangt het toch van meerdere omstandigheden af. Als de media erachterkomt wordt en zonder Google's medeweten dit naar buiten brengt is het schandaal in het kwadraat groter.

Overigens vind ik het vreemd dat Google er na zo'n lange tijd pas achter komt die gegevens te hebben. Die sla je toch allemaal op in een database en dan is het toch heel duidelijk wat je aan gegevens hebt, en dat je dit soort gegevens niet hoort te hebben? Of hebben ze de data die ze wilden gedestilleerd, en de rest gewoon ergens neergekwakt op zolder en lekker laten spinnenwebben (zich niet realiserend wat er verder eigenlijk allemaal op stond)?

Beide scenario's is verwijtbaar gedrag, natuurlijk.

Die sla je toch allemaal op in een database en dan is het toch heel duidelijk wat je aan gegevens hebt!

Tenzij je een tabel "WifiPackets" of iets dergelijks hebt, waar het de bedoeling was om alleen packets met een SSID broadcast op te slaan (maar elk stuk van de code dacht dat een ander stuk daarop filterde) of als het wegschrijven van de column "Data" nog in de code zat, terwijl die er eigenlijk uitgesloopt had moeten worden (dat alleen de column "SSID" gelogd had moeten worden).
In beide gevallen kan ik me goed voorstellen dat het niet eens heel erg opvalt; een "select unique SSID from WifiPackets where (..)" geeft precies terug wat je verwacht terug te krijgen. Er is meer data, maar zolang je niet probeert data op te vragen die er niet hoort te zijn merk je er niks van dat die er wel is.

Overigens vind ik het vreemd dat Google er na zo'n lange tijd pas achter komt die gegevens te hebben. Die sla je toch allemaal op in een database en dan is het toch heel duidelijk wat je aan gegevens hebt, en dat je dit soort gegevens niet hoort te hebben? Of hebben ze de data die ze wilden gedestilleerd, en de rest gewoon ergens neergekwakt op zolder en lekker laten spinnenwebben (zich niet realiserend wat er verder eigenlijk allemaal op stond)?

Het is niet dat er 1 Google-mobiel met die 600GB aan data rond heeft gereden, natuurlijk. Het gaat hier om data verzameld uit _alle_ streetview-auto's die in _30_ landen hebben rondgereden. Gemiddeld dus 5GB per land. Deel dat nog eens door het aantal auto's en je hebt het over een hoeveelheid data die de gemiddelde tweaker in seconden over z'n verbinding heen blaft. Dus dat valt niet echt op, nee.
Los van of het opvalt of niet, als je de 600GB deelt door het aantal gescande netwerken heb je het over luttele kilobytes per netwerk.

Beetje waanzin dus dat er her en der zo'n ophef over ontstaat, imho.

Op je eerste alinea over het stilhouden: dat was inderdaad beter geweest.
Wat niet weet, wat niet deert.


Klinkt heel fout, maar zo is de praktijk.

Dat "klinkt" niet alleen erg fout. Dat is het ook. Google heeft er goed aan gedaan om het zelf naarbuiten te brengen.Daarom zou een boete genoeg zijn.
Overigens. Ik ben blij dat jij geen google medewerker bent

Wat niet weet, wat niet deert.

Zo denkt inderdaad 99% van de bedrijven erover ja. Nou is er eindelijk eens een keer een bedrijf dat de ballen heeft om de juiste beslissing te nemen en publiekelijk toe te geven dat ze iets fout gedaan hebben en dan ga jij beweren dat ze beter schijnheilig hadden kunnen zijn en proberen het geheim te houden?
Voordelen (voor iedereen behalve Google zelf) van open kaart spelen:
- Het is, moreel gezien, The Right Thing om te doen
- Andere bedrijven worden hopelijk wakkergeschud en controleren ook eens wat zij opgeslagen hebben
- We krijgen het vertrouwen dat als Google iets verkeerd gedaan heeft dat ze bereid zijn het toe te geven en te fixen. Niet alleen in dit geval, maar ook als het ooit nog een keer zou gebeuren. Dat betekent niet dat ik er blind op vertrouw dat Google niks verkeerd doet, maar ik heb er meer vertrouwen in dat ze naar hun eigen, beste weten (inclusief opzet (en dat is dan weer inclusief kwade bedoelingen) dus!) niets fout doen, dan bij de meeste andere bedrijven.

