GDPR-arkiverne – hvad Mark Zuckerberg ved om dig

Den Europæiske Unions generelle databeskyttelsesforordning (GDPR) er den mest omfattende privatlivsregulering i verden. Hvis du er her, ved du sikkert allerede, at den endda giver dig ret til at bede om en kopi af alle de data, en virksomhed har om dig. Men har du nogensinde prøvet det selv? Hvis du vil, er her nogle af de overraskende ting, du kan finde.

Artiklen er delt i tre afsnit, og hvert afsnit handler om ét af de tre niveauer af dataindsamling. Jo dybere vi kommer ned ad det her "data-isbjerg", jo mindre gennemsigtige bliver måderne, data bliver indsamlet på, og de formål, de konkrete oplysninger bruges til.

Niveau 1: Data, du selv har givet

Toppen af isbjerget: Facebook og Google ved alt det, du udtrykkeligt fortæller dem om dig selv. Det omfatter som regel mindst dit navn, din e-mailadresse og din fødselsdato. Nogle brugere vælger dog at give en hel række ekstra oplysninger, der rækker langt ud over det, onlineplatformene skal bruge for at levere deres tjenester. Adresser, faglige oplysninger eller endda forholdsstatus er ret almindelige på platforme som LinkedIn eller Facebook.

Den type oplysninger står som regel på din profil, eller du kan se og redigere dem i sidens indstillinger. Mere følsomme detaljer som din fødselsdato eller adresse forbliver ofte private som standard, men en stor del af de oplysninger, du har givet, kan være offentlige for alle, afhængigt af dine privatlivsindstillinger.

Niveau 2: Indsamlede data

Det bør ikke overraske, at internetplatforme gemmer og bruger de data, du selv giver dem. Det bliver dog langt mindre gennemsigtigt, når det gælder de data, de indsamler om dig ud fra din aktivitet og din brug af apps. Alt, du slår op, klikker på eller ser, bliver gemt. De fleste navigationstjenester gemmer også hele din lokationshistorik. Min medstifter Jakob kiggede for nylig på sine Google Maps-data og fandt ud af, at tjenesten havde registreret omkring 38.8 millioner linjer GPS-data. Hvis du printede det ud, ville det blive til mere end 1,000 bøger, lige så tykke som Bibelen.

Men det er ikke det hele. Vidste du, at mange tjenester sporer alt, du gør på deres hjemmeside, også når du ikke klikker på noget? De data bliver ofte brugt til at optimere en sides brugervenlighed eller til at finde ud af, hvilken type indhold du kigger længst på. Sådan ser det ud, når vi slår genafspilning af sessioner til i vores webanalyseværktøj (PostHog). Du ser Jakob prøve at tilmelde sig vores nyhedsbrev for anden gang, fordi det bare er så fandens godt. Se ham bare.

Nogle analyseværktøjer gemmer også det, du skriver i et tekstfelt, selv om du ikke trykker på en knap for at sende det. Så pas på med at skrive adgangskoder eller følsomme oplysninger i felter, der ikke er tydeligt markeret som adgangskodefelter, eller på en side, du ikke stoler på.

Virksomheder bruger den type oplysninger til at forbedre deres tjenester, finde ud af, hvad du kan lide, og vise dig personlige annoncer. For dig som bruger er det som regel ikke lige så nemt at få adgang til. Du kan ofte se et resumé af visse indsamlede oplysninger, som reaktioner, kommentarer eller din søgehistorik, men andre oplysninger forbliver skjulte. Det er her, EU og den generelle databeskyttelsesforordning (GDPR) kommer ind. GDPR giver dig ret til at bede om en kopi af dine data. Altså hver eneste oplysning, der kan føres tilbage til dig. Det omfatter de fleste typer indsamlede data.

Processen med at bede om de oplysninger kan være lidt mere omstændelig og tage flere dage (efter GDPR skal virksomheder efterkomme anmodningen inden for 30 dage). De data, der kommer ud af det, skal leveres i et maskinlæsbart format, som en JSON-fil. Det ville nok være en rigtig pageturner, hvis du hedder C-3PO, men mennesker har det som regel svært med at nyde den. Det betyder ikke, at du kommer til at kigge på ettaller og nuller, men når du roder dig igennem 38.8 millioner linjer rå GPS-koordinater, kunne du lige så godt.

Lad os sige, at du allerede har bedt om en kopi af dine data fra en tjeneste som Facebook eller Google. Her er nogle af de ting, der stadig kan være interessante at kigge på. Facebook holder for eksempel styr på din seneste placering (last_known_location.json), køb foretaget gennem deres app (payment_history.html) og de annoncer, du har kigget på.

Har du nogensinde undret dig over, hvorfor du nogle gange begynder at se annoncer på Facebook for ting, du har kigget på et helt andet sted? Under advertisers_using_your_information.html oplister Facebook alle de virksomheder, der bruger dine personoplysninger til at målrette annoncer mod dig. De virksomheder har allerede oplysninger om dig i såkaldte målgruppelister, som de selv har indsamlet eller købt, for eksempel om du har kigget på en vare på deres hjemmeside. Facebook kombinerer så de oplysninger med sine egne data for at gøre annoncerne endnu mere hyperpersonlige. For mig er listen omkring 120 virksomheder lang og omfatter forskellige datamæglere.

