iTunes handelt niet conform privacy wetgeving

Vorige week werd bekend dat iTunes 80% van haar library met onmiddellijke ingang vrij van contentbescherming aan de consument ter beschikking stelt. Wat velen niet weten is dat de nieuwe AAC-bestanden niet helemaal vrij zijn van persoonlijke informatie. iTunes slaat in het bestand het e-mail adres van de geregistreerde gebruiker op. Dat biedt potentiële risico’s voor niet-wetende gebruikers die hun bestanden delen met anderen. Bovendien handelt iTunes hier in strijd met de Wet Bescherming Persoonsgegevens.

Op Frankwatching schreef ik afgelopen week al een artikel over het feit dat iTunes na een lange onderhandeling met de grote platenmaatschappijen tot een overeenkomst was gekomen om muziekbestanden zonder DRM te verspreiden. “Een stap die wij toejuichen”, zo reageerde woordvoerder Marcel van Beusekom van de Consumentenbond hierop telefonisch. Zoals algemeen bekend, heeft de Consumentenbond de afgelopen jaren flink van leer getrokken tegen Apple over de beperkingen die opgelegd werden aan consumenten door de kopieerbeveiliging in de muziek. Zelfs tot aan de NMA toe (tevergeefs, zo blijkt uit deze beslissing). Nu de DRM-laag is verdwenen, is deze kritiek ook grotendeels verstomd. Enigszins vreemd, omdat het nieuwe AAC-bestand nog lang niet door alle digitale muziekspelers wordt ondersteund. Apple heeft zo’n 83% van deze markt in handen. In elk huishouden ligt inmiddels wel ergens een iPod, bij een kleiner deel een iPhone…

Maar er is meer aan de hand. Veel meer. Tot mijn verbazing las ik deze week op CNET dat in de iTunes Plus bestanden ook persoonlijke informatie van de bestandseigenaar wordt opgeslagen. Dit roept de nodige vragen op: mag iTunes dit doen en waarom weet ik daar als gebruiker niets vanaf?

Alarmerend of oud nieuws?
Overigens blijkt dit gegeven eigenlijk al oud nieuws te zijn. Apple hanteert deze praktijk al sinds het prille begin van het aanbieden van DRM-vrije bestanden, in april 2007. Het TUAW-blog toonde destijds in een paar stappen aan hoe een gebruiker kan uitvinden welk e-mail aan een iTunes Plus bestand is gekoppeld. Toen ging het echter nog om een proef, inmiddels om miljoenen audiotracks. Wie het AAC-bestand (.m4a extensie) opent in een text-editor en vervolgens een zoekopdracht uitvoert op je naam en het e-mail adres waarmee je geregistreerd bent in iTunes, kan zien dat deze gegevens in de metadata wordt opgeslagen.

De proef op de som
Zelf heb ik ook de proef even op de som genomen. Zie hieronder twee screenshots waaruit blijkt dat zowel mijn naam als het e-mail adres van de gebruiker in de metadata van het bestand wordt opgeslagen.

In strijd met Wet op Bescherming Persoonsgegevens
Naar mijn mening is dit alarmerend, omdat je als gebruiker niet op de hoogte wordt gesteld dat Apple dit uberhaupt doet. Er is niets over te vinden in de zeer uitgebreide voorwaarden (die geen hond leest), noch in het privacybeleid.

Is dat niet in strijd met de Wet op Bescherming Persoonsgegevens? “Ja”, zegt advocaat Hans Bousie van Bousie Advocaten. “Apple moet conform het bepaalde in artikel 33 lid 2 van de Wet Bescherming Persoonsgegevens de doeleinden van de verwerking waarvoor de gegevens zijn bestemd meedelen. Zij doet dit niet, immers nergens wordt duidelijk dat het mailadres wordt gekoppeld aan de muziek teneinde oorspronkelijke afnemers te kunnen traceren.” Hoe actief zou Apple dit moeten vermelden? Opnieuw Hans Bousie: “Ik denk niet dat ze het bij elke track zouden hoeven te vermelden. Maar een vermelding in de voorwaarden lijkt me wel het minste, en dat hebben ze volgens mij niet gedaan.”

Resteert de vraag of het erg is dat Apple deze gegevens vastlegt in de bestanden. Gebruikers die hun bestanden keurig conform de voorwaarden gebruiken, ondervinden er op zich geen hinder van. Het is echter niet aan te raden om je net aangekochte iTunes Plus bestanden als torrents te gaan sharen of zelfs aan je vriendjes op het schoolplein te geven (want je weet nooit via wie dat dan weer ergens anders terechtkomt). Nu mag dat sowieso niet, want dat staat nu juist weer wel meerdere keren in de voorwaarden.

Niet te repareren
Bovendien biedt Apple geen mogelijkheden aan om deze actie ongedaan te maken. Wanneer je zou proberen deze gegevens aan te passen in WordPad en het bestand opnieuw op te slaan, is het gevolg dat het nieuwe bestand niet langer afspeelbaar is in iTunes of een andere speler met AAC-codec op je PC. Een oplettende consument die dus niet wil dat zijn persoonsgebonden informatie zondermeer wordt vastgelegd in een legaal aangekocht bestand kan geen acties ondernemen om dit ongedaan te maken. Behoorlijk kwalijk. We hebben ook het College Bescherming Persoonsgegevens en Apple zelf om een reactie gevraagd, maar deze nog niet ontvangen op het moment van publicatie.

Marcel van Beusekom van de Consumentenbond had nog wel een tip: “Wij raden consumenten ook altijd aan om voor dit soort doeleinden een nietszeggend e-mail adres aan te maken, zoals bijvoorbeeld roepieroepie@hotmail.com.” Tsja, dat helpt wel om je eigen naam en e-mail adres te beschermen, maar dan nog kan Apple de ID ‘roepieroepie’ herleiden tot degene die er een creditcard betaling mee heeft verricht. Apple biedt wel vaker mogelijkheden om aangekochte producten te personaliseren, maar in dit geval wordt dat gedaan zonder medeweten van de gebruiker.

Richard van den Boogaard is expert als het gaat om de combinatie omroep en interactie. Sinds 1 februari 2009 is hij zelfstandig adviseur geworden in branded channels. Hiervoor was hij betrokken bij content sharing-projecten voor Rabobank op YouTube, Hyves en Brabants Dagblad.