Inleiding: het toestel dat praat, ook als jij zwijgt
Je loopt door een winkelcentrum, telefoon diep in je zak, scherm uit, geen enkele app open. Je hebt niets gescand, niets geaccepteerd, niets geïnstalleerd. En toch heeft je toestel in een kwartier wandelen waarschijnlijk al enkele honderden keren zijn bestaan aangekondigd aan wie het horen wilde.
Dat is nu eenmaal het principe van draadloze radio's: om snel verbinding te kunnen maken, wacht een smartphone niet passief af. Hij zendt uit. Hij stuurt wifi-"probes" om te vragen of een bekend netwerk binnen bereik is. Hij verstuurt bluetoothframes om zijn aanwezigheid te melden aan de oortjes, het horloge, de auto. Die signalen bevatten niet je naam of je berichten, maar wel iets wat voor veel partijen ruimschoots volstaat: een identificator, een signaalsterkte en een tijdstempel.
Met drie sensoren krijg je een positie. Met dertig sensoren verspreid over een stad, een winkelcentrum of een luchthaven krijg je trajecten. En met een identificator die in de tijd stabiel blijft, krijg je een bezoekgeschiedenis die verdacht veel lijkt op een persoonsgegeven – iets waar de Franse privacytoezichthouder CNIL regelmatig op wijst in haar adviezen over het tellen en volgen van bezoekersstromen.
Deze gids is geen uitnodiging om je telefoon in een loden hoesje te gooien. Hij legt uit hoe dit fysieke volgen werkelijk werkt, wat er in Frankrijk aan regels geldt, en welke instellingen het grootste deel van de lekkage dichtzetten zonder je toestel onbruikbaar te maken.
Deel 1 — Anatomie van een signaal: wat je telefoon werkelijk uitzendt
Wifi: probes die blindelings worden verstuurd
Als wifi is ingeschakeld, stuurt een smartphone periodiek probe requests uit. Vrij vertaald: "Hallo, is netwerk X hier?" Historisch bevatten die probes twee bijzonder gevoelige elementen:
- het MAC-adres van het toestel, een unieke identificator van de netwerkchip, vergelijkbaar met een kentekenplaat;
- soms de lijst met eerder opgeslagen netwerken – dat wil zeggen, indirect, de geschiedenis van je verblijfplaatsen: "Livebox-4A2C", "Wifi-Hotel-Barcelona", "Ziekenhuis-Bezoekers", "SNCF-Wifi".
Sinds iOS 14 en Android 10 hebben de fabrikanten MAC-adresrandomisatie algemeen ingevoerd: het toestel presenteert een willekeurig gegenereerd adres, verschillend per netwerk en periodiek vernieuwd. Dat is echte vooruitgang. Het is geen onzichtbaarheid: academisch onderzoek, onder andere gepresenteerd tijdens de onderzoeksdagen van de CNIL, heeft aangetoond dat andere elementen van het frame (de volgorde van de velden, de aangekondigde capaciteiten, het zendritme) een vingerafdruk vormen waarmee de stukjes soms weer aan elkaar geplakt kunnen worden.
Bluetooth: de babbelaar van dichtbij
Bluetooth Low Energy (BLE) werkt via het permanent uitzenden van kleine aankondigingen. Dat is wat je oortjes in één seconde opnieuw laat verbinden. Het is ook wat een beacon in een winkelrek in staat stelt te detecteren dat een compatibel toestel vier minuten voor de hygiëneproducten heeft stilgestaan.
Belangrijke nuance: een beacon alleen identificeert je niet. Hij wordt pas krachtig wanneer een app op je telefoon meeluistert en de informatie doorstuurt samen met je advertentie-ID. Dat is het klassieke model van proximity marketing: de app van een winkelketen, een mediabedrijf of een spelletje vraagt toegang tot bluetooth "om je winkelervaring te verbeteren".