Google is zelf met dit nieuws naar buitengekomen omdat het anders wel door de media zou zijn gebeurd. Men wilde door het zelf kenbaar te maken de schade zoveel mogelijk beperken. Het is namelijk ontdekt geweest door een duitse overheidsinstantie die een deel van de verzamelde gegevens had opgevraagd om een audit te kunnen doen.

Door het nieuws zelf naar buiten te brengen willen ze niet alleen de speculatie voor zijn maar kunnen ze ineens ook nog wat reclame voor zichzelf maken. Als je de betreffende blogpost leest merk je in de laatste alinea bijvoorbeeld dat ze zelf zeggen nog eens aangetoond te hebben hoe onveilig obeveiligde draadloze netwerken zijn en dat ze dit zelf proberen tegen te gaan door bijv. gmail te beveiligen.

Het is namelijk ontdekt geweest door een duitse overheidsinstantie die een deel van de verzamelde gegevens had opgevraagd om een audit te kunnen doen.

En ook dat versterkt weer het vermoeden dat ze het niet kwaadwillend hebben gedaan. Hadden ze dat wel dan zouden ze die verboden gegevens namelijk wel even gefilterd hebben voor ze die naar de DE overheid stuurden. Het feit dat ze dat niet gedaan hebben doet sterk vermoeden dat ze die data onbewust in bezit hadden.

Het bewijst overigens ook dat dat audit mechanisme werkt. Dat zouden meer landen moeten doen.

Als je de betreffende blogpost leest merk je in de laatste alinea bijvoorbeeld dat ze zelf zeggen nog eens aangetoond te hebben hoe onveilig obeveiligde draadloze netwerken zijn en dat ze dit zelf proberen tegen te gaan door bijv. gmail te beveiligen.

En daar is dan ook geen woord van gelogen. Onbeveiligde netwerken zijn een risico en gmail over ssl is een (hele kleine) verbetering. Hoe had je dan verwacht dat een commercieel bedrijf zou reageren, je probeert natuurlijk alles positief te verdraaien als het enigszins mogelijk is zonder te liegen.

[Reactie gewijzigd door Gerco op 22 mei 2010 10:12]

Ik kan niet geloven dat een bedrijf als google, dat specialist is in databases, zoeken en informatie verwerken, niet heeft gemerkt dat of de hoeveelheid data meer was dan verwacht, of dat geen enkele werknemer een keer de data heeft ingezien om te kijken wat er precies opgeslagen wordt. En al helemaal niet over een periode van drie jaar.

En zelfs als het niet bekend was, is het een heel mager excuus! Als je je bezig houdt met het op zo'n grote schaal scannen van wifi signalen van prive personen, dan vind ik dat je je zelf moet verplichten om alles minsten dubbel te checken op dit soort fouten.
Het kan en mag niet zo zijn dat een bedrijf wegkomt met verantwoordelijkheid afschuiven op audits; ik ben het er mee eens dat het een goed idee is om dat vaker te doen, maar dat is absoluut geen excuus voor een bedrijf om een eigen verantwoordelijkheid af te schuiven!

En tenslotte, als er een stafbaar feit te zijn gepleegd is 'ik wist het niet' zelden of nooit een valide excuus. En dat is maar goed ook, zeker voor multinationals van het formaat Google!

Privacy is flink in de spotlights momenteel: OV-perikelen, facebook, Google, Street-view, rekeningrijden, enz......De lijst is lang. Ik vind het een goede zaak...
Ik vind het ook nogal wat. Een autootje rijdt door je straat en neemt "zomaar wat foto's". Neemt en passant nog wat meer gegevens mee, waarvan niemand verder in eerste instantie op de hoogte is. Geeft mij een creepy gevoel.

Okay dan, mocht het zo zijn dat we met zijn allen in 'tig databases worden of zijn opgeslagen, dan zou ik wel eens willen weten waarin allemaal. Het is ten slotte mijn identiteit die wordt gebruikt voor niet door mij controleerbare opslag en evt. ( commercieel ) gebruik. Kan ik iemand bellen of mailen om mij daar weer uit te verwijderen omdat ik dat misschien niet wil?? Dit lijkt mij een volkomen redelijk verzoek...

