Mitm. via Odido

​@rvk01 

Wat is ‘gerechtvaargd belang’ volgens jou?

En naast gerechtvaardig belang kunnen we een ander begrip aanhalenals je e.a. toch aanhaalt… en dat is grove nalatenschap.

Dat laatste is aantoonbaar en zal ik Odido ook op vastpinnen.

Dat ze de "Uitvoering van de overeenkomst" goed na kunnen komen. Ondersteuning van klant en controle over netwerk. Op zich is daar wel wat voor te zeggen, al heeft het een hoog "Big Brother is watching you" gehalte.

Prima. Niemand houdt je tegen. Maar dat was niet jouw oorspronkelijke vraag. Jouw vraag was waarom het verzamelen van die gegevens niet in de voorwaarden stond, maar dat staat er dus wel gewoon in.

Men kan overduidelijk geen goede uitvoering geven. Ik zit hier niet voor niets als sinds gisteren zonder internet.

Waar staat dat verzamelen dan in in de voorwaarden?

En nu niet afkomen met iets dat vergezocht is, maar er overduidelijk instaat van ‘hey, ons modem stuurt data naar een partij die daarmee ai traint’

Zoiets is duidelijk, maar waar staat dat?

Ik zeg ook niet dat ze de uitvoering goed gedaan hebben. Ik zeg alleen dat het in de voorwaarden staat. Ik vind het ook belachelijk en nog kinderlijker hoe ze erop gereageerd hebben (en nog steeds doen). Maar over deze gegevens... Er staat gewoon in dat ze die verzamelen en gebruiken.

Dit staat er:

Bij vast internet worden gegevens uit het modem verzameld:

• Het SSID zoals geconfigureerd op het modem.

• Ethernet MAC-adressen van het modem en van de apparatuur die verbonden is met het modem

• IP-adressen die worden uitgegeven door het modem aan de daarmee verbonden apparatuur.

• De naam van de apparatuur, bijvoorbeeld “Laptop 1234”.

En hoe ze het gebruiken… dat is dan aan hun (dacht jij dat een mannetje die logfiles zelfs doorspit en in een Excelsheetje zet?). Ze zeggen toch ook niet dat onze gegevens in een systeem van Salesforce zit. Dat draait echt niet op hun eigen kantoortje. Ook dat zit in datacenters (schijnbaar niet eens goed beveiligd).

Overigens... Je hebt schijnbaar wel de mogelijkheid voor een opt-out.

Als je bezwaar hebt tegen het feit dat we gegevens uit je modem gebruiken, kun je ons vragen je gegevens hiervoor te blokkeren.

Ben benieuwd of iemand dat al eens geprobeerd heeft 😉 Alleen denk ik niet de brakke klantenservice ooit van deze optie gehoord heeft en dat het moeilijk dan zijn om met dit verzoek er doorheen te komen 🙄

Ik heb dat hoofdstuk M gelezen, maar het punt is dat het niet beschrijft wat hier feitelijk gebeurt.

Het privacy statement zegt alleen dat Odido zelf modemgegevens gebruikt voor storingen en netwerkbeheer. Dat staat letterlijk in de tekst die jij citeert. Maar nergens staat dat:

• deze gegevens naar een externe partij worden gestuurd

• namelijk Lifemote

• die in Turkije gevestigd is

• en dat deze partij de data gebruikt voor AI‑analyse

• en dat dit jarenlang gebeurde zonder dat klanten dit wisten

Dat staat simpelweg niet in de voorwaarden.

Het verschil is dus: “Odido verzamelt modemgegevens voor storingen en netwerkbeheer.” vs “Wij sturen jouw modemgegevens naar een externe partij buiten de EU die AI‑modellen traint op jouw thuisnetwerk.”

Dat is een wezenlijk verschil, en precies waar de AVG‑problemen zitten.

Daarnaast: Odido is inmiddels gestopt met het versturen van deze data (zie LinkedIn‑analyse), wat eigenlijk al bevestigt dat dit niet zo netjes geregeld was. Als het volledig gedekt was door de voorwaarden, hadden ze niet hoeven stoppen.