Ultrasoon geluid en beeldsensoren: de discrete neefjes
Twee andere technieken maken het beeld compleet:
- ultrasone beacons, onhoorbaar, uitgezonden door een luidspreker of een tv-reclame en opgevangen door de microfoon van een app die daarvoor toestemming heeft;
- videoanalyse van bezoekersstromen, die geen identificator leest maar mensen telt, segmenteert op silhouet, de leeftijd of de kijkrichting schat. De CNIL heeft een duidelijk standpunt gepubliceerd over "slimme camera's": anoniem tellen kan toelaatbaar zijn, maar individueel volgen vereist een solide rechtsgrond en informatie aan de betrokkenen.
| Technologie | Typisch bereik | Wat het opvangt | Belangrijkste verweer |
|---|---|---|---|
| Wifi-probes | 30 tot 100 m | Chip-identificator, bekende netwerken | Wifi uitzetten als je het niet gebruikt, MAC-randomisatie |
| Bluetooth LE | 5 tot 50 m | Aanwezigheid, duur, nabijheid van een beacon | BT uitzetten, apps toegang weigeren |
| Ultrasoon geluid | Één ruimte | Correlatie tv/telefoon | Microfoontoegang weigeren |
| Slimme camera | Beeldveld | Stromen, silhouetten, verblijfsduur | Recht op informatie en verzet |
Deel 2 — Wie meet er mee, en waarvoor
Winkels: fysiek publiek meten zoals je een website meet
Het openlijke doel is eenvoudig: weten hoeveel mensen langs de etalage komen, hoeveel binnenkomen, hoeveel terugkomen en hoe lang ze blijven. Het is de fysieke tegenhanger van bezoekersstatistieken online. De CNIL staat zulke telsystemen toe onder strikte voorwaarden: anonimisering of zeer kortdurende pseudonimisering, geen volgen van een individu van de ene winkel naar de andere, zichtbare informatie bij de ingang, minimale bewaartermijn.
Wat in een andere categorie valt:
- het koppelen van een winkelbezoek aan een loyaliteitskaart;
- het multi-locatie volgen van dezelfde identificator;
- het doorverkopen van trajecten aan een derde partij.
Advertentienetwerken en datahandelaren in locatiegegevens
Een hele markt leeft van "mobiliteitsdata": advertentie-SDK's die zijn ingebouwd in consumentenapps (weer, spelletjes, vervoer, nieuws) verzamelen posities, aggregeren die en verkopen ze door aan datahandelaren. Diverse Europese en Amerikaanse journalistieke onderzoeken hebben de afgelopen jaren aangetoond dat zogenaamd anonieme datasets het mogelijk maakten om woonadressen en werkplekken te herleiden, want een traject is bijna een signatuur: vier ruimtelijk-temporele punten zijn vaak voldoende om iemand in een mobiliteitsdatabase opnieuw te identificeren.
Overheden en beheerders van publieke ruimtes
Steden, luchthavens, stations en festivals meten bezoekersstromen om hun dienstverlening af te stemmen. Dat gebruik is legitiem; het probleem ontstaat wanneer de data fijnmazig blijft en lang bewaard wordt. De juiste reflex voor een burger: nagaan of de organisatie haar verwerkingsregister publiceert, en de naam van haar functionaris voor gegevensbescherming (DPO), die voor publieke organisaties verplicht is.
Objecttrackers, de nieuwkomer
De kleine bluetoothtrackers voor sleutels en bagage maken gebruik van de miljoenen telefoons in de omgeving, die zo in relaisstations veranderen. De geleverde dienst is reëel, het misbruik goed gedocumenteerd: gevallen waarin mensen werden gevolgd hebben Apple en Google ertoe gebracht een gezamenlijke standaard voor detectie van ongewenste trackers uit te rollen, geïntegreerd in iOS en Android. Als je telefoon meldt dat "een onbekend accessoire met je meebeweegt", neem die waarschuwing dan serieus en volg de identificatieprocedure die het systeem voorstelt.
