Privacy bij online zelftests niet goed afgeschermd

Beveiliging medische websites

De Consumentenbond bekeek eind 2016 de beveiliging van 8 websites waar online zelftests en programma's op staan over taboeonderwerpen als depressie en drankmisbruik.

• Depritest van zorgverzekeraar CZ.
• Zelftest van zorgverzekeraar Menzis.
• Kleurjeleven.nl met zelftest ontwikkeld door verslavingsinstituut Trimbos.
• Psyfit.nl met zelftest ontwikkeld door verslavingsinstituut Trimbos.
• Minderdrinken.nl met zelftest ontwikkeld door verslavingsinstituut Trimbos.
• Zelfhulpwijzer.nl met zelftest ontwikkeld door verslavingsinstituut Trimbos.
• Therapieland.nl.
• Persoonlijkegezondheidscheck.nl.

Onbeveiligde internetverbinding

Bij de anonieme zelftest op Minderdrinken.nl worden wachtwoorden, e-mailadressen, geslacht en leeftijd van deelnemers over een onbeveiligde internetverbinding verstuurd. Zulk netwerkverkeer is af te tappen, zeker via een open wifi-verbinding. Ook het forum van deze website is niet beveiligd. 

Tracking cookies

Op Minderdrinken.nl worden verder cookies geplaatst zonder hiervoor toestemming aan de bezoeker te vragen. Volgens Ghostery, een privacytool waarmee je volgers op internet zichtbaar kunt maken, plaatst Minderdrinken.nl een tracking cookie (een cookie die gebruikers identificeert) die linkt naar Facebook. Therapieland.nl, dat online programma's voor onder andere seks- en pornoverslaving aanbiedt, plaatst volgens Ghostery onder meer 15 verschillende reclame tracking cookies. De mogelijkheid om ze te weigeren ontbreekt.

Reclame en chantage

Informatie over welke websites jij bezoekt en in dit geval wat voor ziektes of verslavingen jij hebt kan een eigen leven gaan leiden. Bij een slecht beveiligde website kan de informatie in handen van onwelwillenden komen die daarmee kunnen doen wat ze willen, zoals jou chanteren. En bedrijven die weten dat jij verslaafd of kwetsbaar bent, kunnen je allerlei ‘oplossingen’ gaan sturen, waarvan het nog maar de vraag is of het écht oplossingen zijn.

Mensen hebben het recht dat bedrijven niet ongemerkt allerlei gevoelige gegevens over hen verzamelen en doorgeven.

Privacyverklaring

In een privacyverklaring hoort een bedrijf of organisatie uit te leggen waarvoor het jouw gegevens wil gebruiken. Dat kan iets anders zijn dan waarvoor je ze had ingevuld. Zo worden persoonsgegevens op Kleurjeleven.nl ook gebruikt voor de ‘verkoop van producten en diensten’. Op Minderdrinken.nl staat helemaal geen privacyverklaring. Er is alleen een korte verklaring te vinden bij het starten van de zelftest.

Op Kleurjeleven.nl, Minderdrinken.nl, Psyfit.nl en Zelfhulpwijzer.nl staat bovendien verouderde informatie. We lezen dat de dataverwerking gedaan wordt door het bedrijf Mentalshare Direct, maar bij navraag blijkt dit NewHealth Collective te zijn.

Dit vindt de Consumentenbond

'Deze scan laat zien dat bedrijven onvoldoende nadenken over de beveiliging van gevoelige informatie', zegt Inge Piek, campagneleider Digitaal van de Consumentenbond. ‘Zo schrokken we van de maar liefst 20 cookies van allerlei partijen die ons 'aanvielen' vanaf de website Therapieland.nl, zonder dat we daarvoor akkoord hadden gegeven.’

Waarschijnlijk zijn deze bevindingen nog maar het topje van de ijsberg: op internet worden veel meer testen en apps aangeboden. ‘Daarom gaan we dit breder onderzoeken én aan de kaak stellen.’

Wat kun je zelf doen?

Op onze pagina Privacy op internet vind je tips en stappenplannen om je online privacy beter te beschermen.

Tips

• Check of de website je gegevens via een beveiligde internetverbinding verstuurt. Een beveiligde webpagina is te herkennen aan een afbeelding van een slotje en ‘https’ in de adresbalk.
• Je kunt tracking cookies laten blokkeren via een adblocker (advertentiestopper).
• Het is vaak niet nodig om allerlei tot de persoon herleidbare gegevens als e-mailadres, adres of geboortedatum af te geven. Gebruik dan een alibi of een speciaal aangemaakt e-mailadres dat maar 10 minuten werkt: https://10minutemail.com/. Zo’n tijdelijk mailadres werkt lang genoeg om je bij een website te registeren, als de site dat per se nodig vindt.
• Lees vooraf de privacyverklaring  op de website, als die aanwezig is. Een bedrijf of organisatie hoort hierin uit te leggen waarvoor het de gegevens gaat gebruiken. Als er geen privacyverklaring te vinden is, geeft dat te denken.

Vervolgonderzoek

In 2017 deed de Consumentenbond een vervolgonderzoek naar de privacy van medische websites. We selecteerden 20 websites over ziekten en verslavingen en ontdekten uiteenlopende privacyproblemen.

Reacties

Trimbos, onderzoeksinstituut voor geestelijke gezondheid en verslaving

Omdat het Trimbos-instituut het belangrijk vindt dat de door haar ontwikkelde methodes met de grootste zorgvuldigheid door derden worden aangeboden, heeft zij met NewHealth Collective afspraken gemaakt over adequate maatregelen voor de beveiliging van deze gegevens.

‘Naar aanleiding van de vragen van de Consumentenbond, hebben wij direct contact opgenomen met NewHealth Collective. Wij hechten er grote waarde aan dat de gerezen onduidelijkheden, waar mogelijk per direct, worden opgelost. De reclame tracking technologie (cookies) wordt verwijderd, voor alle sites zijn of worden https-certificaten geïnstalleerd en privacystatements worden aangepast.’ Het Trimbos-instituut wil dat privacy goed geborgd is en dat er geen twijfel kan en mag ontstaan over gegevensuitwisseling met derden.

Therapieland

Therapieland heeft naar aanleiding van onze bevindingen aangegeven de reclamecookies te zullen weghalen. Een paar weken later lijken de meeste inderdaad weggehaald, maar we zien nog wel de cookie van het advertentienetwerk van Google: DoubleClick.

Menzis

In reactie op de vraag waarom deelnemers een account aan dienen te maken voorafgaand aan de trainingen: 'Wij hebben gekozen voor het inloggen via een account vanwege veiligheid en het borgen van privacy.'

De Persoonlijke Gezondheidscheck

'Met genoegen zien wij dat de Consumentenbond onderstreept dat persoonsgegevens bij de Persoonlijke Gezondheidscheck zorgvuldig worden behandeld en beveiligd. De Persoonlijke Gezondheidscheck is ervan overtuigd dat de bescherming van de gegevens van haar gebruikers van essentieel belang is. Hieraan wordt dan ook de hoogste prioriteit gegeven, nu en in de toekomst.'

Het onderzoek naar privacy bij online zelftesten is uitgevoerd voor de Consumentengids van februari 2017.