Spisy GDPR: co o tobě ví Mark Zuckerberg

Obecné nařízení o ochraně osobních údajů (GDPR) Evropské unie je nejobsáhlejší regulace soukromí na světě. Když jsi tady, pravděpodobně už víš, že ti dokonce umožňuje vyžádat si kopii všech dat, která o tobě firma drží. Došlo na to ale někdy na vlastní kůži? Když budeš chtít, tady je pár překvapivých věcí, na které můžeš narazit.

Článek je rozdělený do tří částí a každá se věnuje jedné ze tří úrovní sběru dat. Čím hlouběji po tomhle „datovém ledovci“ jdeme, tím méně průhledné jsou způsoby sběru a účely, ke kterým se konkrétní informace používají.

Úroveň 1: Data, která poskytneš sám

Špička ledovce: Facebook a Google vědí všechno, co jim o sobě výslovně řekneš. Obvykle je to aspoň jméno, e-mailová adresa a datum narození. Někteří uživatelé ale dobrovolně přidají celou řadu dalších informací, které jdou daleko za to, co online platformy k poskytování služeb potřebují. Adresy, profesní údaje nebo i stav vztahu jsou na platformách jako LinkedIn nebo Facebook docela běžné.

Ten typ informací je obvykle na profilu, nebo si ho můžeš prohlédnout a upravit v nastavení webu. Citlivější detaily, jako datum narození nebo adresa, často zůstávají ve výchozím nastavení soukromé, ale hodně z poskytnutých informací může být veřejných pro všechny, podle toho, jak máš soukromí nastavené.

Úroveň 2: Sebraná data

Není překvapení, že internetové platformy ukládají a používají data, která jim sám poskytneš. Mnohem méně průhledné to ale začne být u dat, která o tobě sbírají z tvé aktivity a z používání aplikací. Ukládá se všechno, co vyhledáš, na co klikneš nebo co sleduješ. Většina navigačních služeb ukládá i celou historii polohy. Můj spoluzakladatel Jakob se nedávno podíval na svá data z Google Maps a zjistil, že služba zaznamenala asi 38.8 milionu řádků GPS dat. Kdyby se to vytisklo, bylo by z toho víc než 1,000 knih tlustých jako Bible.

A to není všechno. Víš, že spousta služeb sleduje všechno, co na jejich webu děláš, i když na nic neklikneš? Výsledná data se často používají k tomu, aby se zlepšila použitelnost webu, nebo aby se zjistilo, jaký typ obsahu sleduješ nejdéle. Takhle to vypadá, když v analytickém nástroji webu (PostHog) zapneme přehrávání relací. Díváš se, jak se Jakob pokouší přihlásit k odběru našeho newsletteru podruhé, protože je prostě tak zatraceně dobrý. Koukej, jak mu to jde!

Některé analytické nástroje si uloží i to, co napíšeš do textového pole, i když neodešleš tlačítkem. Dávej si tedy pozor, co zadáváš za hesla nebo citlivé informace do polí, která nejsou výslovně označená jako pole pro heslo, nebo na webu, kterému nevěříš.

Firmy tenhle typ informací používají ke zlepšování služeb, aby zjistily, co se ti líbí, a aby ti servírovaly personalizované reklamy. Pro uživatele k nim ale obvykle není tak snadný přístup. Shrnutí některých sebraných informací, třeba reakcí, komentářů nebo historie hledání, si často prohlédneš, jiné informace zůstávají skryté. Tady přichází na řadu EU a Obecné nařízení o ochraně osobních údajů (GDPR). GDPR ti umožňuje vyžádat si kopii dat. Tedy každý kousek informace, který se k tobě dá vztáhnout. Patří sem většina typů sebraných dat.

Žádost o tyhle informace může být o něco složitější a trvat několik dní (podle GDPR firmy musí vyhovět do 30 dnů). Výsledná data se musí dodat ve strojově čitelném formátu, třeba jako soubor JSON. Z toho by byla pořádná četba, kdyby ses jmenoval C-3PO, ale lidé si to obvykle užívají těžko. Nebudeš se dívat na jedničky a nuly, ale když se probíráš 38.8 milionu řádků surových GPS souřadnic, vyjde to nastejno.

Řekněme ale, že kopie dat od služby jako Facebook nebo Google už je vyžádaná. Tady je pár věcí, které pořád stojí za kontrolu. Facebook si například vede tvou poslední známou polohu (last_known_location.json), nákupy provedené přes jejich aplikaci (payment_history.html) a reklamy z tvého prohlížení.

Napadlo tě někdy, proč se ti na Facebooku někdy začnou ukazovat reklamy na věci, které sis prohlížel na úplně jiném webu? V souboru advertisers_using_your_information.html Facebook vypisuje všechny firmy, které tvé osobní informace používají k cílení reklam. Tyhle firmy o tobě už mají informace v takzvaných seznamech publik, které samy sebraly nebo koupily, třeba jestli se na jejich webu prohlíželo zboží. Facebook pak tyhle informace spojí s vlastními daty, aby reklamy byly ještě víc hyperpersonalizované. U mě má ten seznam asi 120 firem a jsou v něm různí datoví brokeři.

A je toho víc. Nedávno jsem si vyžádal kopii dat od Payback, věrnostního programu v maloobchodě, který vlastní Master Card. Dostal jsem celý záznam nákupů v kamenných obchodech, které jsem udělal věrnostní kartou, plus podrobnou historii toho, kdy jsem byl blízko některému z jejich partnerských obchodů. Nebo se snažíš vzpomenout, jaká písnička hrála 9. května 2022 v 6:28 ráno? Žádný strach, Spotify to má pokryté kompletní historií přehrávání.

