Europese privacywaakhond: Google bewaart data nog steeds te lang

Working Party 29, een privacywaakhond van de EU, heeft in een rapport over het opslaan van gebruikersgegevens met name Google er flinks van langs gegeven. Microsoft en Yahoo krijgen in mindere mate kritiek te verwerken.

De WP29-werkgroep, voorgezeten door Jacob Kohnstamm van het CBP, heeft op een aantal grote zoekmachines forse kritiek geuit over het niet anonimiseren van zoekdata van zijn gebruikers. De werkgroep stelt dat de zoekmachines, ondanks eerdere waarschuwingen, nog steeds niet aan de Europese privacyrichtlijnen voldoen. Daarbij moet vooral Google het in een open brief ontgelden. De zoekgigant, met een reusachtig marktaandeel in Europa, schendt volgens de WP29 de privacyrichtlijnen die stellen dat de bewaarduur van zoekgegevens die aan individuen zijn te relateren, maximaal zes maanden mag bedragen. Google bewaart dergelijke data, vooral ip-adressen, negen maanden. Daarna wordt alleen het laatste octet van het opgeslagen ip verwijderd.

Volgens de privacywaakhond is Google met het inkorten van de ip-data na negen maanden nog steeds in overtreding, omdat de anonimiteit van dergelijke data nog altijd onvoldoende zou zijn gewaarborgd. Bovendien zou Google elke gebruiker bij het ingeven van een zoekactie een cookie met een levensduur van achttien maanden sturen. Elke keer als een internetgebruiker opnieuw een zoekactie plaatst, wordt de verlooptijd weer op anderhalf jaar gezet. Ook dit gedrag is volgens de werkgroep een overtreding van de Europese privacyregels.

De privacywaakhond heeft ook kritiek op Microsofts Bing en op Yahoo, al is deze aanmerkelijk minder hard. Microsoft voldoet met een bewaartermijn van zes maanden aan het Europese maximum, terwijl Yahoo gegevens van bezoekers drie maanden opslaat. Microsoft zou echter aan ongeregistreerde gebruikers cookies met een geldigheid van achttien maanden geven, terwijl geregistreerde bezoekers een cookie krijgen toegewezen met een geldigheidsduur van zes maanden.

De WP29 roept de drie bedrijven op om een externe en onafhankelijke partij in de hand te nemen, die moet controleren of zoekopdrachten conform de Europese regels anoniem worden gemaakt. Daarnaast heeft de privacywaakhond een brief naar de Amerikaanse collega's bij de FTC gestuurd, waarin het verzoekt om te bekijken of de drie zoekmachines aan de privacywetten in de VS voldoen.

Reacties (42)

[Flowmo]

Maar de Nederlandse overheid wil wel overal zonder toestemming data van kunnen tappen. Daar hoor je ze dan weer niet over. Dan gaat het om "veiligheid van de burgers". Wat een gejank weer.

Who cares dat mijn zoekopdracht bewaard wordt? Dan kunnen zien waarop ik heb gezocht en geklikt. En wat dan nog? Dat ze dan weten dat mijn naam bij die zoekopdracht hoor? Nou goh, wat erg.

[87Vortex87]

Nou... Who cares... Met één zoekopdracht kun je inderdaad niet veel, maar met 1.000 zoekopdrachten heb je een heel profiel van de gebruiker. Op deze wijze kan men precies afleiden wat voor interesses je hebt en dus de reclame op jou kunnen afstemmen.

Op zich is gepersonaliseerde reclame natuurlijk helemaal geen slechte zaak, maar het probleem is, zoals altijd, wat kan men met de data doen als deze in handen komt van kwaadwillenden, hoe goed worden de gegevens beschermt en wordt er wel alleen relevante informatie opgeslagen?

Naast het 'gewoon' verzamelen van informatie, zou men je hobby's kunnen achterhalen, de sporten die je doet en wellicht je beroep. Waarschijnlijk kunnen ze zelfs afleiden wat jouw uitgavepatroon is, aan de hand van de zoekopdrachten. Daar komt nog bij dat de tijden van de zoekopdrachten, zeker bij een grote database aan zoekopdrachten, precies in beeld kunnen brengen wanneer je thuis bent en hoeveel tijd je besteed achter de PC. Dit kan door te inventariseren hoeveel procent van de tijd men op internet doorbrengt, als men achter de PC zit, en vervolgens hoeveel zoekopdrachten de gebruiker gemiddeld per internetsessie uitvoert.

Ik zou dus niet al te snel roepen dat het niet uitmaakt. Zolang er verantwoordelijk mee wordt omgegaan en de gegevens goed beveiligd hebt, is er niet veel aan de hand. Toch denk ik dat je niets aan het toeval of de goede aard van bedrijven over moet laten en de privacy van, wie dan ook, goed in bescherming moet nemen. De overheid kan hier bij uitstek over waken, met het CBP (College Bescherming Persoonsgegevens) als adviseur/waakhond.

