Resultaten onderzoek CBP naar packet inspection door telecomaanbieders

Uit het persbericht: Het College bescherming persoonsgegevens (CBP) publiceert vandaag zijn rapporten naar aanleiding van het onderzoek naar analyse van het dataverkeer (packet inspection) over het mobiele netwerk door de telecomaanbieders KPN, Tele2, T-Mobile en Vodafone. Deze vier telecomaanbieders zijn de grootste mobiele netwerkaanbieders in Nederland. Tijdens het onderzoek constateerde het CBP bij alle bedrijven overtredingen van de Wet bescherming persoonsgegevens (Wbp) en de Telecommunicatiewet (Tw). De bedrijven bleken onder meer in strijd met de wet op detailniveau gegevens te bewaren over de bezochte websites en gebruikte apps. Dergelijke gegevens moeten op basis van de wet zo snel mogelijk na het verzamelen worden verwijderd of onomkeerbaar worden geanonimiseerd. Gegevens over bezochte websites en gebruikte apps via de mobiele telefoon zeggen veel over het gedrag en de voorkeuren van mensen. Het is in veel gevallen niet noodzakelijk om deze gegevens op klantniveau te bewaren.

Uit het onderzoek kwam ook naar voren dat klanten niet of onjuist worden geïnformeerd over het feit dat de telecomaanbieders deze gedetailleerde informatie over hen verzamelen en wat zij ermee doen. Dit gebrek aan transparantie is ook in strijd met de wet.

Een deel van de geconstateerde overtredingen is inmiddels naar aanleiding van het onderzoek beëindigd. Het CBP zal nu controleren in hoeverre geconstateerde overtredingen nog voortduren en beslissen of het handhavende maatregelen zal nemen.

Lees het rapport van definitieve bevindingen van KPN (8,4 MB)
Lees het rapport van definitieve bevindingen van Tele2 (7 MB)
Lees het rapport van definitieve bevindingen van T-Mobile (9,1 MB)
Lees het rapport van definitieve bevindingen van Vodafone (10,8 MB)

K​PN
KPN heeft naar aanleiding van het onderzoek van het CBP maatregelen getroffen waardoor de geconstateerde overtredingen zijn beëindigd. De telecomaanbieder handelde in strijd met de wet door de voor het beheer van het netwerk verzamelde gegevens over websitebezoek en appgebruik niet zo snel mogelijk onomkeerbaar te anonimiseren of te verwijderen. Het bedrijf heeft de betreffende apparatuur voor data-analyse nog tijdens het onderzoek stopgezet en de hiermee verzamelde gegevens verwijderd. Inmiddels heeft KPN aangegeven apparatuur in gebruik te hebben genomen die gegevens zo snel mogelijk na het verzamelen anonimiseert.

Tele2
Het CBP heeft bij Tele2 meerdere overtredingen geconstateerd die op één overtreding na nog voortduren. Tele2 overtreedt onder meer de wet door de gegevens over websitebezoek en appgebruik van klanten weliswaar te versleutelen, maar niet zo snel mogelijk na het verzamelen onomkeerbaar te anonimiseren. Het bedrijf blijkt deze gegevens gedurende een jaar te bewaren. Tele2 gebruikt bovendien zonder toestemming van zijn klanten de verzamelde gegevens voor marktonderzoeksdoeleinden. Ook dat is in strijd met de wet.
Tele2 heeft naar aanleiding van het onderzoek inmiddels een algemene privacyverklaring opgesteld waarmee het bedrijf zijn abonnees informeert. Deze privacyverklaring is echter nog onvolledig. In geval van onderhoud en/of storingswerkzaamheden biedt Tele2 toegang tot de persoonsgegevens aan een ander bedrijf buiten de Europese Unie waar geen sprake is van een passend beschermingsniveau. Tele2 heeft inmiddels stappen aangekondigd om deze overtreding te beëindigen.

T-Mobile
T-Mobile heeft een aantal overtredingen van de wet inmiddels (ten dele) beëindigd naar aanleiding van het onderzoek. Het bedrijf is nog altijd in overtreding omdat het e-mailadressen niet zo snel mogelijk verwijdert. T-Mobile heeft verder weliswaar zijn privacyverklaring aangepast, maar deze is nog niet helder over de bewaartermijnen.

Vodafone
Vodafone heeft een aantal overtredingen van de wet inmiddels (ten dele) beëindigd naar aanleiding van het onderzoek. Vodafone bewaart ondanks aanpassingen een persoonsgegeven nog langer dan noodzakelijk is voor het detecteren en oplossen van problemen in het netwerk (netwerkmonitoring). Hierdoor is Vodafone op dit onderdeel nog in overtreding. Tijdens het onderzoek bleek dat Vodafone persoonsgegevens met betrekking tot websitebezoek en appgebruik op detailniveau bewaarde. Vodafone heeft inmiddels verklaard dat dit niet meer gebeurt.
Na sluiting van het onderzoek heeft Vodafone ook de nog tekortschietende privacyverklaring en de verplichte melding (van de gegevensverwerking) bij het CBP aangepast.

Achtergrond
In het voorjaar 2011 besloot telecomtoezichthouder OPTA (inmiddels opgegaan in de ACM) na berichten in de media over diepgaande analyse van het berichtenverkeer een ‘quick-scan’ te starten onder de vier telecomaanbieders KPN, Vodafone, T-Mobile en Tele2. In deze quick-scan is nagegaan of en hoe deze partijen hun dataverkeer analyseren. Op basis van deze quick-scan concludeerde OPTA eind juni 2011 dat er in dat stadium van het onderzoek op basis van de Telecommunicatiewet geen aanleiding was voor handhavend optreden. OPTA heeft op basis van het samenwerkingsprotocol met het CBP haar voorlopige bevindingen ter beschikking gesteld aan het CBP ten behoeve van zijn onderzoek.