Veel smart-tv's vormen een privacyrisico voor hun gebruikers, omdat ze ook na een opt-out ACR-verkeer blijven versturen. Dat stellen onderzoekers van de Northeastern University Boston, Massachusetts. Voor het onderzoek werden acht besturingssystemen en twaalf smart-tv's in tien verschillende scenario's onderzocht. Daarbij keken de onderzoekers vooral naar automatic content recognition (ACR).

ACR is een technologie die audio of video snapshots maakt van wat de gebruiker op zijn televisie bekijkt. Volgens de onderzoekers vormt ACR een privacyrisico, omdat het aanbieders en hun partners in staat stelt om het kijkgedrag van hun gebruikers te bepalen en daar geld aan te verdienen, bijvoorbeeld via gerichte advertenties of het delen van de informatie met andere partijen.

"ACR is eenvoudig uitgelegd een ongenode, onzichtbare digitale indringer. Deze software kan elke 500 milliseconden screenshots maken van wat de televisie van een gebruiker laat zien, het kijkgedrag in real-time monitoren, en informatie naar het bedrijf terugsturen zonder dat de gebruiker dit weet of hier toestemming voor heeft gegeven", aldus de procureur-generaal van de Amerikaanse staat Texas eind vorig jaar. De staat besloot verschillende tv-fabrikanten wegens het illegaal verzamelen van het kijkgedrag van gebruikers aan te klagen.

De onderzoekers hadden tien scenario's bedacht die per smart-tv meerdere keren werden uitgevoerd, bijvoorbeeld het bekijken van content via een antenne, hdmi of screen mirroring. Daarbij werd elk scenario zowel met een ACR opt-in als een opt-out uitgevoerd. In meer dan tachtig procent van de tests met een ACR opt-in werd het kijkgedrag doorgestuurd. Alleen wat gebruikers kijken op Netflix en YouTube werd niet doorgestuurd. Hiervoor hebben de betreffende partijen overeenkomsten gesloten.

Vervolgens werden de tests ook uitgevoerd met een ACR opt-out. In het geval van Samsung (Tizen OS) en Vizio (SmartCast OS) zagen de onderzoekers nog steeds ACR-verkeer, waarbij in het geval van Vizio er geen enkel waarneembaar verschil was tussen een opt-out en een opt-in. Verder blijkt in het geval van Roku de opt-out niet van toepassing te zijn op de eigen streamingdienst van Roku.

Tevens zagen de onderzoekers een ACR-provider die niet alleen ACR-verkeer, waaronder fingerprints en classificaties, onversleuteld verstuurde, maar ook een ongeauthenticeerde MQTT-server draaide die gedurende een korte onderzoeksperiode van slechts drie uur de classificaties van het kijkgedrag van meer dan een miljoen tv's lekte. "Ons onderzoek suggereert dat veel smart-tv's grote privacyrisico's met zich meebrengen. We adviseren dat toezichthouders, aanbieders van tv-besturingssystemen en ACR-providers op dit gebied betere standaarden en werkwijzen gaan hanteren", aldus de onderzoekers in hun conclusie van het onderzoek.