Apps in Android-telefoons verzamelen en versturen op grote schaal persoonsgegevens, zonder dat de bezitter dan kan verhinderen. Een gebruiker kan weliswaar beperkingen instellen op apps, door bijvoorbeeld toegang tot foto’s of adresboek te weigeren. Bij veel standaard geïnstalleerde apps kan dit niet, schrijven onderzoekers van Imdea Networks Institute in Madrid. De beperkingen die de gebruiker instelt, worden omzeild.
Imdea is een onderzoeksinstelling die is gelieerd aan de Carlos III Universiteit in Madrid. Aan het onderzoek is meegewerkt door Stoney Brook University in New York en International Computer Science Institute (ICSI) van UC Berkeley. ICSI ontwikkelt en beheert de Android-app Lumen, die het volledige dataverkeer van een smartphone kan analyserent.
Analyse van Android telefoons
In dit onderzoek is de Lumen-app gebruikt om vooraf geïnstalleerde apps te monitoren. In een jaar tijd heeft de Lumen app data verzameld over 82.000 vooraf geïnstalleerde apps op meer dan 1.700 apparaten van 214 fabrikanten. De lijst Android-merken loopt van marktleider Samsung tot hele kleine.
Er bestaat een complex ecosysteem van fabrikanten, mobiele operators, app-ontwikkelaars en providers, met een breed netwerk van onderlinge relaties. Hierin zitten gespecialiseerde aanbieders op het gebied van gebruikersmonitoring en -tracking en op het gebied van internetreclame. Veel van de vooraf geïnstalleerde apps geven toegang tot privacygevoelige gegevens en bronnen, zonder dat de gemiddelde gebruiker op de hoogte is van hun aanwezigheid of deze kan verwijderen.
Speciale machtigingen voor standaard-apps
Er zitten standaardrechten in Android die kunnen worden beheerd door de gebruiker, zoals toegang tot het adresboek. De onderzoekers hebben echter meer dan 4.845 machtigingen geïdentificeerd van partijen in de keten van productie en verkoop van apparaten.
Hiermee kunnen door Google goedgekeurde en in Google Play beschikbare apps het toestemmingsmodel van Android ontwijken om toegang te krijgen tot gebruikersgegevens zonder om toestemming te hoeven vragen bij de installatie van een nieuwe app. De gebruiker van de telefoon kan die vooraf geïnstalleerde apps niet aanpassen of verwijderen. Een groot deel daarvan bevat software die te maken heeft met online adverteren en tracking.
Privacytoezichthouder en Europese Commissie
De Spaanse toezichthouder voor gegevensbescherming, de AEPD, zal de uitkomsten en de analyse presenteren bij de European Commission for Data Protection (ECDP). Dit is een onderdeel van de Europese Commissie dat samenwerkt met universiteiten om de werking van de AVG te bevorderen. De Algemene Verordening Gegevensbescherming geldt sinds 2018 in de hele EU.
