Aanbieders mobiel internet keken wat gebruikers deden

Afbeelding: iPhone 3GS at the San Francisco Apple Store van Steve Rhodes | Licentie: CC BY-NC-SA 2.0

KPN keek inderdaad in het internetverkeer van haar gebruikers en gebruikte de verzamelde gegevens voor marktonderzoek.

Dat blijkt uit het rapport dat het College Bescherming Persoonsgegevens opstelde naar aanleiding van haar onderzoek naar het gebruik van DPI. De waakhond deed behalve bij KPN ook onderzoek bij Tele2, T-Mobile en Vodafone. Bij KPN werden de volgende overtredingen geconstateerd:

Het verwerken van persoonsgegevens voor het doeleinde netwerkplanning en -beheer is alleen toegestaan als de persoonsgegevens zo snel als mogelijk na het verzamelen worden verwijderd, bijvoorbeeld door deze te anonimiseren. Omdat KPN de persoonsgegevens niet zo snel mogelijk verwijderde, was het bedrijf in overtreding.

Om prepaid abonnees in staat te stellen opwaardeersites te bezoeken als hun tegoed op is, verwerkte KPN URL’s om de gratis opwaardeersites te herkennen. KPN verwerkte voor dit doeleinde persoonsgegevens van méér abonnees dan alleen degenen met een ontoereikend prepaid tegoed, terwijl er ook andere mogelijkheden waren. Omdat deze gegevensverwerking onevenredig is, was KPN hierdoor in overtreding.

[…] KPN informeerde abonnees niet over de gegevensverwerking bij de toepassing van data-analyse technieken voor de doeleinden netwerkplanning en -beheer en prepaidverkeer. Daarnaast informeerde KPN hen niet over de categorieën van verwerkte persoonsgegevens en de bewaartermijn. KPN was hierdoor in overtreding.

[…] Het is niet behoorlijk en niet zorgvuldig en dus in strijd met de wet dat KPN eenmalig (over de periode februari-april 2011) op abonneeniveau gegevens heeft verstrekt over het WhatsApp-gebruik aan het KPN retailbedrijf voor marktonderzoek (analyse van de eigen dienstverlening). KPN is hierdoor in overtreding geweest.

Uit het rapport blijkt dat KPN geen andere mogelijkheid zag dan het gebruik van DPI voor de planning van haar netwerk:

KPN verklaart dat het verkrijgen van gegevens met betrekking tot het mobiele dataverkeer door middel van data-analyse technieken noodzakelijk is voor het doeleinde van netwerkplanning en-beheer “om het effect van de explosieve toename van applicaties op het netwerk of meer specifiek de belasting op het signaleringsdeel daarvan in kaart te brengen en inzicht te krijgen in welke applicaties leiden tot veel signaleringen in het netwerk (…).” […]

De informatie over welke apps op welke smartphones (met welke besturingssystemen) leiden tot veel signaleringen in het netwerk is volgens KPN nodig om een voorspelling te kunnen doen van de benodigde capaciteit in het netwerk. […]

Volgens KPN kan niet worden volstaan met steekproefsgewijze controle: “het sampelen van verkeer, waarbij steekproefsgewijs naar de belasting van het netwerk wordt gekeken, is geen juiste methode om een reëel beeld te krijgen van de belasting van het netwerk, omdat daarbij de piekbelasting opgaat in een veel lagere gemiddelde belasting.” […]

Desgevraagd verklaart KPN dat een alternatieve vorm van data-analyse, waarbij alleen naar OSI-lagen 2 en 3 wordt gekeken, volgens haar eveneens tekort schiet: “[…] Om al deze redenen is het niet (langer) afdoende om de verkeersontwikkeling alleen op de lagen 2 en 3 (de internetlaag, met adressering op basis van IP adressen en de transportlaag, met gebruik van poortnummers), te bewaken.”

Over het gebruik van de apparatuur en de daarmee verzamelde gegevens schrijft het CBP:

De [VERTROUWELIJK: apparatuur] heeft als instelling dat deze met behulp van vooraf gedefinieerde en ingestelde filtermodules gegevens verzamelt, vastlegt en bewaart over het bezoek aan en gebruik van apps en websites, zoals het verbruikte datavolume en de tijdseenheid per app, alsmede het bezoek aan en gebruik van apps per abonnee (de hoeveelheid en categorieën gegevens die nodig zijn om een bepaalde app te identificeren, verschilt per app).

