Hoe privacyvriendelijk zijn Firefox ESR, Edge for Business, Vivaldi en Brave?
We publiceren deze blog over onze bevindingen met toestemming van SLM Cloud. Voor vragen over het onderzoek kunt u contact opnemen met de persvoorlichter van het Nederlandse Ministerie van Justitie en Veiligheid, +31 (0)70 370 73 45.
Technische onderzoeksvragen
Privacy Company heeft voor elke browser een apart rapport gemaakt dat antwoord geeft op zeven technische vragen, met subvragen. Privacy Company heeft ook een vergelijkingstabel voor de vier browsers opgesteld. Deze tabel bevat naast de technische resultaten ook een juridische analyse van de AVG-rol en verwerkingsdoelen van de fabrikanten, en advies aan beheerders voor privacyvriendelijke instellingen.
7 onderzoeksvragen
- Kunnen IT-beheerders op gecentraliseerde wijze privacyvriendelijke instellingen configureren?
a. Is the wijziging naar een andere standaardzoekmachine effectief?
b. Werkt het ingebouwde beveiligingsfilter?
c. Bevat het verkeer naar de browserfabrikant persoonsgegevens?
d. Is er een cloudbeheeromgeving?
- Kunnen IT-beheerders centraal diensten in de browser uitschakelen waarvoor de fabrikant de verantwoordelijke is?
- Hoe effectief is de ‘strikte’ trackingbescherming tegen cookies van derden?
- Hoe effectief zijn de privacyvriendelijke instellingen in het voorkomen van netwerkverkeer van de browser naar de fabrikant?
- Documenteert de fabrikant het naar zichzelf verzonden netwerkverkeer (inclusief verkeer naar mogelijke dochterondernemingen) op adequate wijze?
- Beantwoordt de fabrikant een inzageverzoek van een betrokkene op adequate wijze?
- Welke aanvullende maatregelen kunnen overheidsorganisaties nemen om het delen van persoonsgegevens te minimaliseren of te voorkomen?
Resultaten onderzoek
Alle vier de browserfabrikanten verzamelen persoonsgegevens. Als organisaties de aanbevolen privacyvriendelijke instellingen toepassen, kunnen ze dit gegevensverkeer beperken tot het IP-adres van de eindgebruiker, met beperkte informatie over plug-ins en versie-updates. De enige uitzondering is Microsoft Edge for Business. Via deze browser verzamelt Microsoft meer persoonsgegevens van eindgebruikers dan de andere drie browserfabrikanten. Edge for Business stuurde telemetriegegevens naar Microsoft en genereerde verkeer naar de zoekmachine Bing van Microsoft, hoewel Privacy Company Bing niet actief gebruikte en probeerde al het verkeer naar Bing te blokkeren. Het aanbevolen groepsbeleid (group policy) om de standaardzoekmachine (Bing) te wijzigen, bleek echter niet effectief.
De kwaliteit van de documentatie over de verwerking van persoonsgegevens wisselt: Mozilla en Brave publiceren voldoende gedetailleerde en actuele documentatie over de persoonsgegevens die zij verzamelen, terwijl Microsoft en Vivaldi onvoldoende informatie verstrekken. Vivaldi heeft toegezegd zijn gegevens uiterlijk op 30 november 2026 bij te werken, maar Privacy Company heeft de nieuwe gegevens nog niet ingezien. Geen van de vier browsers biedt de vereiste transparantie over de bewaartermijnen, het verzamelen van gegevens via add-ons en de verwerking door derden.
Alle vier de browserfabrikanten treden op als verwerkingsverantwoordelijke. De enige uitzondering is de Mozilla Foundation: deze heeft onlangs aangekondigd dat het zal optreden als gegevensverwerker voor de nieuwe Firefox Enterprise. De overige drie browserfabrikanten niet dat soort plannen.
Terwijl de Mozilla Foundation een uitgebreid antwoord gaf op het inzageverzoek van de betrokkene, weigerde Microsoft te antwoorden als de testgebruiker niet was ingelogd met een Microsoft-account. Privacy Company heeft geen verzoeken om inzage ingediend bij Vivaldi en Brave, omdat er maar weinig persoonsgegevens in het onderschepte uitgaande dataverkeer aanwezig waren. Beide browsers verzenden standaard geen standaard Chromium-telemetrie naar Google en plaatsen geen analytische cookies op hun websites.
Drie van de vier geteste browsers zijn gebaseerd op de open-source-software Chromium, ontwikkeld door Google. Firefox ESR is de enige geteste browser die is gebaseerd op een andere open-source-engine. Terwijl Vivaldi en Brave voor add-ons en plug-ins gebruikmaken van de Chrome Web Store, verwijzen Firefox en Edge gebruikers naar hun eigen winkels, van respectievelijk Mozilla en Microsoft.
De drie browsers die in Amerikaanse handen zijn, geven persoonsgegevens door naar de VS en naar andere landen buiten de Europese Economische Ruimte (EER): Microsoft mogelijk naar 30 derde landen, Mozilla naar 2 of 3, terwijl Brave doorgifte niet documenteert. Alleen Vivaldi biedt gegevensverwerking aan die exclusief binnen de EER plaatsvindt, in IJsland – mits beheerders de inzage in de Chrome Web Store blokkeren.
Ten slotte heeft Privacy Company ook de effectiviteit van trackingbescherming in de vier browsers getest. Alle browsers, behalve Microsoft Edge, bleken redelijk effectief. Zowel Brave als Firefox ESR maken gebruik van technisch gescheiden opslag van cookies (meerdere cookie jars) om te voorkomen dat websites permanente cookies met unieke identificatiecodes plaatsen en die zonder toestemming voor trackingdoelen kunnen gebruiken. Edge daarentegen deelt persoonsgegevens met Microsoft-dochterondernemingen MSN, Bing en Office via trackingcookies met unieke identificatiecodes, zelfs zonder dat MSN en Bing worden bezocht. Vivaldi heeft een commerciële functionaliteit genaamd DirectMatch. Dat wil zeggen dat de browser bladwijzers en standaardzoektermen gebruikt om verkeer naar sponsors te genereren. Vivaldi Technologies AS documenteert de exacte gegevensverwerking via deze doorverwijzingen niet, maar als een gebruiker bepaalde woorden intypt die gesponsord zijn, stuurt de browser de gebruiker ongewild door naar de gesponsorde website. Een dergelijke gesponsorde website kan vervolgens trackingcookies plaatsen en lezen, aangezien deze nu als ‘first party’ wordt aangemerkt.
Met behulp van de vergelijkingstabel kunnen organisaties hun privacyrisico’s in kaart brengen en overwegen over te stappen op een alternatieve, privacyvriendelijker browser. De vier rapporten bevatten een tabel met de aanbevolen privacyvriendelijke groepsbeleidsregels. Daarmee kunnen beheerders bij overheidsorganisaties de browser centraal configureren voor de werkplekken.
- Memo van SLM Cloud met een samenvatting van de bevindingen voor Nederlandse overheidsorganisaties inclusief een advies voor de korte en langere termijn
- Bekijk de vergelijkingstabel met de analyse van de vier browsers
- Verificatierapport Firefox ESR
- Verificatierapport Edge for Business
- Verificatierapport Brave
- Verificatierapport Vivaldi