Als ik in jouw straat kom als toerist mag ik toch ook gewoon foto's maken?
En die op internet zetten? Google doet niet meer als dat en ik vind het een fantastische uitvinding, zeker in combinatie met de routeplanner.

Nee je mag in theorie niet zomaar foto's van mensen publiceren, je hebt nog zoiets als portretrecht.

Daarnaast zit er wel degelijk een verschil tussen 1 foto plaatsen en het geordend op een website plaatsen.

Om maar verder te gaan met jouw voorbeels van de tourist, als die tourist structureel iedere dag een foto van jouw huis gaat maken, en dat van je buren, en je hele wijk en die constant vernieuwd op zijn website dan wordt het al redelijk discutabel.

Volgens mij mag je gewoon foto's maken en deze publiceren. Mocht portretrecht een issue zijn dan maak je alle mensen onherkenbaar. Dat is dus ook wat Google doet. Net zoals ze nummerborden onherkenbaar maken.
Doe toerist, volgens mij is daar helemaal niks discutabels aan. Dat mag gewoon.
Jij kunt ook gewoon met een camera rond rijden en foto's maken. No problemo en volgens mij wettelijk niets wat je tegen houdt (tenzij je je natuurlijk wel aan bepaalde regels houd, zoals het portretrecht etc).

Maar dat is ook niet het punt van dit onderzoek. Het gaat erom dat Google informatie van draadloze netwerken heeft opgeslagen. En da's wel iets anders dan foto's.

Ja ik ben het ook helemaal met je eens, ik ging alleen in op de opmerking van ZunFlappie. Het punt van het onderzoek heeft daar natuurlijk niet zoveel mee te maken.

Waar trek je de grens? Misschien moet iedereen rondlopen met een ingebouwde chip die een signaal stuurt ... als ik dan toevallig een foto wil nemen op straat en jij passeert, dan kan mijn hypermoderne camera automatisch je gezicht censureren

Ok, dom & extreem voorbeeld, maar zoals ik eerder al zei, er moeten niet alleen regels zijn omtrent privacy, mensen moeten ook bewust zijn wat de gevolgen & risico's zijn van het vrijgeven van hun privacy. Als ik op een sociale community ga verkondigen dat ik rij met een Ferrari & je dat bijvoorbeeld op Google Streetview ook nog eens kunt zien, dan moet ik achteraf ook niet klagen dat de overheid bijvoorbeeld plots moeilijk zou doen over mijn werkeloosheidsuitkering bijvoorbeeld ...

Zelf stoor ik me niet echt aan al dat publiek gedoe, men mag van mij zoveel foto's & informatie verzamelen als men wil, mijn echt privacy hou ik wel voor mezelf & zal ook nooit te grabbel liggen voor het publiek.

Is dat niet een beetje een naive houding? Door gewoon te leven al meer en meer informatie over je in databases opgeslagen. Ik hoop dat je vertrouwen in de technologie die het beschermt en de goede intenties en kunde van degene die het verzamelen je niet teleur stellen...

Het idee van een chip meedragen om meer prive te zijn geeft al aan dat je er niet heel erg over nadenkt: waarschijnlijk is een op afstand uitleesbare chip een groter privacy issue dan mogelijk op een foto herkend te worden.

En het voorbeeld van de ferrari is wel lekker makkelijk; wat zou je er van vinden als de overheid sociale netwerken af gaat struinen naar alcohol gebruik < 16, of het gebruik van pilletjes bij een dance feest.

Sociale netwerken en google hebben best een grote impact op de privacy van mensen, en mogen zich daarvan best bewust zijn.

Privacy is flink in de spotlights momenteel

Bedoel je dit: http://mattmckeon.com/facebook-privacy

Kan ik iemand bellen of mailen om mij daar weer uit te verwijderen omdat ik dat misschien niet wil?

Het is misschen handiger om in de eerste plaats te voorkomen dat je in zulke databases terecht komt. In een ideale wereld zou dit bijvoorbeeld niet gespeeld hebben omdat daar iedereen (da's in utopia immers de default instelling van alle routers) encryptie op zijn draadloze signaal heeft zitten; probleem opgelost!

Ach ik ben normaliter erg skeptisch wat betreft google's openheid en privacy mindedness, maar in dit geval geloof ik toch wel dat het weinig intentie had om de data te misbruiken. Het lijkt er sterk op dat het gewoon alle data opsnifft uit de omgeving om na afloop daar de SSID's e.d. uit te halen.

