GDPR-filene – det Mark Zuckerberg vet om deg

General Data Protection Regulation (GDPR) i Den europeiske union er det mest omfattende personvernregelverket i verden. Hvis du er her, vet du sannsynligvis allerede at det til og med lar deg be om en kopi av alle dataene et selskap har om deg. Men har du prøvd det selv? Hvis du vil, er her noen av de overraskende tingene du kan finne.

Denne artikkelen er delt i tre deler, og hver del tar for seg ett av de tre nivåene av datainnsamling. Jo dypere vi går langs dette «dataisfjellet», desto mindre gjennomsiktige blir metodene for datainnsamling og formålene de konkrete opplysningene brukes til.

Nivå 1: Data du har gitt fra deg

Tuppen av isfjellet: Facebook og Google vet alt du uttrykkelig forteller dem om deg selv. Det omfatter vanligvis minst navnet ditt, e-postadressen og fødselsdatoen. Noen brukere velger likevel å gi fra seg en hel rekke tilleggsopplysninger som går langt utover det nettplattformene trenger for å levere tjenestene sine. Adresser, yrkesdetaljer eller til og med sivilstatus er ganske vanlig på plattformer som LinkedIn eller Facebook.

Denne typen opplysninger står vanligvis på profilen din, eller du kan se og redigere dem i innstillingene på nettstedet. Mens mer sensitive detaljer som fødselsdato eller adresse ofte forblir private som standard, kan mye av informasjonen du har oppgitt, være offentlig for alle, avhengig av personverninnstillingene dine.

Nivå 2: Innsamlede data

Det bør ikke overraske at internettplattformer lagrer og bruker dataene du gir dem. Det blir likevel langt mindre gjennomsiktig når det gjelder dataene de samler inn om deg fra aktiviteten din og appbruken. Alt du slår opp, klikker på eller ser på, lagres. De fleste navigasjonstjenester lagrer også hele posisjonshistorikken din. Medgründeren min Jakob så nylig på Google Maps-dataene sine og fant ut at tjenesten hadde registrert omtrent 38.8 millioner linjer med GPS-data. Hvis du skulle skrive det ut, ville det blitt mer enn 1,000 bøker like tykke som Bibelen.

Men det er ikke alt: Visste du at mange tjenester sporer alt du gjør på nettstedet deres, selv om du ikke klikker på noe? Dataene som kommer ut av det, brukes ofte til å forbedre brukervennligheten på et nettsted eller til å finne ut hvilken type innhold du ser lengst på. Slik ser det ut når vi slår på øktavspilling i analyseverktøyet på nettstedet vårt (PostHog). Du ser Jakob prøve å abonnere på nyhetsbrevet vårt for andre gang, fordi det er så innmari bra. Se på ham!

Noen analyseverktøy lagrer også informasjonen du skriver inn i et tekstfelt, selv om du ikke trykker på en knapp for å sende det inn. Så vær forsiktig med å skrive inn passord eller sensitive opplysninger i felt som ikke er tydelig merket som passordfelt, eller på et nettsted du ikke stoler på.

Bedrifter bruker denne typen informasjon til å forbedre tjenestene sine, finne ut hva du liker, og vise deg tilpassede annonser. For brukere er det likevel vanligvis ikke like lett å få tilgang. Du kan ofte se et sammendrag av visse innsamlede opplysninger, som reaksjoner, kommentarer eller søkehistorikken din, men annen informasjon forblir skjult. Det er her EU og General Data Protection Regulation (GDPR) kommer inn. GDPR lar deg be om en kopi av dataene dine. Det vil si hver opplysning som kan spores tilbake til deg. Det omfatter de fleste typer innsamlede data.

Prosessen med å be om denne informasjonen kan være litt mer omstendelig og ta flere dager (etter GDPR må selskaper etterkomme innen 30 dager). Dataene som kommer ut av det, skal leveres i et maskinlesbart format, som en JSON-fil. Det ville sannsynligvis blitt en bok du ikke klarte å legge fra deg hvis du heter C-3PO, men mennesker har en tendens til å slite med å kose seg med den. Det betyr ikke at du kommer til å se på enere og nuller, men når du graver deg gjennom 38.8 millioner linjer med rå GPS-koordinater, kan det like gjerne føles sånn.

La oss likevel si at du allerede har bedt om en kopi av dataene dine fra en tjeneste som Facebook eller Google. Her er noe av det som fortsatt kan være interessant å sjekke: Facebook holder for eksempel oversikt over den siste posisjonen din (last_known_location.json), kjøp gjort gjennom appen deres (payment_history.html) og annonsene du har sett på.

Har du noen gang lurt på hvorfor du noen ganger begynner å se annonser på Facebook for varer du så på et helt annet nettsted? Under advertisers_using_your_information.html lister Facebook opp alle selskapene som bruker personopplysningene dine til å målrette annonser mot deg. Disse selskapene har allerede opplysninger om deg i såkalte målgruppelister, som de har samlet inn eller kjøpt selv, for eksempel om du så på en vare på nettstedet deres. Facebook kombinerer deretter den informasjonen med sine egne data for å gjøre annonsene enda mer hyperpersonlige. For meg er denne listen omtrent 120 selskaper lang og omfatter ulike datameglere.

Men det er mer: Jeg ba nylig om en kopi av dataene mine fra Payback, bonusprogrammet for detaljhandel som eies av Master Card. Jeg fikk hele oversikten over kjøpene jeg gjorde i fysiske butikker med lojalitetskortet mitt, pluss en detaljert historikk over hver gang jeg var i nærheten av en av partnerbutikkene deres. Eller prøver du å huske hvilken sang du hørte på 9. mai 2022 kl. 6:28 om morgenen? Slapp av, Spotify har deg dekket med en komplett strømmehistorikk.

