Een gezamenlijk onderzoek door meerdere Europese media heeft onthuld dat honderden miljoenen locatiegegevens van mobiele telefoons in België openlijk worden verkocht door databrokers. De data omvatten ook de bewegingen van personeel bij de EU-instellingen, het NAVO-hoofdkwartier en op gevoelige militaire en nucleaire locaties.
Het onderzoek, uitgevoerd door L’Echo, Le Monde, de Duitse omroepen BR en ARD, Netzpolitik.org en BNR Nieuwsradio, legt een alarmerend veiligheidsrisico bloot. Hoewel de data officieel als "anoniem" worden verkocht, zijn ze eenvoudig te de-anonimiseren, waardoor de exacte bewegingen van individuen – inclusief hun woon- en werkadressen en dagelijkse gewoontes – kunnen worden gevolgd.
Journalisten, die zich voordeden als medewerkers van een marketingbedrijf, wisten twee datasets met in totaal 278 miljoen locatielogboeken uit België te bemachtigen. Deze data worden doorgaans verzameld via alledaagse mobiele applicaties, zoals weer-apps, die toestemming vragen om locatiegegevens te verzamelen, en worden vervolgens doorverkocht.
Gevoelige locaties en identificatie van topambtenaren
De onderzoeksjournalisten konden met de data de privéadressen en bewegingspatronen van verschillende hooggeplaatste EU-functionarissen identificeren. Minstens drie van hen "bekleden hoge verantwoordelijkheidsposities" binnen de EU-instellingen. Twee van deze functionarissen bevestigden de juistheid van de verzamelde gegevens over hun woonplaats, werkplek en reizen.
Het gevaar beperkt zich niet tot EU-personeel. De data toonden ook de aanwezigheid van duizenden telefoons op uiterst gevoelige locaties:
NAVO: Meer dan 1000 telefoons werden gedetecteerd op het NAVO-hoofdkwartier in Brussel en het militair hoofdkwartier SHAPE in Bergen (Mons).
Militaire bases: Toestellen werden gelokaliseerd op diverse Belgische militaire bases, waaronder Kleine-Brogel, waar wordt aangenomen dat Amerikaanse kernwapens zijn opgeslagen.
Kritieke infrastructuur: De kerncentrales van Doel en Tihange, evenals zwaarbeveiligde gevangenissen, verschenen in de data.
Experts waarschuwen dat slechts twee referentiepunten, zoals een woon- en werkadres, vaak al voldoende zijn om een individu met 95% zekerheid te identificeren.
Een 'hybride dreiging' voor de veiligheid
Deze handel in locatiegegevens, soms 'Advertising Based Intelligence' (ADINT) genoemd, vormt een aanzienlijke bedreiging. Veiligheidsexperts waarschuwen dat vijandige staten, zoals Rusland of China, deze commercieel verkrijgbare data kunnen gebruiken voor spionage, sabotage of het volgen van militair personeel.
In een reactie noemde de Europese Commissie de bevindingen "verontrustend" en "zorgwekkend". Als direct gevolg heeft de Commissie "nieuwe richtlijnen uitgevaardigd voor haar personeel met betrekking tot tracking-instellingen op zakelijke en privé-apparaten" en andere EU-entiteiten geïnformeerd.
Een NAVO-functionaris liet weten dat de alliantie zich "volledig bewust is van de algemene risico's" en "maatregelen heeft geïmplementeerd". De functionaris verzocht de journalisten echter dringend om geen informatie te publiceren die personeel in gevaar zou kunnen brengen.
Zowel Engie, de exploitant van de Belgische kerncentrales, als het Belgische Ministerie van Defensie verklaarden dat het gebruik van smartphones in gevoelige zones reeds verboden is.
De GDPR-paradox
De onthullingen staan in schril contrast met de Algemene Verordening Gegevensbescherming (AVG, of GDPR), de strenge Europese privacywet. Hoewel de AVG het verzamelen van data enkel toestaat met duidelijke toestemming, wordt deze regel in de praktijk massaal omzeild.
Gebruikers worden vaak misleid om toestemming te geven zonder volledig te begrijpen dat hun data worden doorverkocht. Handhaving door de privacytoezichthouders is bovendien moeilijk, omdat de datahandel zich grotendeels in het verborgene afspeelt. Ondertussen is de handel in data uitgegroeid tot een miljardenindustrie, waarbij toegang tot Belgische locatiedata wordt aangeboden voor prijzen tussen de $ 24.000 en $ 60.000 per jaar.
