Uw antivirus weet alles over u

Je antivirus weet veel van je. Het weet welke programma's u uitvoert, omdat het ervoor moet zorgen dat ze legitiem zijn. Het kent de websites die u bezoekt en stuurt u weg van fraude en gevaren. Bovendien kan het antivirusbedrijf veel over u leren tijdens uw interactie met verkoop, ondersteuning, enzovoort. Maar dat is prima, toch? Welnu, een recente poging van de gratis antivirusgigant AVG om zijn privacybeleid te verduidelijken, veroorzaakte behoorlijk wat ophef.

Wired rapporteerde over het nieuwe beleid met behulp van de kop "AVG kan uw browse- en zoekgeschiedenis aan adverteerders verkopen." Het bleek dat die ontstekingskop niet nauwkeurig was. Een beetje graven overtuigde me dat het beleid van AVG niet veel verschilt van dat van zijn concurrenten - het is gewoon duidelijker uiteengezet. Ik heb het beleid gecontroleerd voor verschillende andere gratis antivirusprogramma's en ook voor de website van Wired.

Begrijp je me?

Om te beginnen heb ik gekeken naar het aantal woorden en de leesbaarheid van het beleid. Een beleid dat te lang is om te lezen of te verwarrend is om te begrijpen, helpt niemand.

AVG's was de kortste, ongeveer 2.100 woorden. Het privacybeleid voor Lavasoft, uitgever van Ad-Aware Free Antivirus + kwam uit op ongeveer 2500 woorden; Wired was ongeveer hetzelfde. Om het privacybeleid voor gebruikers van Avira Antivirus te begrijpen, moet u meer dan 4.000 woorden doorlopen. De grote winnaar hier (als winnaar het juiste woord is) is het beleid voor Avast Free Antivirus, met ongeveer 9.200 woorden.

Lengte is niet de enige factor, dus ik heb elk beleid onderworpen aan een reeks leesbaarheidstests. Met de meetwaarde Flesch-Kincaid-leesgemak wordt aan elk document een beoordeling van 0 tot 100 toegekend, met hogere cijfers voor eenvoudiger lezen. Avast, AVG en Avira scoorden allemaal in de jaren 40, terwijl Ad-Aware en Wired beide een 29 scoorden. Ter vergelijking: mijn laatste beoordeling is ongeveer 3500 woorden lang en scoorde 60 op dezelfde schaal.

Andere tests beoordelen documenten op het opleidingsniveau dat nodig is om ze te begrijpen. Avast, AVG en Avira scoorden allemaal op of iets boven de 12, wat betekent dat een afgestudeerde middelbare school deze moet kunnen begrijpen. Om het beleid van Ad-Aware en Wired te begrijpen, heb je een universitair diploma nodig. Oh, en die review van mij? Het zou goed moeten zijn voor middelbare school eerstejaars en hoger. Ik streef naar duidelijkheid!

Verschillende beleidsregels

Al het beleid besteedt veel woorden aan het onderscheiden van persoonlijk identificeerbare informatie (PII) van anonieme gegevens. In alle beleidsregels staat dat het bedrijf anonieme gegevens kan delen met derden. En alle beleidsregels verklaren dat PII indien nodig binnen het bedrijf kan worden gedeeld, maar dat er strikte waarborgen zijn om misbruik te voorkomen. Allen waarschuwen dat als u op een link naar een andere site klikt, u onderworpen bent aan het beleid van die site.

Avast is gratis, net als de rest, maar je moet je registreren om het langer dan 30 dagen te kunnen gebruiken. Als u zich registreert via Facebook, kunt u een kleine verrassing krijgen. Tenzij u zich afmeldt, kan Avast uitspraken als: "Ik heb Avast Antivirus zojuist gratis geïnstalleerd. Ik vind het erg leuk. Als u de beste bescherming wilt, download Avast zoals ik deed" op uw Facebook-prikbord. Dit beleid stelt heel duidelijk dat "we deze informatie niet zullen gebruiken voor direct marketingdoeleinden, tenzij u ervoor kiest om dergelijke communicatie te ontvangen."

Ik vond een kleine verrassing in de beschrijving van de populaire gratis Android-app van Avast. Deze app bevat een SDK die wordt gebruikt door externe adverteerders en deze adverteerders ontvangen kleine PII-gegevens, waaronder uw leeftijd, geslacht en andere apps die op uw apparaat zijn geïnstalleerd. Hmm.

Het privacybeleid van Avira stelt duidelijk dat het bedrijf PII verzamelt, inclusief uw naam, adres, telefoonnummer en meer. Hierin staat verder dat het bedrijf die gegevens niet met derden deelt "op een manier die niet in overeenstemming is met dit privacybeleid of deze privacywetgeving (waarvoor u mogelijk uitdrukkelijke toestemming moet geven)." Later wordt wel gezegd dat Avira "geen PII- of niet-gepseudynomiseerde gegevens die we hebben verzameld met derden zal delen."