Deel 3 — Het Franse kader: wat je mag eisen
Drie juridische punten zijn direct nuttig.
Een MAC-adres is een persoonsgegeven zodra het, alleen of in combinatie, een toestel en daarmee de drager ervan onderscheidt. De AVG is van toepassing: bepaald doel, rechtsgrond, informatie, beperkte bewaartermijn, rechten van betrokkenen.
1. Voorafgaande informatie. Een systeem dat bezoekersaantallen meet moet worden aangekondigd: een bord bij de ingang, met vermelding van de verwerkingsverantwoordelijke, de DPO, de bewaartermijn en de manier waarop je bezwaar kunt maken. Geen bord = een eerste grond voor een klacht.
2. Het recht van verzet. Bij verwerkingen die op een gerechtvaardigd belang zijn gebaseerd – vaak het geval bij tellen – kun je bezwaar maken. In de praktijk blijft de eenvoudigste weg technisch (de betreffende radio uitzetten), maar een schriftelijk verzoek heeft één voordeel: het verplicht de winkel om haar systeem te documenteren.
3. De klacht. De CNIL heeft de afgelopen jaren een recordaantal klachten en sancties geregistreerd, en dossiers rond "video en sensoren" horen bij de terugkerende onderwerpen. Een online klacht, goed onderbouwd, met een foto van het ontbrekende bord, is een nuttige en gratis actie.
Ter aanvulling: de zogeheten "ePrivacy"-richtlijn, omgezet in Frans recht, regelt ook de toegang tot informatie die is opgeslagen in een eindapparaat. De Europese toezichthouders gaan er in ruime mate van uit dat het opvangen van signalen die door een eindapparaat worden uitgezonden onder dezelfde beschermingslogica valt.
Deel 4 — Concrete handelingen, van de simpelste tot de meest radicale
Niveau 1 — De basisinstellingen (tien minuten, geen enkel ongemak)
- Zet wifi uit als je de deur uitgaat. Dat is de maatregel met het hoogste rendement. Op Android zoals op iOS verbreekt de knop in het bedieningspaneel soms alleen de verbinding, niet de radio: ga via Instellingen voor een echte uitschakeling.
- Schakel het automatisch zoeken naar netwerken uit, en ook het automatisch verbinden met publieke hotspots.
- Vergeet onnodig opgeslagen netwerken: het hotel van vorige zomer, het station, het café. Elke bewaarde naam is een aanwijzing.
- Controleer de MAC-randomisatie: op iOS "Privé wifi-adres"; op Android "Willekeurig MAC-adres gebruiken" per netwerk.
- Bluetooth: uit als je het niet gebruikt. Als je de hele dag oortjes draagt, neem dan dat compromis, maar zet het wel uit in de winkel.
Niveau 2 — De regie over je apps terugpakken
Hier wordt het echte verschil gemaakt, want een beacon zonder medeplichtige app kan niet veel.
- Loop de locatietoestemmingen na: zet alles wat het niet nodig heeft op "Nooit" of "Tijdens gebruik van de app", en weiger de exacte locatie als een benadering volstaat (weer, nieuws, winkels).
- Weiger toegang tot bluetooth en microfoon aan elke app die daar geen duidelijke functionele reden voor heeft.
- Reset, en schakel daarna je advertentie-ID uit: op iOS bij "Tracking" → algemeen weigeren; op Android via "Privacy → Advertenties → Advertentie-ID verwijderen".
- Verwijder de apps van winkelketens die je nooit opent: de meest effectieve blocker is de deïnstallatie.
Niveau 3 — Gebruiksdoelen scheiden
Voor wie verder wil gaan, is de logica compartimenteren. Veel lezers van deze site gebruiken een tweede toestel voor uitstapjes, betogingen, gevoelige zakenreizen of zaken die ze niet aan hun gewone leven willen koppelen: een eenvoudige mobiele telefoon zonder apps verkleint het zendoppervlak automatisch, aangezien hij geen advertentie-SDK's heeft en geen beacons om naar te luisteren.