KPN licht in haar zienswijze 2 toe dat de data-analysetools van KPN waren ingesteld om een beperkt aantal (vooraf gedefinieerde) applicaties te identificeren, waarbij telkens slechts het eerste datapakketje werd geanalyseerd (van een reeks pakketjes die samen een bericht vormen) op grond van vooraf gedefinieerde kenmerken. Hierbij werd enkel gekeken naar verkeersgegevens, zoals protocollen en headers. […]

KPN verzamelde (aldus) van al haar abonnees met een (prepaid of postpaid) data abonnement (afhankelijk van de apps die zij op hun smartphones hadden staan) enerzijds het MSISDN (06-nummer), het IMSI-nummer (uniek klantnummer) en het IMEI-nummer (uniek toestelnummer) en anderzijds de hostname (URL op hoofddomein), de referer (laatst bezochte URL) of (bij bijvoorbeeld Hyves) het IPadres van-naar met poortnummer/gebruikt protocol, [VERTROUWELIJK], evenals aantallen bytes/packets (volume), frequentie (het aantal keren dat verbinding wordt gemaakt), starttijd en eindtijd sessie [VERTROUWELIJK]. […]

Vervolgens werden deze gegevens per abonnee opgeslagen [VERTROUWELIJK] in de achterliggende database80 en gedurende een periode van negentig dagen bewaard. Via een gebruikersinterface konden (afhankelijk van de apps die zij op hun smartphones hadden staan) per abonnee (of op een geaggregeerd niveau) onder andere de volgende gegevens worden geraadpleegd: enerzijds het MSISDN, het unieke IMSI-klantnummer en het unieke IMEI-toestelnummer en anderzijds (de netwerkbelasting door) het bezoek aan en gebruik van de vooraf gedefinieerde apps en websites onderscheidenlijk gebruikte toestel(len), onderverdeeld naar verbruikte datavolume (aantallen bytes/packets), airtime (tijdsvenster) en signaleringen (frequentie; het aantal keren dat verbinding wordt gemaakt) [VERTROUWELIJK]. […]

KPN gebruikte de gegevens behalve voor de netwerkanalyse ook voor marktonderzoek:

KPN verklaart dat “de resultaten van de specifieke analyse op het gebruik van applicaties (…) uiteraard tevens van belang [zijn, toevoeging door het CBP] voor de retailafdeling van KPN. (…) De retailafdeling van KPN wordt namelijk sinds enige tijd geconfronteerd met een omzetdaling als gevolg van een daling van het SMS verkeer, mogelijk als gevolg van de toename van applicaties. De uitkomsten van de door de [VERTROUWELIJK: apparatuur] uitgevoerde analyse kunnen helpen deze omzetdaling te verklaren. (…) De retailafdeling heeft deze geaggregeerde gegevens geanalyseerd om de geconstateerde daling in het SMS verkeer te verklaren en zich te oriënteren op de mogelijkheden om nieuwe proposities in de markt te zetten.”

KPN heeft in april 2011 de volgende (per abonnee geaggregeerde) gegevens over het gebruik van WhatsApp door haar abonnees (over de periode februari-april 2011141) uit de [VERTROUWELIJK: apparatuur] aan het KPN retailbedrijf verstrekt: het aantal dagen waarop WhatsApp is gebruikt, de eerste en de laatste dag waarop WhatsApp is gebruikt en het totale aantal bytes dat met WhatsApp is uitgewisseld (in combinatie met de unieke IMSI-klantnummers). Het KPN retailbedrijf heeft vervolgens uit deze set, op grond van de IMSI-nummers, de gegevens van de Hi abonnees gehaald voor nadere analyse.

KPN verklaart in haar zienswijze 1 dat de [VERTROUWELIJK] van de [VERTROUWELIJK] die beschikking had over de gegevens, het IMSI-nummer heeft gebruikt om gebruik van WhatsApp, leeftijdsgroep etc. af te kunnen leiden, zodat gebruiksgroepen konden worden onderscheiden. […] KPN verklaart dat de gegevens na de analyse door het KPN retailbedrijf zijn geanonimiseerd. Dit is gedaan door de laatste vier cijfers van de IMSI-nummers te vervangen door een X.