Reis-apps delen meer dan je denkt: zo zet je dat uit

Reisapps zijn leuk bedacht: je zet je route erin, je plakt er foto’s bij, en het thuisfront kan meekijken waar je bent. Dat laatste is precies het probleem. Vorige week bleek dat tientallen Nederlandse militairen via de reisapp Polarsteps te volgen waren, thuis en op oefening in het buitenland. Defensie heeft de app daarop van de diensttelefoons geweerd. Als het bij mensen die getraind zijn op veiligheid al misgaat, is de vraag wat jouw app doorgeeft niet overdreven.

Wat er precies gebeurde

Onderzoeksplatform Follow the Money kwam via de programmeerkoppeling van Polarsteps bij gegevens van gebruikers. Zo’n koppeling (in het Engels een API) is het luikje waarmee een app op je telefoon gegevens ophaalt bij de servers van de maker, en waarmee soms ook andere programma’s data kunnen opvragen. Van veel militairen was volgens FTM eenvoudig het adres te achterhalen, en ook waar zij werkten en wanneer. Een woordvoerder van het ministerie bevestigde zaterdag tegenover NU.nl dat de app op een deny-lijst is gezet: een lijst met apps die niet op apparaten van Defensie gebruikt mogen worden.

Polarsteps zelf spreekt tegen dat er een datalek was. Volgens de app ging het om reisgegevens die openbaar waren gezet. Het knelpunt zat bij mensen die een reis eerst openbaar maakten en de instelling daarna terugzetten naar ‘alleen volgers’: oude links naar die gegevens bleven dan werken. Dat is inmiddels verholpen, en de app zegt geen aanwijzing te hebben dat er misbruik van is gemaakt.

Nieuw is het niet. In 2018 verbood Defensie sport- en fitnessapps nadat militairen te volgen bleken via onder meer hardloopapp Strava, die hun rondjes rond bases zichtbaar maakte.

Waarom dit ook voor jou geldt

De les uit dit voorval is niet dat Polarsteps een slechte app is. De les zit in dat ene zinnetje over die oude links, want daar zitten twee dingen in die voor bijna elke app gelden.

Het eerste: openbaar is echt openbaar. Zet je iets één keer publiek, dan kan het gekopieerd, opgeslagen en doorgestuurd zijn voordat je van gedachten verandert. De instelling later terugzetten haalt niet weg wat er al buiten staat.

Het tweede: een reisverslag is een agenda. Een route met datums vertelt niet alleen waar je was, maar ook waar je niet was. Wie je vertrekdag en je terugkomdag ziet, weet precies hoe lang je huis leeg staat. Datzelfde geldt voor de foto’s die je onderweg plaatst: de meeste telefoons zetten locatie en tijdstip in het bestand zelf.

De instellingen die je vandaag nakijkt

Je hoeft niet van je reisapp af. Je moet weten waar de knoppen zitten. Doe dit in deze volgorde, het kost een kwartier.

1. Zet je bestaande reizen op zichtbaar voor jezelf of voor volgers. In de meeste reisapps kies je per reis wie hem mag zien. Loop je oude reizen langs, niet alleen de huidige, want juist de oude staan er vaak nog publiek bij uit de tijd dat je de app net had.
2. Kijk wie je volgers eigenlijk zijn. ‘Alleen volgers’ klinkt veilig, maar dat is het pas als je die lijst herkent. Gooi eruit wie je niet kent.
3. Beperk wat de app aan locatie mag zien. Op een iPhone via Instellingen, Privacy en beveiliging, Locatievoorzieningen; op Android via Instellingen, Locatie, App-rechten. Zet de app op ’tijdens gebruik van de app’ in plaats van ‘altijd’, en zet ‘precieze locatie’ uit als de app die niet nodig heeft. Dat scheelt het verschil tussen een stad en een straat.
4. Zet locatie in je foto’s uit. In de camera-app van je telefoon kun je bij de rechten instellen dat de camera geen locatie meeschrijft. Wil je die informatie wel voor jezelf bewaren, laat hem dan aan en let extra op waar je die foto’s deelt.
5. Plaats achteraf in plaats van live. Dit is de simpelste maatregel en meteen de sterkste. Zet je reis online als je weer thuis bent. Je verhaal wordt er niet minder van, en niemand weet dan meer dat je weg bent.

Polarsteps laat in de eigen uitlegvideo zien waar je die keuze maakt: je ziet in beeld hoe je per reis instelt wie hem mag bekijken, en dat is precies het scherm waar het bij dit nieuws om draaide.

Wil je zwart op wit weten wat de app bewaart en met wie hij dat deelt, dan staat dat in de privacyverklaring van Polarsteps. Dat leest saai, maar je hoeft alleen te zoeken naar wat er over locatie en over delen staat.

Dezelfde vraag bij elke app

Het patroon is bruikbaarder dan de losse tips, want volgende maand gaat het over een andere app. Vraag jezelf bij elke app die iets van je bijhoudt drie dingen af: wat weet deze app van mij, wie kan dat zien, en wat gebeurt er met wat ik eerder heb gedeeld. Dat derde punt slaat bijna iedereen over, en dat is precies waar dit voorval op stukliep.

Ga je met iemand samen weg, spreek dan ook af wie wat plaatst. Dat scheelt gedoe, en het hoort net zo goed bij de voorbereiding als wie de tickets boekt: we schreven daar eerder over bij voor het eerst samen op vakantie. En zit je met dezelfde vraag bij chatbots waar je van alles in plakt, dan helpt ons stuk over je privacy beschermen in AI-chats je verder.