In dezelfde lijn zet een signaalblokkerend hoesje – het soort etui dat bekendstaat als Faraday-hoesje voor smartphone – een toestel buiten bereik tijdens een specifiek traject, zonder dat je het hoeft uit te zetten. Het is grof geschut, maar het is de enige methode die alle radio's tegelijk neutraliseert, inclusief de mobiele telefonie.
Niveau 4 — De accessoires die het verschil maken
Een paar eenvoudige hulpmiddelen verkleinen de afhankelijkheid van radiosignalen echt:
- bedrade oortjes met microfoon voorkomen dat je bluetooth van 's ochtends tot 's avonds aan hebt staan, in het openbaar vervoer net als op kantoor;
- een compacte powerbank laat je energieslurpende functies uitschakelen zonder angst dat de batterij leegloopt, zodat je langer in vliegtuigmodus kunt blijven;
- een draagbare bluetooth-trackerdetector vult de ingebouwde waarschuwingen aan voor wie reden heeft om gericht volgen te vrezen;
- en voor het begrip: een boek over de bescherming van persoonsgegevens van de hand van een Franse jurist helpt onderscheiden wat fantasie is en wat daadwerkelijk recht.
Geen van deze objecten is een wondermiddel. Ze maken alleen een discreter gedrag in het dagelijks leven volhoudbaar.
Deel 5 — Drie concrete situaties
Het winkelcentrum op zaterdag
Wifi uit, bluetooth uit, geen winkelapps: je bezoek wordt een anoniem punt in een bezoekersteller, precies de grens die de CNIL stelt aan meetsystemen. Gebruik je aan de kassa wel je loyaliteitskaart, dan koppel je zelf je identiteit weer aan je gedrag – een onderwerp dat we elders al hebben behandeld voor boodschappen.
De betoging, de gevoelige vergadering, de discrete ontmoeting
De vliegtuigmodus volstaat niet altijd: op sommige toestellen blijven wifi en bluetooth activeerbaar en schakelen ze zichzelf weer in. Zet ze expliciet uit, of laat het toestel thuis. Een telefoon die aanstaat in een menigte is een identificator in een menigte.
De zakenreis
Hotels, luchthavens en beurzen wemelen van captive portals die om een e-mailadres vragen in ruil voor wifi. Gebruik een wegwerpadres, weiger het vakje voor marketing, en geef de voorkeur aan tethering via je eigen abonnement. Voor uitwisselingen waarbij je je nummer niet wilt prijsgeven, voorkomt een dienst voor het anoniem versturen van sms'jes dat een eenmalig gesprek aan je hoofdlijn wordt gekoppeld.
Conclusie: stop met standaard uitzenden
Volgen via radiosignalen heeft één onaangename eigenschap: het vraagt niets. Geen toestemming om aan te klikken, geen account om aan te maken, geen cookie om te weigeren. Het maakt simpelweg gebruik van het feit dat een moderne telefoon is ontworpen om altijd klaar te zijn om verbinding te maken.
Het goede nieuws is dat de tegenmaatregel symmetrisch is en in één zin past: laat alleen uitzenden wat je nodig hebt, op het moment dat je het nodig hebt. Wifi uit buitenshuis, bluetooth uit als je het niet gebruikt, apps zonder toegang tot locatie en microfoon, advertentie-ID verwijderd. Die vier handelingen, die eenmalig een kwartier kosten, elimineren de overgrote meerderheid van de sporen die je zonder het te weten achterlaat in straten, stations en winkelschappen.
De rest is een kwestie van recht: de borden opeisen, een DPO bevragen, de CNIL inschakelen wanneer een systeem verder gaat dan louter tellen. Privacy in de fysieke ruimte is niet verloren – ze wordt alleen slecht verdedigd, omdat te weinig mensen weten dat de strijd zich ook daar afspeelt.
