NIEUWS

IN HET KORT: Onderzoekers van Northeastern University vonden dat sommige smart-tv’s na een opt-out ACR-verkeer blijven versturen. Het gaat om Samsung, Vizio en deels Roku. ACR staat voor automatic content recognition. Het volgt wat je op je tv kijkt. Bij vier andere besturingssystemen werkte de opt-out wel. De onderzoekers bewijzen niet dat er nog kijkgegevens worden verzameld. Ze wijzen op mogelijk ineffectieve opt-outs.

Wat is ACR?

Een smart-tv maakt korte momentopnames van het scherm. De tv zet ze om in digitale vingerafdrukken. Die gaan via internet naar een bedrijf. Dat bedrijf vergelijkt ze met een bibliotheek van bekende programma’s en films.

Zo ontstaat een kijkgeschiedenis. Volgens de onderzoekers kan die dienen voor gerichte advertenties. Bedrijven kunnen de gegevens ook delen of verkopen.

Wat onderzochten de onderzoekers?

Het onderzoek heet “Watching the Watchers: Privacy Analysis of U.S. Smart TV Automatic Content Recognition”. Het verscheen op maandag 19 oktober 2026.

De onderzoekers testten 12 tv’s van 10 fabrikanten. Dat waren Amazon, Hisense, LG, Roku, Samsung, Sony, Supersonic, TCL, Vizio en Westinghouse. De tv’s draaiden acht besturingssystemen. Samen dekken die ongeveer 95 procent van de Amerikaanse smart-tv-markt.

Ze voerden 5.943 gecontroleerde experimenten uit. Elk scenario draaide 30 keer met ACR aan. Daarna draaide het 30 keer na een opt-out via de tv-instellingen. De volgorde was willekeurig. Zo kon de ene test de andere niet beïnvloeden.

De testers voerden beeld toe via vier routes:

antenne

HDMI

schermspiegeling

streamingapps

Volgens de auteurs heeft 82 procent van de Amerikaanse huishoudens zo’n tv.

Samsung

Tizen is volgens de studie goed voor 34 procent van de Amerikaanse markt. Na de opt-out bleef het ACR-achtige verkeer doorgaan:

in alle 30 tests met Samsungs eigen streamingdienst

in 41 van de 60 antennetests met bewegend beeld

in 18 van de 30 HDMI-tests

in 6 van de 30 tests met Tubi

Vizio

Bij Vizio had de opt-out geen merkbaar effect. Het verkeer naar het ACR-eindpunt bleef gelijk. Dat eindpunt draait op Amazon Kinesis. Het kreeg verkeer in alle tests na de opt-out.

Roku

Bij Roku werkte de opt-out voor externe ingangen. Denk aan antenne en HDMI. Roku’s eigen streamingdienst viel er niet onder. TCL toont die uitzondering in het instellingenscherm. Het geteste Roku-merkmodel deed dat niet. Bij TCL bleef bij antenne-opnames in 9 van de 90 tests verkeer doorgaan.

Wat werkte wel?

Bij LG, Amazon, Sony en VIDAA onderdrukte de opt-out alle toe te wijzen ACR-verkeer. Bij VIDAA reist data wel onversleuteld over het netwerk. Netflix en YouTube haalden de volgdrempel van het onderzoek bij geen enkele tv.

CyberInsider meldt ook een onbeveiligde server. Die lekte miljoenen kijkrecords. Meer details staan niet in de gevonden berichten.

Wat betekent dit niet?

De onderzoekers zijn voorzichtig. Het verkeer is grotendeels versleuteld. Ze oordeelden op basis van timing, volume en bestemming. Ze zien dus niet wat er in de pakketjes zit. De resultaten wijzen op mogelijk ineffectieve opt-outs. Het is geen sluitend bewijs van doorlopende dataverzameling.

Ook de reikwijdte is beperkt:

Er is per merk één tv met één softwareversie getest.

Andere modellen kunnen anders reageren.

Het onderzoek gaat over de Amerikaanse markt.

Eerder onderzoek vond verschillen tussen landen, door verschillende wetgeving.

Nederlandse tv’s kunnen dus anders werken. De AVG geldt hier wel. Controleer je eigen model, ook na een firmware-update.

Wat kun je doen?

Koppel de tv los van internet. Dan kan er niets worden verstuurd.

Gebruik een externe streamingstick zonder ACR.

Zet ACR uit op systemen waar de opt-out werkte. Dat zijn webOS, Fire TV OS, Google TV op Sony en VIDAA OS.

Zoek de ACR-instelling in het privacymenu. Elk merk gebruikt een eigen naam.

Lees de uitzonderingen in het instellingenscherm.

Ook met ACR uit verzamelt een smart-tv nog andere gegevens. Denk aan je locatie en de apps die je opent. Dat meldt Consumer Reports.

Wat vragen de onderzoekers van fabrikanten?

Een opt-out moet doen wat hij zegt.

Gegevens over wat je kijkt mogen nooit onversleuteld reizen.

Het privacybeleid moet elke ingang noemen die ACR volgt.

Fabrikanten moeten hun ACR-informatie controleren.

Ze moeten testen of opt-outs echt werken.

Veelgestelde vragen

Wat is ACR?
Een techniek die schermbeelden omzet in vingerafdrukken. Die worden vergeleken met bekende programma’s.

Welke tv’s hielden niet op met sturen?
Samsung (Tizen) en Vizio (SmartCast). Bij Roku gold dat voor de eigen streamingdienst.

Welke opt-outs werkten wel?
Die van LG webOS, Amazon Fire TV OS, Sony Google TV en VIDAA OS.

Is bewezen dat mijn kijkgedrag wordt verzameld?
Nee. Het verkeer is versleuteld. De inhoud is niet te zien.

Geldt dit ook in Nederland?
Dat is niet onderzocht. Het onderzoek betreft de Amerikaanse markt.

Hoe voorkom ik ACR zeker?
Koppel de tv los van internet. Gebruik een externe streamingstick.

Bronnen

• Watching the Watchers (projectpagina onderzoek)

• CyberInsider: Smart TV privacy study finds tracking persists