In de code van TikTok: 'Alsof het ze een beetje heet onder de voeten wordt'
In India is het verboden, Amerika overweegt het ook en de Autoriteit Persoonsgegevens in ons land startte een onderzoek: het Chinese TikTok ligt de afgelopen tijd onder vuur. Want hoeveel gegevens verzamelt de app precies van je, en wat gebeurt daar precies mee? NOS Stories dook in het algoritme en de code van de app om daar achter te komen.
Met meer dan 3,5 miljoen - vooral jonge - Nederlandse gebruikers is TikTok een van de populairste apps van dit moment. Maar er is ook veel kritiek op de app. TikTok verzamelt namelijk opvallend vaak en véél gegevens. En da's extra gevoelig omdat het moederbedrijf van TikTok, Bytedance, in China zit.
NOS Stories dook samen met ethisch hacker Sanne Maasakkers van FOX-IT in de code van de app. Dat was nog niet zo makkelijk, omdat die in nieuwere versies steeds lastiger te onderzoeken is. "Het lijkt wel alsof het ze een beetje heet onder de voeten wordt", zegt Maasakkers. Waarom? Zie je in de video hieronder.
Online gaat al een tijd deze post op internetforum Reddit rond. Een software-onderzoeker dook in de code van de app, en trok harde conclusies: TikTok verzamelt onnodig veel data, gebruik de app niet. Op verzoek van NOS Stories checkte ethisch hacker Sanne Maasakkers, van beveiligingsbedrijf Fox-IT, zijn bevindingen.
Iedere 30 seconden je locatie
Het ging onder meer om hoe vaak TikTok gegevens opvraagt van gebruikers. Maasakkers zag dat bij gebruik van de app om de dertig seconden onder meer je locatie en je type telefoon wordt opgevraagd. "Dat is een stuk vaker dan bij bijvoorbeeld Instagram", zegt ze.
Ook vraagt TikTok volgens Maasakkers meer permissies. Gebruikers moeten bij het installeren van de app bijvoorbeeld toestemming geven om de camera, microfoon en adressenlijst te gebruiken. "TikTok vraagt in totaal om 68 permissies, waar Instagram er 31 nodig heeft. Dat is wel een stuk meer."
"TikTok houdt op die manier een profiel van je bij. Andere apps doen dat natuurlijk ook. Instagram stuurt minder vaak informatie van jou naar de servers, maar doordat je ook Facebook en WhatsApp gebruikt, kunnen zij alsnog een compleet profiel van je hebben."
De gevoeligheid internationaal zit 'm misschien niet eens zozeer in de hoeveelheid gegevens, maar meer waar die gegevens terechtkomen. Het moederbedrijf van TikTok, Bytedance, zit namelijk in China. Het is een van de grootste startups ter wereld, met een focus op kunstmatige intelligentie, die je in hun apps - zoals TikTok - terug kan zien.
Volgens China-correspondent Sjoerd den Daas zijn Chinese bedrijven verplicht om informatie te overhandigen als de overheid daarom vraagt. "In bijvoorbeeld de VS of Europa komt er dan waarschijnlijk nog vaak een rechter aan te pas. TikTok houdt gegevens ook liever intern. Maar als China echt wil, kunnen ze het bedrijf zo onder druk zetten, dat die gegevens toch worden overgeleverd."
Misschien doen ze niks met die Chinese servers, maar het is wel onlogisch dat ze nog in de code staan.
TikTok zelf zegt alle banden met China verbroken te hebben. Zo zijn er twee versies van de app: TikTok zoals wij het hier kennen en Douyin, de Chinese variant. Ook staat het hoofdkantoor in de Verenigde Staten en trok het platform onlangs een Amerikaanse ceo aan. Maar ondanks die maatregelen overweegt de VS - een heel belangrijke markt voor het bedrijf - de app te verbieden uit zorgen om de veiligheid.
Servers
Even terug naar de code. "Daar staan nog verwijzingen in naar Chinese servers die nog niet zijn verwijderd, dus de banden zijn nog niet volledig verbroken", zegt Maasakkers - al hoeft dat niet meteen te betekenen dat TikTok daadwerkelijk data naar China stuurt. "Misschien doen ze niks met die Chinese servers, maar het is wel slordig dat ze nog in de code staan."
In een reactie op het onderzoek zegt TikTok dat ze de beweringen over verwijzingen naar Chinese servers "serieus nemen" en dat de servers in de nieuwste versies van de app verwijderd zullen worden. Daarnaast benadrukt het platform dat het nog nooit data aan de Chinese overheid heeft gegeven. "En dat zullen we ook nooit doen", zegt een woordvoerder. De gegevens van Nederlandse gebruikers staan op servers in de Verenigde Staten en Singapore, zegt het bedrijf.
