Dating privacy: gebruikersdata, hacks en datalekken

Privacy is nu al vele jaren een hot topic. De tientallen apps die je geregeld gebruikt verzamelen allen informatie. Facebook, Instagram, Whatsapp, Twitter; allen verzamelen big data om adverteerders, maar vooral ook aandeelhouders blij te maken. De grote social media bedrijven hebben serverparken vol met data opgeslagen, maar wat veel gebruikers niet beseffen is dat de dating apps dit ook doen.

Al deze gegevens die je deelt met de dating apps kunnen bovendien je privacy schenden als deze openbaar gemaakt worden. Het delen van gegevens begint bij het aanmaken van een gebruikersaccount, maar ook tijdens het gebruik van de app deel je als gebruiker meer dan je denkt.

Aanmelden en verificatie

Om te verifiëren wie je bent wordt er veelvuldig gebruik gemaakt van de Facebook koppeling. Deze connectie met het sociale netwerk bevestigt niet alleen dat je een “echt” persoon bent, in zover dat online kan, maar ook krijgt de app op deze manier een aantal gegevens van je. Bij het leggen van de koppeling wordt om je toestemming gevraagd om bepaalde gegevens over te nemen. Dit zijn de gegevens die door veel dating apps overgenomen worden wanneer je je met Facebook inloggen aanmeldt.

• Je voornaam (soms ook de achternaam)
• Je geboorte-datum (voor de leeftijdscontrole)
• Je geslacht
• Je foto-albums
• Je beroep
• Je opleiding
• Je Facebook pagina-likes (gemeenschappelijke likes)
• Je e-mailadres
• Je locatiegegevens
• Je vriendenlijst
• Je posts
• Je check-ins
• Je bezochte locaties
• Je events
• Je groepen

Locatiegegevens

Waar in het verleden veel discussie over is geweest zijn de locatiegegevens. Allerlei apps die je dagelijks gebruikt hebben ooit om je toestemming gevraagd om je locatiegegevens op te vragen. Dit kan passief, door je locatie te vragen wanneer je incheckt op een locatie, maar ook actief waarbij je locatie continu opgevraagd wordt. Dating apps gebruiken de actieve vorm voornamelijk om je locatie te bepalen ten opzichte van de locatie van andere gebruikers. Zo kun je bijvoorbeeld zien hoe ver een single bij je vandaan is op Tinder.

De locatiedata wordt bij sommige apps continu opgeslagen op een server maar bij veel anderen enkel tijdelijk gebruikt voor het uitvoeren van de functies. Dit zijn een aantal functies waar de locatiegegevens voor gebruikt worden:

• Singles bij je in de buurt tonen
• Jouw profiel aan andere singles tonen op basis van de afstand
• Pushmeldingen versturen als je bij een match in de buurt bent
• Aanbieden van inchecklocaties bij je in de buurt
• Pushmeldingen versturen bij inchecklocaties in de buurt

Het gevaar van de locatie delen

Het actief delen van de locatie brengt een aantal beveiligingsproblemen met zich mee. Je deelt namelijk niet alleen je locatie met de app maar ook veel andere gegevens die gevoelig zijn. Met de combinatie van deze gegevens kun je niet alleen gelokaliseerd worden maar ook geidentificeerd. Bovendien is het theoretisch mogelijk om met behulp van de locatiegegevens je exacte adres te bepalen, je bewegingen te volgen en zelfs je te stalken (Cheung 2014). In de beginjaren van de dating apps heeft dit veel aandacht van de media getrokken. Zo was Tinder in 2013 nog niet zo veilig als vandaag de dag.

Tinder privacy

De eerste privacymelding kwam in 2013 aan het licht doordat Tinder de exacte lengte- en breedtegraadcoördinaten van gebruikers toonde, evenals hun geboortedata en Facebook-ID’s¹. Hierna kwam Tinder in 2014 nog een keer in opspraak omdat het te nauwkeurige locatiegegevens deelde binnen de app. Hierdoor was het mogelijk om iemand binnen een straal van 30 meter te lokaliseren (Dredge 2014). Beide “bugs” in de Tinder app werden vroegtijdig gemeld en aangepast maar deze gegevens zouden gemakkelijk misbruikt kunnen worden kwaadwillige doeleinden. Bij Tinder is zover we weten nooit gebruikersdata gestolen maar wel bij een aantal andere dating apps.

Dating datalekken

Recente incidenten hebben benadrukt dat de privacy van de gebruikers geschonden kan worden. In de afgelopen jaren zijn er diverse datalekken als gevolg van hacks bij datingsites. Een deel ervan is te vinden in de zoekmachine Haveibeenpwned. De drie meest opvallende datalekken waarbij de privacy van de gebruikers geschonden werd zijn de volgende:

Ashley Madison

Eén van de bekendste hacks in de datingwereld is die van Ashley Madison. Bij dit datalek werden de eigenaren van de vreemdgaan datingsite onder druk gezet, gechanteerd wat opgevolgd werd door de online publicatie van de ledendatabase². Door de hack werden persoonlijke gegevens zoals e-mailadressen, woonadressen en IP-adressen van 37 miljoenen leden openbaar gemaakt, inclusief de data van 594 Nederlandse betalende gebruikers.