De få eksemplene over skraper egentlig bare i overflaten av de innsamlede dataene som kan finnes om deg der ute. Mengden bruksdata selskapene samler inn, er enorm. Bare mappen med informasjonen min fra utvalgte Google-tjenester inneholder 3.7 GBs med rådata, lagret i mer enn 5,000 enkeltfiler.

Bare det å vite at du spiste en hel boks med 20 Chicken McNuggets en onsdag kveld kl. 1:35, kommer likevel ikke til å gi Mark Zuckerberg $270 i årlig gjennomsnittsinntekt per bruker. I stedet bruker selskapene denne informasjonen til å trekke slutninger om deg, og de er langt mer nyttige for dem. Det bringer oss til den aller dypeste delen av dataisfjellet, der vannet er grumsete og sollyset sjelden når ned ...

Nivå 3: Utledede data

Det er her det blir virkelig interessant. Lagring av data er ikke gratis, og teknologiselskaper ville ikke samlet inn gigabyte med informasjon om deg hvis de ikke trodde den ville være nyttig på et tidspunkt. Sannheten er at de trenger disse enorme datamengdene til analyse. Resultatene kan brukes til å forbedre visse tjenester eller til å plassere deg i grupper for målrettet reklame eller innholdsforslag.

I tillegg til den detaljerte posisjonshistorikken din bruker Google for eksempel også farten du beveger deg i, og en rekke andre faktorer, for å finne ut hvilket transportmiddel du bruker. Tjenesten gjetter også på ruten og tidspunktet for den daglige pendlingen din.

Dataene Meta utleverer etter GDPR, inneholder også en liste over de utledede interessene dine for innhold (for eksempel your_topics.json for Instagram) og reklame (for eksempel ads_interests.html for Facebook). Instagram tror jeg er opptatt av mat, reisemål og interiørdesign, noe som stemmer ganske godt. Jeg ble likevel også ført opp i kategorien insekter og ormer, en hobby jeg ennå ikke har oppdaget.

Hvis en bruker er opptatt av amerikansk politikk, kan Facebook til og med gjøre antakelser om den politiske tilhørigheten, og de dukker også opp her. Annonsører kan bruke denne informasjonen til å vise politisk målrettet innhold.

Hvis du derimot setter i gang en politisk kampanje for å overbevise folk om å stemme på deg, kan kategoriene fra Facebook være litt for grove. Men det finnes en løsning. Husker du målgruppelistene fra tidligere, som lot firmaer kombinere sine egne data med dataene til Facebook? Tilbake i 2018 fikk Facebook trøbbel for å ha latt et politisk konsulentselskap kalt Cambridge Analytica gjøre nettopp det.

CA brukte psykologiske profiler av brukere, hentet inn gjennom en spørreundersøkelse, og kombinerte dem med data om Facebook-vennene deres for å målrette vippevelgere og vise dem innhold som skulle svekke motstanderen til kunden deres. Den samlede effekten av kampanjen er fortsatt usikker, men den illustrerer én av de mange måtene selskaper og politiske aktører kan kombinere verktøyene over med kraftig dataanalyse og bruke dem til sin fordel.

Men det er ikke alt: Når selskapene ikke bruker personopplysningene dine, tilsvarende 1,000 bibler, til å påvirke stemmegivningen din eller avgjøre om du er mer en insektperson eller en ormeperson, kan de bli ganske kreative med dem.

Kredittopplysningsbyråer (som SCHUFA i Tyskland) bruker for eksempel personopplysningene de får fra finansinstitusjoner, til å regne ut kredittscoren din, som bankene deretter kjøper for å avgjøre hvor sannsynlig det er at du misligholder et lån. Siden kredittscoren din åpenbart er knyttet til deg som person, har du også rett til å be om den gratis etter GDPR (selv om byråene gjerne vil at du skal tro noe annet).

Ifølge flere kilder brukte datingplattformen Tinder tidligere å beregne noe som lignet en kredittscore, bare at de vurderte hvor attraktive brukerne var, for å matche dem med like attraktive mennesker. Selskapet hevder likevel at de la den målingen bort for noen år siden til fordel for et mer dynamisk system, så du får ikke se den ved å sende en GDPR-forespørsel.

Ta kontroll over dataene dine

GDPR er et utrolig kraftig verktøy når det gjelder å gi deg kontroll over de enorme datamengdene Big Tech samler inn. Muligheten til å få tilgang til, forstå og bestemme hva som skjer med disse dataene, er et stort steg framover for å beskytte personvernet og sørge for at enkeltpersoner kan ta informerte valg om det digitale fotavtrykket sitt.

Prosessen med å få tilgang til eller slette dataene dine kan likevel være så avskrekkende at de fleste velger å la det være. Og når du først får en kopi av dataene dine, er informasjonen selskapene leverer, vanligvis i maskinlesbare formater som JSON, som, la oss være ærlige, ikke er særlig brukervennlig for de fleste av oss. Det er her Datapods kommer inn.

Vi har bygget Datapods for å være den digitale allierte din, og gi deg makten til å se, styre og til og med dele dataene dine på en måte som er sikker og rett fram. Tenk på det som å rydde i det digitale livet ditt og sette deg tilbake i førersetet. Datapods handler om å gjøre den komplekse dataverdenen lettere å bruke, og legge kontrollen tilbake der den hører hjemme, hos deg.