Edit: @Hieronder: Ja, je kan er zeker voor kiezen om Google niet te gebruiken, maar daar draait het helemaal niet om. Waarom niet? 90% van de mensen heeft geen enkel benul van de hoeveelheid data die wordt opgeslagen over hen.
Ik geef alleen aan dat er wel een probleem is, niet dat er geen oplossing of alternatief is.

[Reactie gewijzigd door 87Vortex87 op 22 juli 2024 19:31]

[firefly112]

je kan er altijd toch nog voor kiezen om Google niet te gebruiken niemand dwingt jou het gebruik van Google.

[EvilWhiteDragon]

Dat is helaas niet waar. Met Google analytics wordt het gebruik van Google aan gebruikers opgelegd. Dus of analytics zou moeten verdwijnen, of ze passen het opslaan van gegevens gewoon aan. Pas dan kun je spreken van alternatieven.

[Aham brahmasmi]

Maar je hebt nu een opt-out-optie voor Google Analytics d.m.v. een plugin/add-on voor je browser. Was gisteren nog een artikel over.

[Fireshade]

Zo hoort dat niet natuurlijk. Het hoort standaard te zijn.
Want als je niets over die optie weet, gaat Google maar z'n gang met je privacy gegevens?

[wildhagen]

Dat is een non-argument. Dat iemand er vrijwillig voor kiest om het te gebruiken, wil nog niet zeggen dat zijn of haar privacy geschonden zou mogen worden.

Daarnaast heeft Google in bepaalde werelddelen een semi-monopolie op enkele markten (zoals zoekmachines in Europa, of online advertenties), en een monopolist ligt nu eenmaal onder een vergrootglas en daar gelden andere regels voor. En dat lijkt me een goede zaak.

[Reactie gewijzigd door wildhagen op 22 juli 2024 19:31]

[DiGiBrAt]

nou hoe vaker je naar iets zoekt hoe beter ze de reclame banners kunnen aanpassen op jou voorkeuren.

[Verwijderd]

Amen. Gezeik over google altijd. Wat doen die jongens nou? Passende reclame tonen. Zolang ze maar niet 'lesbian bikini bitches' reclames tonen, gaan ze hun gang maar.

[wildhagen]

Wat doen die jongens nou?

De privacyregels/wetten overtreden, bijvoorbeeld? En daarmee jou, mijn, en ieder die Google gebruikt, privacy schenden?

Wetsovertredingen kunnen imho nooit onder 'ze gaan hun gang maar' vallen. Wetten zijn niet vrijwillig, je hebt je er gewoon aan te houden, en dat geld niet alleen voor personen, maar zeker ook voor bedrijven.

Die privacy-regels zijn er niet voor niks, ze zijn er om onschuldige internetters te beschermen tegen potentieel (toekomstig) misbruik, in dit geval door Google.

[user109731]

in dit geval door Google.

En door Microsoft en Yahoo. Misschien in mindere mate, maar toch:

Microsoft zou echter aan ongeregistreerde gebruikers cookies met een geldigheid van achttien maanden geven

Ik heb het idee dat veel mensen iets te makkelijk Google beschuldigen en de rest snel vergeten.

[Reactie gewijzigd door user109731 op 22 juli 2024 19:31]

[humbug]

"Hunnie doen het ook " werkte al niet toen ik een klein kind was. Daarnaast is de mate van overtreding natuurlijk ook van belang. Een bedrijf wat een vat olie in een rivier laat vallen behandel je ook anders dan een bedrijf wat de hele kust vervuild.

[Rutix]

Helemaal mee eens. De wetten zijn er niet voor niks en dan kun je het misschien wel niet zo heel erg vinden ze overtreden nog steeds de wet en daarom is het goed dat grote bedrijven zoals google en microsoft worden gecontroleerd.

[Verwijderd]

Amen. Gezeik over google altijd. Wat doen die jongens nou? Passende reclame tonen. Zolang ze maar niet 'lesbian bikini bitches' reclames tonen, gaan ze hun gang maar.

Afgezien van het overtreden van de wet op de privacy.

Het gaat er niet zozeer om wat google doet met die informatie. Wel wat anderen zouden kunnen doen met de informatie die google opslaat

Overigens staan in een artikel van gisteren de nodige tips om eea tegen te gaan, ref:
nieuws: Google biedt websurfers opt-out-mogelijkheid voor Analytics

[humbug]

Dat is geen optie. Google moet zich gewoon aan de wet houden. Als de privacy wetten in europa google niet aanstaan moeten ze geen business met europeanen doen. Ik zou mij niet hoeven te beschermen tegen zaken waar de wet mij al tegen beschermd.

