Privacy Company onderzoekt vier browsers in opdracht van overheid

Het onderzoek in opdracht van SLM Cloud richtte zich op zeven technische vraagstukken, waaronder de mogelijkheid voor IT-beheerders om privacyvriendelijke instellingen centraal te configureren, de effectiviteit van trackingbescherming en het naar de fabrikant verzonden netwerkverkeer.

Edge verstuurt ongewenst verkeer naar Bing en MSN

Van de vier geteste browsers verzamelt Microsoft Edge for Business de meeste persoonsgegevens. Zelfs wanneer IT-beheerders via groepsbeleid (group policy) proberen al het verkeer naar zoekmachine Bing te blokkeren en een andere standaardzoekmachine in te stellen, blijkt deze maatregel in de praktijk niet effectief. Edge blijft telemetriegegevens en verkeer naar Bing genereren. Daarnaast deelt Edge via trackingcookies met unieke identificatiecodes persoonsgegevens met Microsoft-dochterondernemingen zoals MSN, Bing en Office, zelfs als de gebruiker deze diensten niet actief bezoekt.

Bij Firefox ESR (van de Mozilla Foundation), Brave en Vivaldi kunnen organisaties via de aanbevolen instellingen het gegevensverkeer naar de fabrikant wel effectief beperken tot het IP-adres en minimale informatie over plug-ins en software-updates.

Verschillen in transparantie, verwerkersrol en datadoorgifte

Op het gebied van verwerkingsverantwoordelijkheid treden bijna alle fabrikanten op als zelfstandig verwerkingsverantwoordelijke onder de AVG. Mozilla vormt hierop een uitzondering door de introductie van het nieuwe Firefox Enterprise, waarbij de stichting opstapt als verwerker voor organisaties.

De kwaliteit van de documentatie en de afhandeling van privacyrechten loopt sterk uiteen:

• Inzageverzoeken: Mozilla gaf een uitgebreid antwoord op een AVG-inzageverzoek, terwijl Microsoft weigerde te reageren als een testgebruiker niet was ingelogd met een Microsoft-account. Bij Brave en Vivaldi zijn geen verzoeken ingediend vanwege de minimale hoeveelheid onderschepte gegevens.
• Datadoorgifte buiten de EER: De drie Amerikaanse browsers (Microsoft, Mozilla en Brave) sturen gegevens door naar de Verenigde Staten en andere landen buiten de Europese Economische Ruimte (EER). Microsoft geeft data mogelijk door aan 30 derde landen. Alleen het Noorse Vivaldi biedt gegevensverwerking aan die volledig binnen de EER (in IJsland) plaatsvindt, mits de Chrome Web Store door beheerders wordt geblokkeerd.
• Documentatie: Mozilla en Brave bieden voldoende transparantie over verzamelde data. Microsoft en Vivaldi schieten hierin tekort, al heeft Vivaldi een update van de documentatie toezegt. Geen van de vier partijen biedt echter volledige helderheid over bewaartermijnen en gegevensverwerking via add-ons.

Trackingbescherming en opvallende functies

Behalve Microsoft Edge bieden de overige drie browsers een redelijk tot zeer effectieve trackingbescherming. Zowel Brave als Firefox ESR maken gebruik van gescheiden cookie-opslag (meerdere 'cookie jars') om te voorkomen dat cross-site trackingcookies worden geplaatst.

Bij Vivaldi stootten de onderzoekers wel op de commerciële functionaliteit 'DirectMatch'. Hiermee kan de browser op basis van ingetypte trefwoorden en bladwijzers gebruikers automatisch doorsturen naar gesponsorde websites. Deze gesponsorde sites kunnen vervolgens trackingcookies plaatsen die als 'first-party' worden aangemerkt.

Privacy Company heeft bij de rapporten vergelijkingstabellen en adviezen voor groepsbeleid opgeleverd. Hiermee kunnen IT-beheerders binnen overheidsorganisaties en bedrijven de browsers centraal zo privacyvriendelijk mogelijk configureren of een overstap naar een alternatieve browser overwegen.