Nieuws Trackingsoftware DUO

DUO overtreedt privacyregels met volgsoftware in e-mails aan studenten

De Dienst Uitvoering Onderwijs (DUO) heeft zogenoemde trackingsoftware gebruikt in aan studenten persoonlijk gerichte e-mails. Dat is in strijd met de Algemene verordening gegevensbescherming (AVG).

Utrechtse studenten tijdens de introductieweek. Beeld Marcel van den Bergh

DUO zou de verzamelde informatie in een rechtszaak kunnen gebruiken als bewijs dat een student een belangrijk bericht ontvangen heeft. De dienst geeft toe de trackingsoftware te gebruiken om bij een wijziging in de persoonlijke situatie van een student ‘het hele wijzigingsproces tot en met het afleveren van het formele bericht aantoonbaar te maken’ en de dienstverlening te verbeteren. Na vragen van de Volkskrant  is DUO in gesprek gegaan met de Autoriteit Persoonsgegevens (AP), toezichthouder op de bescherming van persoonsgegevens. Voorlopig is de dienst gestopt met trackingsoftware in persoonlijke e-mails.

In de AVG is vastgelegd welke data organisaties mogen verzamelen en aan welke voorwaarden ze daarvoor moeten voldoen. ‘Het gaat erom of de gegevens naar een persoon herleidbaar zijn’, zegt Sandra Loois van de AP. ‘Een IP-adres van iemand die een e-mail ontvangt is zeker een herleidbaar persoonsgegeven.’

Ook advocaat Christiaan Alberdingk Thijm, gespecialiseerd in informatie- en privacyrecht, zegt dat DUO met de trackingsoftware de grenzen van de wet overschrijdt. ‘Om persoonsgegevens te verwerken, moet DUO een gerechtvaardigd belang hebben.’ In enkele gevallen heeft DUO dat misschien, maar in al het e-mailverkeer trackingsoftware gebruiken noemt Alberdingk Thijm buitenproportioneel. ‘Bovendien moet DUO de studenten altijd informeren. Je zou in de e-mail zelf kunnen zeggen: let op, met een tracker kunnen we zien of je het leest of niet.’

In veel nieuwsbrieven

Trackingsoftware in e-mails is niet nieuw: in veel nieuwsbrieven wordt hij al jaren gebruikt. De informatie daarin is doorgaans minder privacygevoelig, maar toch moeten nieuwsbriefabonnees volgens de AVG wel geïnformeerd worden dat hun leesgedrag gevolgd wordt. De Rijksvoorlichtingsdienst doet dat niet in haar nieuwsbrieven en persberichten, voor journalisten een belangrijke bron van politiek nieuws. Ondertussen worden wel openingsgegevens verzameld. Ook kan de dienst zien op welke links de ontvanger klikt – en hoe vaak. Hoewel in de e-mails unieke, aan e-mailadres gekoppelde codes gebruikt worden, zegt de Rijksvoorlichtingsdienst dat de gegevens niet tot een persoon herleidbaar zijn.

Een klein stukje programmeercode helemaal onder aan de e-mails is de boosdoener. Op het moment dat een student een e-mail van DUO of een journalist een nieuwsbrief opent, wordt een minuscule afbeelding gedownload. Daarbij worden gegevens als het IP-adres, het adres van een computer op internet, geregistreerd.

Het volgen van iemands leesgedrag lijkt erg op wat websitecookies doen. Toch geldt de cookiebepaling in de Telecommuncatiewet niet voor deze trackingsoftware. Er wordt namelijk – in tegenstelling tot bij websitecookies – geen informatie op de computer van de ontvanger geplaatst. De registratie gebeurt op de server van de afzender.

Wat kun je doen om te voorkomen dat je gevolgd wordt in je mailbox?

Er zijn een aantal instellingen en programma’s waarmee je kunt voorkomen dat verzenders je lees- en klikgedrag in e-mails bijhouden. In dit stuk zetten we ze op een rijtje.

Interesses

Bedrijven maken gretig gebruik van trackingsoftware. E-mailnieuwsbrieven zijn voor hen een geliefde manier om hun klanten te bereiken. Met de verzamelde data kan een webwinkel bijvoorbeeld zijn nieuwsbrieven toespitsen op de interesses van een specifieke lezer.

Uit een steekproef van de Volkskrant bleek geen enkele van de commerciële nieuwsbrieven zijn abonnees te informeren over de e-mailtracking. Ook werd nergens om expliciete toestemming gevraagd. Vaak – maar niet altijd – vermelden bedrijven de e-mailtracking wel in hun privacyverklaring, met als argument dat ze de nieuwsbrieven aan de interesses en gebruiksgewoonten van individuele lezers willen kunnen aanpassen. Met het aanmelden geven nieuwsbriefabonnees zo stilzwijgend toestemming om hun lees- en klikgedrag te volgen, maar om aan de AVG-wetgeving te voldoen is dat niet genoeg.

Ook de Volkskrant verstuurt dagelijks nieuwsbrieven. DPG Media, uitgever van onder meer deze krant, gebruikt trackingsoftware om te zien hoe goed die worden gelezen, en blijft dat doen. De uitgever vermeldt dit na vragen hierover inmiddels wel in zijn privacystatement.  

Hoe werkt e-mailtracking?

Bij een e-mail openlijk om een ontvangst- of leesbevestiging vragen staat afzenders vrij, maar trackingsoftware werkt geniepig. Een afzender verstopt in zijn berichten een klein plaatje. Meestal is dit plaatje te klein om te zien – één pixel lang en één pixel breed – en staat het helemaal onderaan. In sommige e-mails zorgt een stukje programmeercode ervoor dat het minuscule plaatje wel gedownload, maar niet weergegeven wordt. De afzender wil niet dat de trackingsoftware te veel opvalt.

Zodra iemand de e-mail opent, wordt het plaatje gedownload van de internetserver van de afzender. Daarbij wordt het IP-adres geregistreerd, het adres van een computer op het internet. Het tijdstip, de locatie en het besturingssysteem zijn vervolgens af te leiden. Doordat de internetserver in iedere e-mail voor iedere ontvanger uniek is, kunnen de data eenvoudig gekoppeld worden aan het e-mailadres van de ontvanger.

Om bij te houden welke links in een e-mail worden aangeklikt, bestaat een ander trucje. Alle links in een e-mail worden vervangen door ‘doorsluislinkjes’, voor iedere ontvanger uniek. Zo’n doorsluislink registreert in een mum van tijd de klik – samen met tijd, locatie en besturingssysteem – en voert de ontvanger daarna naar de oorspronkelijke link. De ontvanger heeft niks gemerkt.

Meer over

Wilt u belangrijke informatie delen met de Volkskrant?

Tip hier onze journalisten


Op alle verhalen van de Volkskrant rust uiteraard copyright. Linken kan altijd, eventueel met de intro van het stuk erboven.
Wil je tekst overnemen of een video(fragment), foto of illustratie gebruiken, mail dan naar copyright @volkskrant.nl.
© 2019 DPG Media B.V. - alle rechten voorbehouden