bunq is een Nederlandse mobiele bank die werd opgericht in 2012. Het grote verschil met andere banken is dat bankieren bij bunq alleen via een app mogelijk is. De bancaire sector is een sector waar privacy en veiligheid belangrijk is. Op de webpagina van bunq staat met grote letters ‘Je privacy is gegarandeerd’. Dit is een kleine (privacy) review van bunq.
De website van bunq
Privacy by Default
Wanneer je de website van bunq bezoekt zie je een pop-up balkje in de footer met de knop hebbes. Al voordat je deze knop indrukt begint bunq met het verzamelen van gegevens (tracking).
Pas als je de kleine lettertjes goed leest zie je dat je de cookie-instellingen kunt aanpassen. Wat bunq hier doet wordt ook wel dark pattern genoemd. Totaal niet privacy-vriendelijk en het mag ook niet volgens de AVG.
Vindbaarheid privacy statement
Wanneer je een website hebt, plaats dan bij voorkeur een hyperlink naar de privacyverklaring onderaan elke pagina in de footer. Alle websitebezoekers moeten deze eenvoudig kunnen vinden. Dat is bij bunq niet het geval.
Deelt bunq je persoonsgegevens met derden?
Om bepaalde diensten aan te kunnen bieden moet bunq persoonsgegevens delen met derden. Laten we eens kijken met welke derden bunq jouw persoonlijke gegevens deelt.
Google is een advertentiebedrijf en dataverzamelaar. Het verzamelen van gegevens omvat de volledige suite van producten. Google heeft naar schatting 15 exabytes aan data, of de capaciteit van ~30 miljoen personal computers. Content wordt volgens Bunq alleen tijdelijk opgeslagen (voordat het wordt verwijderd) om de diensten aan te bieden, Google claimt geen eigendom over de content en gebruikt de content niet voor andere doeleinden dan het aanbieden van de aangevraagde diensten.
Om je adres te kunnen verifiëren en zeker te weten dat je bunq passen bij het juiste adres aankomen en fraude te bestrijden, maakt bunq gebruik van de diensten van Google Places API. Hiervoor worden locatie- en gebruiksdata gedeeld met Google, om gebruik te maken van de diensten en deze te verbeteren.
De vraag is in hoeverre je Google vertrouwt met je persoonlijke gegevens. Martijn Maurits van de Correspondent heeft een goed stuk geschreven over de geschiedenis van de verbroken beloften van Google.
Voor het aanbieden van feature Insights, maakt bunq gebruik van de diensten van Dateio (Tsjechiē), de applicatie heet Tapix . Hiervoor worden geanonimiseerde betalingsgegevens gedeeld, waardoor Topix jouw betalingen kan verrijken met nog meer details over je transacties. Tapix segmenteert klanten op basis van hun levensstijl en niet alleen op basis van socio-demografische gegevens. Zodat men diensten op basis van winkelgedrag en locatie kan aanbieden. Tapix identificeert risicovolle klanten en transacties, afzonderlijke uitgaven voor basisbehoeften vs. luxegoederen, en meer. ⚠️ Op de website staat voor zover ik kan zien geen privacyverklaring.
Als je privacy-minded bent word je toch zenuwachtig van deze mogelijkheden.
Zie foto
Adjust is een marketing bedrijf dat geld verdient van het analyseren van persoonlijke gegevens. Voor het analyseren van het gebruik van de bunq website, producten en diensten en het meten van de effectiviteit van hun (gepersonaliseerde) marketing campagnes, maakt bunq gebruik van adjust GmbH (Duitsland). In de privacyverklaring van Adjust is bijvoorbeeld te lezen dat de applicatie onder andere sensorische gegevens met inbegrip van aanraakgebeurtenissen, het tellen van tekstwijzigingen, versnellingsmeter, gyroscoop, batterij, lichtsensor, apparaat-hardwarespecificaties en versie van het besturingssysteem kan uitlezen.
Om je identiteitsdocument en identiteit te verifiëren maakt bunq gebruik van de diensten van externe partij Onfido Limited (UK). Wanneer je een bunq account wilt aanmaken moet je een foto van je identiteitsbewijs (ID) met behulp van je smartphone maken en de AI-verbeterde technologie van Onfido beoordeelt of het echt lijkt. Gebruikers nemen vervolgens een video selfie en Onfido’s biometrische analyse vergelijkt het met het ID om te controleren of het overeenkomt met de gebruiker.