BeautifulPeople

De elite datingsite voor alleen de mooiste mensen, BeautifulPeople, werd in 2015 het slachtoffer van een grootschalig datalek³. De gegevens van 1.1 miljoen gebruikers werden op een online marktplaats te koop gezet in 2016. Hoewel de wachtwoorden met een encryptie beveiligd waren en er geen creditcardgegevens gelekt werden was dit een high profile lek dat door wederom aantoonde wat een datalek kan aanrichten.

Badoo

Met bijna 400 miljoen leden is Badoo één van de grootste dating apps ter wereld. In 2016 werd door LeakedSource gemeld dat het een deel van de Badoo gebruikersgegevens in handen had. In totaal zou het gaan om een omvangrijke database van 123 miljoen records. Dit werd door Motherboard geverifieerd met behulp van een steekproef maar dit toonde niet volledig aan dat het om enkel Badoo accounts ging⁴. Hoewel Badoo het datalek altijd ontkent heeft is dit één van de grootste datalekken in de online datingwereld, alleen is het nog steeds niet duidelijk waar de gegevens precies vandaan kwamen.

Wat je deelt wordt opgeslagen

Tot op zekere hoogte kun je ervan uitgaan dat alles wat je deelt op je datingprofiel voor een langere periode opgeslagen wordt. Dit geldt voor de likes die je uitdeelt en de profielen die je afkeurt maar ook voor de berichten en afbeeldingen die je verstuurt. Aangezien sommige berichten zeer persoonlijk van aard kunnen zijn, is dit altijd iets waar je rekening mee te houden.

In het geval van een hack of datalek betekent dit dat het geheel zonder je toestemming openbaar gemaakt kan worden op het internet. Uiteraard geldt dit ook voor expliciete foto’s die je deelt. Waarschijnlijk moet je er niet aan denken dat deze beelden openbaar beschikbaar worden gesteld voor het grote publiek.

Waar blijven de gegevens?

Wanneer je je aanmeldt bij een dating app dan worden je gegevens opgeslagen op de servers van de datingsite. Achter de app is namelijk een netwerk van servers actief waar de gegevens van alle gebruikers opgeslagen zijn. In de praktijk betekent dit dat de hostingpartij fysiek de beschikking heeft over de gegevens, maar het eigendom ligt bij het bedrijf achter de datingsite. Bovendien zullen er back-ups aanwezig zijn die mogelijk weer bij andere hostingbedrijven ondergebracht zijn.

Het is dus mogelijk dat je gegevens in Nederland opgeslagen zijn maar ergens anders binnen de EU kan ook. Je gegevens kunnen ook “lekken” naar derde partijen, bijvoorbeeld advertentiebedrijven, die onderdeel zijn van de app.

Een database met allerlei gegevens van mensen zoals jij is waardevol. De bekende dating apps geven aan dat ze deze gegevens nooit verkopen of aan derden verstrekken voor een commercieel doel. Toch kun je hier nooit helemaal zeker van zijn, mocht de strategie van het bedrijf in de toekomst wijzigen. Wat ook kan gebeuren is dat de gegevens bij een derde partij belanden die in opdracht van de dating app iets met de data kan doen.

Account verwijderen?

Uiteraard bewaren de dating apps je gegevens zolang je een account hebt maar wat gebeurt ermee zodra je je account verwijdert? In veel gevallen worden je gegevens dan niet volledig verwijderd, maar blijven de gegevens bestaan in de database van de dating app. Hoewel je profiel niet meer te vinden is en je zelfs niet meer kunt inloggen, bestaat je account nog wel met daarin al je gegevens. Dit kwam onlangs wederom ter sprake nadat oud-gebruikers plotseling een e-mail kregen van Match.com. De e-mail bevestigt dat gegevens van verwijderde profielen bewaard wordt, in dit geval ging het zelfs om accounts die meer dan tien jaar geleden opgezegd waren.

SSL-encryptie

Waar het vijf jaar geleden nog vrij uitzonderlijk was voor de dating apps om de verbindingen te beveiligen gebruiken bijna alle dating apps inmiddels een beveiligde verbinding. De berichten die verstuurt worden met behulp van een zogenaamde SSL-encryptie beveiligd. Met deze beveiliging kan niemand de gegevens die naar de servers verzonden worden onderscheppen. Dit is hoe het hoort maar in de praktijk komt het nog geregeld voor dat een dating app in opspraak komt door het versturen van gebruikersdata via het onveilige HTTP-protocol⁵. Bovendien zegt de SSL-encryptie zegt echter niets over de beveiliging van de server waar de gegevens opgeslagen worden of met welke encryptie wachtwoorden opgeslagen zijn in de databases.

Het is duidelijk dat iedereen die gebruikt maakt van datingsites en apps zichzelf kwetsbaar opstelt op het gebied van privacy. Niet alleen delen de gebruikers meer van zichzelf maar ook is het een probleem dat veel gebruikers niet op de hoogte zijn van hoeveel gegevens worden verzonden en opgeslagen maar ook waar de gegevens voor gebruikt worden. Nu je weet over welke gegevens de dating apps beschikken kun je er bewust voor kiezen om minder gegevens te delen, zover dat nog mogelijk is. Lees ook meer over veilig daten en hoe je je identiteit geheim houdt voor anderen.