De AP constateerde tijdens haar onderzoek onder meer dat XS4ALL en KPN hun tv-klanten onvoldoende informeerden over het verzamelen en gebruiken van persoonsgegevens over het tv-kijkgedrag. KPN en XS4ALL stelden zonder toestemming van klanten kijkcijfers op over het tv-kijkgedrag voor onder meer marktonderzoek, terwijl die gegevens nog herleidbaar waren. Dit is in strijd met de wet.
De AP concludeerde verder dat de bedrijven gegevens van klanten langer bewaarden dan noodzakelijk voor het doel. XS4ALL en KPN hebben inmiddels hun systemen en de informatie in hun privacyverklaringen aangepast. Ook hebben de bedrijven de bewaartermijnen ingekort. Door de deels al tijdens het onderzoek genomen maatregelen zijn alle geconstateerde overtredingen beëindigd.
Tweerichtingsverkeer
Vroeger gaven televisies alleen tv-beelden door. Door de aansluiting van de televisie op internet is tv-kijken tweerichtingsverkeer geworden. Aanbieders van interactieve digitale televisie kunnen mee- en terugkijken, het gedrag van kijkers observeren, en daarmee kijkcijfers maken.
Gegevens over het kijkgedrag kunnen een beeld geven van iemands voorkeuren en interesses, het zijn persoonsgegevens van gevoelige aard. Het bewaren van tv-kijkgedrag op individueel identificeerbaar niveau kan bovendien ertoe leiden dat mensen zich belemmerd voelen om naar bepaalde zenders of programma’s te kijken.
Aanbieders mogen gegevens over het tv-kijkgedrag alleen verder verwerken als ze hun klanten daarover helder en volledig informeren. Pas op het moment dat kijkers voldoende zijn geïnformeerd, kunnen zij aangeven of ze hiermee akkoord gaan.
Privacyvoorwaarden
De AP constateerde tijdens het onderzoek dat XS4ALL en KPN klanten geen duidelijke informatie gaven over de soorten gegevens die zij verzamelen en verwerken over het kijkgedrag, de doeleinden en de bewaartermijnen. Duidelijke informatie is noodzakelijk om mensen in staat te stellen om de impact van de gegevensverwerking te beoordelen, en om een bewuste keuze te kunnen maken of zij gebruik willen maken van een dienst.
Bij aanvang van het onderzoek bevatte het privacybeleid van XS4ALL geen informatie over de digitale tv-dienst. Naar aanleiding van het onderzoek van de AP hebben XS4ALL en KPN hun privacyverklaringen herzien.
De AP constateerde dat in de nieuwe verklaringen een zin was opgenomen dat het privacybeleid te allen tijde kon wijzigen. Door deze voorwaardelijke formulering konden klanten niet vertrouwen op de beschreven doelen van de gegevensverwerking. Klanten hadden daardoor (nog steeds) onvoldoende zeggenschap over de gegevensverwerking.
Inmiddels hebben beide bedrijven hun privacyverklaringen opnieuw aangepast, zodat deze overtreding is beëindigd.
Kijkcijfers
Uit het onderzoek bleek dat KPN en XS4ALL tv-kijkcijfers opstelden voor marktonderzoek, en rapportages over bekeken video on demand verstrekten aan de contentaanbieders. Deze kijkcijfers waren echter niet anoniem, zolang KPN nog over de oorspronkelijke persoonsgegevens beschikte in haar systemen.
KPN en XS4ALL hadden voor het gebruik van de gegevens voor deze doelen toestemming moeten vragen aan hun klanten. Dat hadden zij echter niet gedaan, en daarom was deze verwerking in strijd met de wet.
Niet meer herleidbaar
KPN en XS4ALL hebben hun systemen inmiddels aangepast. De gegevens over het tv-kijkgedrag worden alleen nog voor technisch strikt noodzakelijke doeleinden verwerkt. De gegevens over gratis video on demand worden pas na 30 dagen vertaald in kijkcijfers, nadat de oorspronkelijke persoonsgegevens zijn vernietigd. De gegevens zijn dan niet meer herleidbaar tot individuele personen.