Men der er mere. Jeg bad for nylig om en kopi af mine data fra Payback, det detailbonusprogram, Master Card ejer. Jeg fik hele registret over mine fysiske køb i butik, som jeg havde lavet med mit bonuskort, plus en detaljeret historik over, hver gang jeg var tæt på en af deres partnerbutikker. Eller prøver du at huske, hvilken sang du lyttede til den 9. maj 2022 klokken 6:28 om morgenen? Bare rolig, Spotify har dig dækket med en komplet streaminghistorik.

De få eksempler ovenfor kradser virkelig kun i overfladen af de indsamlede data, der kan findes om dig. Mængden af brugsdata, virksomheder indsamler, er enorm. Alene mappen med mine oplysninger fra udvalgte Google-tjenester indeholder 3.7 GB rå data, gemt i mere end 5,000 enkelte filer.

Bare det at vide, at du spiste en hel æske med 20 Chicken McNuggets en onsdag aften klokken 1:35, giver dog ikke Mark Zuckerberg $270 i gennemsnitlig årlig omsætning pr. bruger. I stedet bruger virksomheder de oplysninger til at drage slutninger om dig, og de er langt mere nyttige for dem. Det bringer os til den allernederste del af data-isbjerget, hvor vandet er grumset, og sollyset sjældent når ned...

Niveau 3: Udledte data

Det er her, det bliver rigtig interessant. Datalagring er ikke gratis, og techvirksomheder ville ikke indsamle gigabyte af oplysninger om dig, hvis de ikke mente, at det ville være nyttigt på et tidspunkt. Sandheden er, at de har brug for de enorme mængder data til analyse. Resultaterne kan bruges til at forbedre visse tjenester eller til at sortere dig i grupper til målrettet annoncering eller indholdsforslag.

Ud over din detaljerede lokationshistorik bruger Google for eksempel også den hastighed, du bevæger dig med, og en række andre faktorer til at regne ud, hvilket transportmiddel du bruger. Tjenesten gætter også på ruten og tidspunktet for din daglige pendling.

De data, Meta udleverer efter GDPR, indeholder også en liste over dine udledte interesser for indhold (fx your_topics.json for Instagram) og annoncering (fx ads_interests.html for Facebook). Instagram mener, at jeg er til mad, rejsemål og indretning, hvilket rammer ret præcist. Jeg var dog også markeret i kategorien Bugs & Worms, en hobby jeg endnu ikke har opdaget.

Hvis en bruger er til US-Politics, kan Facebook endda lave antagelser om deres politiske tilhørsforhold, og de dukker også op her. Annoncører kan bruge de oplysninger til at vise politisk målrettet indhold.

Hvis du lancerer en politisk kampagne for at overbevise folk om at stemme på dig, kan de kategorier, Facebook stiller til rådighed, dog være lidt for grove. Men der findes en løsning. Kan du huske målgruppelisterne fra før, som lod virksomheder kombinere deres egne data med Facebooks? Tilbage i 2018 kom Facebook i problemer, fordi de lod et politisk konsulentfirma ved navn Cambridge Analytica gøre netop det.

CA brugte psykologiske profiler af brugere, indhentet gennem en undersøgelse, og kombinerede dem med data om deres Facebook-venner for at ramme svingvælgere og vise dem indhold, der skulle miskreditere deres klients modstander. Kampagnens samlede effekt er stadig usikker, men den viser en af de mange måder, virksomheder og politiske aktører kan kombinere de nævnte værktøjer med stærk dataanalyse og bruge dem til deres fordel.

Men det er ikke det hele. Når virksomhederne ikke bruger deres 1,000 bibler fulde af dine personoplysninger til at påvirke din stemmeadfærd eller afgøre, om du er mere til insekter eller orme, kan de blive ret kreative med dem.

Kreditoplysningsbureauer (som SCHUFA i Tyskland) bruger for eksempel de persondata, de får fra finansielle institutioner, til at beregne din kreditscore, som banker derefter køber for at vurdere, hvor sandsynligt det er, at du misligholder et lån. Da din kreditscore selvfølgelig er knyttet til dig som person, har du også ret til at bede om den gratis efter GDPR (selv om bureauerne gerne vil have dig til at tro noget andet).

Ifølge flere kilder plejede datingplatformen Tinder at beregne noget, der mindede om en kreditscore, bare sådan at de vurderede brugernes tiltrækningskraft for at matche dem med lige så attraktive mennesker. Virksomheden hævder dog, at de droppede den metrik for nogle år siden til fordel for et mere dynamisk system, så du kan ikke se den ved at sende en GDPR-anmodning.

Tag kontrol over dine data

GDPR er et utroligt stærkt værktøj, når det gælder om at give dig kontrol over de enorme mængder data, Big Tech indsamler. Muligheden for at tilgå, forstå og beslutte, hvad der sker med de data, er et stort skridt fremad i beskyttelsen af privatlivet og i at sikre, at du kan træffe informerede valg om dit digitale fodaftryk.

Processen med at tilgå eller slette dine data kan dog være så uoverskuelig, at de fleste vælger slet ikke at gå igennem den. Og når du så får en kopi af dine data, er de oplysninger, virksomhederne udleverer, som regel i maskinlæsbare formater som JSON, hvilket, lad os være ærlige, ikke ligefrem er brugervenligt for de fleste af os. Det er her, Datapods kommer ind.

Vi har bygget Datapods til at være din digitale allierede og give dig magten til at se, styre og endda dele dine data på en måde, der er sikker og ligetil. Tænk på det som at rydde op i dit digitale liv og sætte dig tilbage bag rattet. Datapods handler om at gøre den komplekse dataverden lettere at bruge og lægge kontrollen tilbage, hvor den hører til: hos dig.