Polarsteps ontkent datalek, maar neemt wél drastische maatregelen: dit is er veranderd

Wie Polarsteps gebruikt, deelt zijn reisroute misschien bewust met anderen. Maar de populaire reisapp beschikte over nóg preciezere informatie: de exacte locatie waar foto's waren gemaakt. Onderzoek van Follow the Money (FTM) laat zien dat die gegevens via de technische achterkant van Polarsteps konden worden uitgelezen.

Dat kan gevoelige informatie opleveren. FTM wist bijvoorbeeld woonadressen te achterhalen van gebruikers die thuis een foto van hun koffers hadden gemaakt. De locatie waar de foto was genomen, was niet gewoon bij de foto in de app te zien, maar kon volgens de onderzoekers wel via de API – de technische verbinding met de servers – worden opgevraagd.

FTM zegt ongeveer 230 miljoen foto's en video's via die API te hebben kunnen benaderen. Daarnaast verzamelde het onderzoeksplatform een miljard locatiepunten van bijna twee miljoen reizen.

FTM vroeg Polarsteps via een AVG-inzageverzoek welke persoonsgegevens het bedrijf over de onderzoekers bewaarde. Volgens FTM ontbraken de fotolocaties in het bestand dat het vervolgens kreeg, terwijl die locaties via de API wel zichtbaar waren.

Ook zouden de locaties waar foto's waren gemaakt niet in het privacybeleid van Polarsteps zijn genoemd. Polarsteps vertelde FTM dat de fotolocaties onder meer worden gebruikt om gebruikers automatisch locaties te laten toevoegen aan reizen uit het verleden.

Polarsteps bestrijdt dat sprake is geweest van een datalek. Het bedrijf zegt dat de gegevens van 23 miljoen gebruikers die FTM kon verzamelen hoofdzakelijk openbare profielinformatie betroffen. Reizen die altijd op 'Alleen ik' stonden, zijn volgens Polarsteps privé gebleven.

FTM stelt daartegenover dat het ook niet-publieke informatie kon bereiken. Over de precieze kwalificatie van het incident verschillen de twee partijen dus van mening.

Polarsteps heeft inmiddels wel maatregelen genomen. Zo zijn beperkingen op grootschalige gegevensverzameling aangescherpt, bestaande geheime links ongeldig gemaakt en zijn profielen teruggezet naar de standaardinstelling waarbij nieuwe volgers eerst toestemming nodig hebben.

Het bedrijf heeft ook contact met de Autoriteit Persoonsgegevens. Die toezichthouder heeft tegenover WNL bevestigd dat er contact is, maar doet geen mededelingen over de inhoud.