Ontwikkelaars van Android-apps kunnen zonder het te weten locatiegegevens van hun gebruikers delen met externe partijen. Advertentie-onderdelen in apps kunnen standaard de toestemming voor precieze locatie gebruiken die een gebruiker aan de app heeft gegeven.
De Electronic Frontier Foundation, EFF, waarschuwt dat deze softwaremodules, ook wel software development kits of SDK's genoemd, locatiegegevens verzamelen tenzij de ontwikkelaar die functie zelf uitschakelt. De gegevens kunnen vervolgens terechtkomen bij adverteerders en databrokers.
De EFF onderzocht het netwerkverkeer van Android-apps om vast te stellen welke diensten de locatiegegevens ontvingen. Daarbij werden onder meer twee apps aangetroffen die samen 60 miljoen keer waren gedownload en locatiegegevens doorgaven.
Eén toestemming voor meerdere partijen
Android kent geen afzonderlijke locatierechten voor elke SDK in een app. Als een gebruiker een app toegang geeft tot de precieze locatie, kunnen ingebouwde advertentie-SDK's die toegang dus eveneens benutten.
Daardoor is voor gebruikers niet altijd zichtbaar welke externe bedrijven hun locatie ontvangen. De EFF stelt dat toestemming op appniveau daarom geen betekenisvolle instemming vormt met het verzamelen en delen van locatiegegevens door advertentiebedrijven.
Bill Budington, senior technoloog bij de EFF, zegt dat de onderzochte SDK's slechts een klein deel van de bredere advertentiemarkt vormen. Toch zouden deze diensten samen miljarden gebruikers via tienduizenden apps kunnen bereiken.
Handel in gevoelige gegevens
Advertentie-SDK's bieden appontwikkelaars een manier om inkomsten te genereren. De verzamelde locatiegeschiedenis kan echter worden doorverkocht door databrokers, onder meer aan overheden, krijgsmachten en inlichtingendiensten.
Ook brengt grootschalige opslag van locatiegegevens privacy- en veiligheidsrisico's mee wanneer zulke gegevens worden gestolen of door hackers worden buitgemaakt. Databrokers zijn eerder doelwit geweest van datalekken waarbij grote hoeveelheden persoonsgegevens vrijkwamen.
De EFF roept ontwikkelaars op om overbodige gegevensverzameling uit te schakelen. De organisatie vindt dat advertentie-SDK's het delen van persoonlijke gegevens, en vooral van iemands precieze locatie, niet standaard zouden moeten inschakelen.
