Apple deelt locatiegegevens iPhone met partners, opt-out werkt

Een paar dagen geleden hebben we al aandacht besteed aan het feit dat Apple locatiegegevens via de iPhone gaat verzamelen. De mogelijkheid van een opt-out werkte op dat moment nog niet, maar daar is inmiddels verandering in gekomen, gezien het hiernaast getoonde screenshot. Toch willen we nog even op het onderwerp terugkomen: om iedereen eraan te herinneren om toch nog eens de opt-out te overwegen, maar ook om nog even te benadrukken dat het verzamelen van de locatiegegevens verder gaat dan Apple zelf.

In de al langer bestaande gebruikersvoorwaarden staat dat Apple de gegevens ook beschikbaar mag stellen aan partners:

You may be asked to provide your personal information anytime you are in contact with Apple or an Apple affiliated company. Apple and its affiliates may share this personal information with each other and use it consistent with this Privacy Policy.

Een nieuw toegevoegde clausule in de voorwaarden heeft betrekking op locatiegebaseerde diensten. Het achterliggende doel is om de diensten, content en reclame te verbeteren. Er lijkt dus ook een link met de iAd-advertentiedienst te zijn. Als je het iOS op de iPhone installeert moet je de nieuwe voorwaarden accepteren. Er zijn vier methoden om de locatie van een gebruiker te bepalen, waarvan Apple er in ieder geval drie gebruikt: gps (vastgesteld door de ingebouwde gps-chip), Wi-Fi-toegangspunten zoals Skyhook en Google gebruiken, gsm-masten en het ip-adres van een gebruiker. Om applicaties uit de App Store te kunnen downloaden ben je verplicht om akkoord te gaan met de nieuwe voorwaarden.

Het probleem is nogal complex, want wat verstaat Apple onder anoniem? Apple koppelt de informatie wel aan een bepaald ID en weet dus ook waar een specifieke iPhone zich op elk moment bevindt. Een koppeling met persoonsgegevens wordt daarbij niet gelegd, maar de locatie is wel te herleiden naar een specifiek toestel. Eerder is gebleken dat het op basis van grote datasets wel degelijk mogelijk is om mensen te identificeren op basis van hun gedrag, schrijft de LA Times.
Een ander punt is dat de gegevens op Apple-servers in de VS worden bewaard, waar andere privacywetgeving geldt dan in Europa. Apple heeft wel eraan gedacht dat veel gebruikers buiten de VS wonen en wijdt er een aparte paragraaf in de privacy policy aan en verwijst naar de het Amerikaanse Safe Harbor-framework:

Information you provide may be transferred or accessed by entities around the world as described in this Privacy Policy. Apple abides by the “safe harbor” framework set forth by the U.S. Department of Commerce regarding the collection, use, and retention of personal information collected by organizations in the European Economic Area and Switzerland. Learn more about the U.S. Department of Commerce Safe Harbor Program.

De privacy-policy bevat een paragraaf over Europese gebruikers:

Please note that personal information regarding individuals who reside in a member state of the European Economic Area (EEA) is jointly controlled by Apple Sales International in Cork, Ireland, and Apple UK Limited in Uxbridge, United Kingdom. Personal information collected in the EEA when using iTunes is controlled by iTunes SARL in Luxembourg.

In de reacties op ons eerdere artikel hebben veel mensen ook al op de privacybezwaren gewezen. De opt-out via oo.apple.com is een mogelijkheid, maar geeft alleen aan dat je de locatietracking voor advertenties niet wilt. Of Apple ook locaties registreert voor andere doeleinden dan advertenties, wordt niet echt duidelijk. Of eigenlijk wel: de tekst “to improve location-based products and services” wekt niet de indruk dat het alleen om reclamebanners gaat. Apple noemt wel de functie ‘Find My iPhone’, maar dat is een dienst die mensen bewust gebruiken en die nadrukkelijk is bedoeld om een persoon aan de locatie van een bepaalde iPhone te koppelen. Apple schrijft overigens ook nog: “we may share geographic location with application providers when you opt in to their location services”, waarbij de indruk wordt gewekt dat er bij externe aanbieders juist een opt-in constructie is (in tegenstelling tot de opt-out die Apple nu voor advertenties aanbiedt). De gang van zaken levert veel vragen op.