[RielN]

Geen 'lesbiaon bikini bitches' ?

[stresstak]

Geen 'lesbiaon bikini bitches' ?

Waar ? Waar moet ik klikken.?!

Of heb ik ze wel maar zie ik ze niet ? Kan zijn dat ik redelijk immuun ben, maar ik heb niet bewust last van banners? popups? watnog ?
En dan nog, als ze revlames aanbieden waar ik wat aan zou hebben en ik klik er niet op? Wat dan. Komen ze dan aan de deur ?

[wildhagen]

Waarom worden er dan geen sancties, of een strafrechterlijke vervolging van, t.o.v. Google getroffen?

Als men de regels willens en wetens overtreed, en daarmee de privacy van onschuldige burgers schend, en dat na meerdere waarschuwingen ook blijft doen, moet men daar toch consequenties aan kunnen verbinden?

Bedrijven staan nu eenmaal niet boven de wet- en regelgeving, al lijken ze dat af en toe wel te denken.

[Aham brahmasmi]

Waarom worden er dan geen sancties, of een strafrechterlijke vervolging van, t.o.v. Google getroffen?

[...]

Bedrijven staan nu eenmaal niet boven de wet- en regelgeving, al lijken ze dat af en toe wel te denken.

Een richtlijn is niet hetzelfde als een wet, lijkt mij. Ik denk ook dat WP29 heeft niet dezelfde soort bevoegdheden heeft als bijvoorbeeld de OPTA of de NMA, en dus geen boetes kan opleggen e.d.. Een 'waakhond' is niet hetzelfde als een regulerend orgaan.

[RemcoDelft]

Het woord "richtlijn" klinkt in het Nederlands alsof het vrijblijvend is, maar dat is het niet. Een "EU Richtlijn dient door alle lidstaten geimplementeerd te worden in nationale wetgeving.

[analog_]

Binnen een bepaalde periode. Het is meestal niet met onmiddelijk ingang omdat de lidstaten tijd moeten krijgen om de richtlijn te concretiseren in een wet-vorm.

[Fireshade]

Dat maakt een richtlijn natuurlijk niet minder dwingend. Het lijkt me logisch dat een richtlijn niet met onmiddelijke ingang actief kan worden. Die 'bepaalde periode' dient om allerlei zaken die de richtlijn voorschrijft voor te kunnen bereiden in een/elk land - de implementatie, zoals RemcoDelft zegt.

[Reactie gewijzigd door Fireshade op 22 juli 2024 19:31]

[wildhagen]

Het gaat wel degelijk om een wet, zie de bronlink van het CPB: http://www.cbpweb.nl/Pages/20100526_zoekmachines.aspx

En WP29 mag dan misschien niet de juiste bevoegdheden hebben, maar de EU zelf heeft dat natuurlijk wel. En het CPB kan dat soort dingen volgens mij ook opleggen?

[Pixeltje]

Bij mijn weten heeft het CPB niet het recht om boetes op te leggen of straffen uit te delen. Daarnaast duurt het over het algemeen vrij lang voordat de aanbevelingen of conclusies van een 'waakhond' worden geadopteerd door de EU. Niet alleen omdat het een organisatorische crime is om de juiste en bevoegde personen mee te krijgen in een debat over zoiets, maar ook omdat er waarschijnlijk eerst gekeken wordt naar de politieke gevolgen van zo'n boete of straf.

[paazei]

Omdat dit grootse onzin is en de EU er ontzettend bij gebaat is dat google dit doet.
Wie anders heeft het recht om die info op te vragen bij gogle dan overheden? juist, niemand, de EU is gewoon jaloers dat hun niet zo makkelijk bij bepaalde gegevens kunnen en een bedrijf als google wel.
Verder ben ik minder bang dat google iets verkeerds met mijn gegevens doet dan een overheid of nog erger, een samenvoeging van overheden als de EU. Ik ga er niet vanuit dat google iemand ooit bij mij langs zal sturen, de EU daarintegen moet met zijn poten van mijn gegevens afblijven, want na 9-11 vertrouw ik gen enkele overheid meer en al helemaal niet met dit soort onzinningheden die ze zelf dan wel zouden willen kunnen uitvoeren.
Oftewel, bureaucratische bullshit om ons tevreden te houden "o wat doet de EU toch goede dingen voor onze privacy" en ondertussen worden we door de EU keihard van achteren genakt.
Ik snap niet wat mensen in het 'kwaad' van google zien, terwijl er nog nooit iets gebeurd is met google wat niet door de beugel kan en hun netwerken zijn tenminste beveiligd.

[cyboria]

Wat ik mij afvraag:

Waarom krijgen users een cookie van 18 maanden toegestuurd als ze een zoekopdracht uitvoeren? .