Het is misschien niet zo netjes maar het lijkt me me geen bewuste actie met als doel om de data voor andere zaken te gebruiken. Maar goed, netjes of niet, het kan wel strafbaar zijn.

Ben ik helemaal met je eens. Ik vind ook dat dit zwaar overtrokken wordt. Het verbaast me dat Streetview niet om hele andere redenen aangevallen wordt.

Streetview laat in sommige straten gewoon inventaris in woonhuizen zien. ik zag laatst iemand die lekker zat te bellen (gezicht was wel onherkenbaar) maar die zat notabene gewoon lekker op de tweezitsbank in haar huisje (onmiskenbaar een vrouw).

Gelukkig ligt mijn huis een eindje van de straat af, waardoor er alleen heel wazig profiel is van wat er achter mijn glas is. Maar ik zie wel dat mijn zoontje op de bank zit omdat ik weet dat hij blond haar heeft... En dat is notabene over onze schutting heen!!!

Ze hebben dus waarschijnlijk ook mijn SSID. Maar het is mijn verantwoordelijkheid. Als ik niet wil dat anderen mijn SSID zien dan had ik dat moeten uitzetten dat uitzend. Maar natuurlijk weten heel veel mensen niet hoe dat moet en ik bijvoorbeeld ben te lui om het te doen. Al heb ik 'm nu uitstaan en blijft hij uit.

Je weet toch dat als je dat uit zet, dat men nog steeds kan weten wat je SSID is...

Tenzij je zo "handig" bent om in je SSID privacy-gevoelige informatie te zetten (je eigen naam, postcode of pin-code als je toch aan het prutsen bent) zie ik niet in waarom een SSID geheim moet zijn?
In de huidige situatie (waar de helft "LinkSys" heet) kun je gewoon een random nummer genereren en dat als SSID gebruiken. Zelfs als je geen zin hebt om "jouw" nummer te onthouden is het toch wel het enige SSID binnen bereik dat een random nummer is, dus prima herkenbaar (en een SSID heeft maar twee eigenschappen nodig: uniek en herkenbaar).

Ach ja... Google hangt een net zo mooi verhaaltje op als ieder bedrijf, ze zijn net zo goed en net zo evil als Microsoft, Sony, Apple enz. Al die praatjes over 'Don't be evil' en dergelijke, allemaal marketing praatjes van Google om zieltjes te winnen. Net zoals Apple dat doet met zijn 'user experience' verhaal en Microsoft, nou ja microsoft heeft tientallen van dat soort praatjes.

Het nieuwe mantra van Google is tegenwoordig 'Openness', iets wat Microsoft bij monde van Ballmer jaren geleden al zei: "I agree that no single company can create all the hardware and software. Openness is central because it's the foundation of choice"

waar Google mee bezig was is War-driving. ze zijn in mijn ogen bezig geweest met het voorbereiden voor het hacken van draadloze netwerken, vergeet niet dat in die data ook mogelijk username en password zitten door protocollen zoals / FTP / SMTP / SNMP / POP3 / TELNET ect. dit zijn allemaal protocollen die hoog privé data versturen in ClearText.

Dus ja ik vind dat ze bestraft moeten worden als of ze aan het hacken waren.
want als ik een NESSUS scan over iemand zijn Netwerk gooi dan krijg ik ook de politie aan de deur terwijl ik nog niet aan het hacken bezig ben geweest alleen de zwakten van het netwerk in kaart heb gebracht (Wat Google heeft gedaan met streetview).

Dus waarom ik dan wel en Google dan niet ???

Als ik het goed begrijp verstuurt nessus ook data op het netwerk om de kwetsbaarheden te onderzoeken. Daarvoor moet je verbinding maken met het netwerk in kwestie en dat is computervredebreuk.

Alles wijst erop dat Google geen verbinding gemaakt heeft, dat is het verschil.

Klopt idd.
Het probleem is Draadloos kun je afluisteren en de zelfde data krijgen als of je binnen in het netwerk zit.

nog steeds hebben ze gevoelige data bewaard van netwerken. ik vind dat net zo erg.
hoe kunnen hun nu nog zeggen dat de data echt is verwijderd misschien is er wel een back-up.
of heeft handige jappie wat data gestolen van Google dus is het verspreid over internet zie het dan maar is weer weg te halen.

