Rijksoverheid adviseert Firefox Enterprise boven Edge

De Rijksoverheid heeft vier browsers laten onderzoeken op privacy en komt tot een duidelijke conclusie: Microsoft Edge for Business scoort slechter dan Mozilla Firefox Enterprise, Brave en Vivaldi. Het advies aan de shared service-organisaties (SSO's) die de rijkswerkplek leveren, is om op korte termijn te onderzoeken of Firefox Enterprise Edge kan vervangen. Dat staat in een memo van Strategisch Leveranciersmanagement Cloud (SLM Cloud) van 12 oktober, die nu op open.overheid.nl staat. Tweakers berichtte er donderdag over.

Waarom het onderzoek er kwam

SLM Cloud onderhandelt namens het Rijk met grote cloudleveranciers. Over Edge liep het gesprek met Microsoft vast op een principieel punt: Microsoft biedt geen browser aan die valt onder de contractuele instructie voor de verwerking van persoonsgegevens. Gebruikt de overheid Edge, dan verwerkt Microsoft persoons- en klantgegevens dus ook voor eigen doelen, waaronder commerciële. SLM Cloud acht dat "principieel onwenselijk". Microsoft heeft volgens de memo laten weten die positie niet te heroverwegen.

Microsoft gaf in 2024 wel advies over instellingen waarmee de gegevensverwerking geminimaliseerd kan worden; die lijst is in 2026 bijgewerkt. SLM Cloud liet Privacy Company onderzoeken of die maatregelen doeltreffend zijn, aan de hand van zeven technische onderzoeksvragen en een aantal juridische vragen. Dezelfde vragen zijn daarna gesteld over Firefox Enterprise, Brave en Vivaldi. Safari en Google Chrome zijn bewust niet onderzocht; Safari werkt bovendien niet op Windows.

Wat eruit kwam

Over het geheel genomen scoren de drie alternatieven beter dan Edge for Business met de door Microsoft aanbevolen instellingen. De memo noemt drie verschillen. Ze verzamelen beduidend minder persoonsgegevens: bij Microsoft hoort daar ook telemetrie bij, bij de andere drie gaat het alleen om het IP-adres dat meekomt met functioneel verkeer voor het ophalen van browserupdates. Ze hebben effectievere maatregelen tegen het delen van gegevens met de leverancier. En ze treden effectiever op tegen trackingcookies. Daarbij verwerken de makers van de alternatieven die beperkte gegevens voor aanzienlijk minder doelen dan Microsoft bij Edge for Business.

Bij gebruik van Vivaldi vindt geen internationale doorgifte naar de Verenigde Staten plaats. In het kader van datasoevereiniteit noemt de memo dat een voordeel.

Met een overstap is het principiële probleem niet opgelost. Ten tijde van het onderzoek accepteerde geen van de alternatieve aanbieders een AVG-instructie, precies het punt waarop het gesprek met Microsoft strandde. In een voetnoot staat dat Mozilla inmiddels een wijziging in die positie heeft gemeld, waardoor het accepteren van een klantinstructie mogelijk kan worden.

Waarom Firefox en niet Brave of Vivaldi

Die keuze is praktisch, niet principieel. Specialisten van enkele SSO's gaven SLM Cloud aan dat Brave en Vivaldi mogelijk compatibiliteitsproblemen geven met het applicatie-ecosysteem van de werkplek. Voor Firefox Enterprise zou dat niet gelden. Een tweede voorwaarde die de memo noemt: de organisatie moet een afdoende supportcontract met de browserleverancier kunnen sluiten.

Voor de middellange en langere termijn adviseert SLM Cloud om naast Firefox Enterprise ook Vivaldi en eventuele andere alternatieven te onderzoeken als browsercomponent van de soevereine werkplek waaraan het Rijk werkt. Voor browsers die daarvoor worden geselecteerd, kan SLM Cloud centrale contractering van voorwaarden faciliteren.

Wat je nu kunt doen

Het advies richt zich op rijksorganisaties en hun SSO's, maar de onderliggende stukken zijn openbaar en ook bruikbaar als je browserbeleid uitrolt bij een andere organisatie. Bij de publicatie horen vijf documenten: een vergelijkingstabel en vier technische onderzoeksdocumenten, elk met een bijlage met aanbevolen policies per browser. Dat laatste is direct toepasbaar. Ook als je bij Edge blijft, vind je daar de instellingen waarmee de gegevensverwerking volgens Microsoft zelf het sterkst wordt beperkt.