Het beleid van Avira zegt: "Wij geloven dat relevantere advertenties een betere internetervaring bieden. Dit is ook de manier waarop we ons bedrijf ondersteunen terwijl we u bepaalde producten of diensten nog steeds gratis aanbieden." Het beleid van AVG zegt: "We verzamelen niet-persoonlijke gegevens om geld te verdienen met onze gratis aanbiedingen, zodat we ze gratis kunnen houden." Zelfde verklaring, maar duidelijker.

Lavasoft's beleid voor Ad-Aware maakt een aantal punten die ik nergens anders had gezien. Als u iets openbaar op een forum plaatst, is dat openbaar, niet privé, en het bedrijf is niet verplicht die gegevens te beschermen. Uw gegevens worden ook doorgegeven aan de serviceproviders van Lavasoft, die 'geen enkel recht hebben om dergelijke persoonlijke informatie op een andere manier te gebruiken dan voor het doel waarvoor deze door Lavasoft is ontvangen'. Net als de rest behoudt Lavasoft zich het recht voor om niet-persoonlijke verzamelde gegevens met derden te delen.

AVG en bedraad

Dus waar kwam de auteur van het Wired-artikel op het idee dat "AVG uw browse- en zoekgeschiedenis aan adverteerders kan verkopen"? Voor zover ik kan zien, is AVG mogelijk te voorzichtig geweest. Het AVG-beleid zegt: "Als we ons ervan bewust worden dat een deel van uw browsegeschiedenis u mogelijk identificeert, zullen we dat gedeelte van uw geschiedenis als persoonlijke gegevens behandelen en deze informatie anonimiseren." Dat is iets dat kan gebeuren met een van de leveranciers. De anderen vermelden alleen niet de mogelijkheid dat persoonlijke gegevens worden weergegeven in de geanonimiseerde browsegeschiedenis. Maar door het te noemen, kreeg AVG luchtafweergeschut. Een duidelijke verklaring van het AVG-beleid is de volgende: "Wij verkopen of verhuren uw persoonlijke gegevens niet aan derden."

Gezien het feit dat het Wired-artikel deze privacy heeft aangewakkerd, vond ik het alleen maar redelijk om het privacybeleid op wired.com te bekijken. De auteurs van dit beleid lijken van de uitdrukking 'inclusief zonder beperking' te houden. Alinea na paragraaf details gegevens verzameld door de site en haar servers. En hoe zit dit: "we kunnen informatie over u verkopen of delen… inclusief maar niet beperkt tot uw Registratie-informatie en andere persoonlijk identificeerbare informatie, met onze moedermaatschappij, dochterondernemingen en gelieerde ondernemingen en met zorgvuldig geselecteerde bedrijven waarvan wij denken dat ze diensten aanbieden… die interessant zijn voor u." Zonder beperking inderdaad!

Van al het beleid dat ik heb bekeken, claimde Wired de meeste rechten om uw informatie te verzamelen en ermee te doen wat ze willen. En probeer de activiteit van de site niet te beperken met de instellingen Niet volgen van uw browser. Zoals het beleid zegt: "We ondersteunen momenteel geen browsergebaseerde Do Not Track (DNT) -instellingen of nemen niet deel aan DNT-frameworks." Oh, en in het geval van een datalek, "zijn wij niet verantwoordelijk voor enig verlies van dergelijke informatie of de gevolgen daarvan." Neem zelf een kijkje in het privacybeleid van Wired en kijk of het je nerveus maakt.

Gratis is niet gratis

Geen enkel beveiligingsbedrijf ter wereld zou kunnen overleven door alleen gratis antivirusbescherming weg te geven. Er moet wat inkomen zijn, anders droogt het bedrijf op en blaast het weg. Ja, sommige leveranciers gebruiken de gratis versie als teaser en profiteren van upgrades, maar dat zijn niet de reuzen. AVG moet geld verdienen met de anonieme gegevens en telemetrie die zijn ontvangen van de meer dan 200 miljoen gebruikers; hetzelfde geldt voor Avast, Avira en andere grote uitgevers van gratis beveiligingsproducten.

Het zou zelfmoord zijn voor een beveiligingsbedrijf om privégegevens daadwerkelijk te misbruiken. Ik zie het niet gebeuren. Maar als u zich zorgen maakt, neem dan een kijkje en lees het privacybeleid van uw eigen antivirus. Zorg er wel voor dat je een afgestudeerde student bij de hand hebt om de complexe taal te interpreteren.