Těch pár příkladů výš jen škrábe povrch sebraných dat, která o tobě venku můžou být. Množství dat o používání, která firmy sbírají, je obrovské. Jen složka s mými informacemi z vybraných služeb Google obsahuje 3.7 GBs surových dat uložených ve víc než 5,000 jednotlivých souborech.

Samotné vědomí, že se ve středu v noci v 1:35 snědla celá krabička 20 Chicken McNuggets, ale Marku Zuckerbergovi nevydělá $270 průměrného ročního příjmu na uživatele. Firmy tyhle informace používají k tomu, aby o tobě dělaly závěry, a ty jsou pro ně mnohem užitečnější. A to nás přivádí do nejhlubší části datového ledovce, kde je voda kalná a slunce tam málokdy dosáhne...

Úroveň 3: Odvozená data

Tady to začíná být opravdu zajímavé. Úložiště není zadarmo a technologické firmy by o tobě nesbíraly gigabajty informací, kdyby si nemyslely, že se to někdy bude hodit. Pravda je, že tahle obrovská množství dat potřebují k analýze. Výsledky se dají použít ke zlepšení některých služeb, nebo k tomu, aby tě zařadily do skupin pro cílenou reklamu nebo návrhy obsahu.

Google například vedle podrobné historie polohy používá i rychlost, kterou se pohybuješ, a řadu dalších faktorů, aby zjistil, jaký dopravní prostředek používáš. Odhaduje taky trasu a načasování tvé každodenní cesty do práce.

Data, která Meta poskytuje podle GDPR, obsahují i seznam odvozených zájmů pro obsah (třeba your_topics.json u Instagramu) a pro reklamu (třeba ads_interests.html u Facebooku). Instagram si myslí, že mě baví Food, Travel Destinations a Interior Design, což celkem sedí. Zároveň mě ale zařadil do kategorie Bugs & Worms, koníček, který jsem ještě neobjevil.

Když se uživatel zajímá o US-Politics, Facebook může dokonce odhadovat politickou příslušnost a ta se tady taky objeví. Inzerenti tyhle informace použijí k tomu, aby ukazovali politicky cílený obsah.

Když ale spouštíš politickou kampaň a chceš lidi přesvědčit, ať tě volí, kategorie od Facebooku můžou být trochu příliš hrubé. Řešení existuje. Vzpomeň si na seznamy publik z dřívějška, které firmám umožňovaly spojit vlastní data s daty Facebooku. V roce 2018 se Facebook dostal do problémů, protože politické poradenské firmě Cambridge Analytica přesně tohle dovolil.

CA použila psychologické profily uživatelů získané přes průzkum a spojila je s daty o jejich přátelích na Facebooku, aby cílila na nerozhodnuté voliče a ukazovala jim obsah, který diskredituje soupeře jejich klienta. Celková účinnost kampaně zůstává nejistá, ale ukazuje to jeden z mnoha způsobů, jak firmy a političtí aktéři umějí spojit zmíněné nástroje se silnou datovou analytikou a použít je ve svůj prospěch.

A to není všechno. Když firmy svých 1,000 Biblí tvých osobních informací nepoužívají k tomu, aby ovlivnily tvé volební chování nebo rozhodly, jestli jsi spíš na hmyz, nebo na červy, umějí s nimi být pěkně vynalézavé.

Úvěrové referenční agentury (jako SCHUFA v Německu) například používají osobní data od finančních institucí k výpočtu tvého úvěrového skóre, které si pak banky kupují, aby určily, jak pravděpodobné je, že úvěr nesplatíš. Protože je úvěrové skóre očividně navázané na tebe jako na osobu, máš podle GDPR taky právo si ho vyžádat zdarma (i když by tě agentury rády přesvědčily o opaku).

Podle několika zdrojů seznamka Tinder kdysi počítala něco podobného úvěrovému skóre, jen hodnotila atraktivitu uživatelů, aby je párovala s podobně atraktivními lidmi. Firma ale tvrdí, že tuhle metriku před pár lety opustila ve prospěch dynamičtějšího systému, takže ji žádostí podle GDPR neuvidíš.

Vezmi si data pod kontrolu

GDPR je neuvěřitelně silný nástroj, když jde o to dát ti kontrolu nad obrovským množstvím dat, která Big Tech sbírá. Možnost k těmhle datům přistoupit, rozumět jim a rozhodnout, co se s nimi stane, je velký krok k ochraně soukromí a k tomu, aby se jednotlivci mohli o své digitální stopě rozhodovat poučeně.

Proces, jak se k datům dostat nebo je smazat, ale umí být tak odrazující, že většina lidí se do něj vůbec nepustí. A když kopii dat dostaneš, informace od firem jsou obvykle ve strojově čitelných formátech jako JSON, což, řekněme si to na rovinu, pro většinu z nás zrovna přívětivé není. Tady přichází na řadu Datapods.

Datapods jsme postavili jako tvého digitálního spojence. Dává ti možnost data prohlížet, spravovat a dokonce sdílet způsobem, který je bezpečný a přímočarý. Ber to jako úklid digitálního života, po kterém zase sedíš za volantem. Datapods je o tom, aby byl složitý svět dat snáz použitelný a aby se kontrola vrátila tam, kam patří: k tobě.