Dus nee... dit staat niet “gewoon in de voorwaarden”. Het staat er juist opvallend niet in.

Dat hoeft ook niet (in ieder geval niet volgens ‘de wet’ hoewel dat voor de openheid wel handig was geweest). Er staat ook nergens in de voorwaarden of privacy statement dat ze gebruik maken van externe systemen zoals Salesforce (oeps… gehackt). En als we dan toch bezig zijn… hoeveel bedrijven maken gebruik van Office 365 Online? Zou dat ook bij al die bedrijven in de voorwaarden staan? Die gegevens staan ook allemaal extern. Overigens gaan er (ook nog steeds) heel wat gegevens naar Facebook en Google (en dat voorbeeld staat wel in de privacy statement .4).

Ik denk dat dat eerder is om nog meer negatieve pers te ontlopen. AVG bepaald niet dat jij moet vertellen met welke derde partijen jij samenwerkt. Alleen dat jij met die derde partijen wel correcte overeenkomsten moet hebben (en dat is dus iets wat gecontroleerd moet worden maar is niet iets wat ze pro-actief in de voorwaarden moeten zetten). Nadat ze de router wat meer dichtgetimmerd hebben zal Zyxel deze logging wel weer toevoegen (want dit is niet Odido die dit zelf doet, maar Zyxel).

Nee, het is dus erger is dat die router zo lek was en dat Odido zijn kop in het zand steekt over alles wat gebeurd is de afgelopen tijd. Ze hadden beter openheid van zaken kunnen geven. Daar hoort uiteraard ook deze logging bij. Maar dat is eenmaal hoe (grote) bedrijven het doen (zie b.v. ook Facebook en Google).

Het klopt dat je niet elke derde partij bij naam hoeft te noemen, maar dat betekent niet dat je alles onder een brede categorie mag schuiven. De AVG zegt dat je duidelijk moet maken welke soorten partijen persoonsgegevens krijgen en voor welk doel. Dat werkt prima voor dingen als CRM‑systemen, Office 365 of ticketingsoftware: dat zijn interne bedrijfsprocessen die passen bij wat je als klant mag verwachten.

Lifemote valt daar niet onder. Dit ging niet om administratie of klantenservice, maar om het structureel doorsturen van gegevens uit het thuisnetwerk van klanten: apparaatnamen, MAC‑adressen, SSID’s, interne IP’s. Dat is een totaal andere categorie verwerking, met een ander risico en een ander doel. Zo’n partij kun je niet verstoppen onder “leveranciers van systemen of software”, want dat is niet wat een klant redelijkerwijs verwacht bij die categorie. Als een externe partij meekijkt in je privé‑netwerk, moet dat expliciet worden uitgelegd.

Dat Zyxel de logging technisch uitvoert, verandert daar niets aan. Odido is verwerkingsverantwoordelijke en moet dus zorgen dat de verwerking transparant en rechtmatig is. Als Odido ervoor kiest om die data naar Lifemote te laten gaan, dan is dat hun verantwoordelijkheid, niet die van Zyxel.

En als alles gewoon volgens het boekje zou gaan, dan konden ze dat uitleggen en hoefden ze op dit vlak niet bang te zijn voor “negatieve pers”.

Hoe heb je geconcludeerd dat het a) een externe partij is en b) dat het Lifemote zou zijn is waar de gegevens naartoe worden verstuurd? Heb je hier zelf onderzoek naar gedaan of heb je het ergens gelezen? Voor zover ik kan zien wordt er niks verstuurd naar buiten Odido. 

Ik weet niet of je de LinkedIn post uit de TS hebt gelezen, of dat dit boven je pet gaat, maar dit zijn geen aannames: https://www.linkedin.com/pulse/odido-router-verzamelt-analytics-van-je-huishouden-sipke-mellema-0uoie/

Ja, post gelezen. Ok, dus je vertrouwt blind op de aannames van deze persoon? Ik zie in zijn post geen concreet onderbouwd bewijs hiervoor, alleen aannames. 

