[Update] Cookie-regeling Telecomwet te omzeilen - onderzoek

Het onderdeel van de Telecommunicatiewet dat gaat over beperking van plaatsing van cookies door bedrijven - bedoeld om het doen en laten van internetters te volgen - is gemakkelijk te omzeilen volgens informaticastudent Ralph Broenink van de Universiteit Twente. In de telecomwet, die momenteel in de Eerste Kamer wordt behandeld, wordt onder meer geregeld dat providers geen cookies meer op smartphones van gebruikers mogen plaatsen om zo hun internetgedrag te monitoren.

Het is volgens onderzoek van Broenink mogelijk om ook zonder cookies mogelijk gebruikers te volgen. Hierover is in de nieuwe telecomwet niets geregeld. Onder meer Vodafone gebuikt volgens Broenink een alternatief systeem waarmee gebruikers te volgen zijn, stelt  in een onderzoek. T-Mobile gebruikt het systeem niet. Of KPN het heeft kon Broenink niet achterhalen.

De bewering dat Vodafone informatie van klanten doorgeeft aan derde partijen zonder dat klanten daarvoor toestemming geven, is onjuist, schrijft Vodafone op zijn website in reactie op het onderzoek van Broenink. Vodafone stelt klanten in staat om bepaalde diensten af te rekenen via de telefoonrekening, zoals het online kopen van een boek. Om dit technisch mogelijk te maken, koppelt Vodafone een unieke code aan het internetgebruik van een klant. Deze code kan alleen Vodafone herleiden tot het 06-nummer en wordt uitsluitend gebruikt voor factureringsdoeleinden. Dit systeem heet 'Vodafone Anonymous Customer Reference', aldus de operator.

Externe partijen hebben geen toegang tot de mobiele nummers en de persoonlijke gegevens van klanten die een bestelling plaatsen. Het is volgens Vodafone niet mogelijk om de code te gebruiken om internetgedrag van specifieke personen te volgen. De unieke code wordt bij ieder bezoek gewijzigd, tenzij dit om technische redenen niet mogelijk is. Dan wordt de code periodiek gewijzigd en ook in deze gevallen hebben derde partijen geen toegang tot de mobiele nummers en de persoonlijke gegevens van klanten die een bestelling plaatsen. Via de klantenservice van Vodafone kunnen klanten zich voor deze mogelijkheid afmelden (opt-out).

Daarnaast biedt Vodafone klanten de mogelijkheid van ‘Vodafone Subscriber Identification’. Klanten die mobiele websites bezoeken waarvoor betaald moet worden (betaalde content), kunnen die betaling verrichten via hun mobiele telefoonrekening. Pas wanneer een klant een betalingsopdracht geeft, verzoekt de externe partij Vodafone om de ‘Vodafone Subscriber Identification’. Dan kan de externe partij wel zien om welk 06-nummer het gaat. Klanten moeten hiervoor altijd toestemming geven. Deze optie is daarom een opt-in, aldus Vodafone.

[Update] Ook KPN kan klanten volgen zonder cookies op een smartphone te plaatsen, zo blijkt uit onderzoek van informaticastudent Broenink van. Eerder vond hij al volgcodes in de http-header van de Vodafone-website. Broenink voerde zijn onderzoek uit voor de vakgroep Distributed and Embedded Security (DIES) van het onderzoeksinstituut CTIT. Het gaat bij Vodafone volgens de student om de ‘X-VF-ACR'-header, waarmee Vodafone  door het gebruik van ‘anonymous customer recognition' (ACR) klanten kan volgen.