Durf te wedden als ik het zelfde ga doen als Google dat ik wel zwaar bestraft wordt.

Dat alles per ongeluk is gebeurd zonder dat Google het wist dat ze de data zaten op te vangen. Lach ik me dood echt waar Google heeft dit bewust gedaan.

waar Google mee bezig was is War-driving. ze zijn in mijn ogen bezig geweest met het voorbereiden voor het hacken van draadloze netwerken

Anders trek je dingen even finaal uit hun context ofzo. Volgens jouw redenatie kun je maar beter niet gaan tanken; je auto bij de benzinepomp volgooien is wat, het voorbereiden van een snelheidsovertreding? Of zelfs het voorbereiden van doorrijden na een ongeluk? Of zullen we het meteen goed aanpakken en het het voorbereiden van een autobom noemen?

vergeet niet dat in die data ook mogelijk username en password zitten door protocollen zoals / FTP / SMTP / SNMP / POP3 / TELNET ect. dit zijn allemaal protocollen die hoog privé data versturen in ClearText.

Dat lijkt mij de fout van die protocollen... Als ik hier mijn password post, is het dan de schuld van T.net dat mijn password in cleartext op internet staat? Of ligt de schuld dan toch misschien wel een beetje bij mijzelf?

Google verzamelt wel heel erg veel.
We maken ons steeds weer druk over onze privacy, oa verzamelde data door overheid en bijv NS, maar gebruiken wel aan alle kanten Google.
Wat gebeurt er met de data die men, wellicht, via Android telefoons/netbooks verzamelt? Zou ook wel een leuke aanvulling voor het onderzoek zijn.

Ik denk dat het onderzoek nuttig en terecht is. Data welke tot personen en aansluitingen kunnen worden herleid dienen private te zijn...en blijven!

Weet je wat erger is. Google (en andere webspiders) zullen ook die slecht beveiligde overheids websites met jou informatie indexeren.

Google weet alleen dingen over jou die jij aan Google gegeven hebt (direct of indirect). Hoe minder informatie jij geeft, des te beter is het voor jou privacy en veiligheid. Jij heb geen controle meer over informatie die jij afgedragen hebt, het is dus belangrijk om op te letten welke informatie jij afdraagt.

Google is niet alleen de bad guy hier, ze makken het voornamelijk makkelijker om de informatie op te zoeken. Het is in eerste instantie belangrijk dat Google niet die informatie krijgt waarvan jij niet wilt dat zij die informatie krijgen.

Ik vind het ENORM hypocriet dat de overheid achter Google aan gaat, maar ondertussen er voor zorgt dat er extreem veel informatie over jou opgeslagen wordt in verschillende databanken.
Een kleine fout, en Google mag er weer voor zorgen dat jou reisgeschiedenis van de afgelopen 7 jaar weer uit hun systemen gehaald moet worden omdat de infrastructuur van de ov-chipkaart alweer onveilig bleek te zijn.

Google weet alleen dingen over jou die jij aan Google gegeven hebt (direct of indirect).

Kleine correctie: Google weet alleen dingen over jou die iemand aan Google gegeven heeft. Da's in de praktijk (zeker voor mensen die bewust proberen bepaalde informatie van het Internet te houden) nogal een verschil!
Laten we even aannemen dat je bewust je echte naam niet vermeldt. Als ik je "in het echt" ken en deze reactie begin met "Hoi Jantje (/ Pietje / Klaasje) *zwaai*" dan wens ik je veel succes de link tussen je nickname en echte naam ooit nog volledig te verwijderen, terwijl je zelf (jarenlang?) die link zorgvuldig hebt voorkomen. Voor de goede orde: ik heb geen probleem met mensen die er de voorkeur aan geven een nickname te gebruiken. Ik zeg het er even expliciet bij, voor we daar dadelijk misverstanden over krijgen.

Ik vind het ENORM hypocriet dat de overheid achter Google aan gaat,

Wel hypocriet, maar niet slecht. Het lijkt me niet de bedoeling iedereen een vrijkaart te geven voor het begaan van overtredingen die de overheid zelf ook maakt.

Voor de rest ben ik het helemaal met je eens!