Terwijl met 5 minuten Googlen gewoon te vinden dat dat desbetreffende adres waar de data heen gestuurd wordt in beheer van Odido zelf is, niet door dat externe bedrijf.

Dat klopt ook.

modemdata.lifemote.prd.indetel.net is dus indetel.net dat van Odido zelfs is. Dus wie zegt dat de data niet gewoon op eigen servers stond en dat ze alleen software van derden gebruikte om het te analyseren. We hebben nog steeds geen uitleg van 'struisvogel' Odido dus we kunnen niets met zekerheid zeggen 😉

Overigens waren dit nog een paar andere namen in hetzelfde certificaat.

modemdata.lifemote.prd.indetel.net modemdata.lifemote.prd.t-mobile.nl

en testcertificaat

modemdata.lifemote.tst.indetel.net modemdata.lifemote.tst.t-mobile.nl

​@rvk01 

Als het dan niet zoveel voorstelde, waarom is Odido dan gestopt met de gegevens verzameling en delen naar dat Turkse bedrijf(blijkt niet amerikaans te zijn) en stellen ze een onderzoek in.(Struisvogel heeft even zijn kopje omhoog gedaan😁😁, ze kunnen het wel)

Daarnaast vind de privacy waakhond ook dat dit persoonsgegeven zijn dus niet zomaar toegestaan.

https://tweakers.net/nieuws/245620/odido-router-stuurde-analyticsdata-naar-turks-ai-bedrijf.html

Omdat ze liever hun kop in het zand stoppen. Ze hebben gewoon een complete communicatie stop. Dat hebben we allemaal wel gemerkt. De logging is gestopt omdat ze juist dat onderzoek ingesteld hebben en dus het zekere voor het onzekere nemen. Die logging (naar hun interne systemen) kan later gewoon weer opgestart worden (dan wel via https).

Verder was het dus niet zo dat ze deze gegevens naar dat Turkse bedrijf hebben gestuurd. In ieder geval is daar nog geen bewijs van (zie vorige bericht, de URL is van Odido zelf). Maar misschien dat dat er met een onderzoek nog uit komt (ze zullen dit waarschijnlijk moeten overleggen met Zyxel).

(Sensatiebericht van Tweakers is hier dus een beetje voorbarig in)

​@rvk01 , lees ook even de reacties onder het tweakers artikel, staan nog een paar interesante bijdragen in.

Er ging wel degelijk info naar de Turken, en als dat niet zo is, waarom stoppen ze er abrupt mee en zeggen een onderzoek in te stellen.

Het stoppen met verzamelen heeft niets te maken met het wel of niet versturen van gegevens. Ze willen gewoon geen publiciteit (helemaal geen, geen negatieve en geen positieve).

En als je de domeinen en IP's onderzoekt waarnaar de gegevens verzonden zijn, gaat het om Nederlandse IP adressen. Geen IP adressen in Turkije (of andere landen). Dus initieel worden de gegevens door Odido verzameld. Wat ze daarna daarmee doen... dat weten we niet. 

Ja, ik heb de reacties daar gelezen, maar niemand schijnt daar te begrijpen dat de data zelf naar Nederlandse domeinen gestuurd zijn. Er wordt wel een script uit Turkije opgehaald (wat ook zorgelijk is), maar de data gaat niet (direct) naar LifeMote.

Of zijn ze voor een andere reden gestop, bij het NRC hint shinyhunters op een grote hack, gaan we maandag misschien wat van horen en hinten ook naar Odido.

“De woordvoerder van Shinyhunters voorspelt grote koppen in de pers maandag.

Vierhonderd bedrijven zijn getroffen, zegt hij, of Odido weer slachtoffer is, wil hij niet zeggen.

„Salesforce weer onder vuur! Lol.” Zijn toon is nu vol bravoure. „Misschien moet je Odido vragen of ze weer gehackt worden, haha.”

Dit topic gaat over lifemote en de Zyxel firmware, de hack van Shinyhunters betreft (weer) Salesforce. Die dingen hebben niks met elkaar te maken.

Zou mij niets verbazen als ze nog dieper binnen zijn geweest, nog een paar dagen.