Voor het samenbrengen en analyseren van persoonlijke gebruiksgegevens uit verschillende bronnen, waaronder je gebruik van de websites, producten en diensten en het opzetten en meten van de effectiviteit van (gepersonaliseerde) marketing campagnes, gebruikt Bunq technologie van Segment.io Inc. (VS) en Mixpanel Inc.(VS). Sement.io en Mixpanel bieden real-time gegevensverzameling en -rapportage op gebuikersniveau. Dit betekent in principe dat mixpanel een gebruikerssessie kan volgen in verschillende browsers en op verschillende apparaten, en ook als de cookies worden gereset.
Wanneer je in de app de diensten van TransferWise wilt gebruiken, deelt bunq jouw persoonsgegevens met TransferWise (UK). Deze gegevens bevatten mogelijk ook een kopie van je identiteitsdocument om het account te kunnen openen.
Om je locatie te kunnen verifiëren maakt Bunq gebruik van de technologie van MaxMind (VS). Hiervoor worden locatie-, gebruiksdata en je e-mailadres gedeeld met MaxMind, om gebruik te maken van de diensten en deze te verbeteren.
Om te voldoen aan wet- en regelgeving kan bunq gegevens doorgeven aan de desbetreffende instanties. Zoals de Belastingdienst. Daarnaast kan bunq een wettelijke of juridische verplichting hebben om persoonsgegevens te delen met opsporingsautoriteiten voor het voorkomen en bestrijden van misbruik, fraude en criminaliteit. Dit lijkt mij volkomen normaal voor een Bank.
Delen met derden
In de privacyverklaring wordt niet helemaal duidelijk wat deze (derden) partijen precies doen met je persoonlijke gegevens. bunq claimt dat ze alleen je persoonlijke gegevens delen met derde partijen indien: a) dit noodzakelijk is voor het verlenen of verbeteren van zijn producten en diensten b) deze nodig zijn voor het uitvoeren van marketing inspanningen”. Het woordje ‘alleen’ lijkt een eufemisme want als je bovenstaande leest kan bunq in bijna alle gevallen je gegevens delen met derden.
De toevoeging “Naast dit privacy statement, zijn er mogelijk aanvullende privacy statements of policies van deze derde partijen van toepassing” doet echter wel wat alarmbelletjes rinkelen. Dit werpt veel vragen op. Moet je nu echt alle privacy statements lezen van bovenstaande partijen om te weten waar je aan toe bent?
Bunq Deals
Om je te kunnen voorzien van ‘bunqDeals’, deelt bunq bepaalde informatie met de tegenpartij die de deal aanbiedt. Ze beleven alleen strikt noodzakelijke informatie te delen en alleen indien je gebruik maakt van de deal.
Op het forum van bunq ‘bunq Together’ stelt een gebruiker terecht dat in het privacystatement van bunq te lezen valt dat ook je locatie en gebruikersdata met Google worden gedeeld en nergens wordt beschreven dat dit anoniem is. Dit valt volgens dat document onder de standaard Google privacy policy. Hetzelfde geldt voor andere bedrijven waar bunq mee samenwerkt. Hier komen regelmatig nieuwe partijen bij en veel van deze partijen zijn dataverzamelaars. Dit brengt privacy- en ook veiligheidsrisico’s met zich mee, want hoe meer partijen je data krijgen en verwerken, hoe groter de kans is dat er ooit iets mis gaat. Bovendien is het (pseudo)anonimiseren van gegevens geen garantie dat je ook daadwerkelijk anoniem blijft. Met genoeg datapunten is een gebruiker vrij gemakkelijk te identificeren.
Er worden door bepaalde partijen ook biometrische persoonsgegevens verzameld. Het verbod op het verwerken van biometrische gegevens is in Nederland niet van toepassing als de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.
Biometrische gegevens
bunq verwerkt “Biometrische gegevens”. Identificatie en authenticatie een belangrijk aspect om veilig te kunnen bankieren. Zo heeft bunq de mogelijkheid toegevoegd dat je jezelf kunt identificeren met een foto van je hand (vingerafdrukken). Je scant (fotografeert) vier vingers van je hand middels de camera aan de achterkant van je telefoon, waarbij gebruik wordt gemaakt van de flitser. Hiervoor werkt bunq samen met Veridium. Dit bedrijf wordt (nog) niet vernoemd in de huidige privacystatement van bunq(!). Biometrie is volgens beide partijen de veiligste manier om de identiteit van een gebruiker te verifiëren en daar zit wel wat in.
