Dat adverteerders en aanbieders van advertentienetwerken e-mailadressen verzamelen, is niets nieuws onder de zon. Maar wist je dat adverteerders mailadressen opslaan op het moment dat je deze invult op een website, nog voordat je op verzenden klikt? Op dezelfde manier vergaren ze ook andere informatie van internetgebruikers.
Dat blijkt uit onderzoek van de Radboud Universiteit, KU Leuven en Universiteit van Lausanne.
Locatiegegevens, surfgeschiedenis, zoekopdrachten, IP-adressen, eigenschappen van je smartphone of laptop: er worden heel wat gegevens verzamelt door dataverzamelaars. Bedrijven die gespecialiseerd zijn in het volgen van internetgebruikers spannen de kroon: zij willen het naadje van de kous weten. Het is hun corebusiness en verdienmodel om zoveel mogelijk gegevens over gebruikers te verwerken. Deze data gebruiken zij om persoonsgerichte advertenties of content te verkopen aan websites en apps.
Uit onderzoek blijkt nu dat adverteerders daar in doorschieten. Onderzoekers hebben geconstateerd dat ze over de schouder van bezoekers meekijken vanaf het allereerste moment dat ze op internet een pagina bezoeken. Stel dat je overweegt om je aan te melden voor een nieuwsbrief en alvast je e-mailadres invoert, dan wordt dit adres doorgestuurd naar een tracking-netwerk. Daarvoor hoef je niet eens op de knop ‘Verzenden’ te klikken.
Volgens hoofdonderzoeker Asuman Senol gaat het om websites die miljoenen bezoekers trekken. Haar team vond 1.850 websites die data van Europese bezoekers doorsturen naar volgbedrijven. 2.950 sites doen dat voor Amerikaanse gebruikers. Het gaat voornamelijk om buitenlandse sites, maar die kunnen vanzelfsprekend ook door Nederlanders worden bezocht. Website-eigenaren en uitgevers zijn zich vaak niet eens bewust van deze praktijken.
E-mailadressen zijn interessant voor bedrijven die onderdeel uitmaken van tracking-netwerken. “Door de e-mailadressen te verzamelen kunnen ze je activiteit op meerdere plekken aan elkaar koppelen”, vertelt Gunes Acar, een collega van Asuman Senol.
De meesten bekijken hun e-mail niet alleen thuis en op kantoor, maar ook als ze bijvoorbeeld een dagje uit gaan of hun auto wegbrengen naar de garage. Als je op deze plekken op je e-mailadres inlogt, kunnen je webactiviteiten op al deze plaatsen aan elkaar gekoppeld worden. Dat is nuttige informatie voor adverteerders om gepersonaliseerde advertenties aan te bieden.
Frederik Zuiderveen Borgesius, hoogleraar Digital Security aan de Radboud Universiteit, zegt dat dit niet zomaar mag. De Algemene Verordening Gegevensbescherming (AVG) schrijft voor dat het voor internetgebruikers duidelijk moet zijn wat er met hun persoonsgegevens, waaronder een e-mailadres, gebeurt. De praktijk is dat sommige dataverzamelaars je mailadres verwerken terwijl je deze intypt.
Volgens de onderzoekers is Facebook een van de bedrijven die zich schuldig maakt aan deze praktijken. “Facebook belooft dat trouwens pas te doen als de inhoud van een formulier is verzonden, maar in de praktijk werden de e-mailadressen al verzameld als je ergens op de pagina klikte”, aldus Zuiderveen Borgesius. Het is onduidelijk of dit bewust gebeurde, of dat er sprake is van een programmeerfout.
Ook bij boekhandel Bruna en de Vogelbescherming ging het mis en werden e-mailadressen bij binnenkomst op de website al verzameld. Bruna zegt dat een partij tegen de afspraken in handelde. “De gegevens zijn niet te herleiden tot personen, maar we gaan toch melding maken bij de Autoriteit Persoonsgegevens van een datalek”, zo vertelt een woordvoerder tegenover de NOS.
De Vogelbescherming zegt dat e-mailadressen naar een vertrouwde partij worden verstuurd waar afspraken mee zijn gemaakt. “Dat doen we voor het tonen van gepersonaliseerde content, en dus niet voor bijvoorbeeld advertenties”, zegt compliance officer Gerald Derksen.
Niet alleen e-mailadressen worden op deze manier verzameld. Onderzoekers hebben in 50 gevallen vastgesteld dat ook wachtwoorden van gebruikers werden doorgestuurd. Senol vermoedt dat er op deze manier ook andere gegevens worden doorgestuurd, zoals namen en geboortedata. Haar team had echter geen tijd om dat te onderzoeken.
“Dit zijn geen wenselijke praktijken”, zo laat Martijn Poulus, hoofd juridische zaken bij DDMA, weten. Voor zover hij weet doen leden van de brancheorganisatie van online marketingbedrijven dit niet. “We zouden dat ook absoluut niet aanraden.”
