DUO overtreedt privacyregels met volgsoftware in e-mails aan studenten

DUO zou de verzamelde informatie in een rechtszaak kunnen gebruiken als bewijs dat een student een belangrijk bericht ontvangen heeft. De dienst geeft toe de trackingsoftware te gebruiken om bij een wijziging in de persoonlijke situatie van een student ‘het hele wijzigingsproces tot en met het afleveren van het formele bericht aantoonbaar te maken’ en de dienstverlening te verbeteren. Na vragen van de Volkskrant is DUO in gesprek gegaan met de Autoriteit Persoonsgegevens (AP), toezichthouder op de bescherming van persoonsgegevens. Voorlopig is de dienst gestopt met trackingsoftware in persoonlijke e-mails.

In de AVG is vastgelegd welke data organisaties mogen verzamelen en aan welke voorwaarden ze daarvoor moeten voldoen. ‘Het gaat erom of de gegevens naar een persoon herleidbaar zijn’, zegt Sandra Loois van de AP. ‘Een IP-adres van iemand die een e-mail ontvangt is zeker een herleidbaar persoonsgegeven.’

Ook advocaat Christiaan Alberdingk Thijm, gespecialiseerd in informatie- en privacyrecht, zegt dat DUO met de trackingsoftware de grenzen van de wet overschrijdt. ‘Om persoonsgegevens te verwerken, moet DUO een gerechtvaardigd belang hebben.’ In enkele gevallen heeft DUO dat misschien, maar in al het e-mailverkeer trackingsoftware gebruiken noemt Alberdingk Thijm buitenproportioneel. ‘Bovendien moet DUO de studenten altijd informeren. Je zou in de e-mail zelf kunnen zeggen: let op, met een tracker kunnen we zien of je het leest of niet.’

In veel nieuwsbrieven

Trackingsoftware in e-mails is niet nieuw: in veel nieuwsbrieven wordt hij al jaren gebruikt. De informatie daarin is doorgaans minder privacygevoelig, maar toch moeten nieuwsbriefabonnees volgens de AVG wel geïnformeerd worden dat hun leesgedrag gevolgd wordt. De Rijksvoorlichtingsdienst doet dat niet in haar nieuwsbrieven en persberichten, voor journalisten een belangrijke bron van politiek nieuws. Ondertussen worden wel openingsgegevens verzameld. Ook kan de dienst zien op welke links de ontvanger klikt – en hoe vaak. Hoewel in de e-mails unieke, aan e-mailadres gekoppelde codes gebruikt worden, zegt de Rijksvoorlichtingsdienst dat de gegevens niet tot een persoon herleidbaar zijn.

Een klein stukje programmeercode helemaal onder aan de e-mails is de boosdoener. Op het moment dat een student een e-mail van DUO of een journalist een nieuwsbrief opent, wordt een minuscule afbeelding gedownload. Daarbij worden gegevens als het IP-adres, het adres van een computer op internet, geregistreerd.

Het volgen van iemands leesgedrag lijkt erg op wat websitecookies doen. Toch geldt de cookiebepaling in de Telecommuncatiewet niet voor deze trackingsoftware. Er wordt namelijk – in tegenstelling tot bij websitecookies – geen informatie op de computer van de ontvanger geplaatst. De registratie gebeurt op de server van de afzender.

Interesses

Bedrijven maken gretig gebruik van trackingsoftware. E-mailnieuwsbrieven zijn voor hen een geliefde manier om hun klanten te bereiken. Met de verzamelde data kan een webwinkel bijvoorbeeld zijn nieuwsbrieven toespitsen op de interesses van een specifieke lezer.

Uit een steekproef van de Volkskrant bleek geen enkele van de commerciële nieuwsbrieven zijn abonnees te informeren over de e-mailtracking. Ook werd nergens om expliciete toestemming gevraagd. Vaak – maar niet altijd – vermelden bedrijven de e-mailtracking wel in hun privacyverklaring, met als argument dat ze de nieuwsbrieven aan de interesses en gebruiksgewoonten van individuele lezers willen kunnen aanpassen. Met het aanmelden geven nieuwsbriefabonnees zo stilzwijgend toestemming om hun lees- en klikgedrag te volgen, maar om aan de AVG-wetgeving te voldoen is dat niet genoeg.

Ook de Volkskrant verstuurt dagelijks nieuwsbrieven. DPG Media, uitgever van onder meer deze krant, gebruikt trackingsoftware om te zien hoe goed die worden gelezen, en blijft dat doen. De uitgever vermeldt dit na vragen hierover inmiddels wel in zijn privacystatement.