Het versturen van biometrische persoonsgegevens naar een Amerikaans bedrijf kan een privacy-risico met zich meebrengen. Het is mij niet bekend of deze biometrische gegevens lokaal op je apparaat verwerkt worden of, al dan niet encrypted naar de VS of elders worden verstuurd. Misschien kan bunq hier nog duidelijk over verschaffen.
bunq en betaalgegevens
bunq stelde met de komst van PSD2 als eerste bank zijn systemen open voor ontwikkelaars. Hierdoor kunnen bedrijven bij de banktransacties van bunq-klanten, op voorwaarde dat de klant daar toestemming voor geeft.
Zo hoopt bunq dat ontwikkelaars met dat allerlei toepassingen komen die samenwerken met de systemen van bunq. Bijvoorbeeld een boekhoudprogramma zijn dat alle uitgaven automatisch bijhoudt. Goed voor innovatie, slecht voor je privacy.
De bunq app
De bunq app bevat verschillende trackers. Een tracker is een stuk software dat als taak heeft om informatie te verzamelen over de persoon die de applicatie gebruikt, over de manier waarop hij/zij deze gebruikt of over de smartphone die gebruikt wordt. Mixpanel biedt bijvoorbeeld real-time gegevensverzameling en -rapportage op gebuikersniveau. Dit betekent in principe dat mixpanel een gebruikerssessie kan volgen in verschillende browsers en op verschillende apparaten, en ook als de cookies worden gereset. Tapix segmenteert klanten op basis van hun levensstijl en niet alleen op basis van socio-demografische gegevens. Tapix heeft zelfs de mogelijkheid om risicovolle klanten en transacties te identificeren. 😬
Hierbij een overzicht van de verschillende trackers in de (android) bunq app, met de bijbehorende permissies.
Conclusie is je privacy gegarandeerd bij bunq?
De reden om bunq te reviewen is omdat bunq privacy als een unique selling point gebruikt. Als je met koeienletters op je website claimt dat je de privacy van je bezoekers en gebruikers garandeert moet je dat ook waarmaken en naleven. Dat begint al bij de ontwikkeling van nieuwe producten en diensten.
Privacy by default kun je zien als een onderdeel van privacy by design, dat vereist dat de standaardinstellingen altijd zo privacyvriendelijk mogelijk zijn. Dat is bij bunq niet altijd het geval. Als je bijvoorbeeld liever niet wilt dat bunq je gegevens gebruikt voor marketingactiviteiten en het analyseren van het gebruik van zijn producten en diensten, moet je hierover contact opnemen via de bunq app. Dat is niet Privacy by Default.
Om diensten aan te kunnen bieden deelt bunq persoonlijke gegevens met derden, dit is vrij normaal. Bepaalde bedrijven waar bunq mee samenwerkt hebben echter een twijfelachtige tot slechte reputatie op het gebied van privacy. (Tapix, Google, Mixpanel, Adjust). bunq heeft met deze bedrijven bepaalde afspraken gemaakt om aan de AVG/GDPR te kunnen voldoen.
Toch, als je ziet met hoeveel bedrijven bunq jouw persoonlijke gegevens deelt is het moeilijk om te geloven dat bunq hard kan maken dat je privacy gegarandeerd is. Tenzij je een losse definitie van privacy hanteert.
Het is in ieder geval verstandig om voor jezelf te beslissen of de privacy voorwaarden van bunq en derden overeenkomen met jouw eigen privacy voorwaarden en principes. Het lijkt erop dat bankieren met bunq wel veilig is, maar niet per se privacyvriendelijk.
Conclusie
- Uitgebreide verzameling van gebruiksgegevens kan allerlei privacyrisico’s met zich meebrengen
- Duidelijkheid en volledigheid van het privacystatement ontbreekt op verschillende punten
- bunq maakt gebruik van diensten van bedrijven met twijfelachtige tot slechte reputatie op het gebied van privacy. (Google, Mixpanel, tapiX, Adjust)
- bunq voert marketingactiviteiten uit met verzamelde gebruiksgegevens
- bunq’s “privacy by design” implementatie voldoet niet
Ik heb helaas niet het gevoel dat bunq de claim Je privacy is gegarandeerd echt waar maakt.
Neem bij onjuistheden gerust contact op. Graag zelfs! Wij zullen deze direct aanpassen