[Xirt]

Dat is een kwestie van proberen; een korte test wees uit dat ik bij het gaan naar 'google.com' of 'google.nl' een cookie krijg die op 26 mei 2012 (2 hele jaren!) verloopt. Snel maar weer adblock en andere addons aanzetten dus .

Voor de geinteresseerden de cookieinhoud na het bekijken van het hoofdomein:
Naam: PREF
Inhoud: ID=[HASH]:TM=[DIGITS]:LM=[DIGITS]:S=[HASH]

Na zoeken komt daar een cookie bij die verloopt op 26 november 2010 (6 maanden):
Naam: NID
Inhoud: ID=[DIGITS]=[HASH]

[Reactie gewijzigd door Xirt op 22 juli 2024 19:31]

[B-ware]

Google is met de dag dominanter aan het worden op alle vlakken van technologieontwikkeling en ICT, dit kan niet blijven duren, laat ons alstublieft ergens iets doen in de mate van het mogelijke qua sancties... want dit kan toch niet blijven duren ? elke dag komen er meer en meer lijken uit de kast vallen bij Google....

[Verwijderd]

Lijken
wat doet Google dan allemaal zo gemeen slecht?
Zo interressant ben ik niet voor een zoekmachine als Google dat ze juist mijn gegevens gaan verkrachten ik doe toch niets verkeerd

[Verwijderd]

Ik snap die koekjes richtlijn nog steeds niet, mijn website gebruikt koekjes om o.a. de background kleur aan te koppelen, zonder koekje moet ik mijn hele framework omgooien

[wildhagen]

Tsja, jij gebruikt hem misschien niet op een manier die de privacy(regels) schend, maar anderen doen dat dus wel (in dit verband dus bijvoorbeeld Google).

Je kan nu eenmaal niet alle uitzonderingen in de regels opnemen, dus zullen de goeden maar onder de kwaden moeten lijden. Het alternatief, namelijk toestaan van het overtreden van de privacy, en daarmee de privacy schenden, is namelijk nog veel ongewenster.

[Xirt]

Probleem daarbij is dat je de gebruikersvriendelijkheid niet meerekent. Met cookies kan je persoonlijke instellingen en loginsessies bewaren; zonder cookies zal dat lastig zijn of niet mogelijk zijn (tussen de sessies door), waardoor elke gebruiker steeds opnieuw alles in moet stellen.

[HAL 9000]

Tenzij je het serverside doet, dus gebruikers laten inloggen als ze instellingen willen veranderen en deze instellingen effect wil laten hebben op het uitzicht van de site.

[Flowmo]

Die cookies slaan geen privacy data op. De cookies waar het hier over gaat, doen dat wel.

[joelharkes]

zo lang een land niet zo stom is om wachtwoorden van bijvoorbeeld atoombommen, of grote energiefabrieken door te sturen via gmail is er toch niks aan de hand?

je hebt zelf niks te verbergen (lijkt me). en google zou een mooie manier zijn voor onderzoeken om allerlei relaties/verbanden te onderzoeken.

[Reactie gewijzigd door joelharkes op 22 juli 2024 19:31]

[corl]

Het gaat er niet om of je iets hebt te verbergen. Stel je bent al een paar maanden op internet aan het zoeken naar alles over een bepaalde soort ziekte. Jouw zorgverzekeraar is hier echt wel in geïnteresseerd en zou dit graag willen weten (met hogere polis tot gevolg).

[neeroeter]

Bv. ixquick slaat geen data op, althans data die naar een persoon kunnen leiden.
Google heeft het bij mij al lang verbruid. Hoewel ik het toejuich dat het een bedrijf is dat open standaarden wil ( uit eigenbelang , dat wel...), heb ik een hekel aan dat 'wij willen meekijken' gedoe...
Ach, het is een leuk tijdverdrijf hoor, om googleloos het internet op te gaan...is nog een hele toer nl.

[MUSCETEER]

Mensen die google down willen halen zijn gewoon jaloers, wat maakt het uit da ze weten wanneer je thuis ben of hoelang je achter je pc zit?

Of wat je leuk vind, who cares? er zijn meer dan 2.5miljard mensen die google bezoeken. Wat willen ze gaan doen? al die mensen een voor een stalken ofzo..

Als google er nie was, zou alles moeilijker zijn geweest. Ookal zijn er andere alternatieve zoekmachines,

[Verwijderd]

Yahoo heeft wss de fondsen niet meer om zolang data te bewaren.

[morrowyn]

Dan gaat google toch een isptje beginnen en zijn ze verplicht hun data minimaal 7 jaar te bewaren onder het mom van terrorisme bestrijden. Kunnen ze gelijk dpi doen om zo nog beter hun data verkeer/ad meuk te doen