De AVG-dossiers – wat Mark Zuckerberg over je weet

De Algemene verordening gegevensbescherming (AVG, GDPR) van de Europese Unie is de meest uitgebreide privacyregulering ter wereld. Als je hier bent, weet je waarschijnlijk al dat je er zelfs een kopie mee kunt opvragen van alle data die een bedrijf over je bewaart. Maar heb je het zelf ooit geprobeerd? Als je dat wilt, zijn dit een paar verrassende dingen die je kunt tegenkomen.

Dit artikel is opgedeeld in drie delen, elk over een van de drie niveaus van dataverzameling. Hoe dieper we gaan langs deze 'data-ijsberg', hoe minder transparant de manieren van dataverzameling worden en de doelen waarvoor de specifieke informatie wordt gebruikt.

Niveau 1: data die je zelf geeft

De top van de ijsberg: Facebook en Google weten alles wat je hun expliciet over jezelf vertelt. Dat omvat meestal minstens je naam, e-mailadres en geboortedatum. Sommige gebruikers kiezen er echter voor een hele reeks extra informatie te geven die ver verder gaat dan wat de online platforms nodig hebben om hun diensten te leveren. Adressen, professionele gegevens of zelfs relatiestatus zijn allemaal vrij gewoon op platforms zoals LinkedIn of Facebook.

Dit type informatie staat meestal op je profiel, of je kunt het bekijken en bewerken in de site-instellingen. Gevoeligere details zoals je geboortedatum of adres blijven vaak standaard privé, maar veel van de informatie die je geeft kan openbaar zijn voor iedereen, afhankelijk van je privacyinstellingen.

Niveau 2: verzamelde data

Het is geen verrassing dat internetplatforms de data die je hun geeft opslaan en gebruiken. Het wordt een stuk minder transparant bij de data die ze over je verzamelen uit je activiteiten en appgebruik. Alles wat je opzoekt, aanklikt of bekijkt, wordt opgeslagen. De meeste navigatiediensten slaan ook je volledige locatiegeschiedenis op. Mijn medeoprichter Jakob keek onlangs naar zijn Google Maps-data en ontdekte dat de dienst ongeveer 38.8 miljoen regels GPS-data had vastgelegd. Als je dat zou uitprinten, zouden het meer dan 1,000 boeken zijn, zo dik als de Bijbel.

Maar dat is niet alles: wist je dat veel diensten alles volgen wat je op hun website doet, zelfs als je nergens op klikt? De data die daaruit komt, wordt vaak gebruikt om de bruikbaarheid van een site te optimaliseren of om uit te zoeken naar welk type content je het langst kijkt. Zo ziet het eruit als we sessie-replays aanzetten in onze webanalysetool (PostHog). Je ziet Jakob die zich voor de tweede keer probeert aan te melden voor onze nieuwsbrief, omdat die gewoon zo verdomd goed is. Kijk hem gaan!

Sommige analysetools bewaren ook de informatie die je in een tekstveld typt, zelfs als je niet op een knop drukt om het te versturen. Wees dus voorzichtig met het invoeren van wachtwoorden of gevoelige informatie in velden die niet expliciet als wachtwoordveld zijn gemarkeerd, of op een site die je niet vertrouwt.

Bedrijven gebruiken dit type informatie om hun diensten te verbeteren, uit te zoeken wat je leuk vindt en je gepersonaliseerde advertenties te tonen. Voor gebruikers is het meestal niet zo makkelijk om erbij te komen. Je kunt vaak een samenvatting bekijken van bepaalde verzamelde informatie, zoals reacties, opmerkingen of je zoekgeschiedenis, maar andere informatie blijft verborgen. Hier komen de EU en de AVG in beeld. De AVG laat je een kopie van je data opvragen. Dat wil zeggen: elk stuk informatie dat naar jou te herleiden is. Dit omvat de meeste soorten verzamelde data.

Het proces om deze informatie op te vragen kan wat uitgebreider zijn en enkele dagen duren (onder de AVG moeten bedrijven binnen 30 dagen voldoen). De resulterende data moet worden aangeleverd in een machineleesbaar formaat, zoals een JSON-bestand. Dat zou waarschijnlijk een echte pageturner zijn als je C-3PO heet, maar mensen hebben er doorgaans moeite mee om ervan te genieten. Dat betekent niet dat je naar enen en nullen zit te kijken, maar als je door 38.8 miljoen regels ruwe GPS-coördinaten zit te spitten, scheelt het weinig.

Stel dat je al een kopie van je data hebt opgevraagd bij een dienst zoals Facebook of Google. Dit zijn een paar dingen die nog interessant kunnen zijn om te checken: Facebook houdt bijvoorbeeld je meest recente locatie bij (last_known_location.json), aankopen via hun app (payment_history.html) en de advertenties waar je naar hebt gekeken.

Heb je je ooit afgevraagd waarom je soms advertenties op Facebook begint te zien voor spullen die je op een compleet andere site hebt bekeken? Onder advertisers_using_your_information.html somt Facebook alle bedrijven op die je persoonlijke informatie gebruiken om advertenties op jou te richten. Deze bedrijven hebben al informatie over jou in zogenaamde doelgroeplijsten, die ze zelf hebben verzameld of gekocht, bijvoorbeeld of je een artikel op hun website hebt bekeken. Facebook combineert die informatie vervolgens met zijn eigen data om advertenties nog hyperpersoonlijker te maken. Bij mij is deze lijst ongeveer 120 bedrijven lang en bevat hij verschillende databrokers.

Maar er is meer: ik heb onlangs een kopie van mijn data opgevraagd bij Payback, het retailbonusprogramma van Master Card. Ik kreeg het volledige overzicht van mijn aankopen in fysieke winkels die ik deed met mijn bonuskaart, plus een gedetailleerde geschiedenis van elke keer dat ik in de buurt was van een van hun partnerwinkels. Of probeer je je te herinneren welk nummer je op 9 mei 2022 om 6:28 uur 's ochtends luisterde? Geen zorgen, Spotify heeft je gedekt met een volledige streaminggeschiedenis.

De paar voorbeelden hierboven krassen echt alleen aan de oppervlakte van de verzamelde data die er over jou kan bestaan. De hoeveelheid gebruiksdata die bedrijven verzamelen is enorm. Alleen de map met mijn informatie van geselecteerde Google-diensten bevat 3.7 GB aan ruwe data, opgeslagen in meer dan 5,000 afzonderlijke bestanden.

Alleen weten dat je op een woensdagnacht om 1:35 uur een hele doos van 20 Chicken McNuggets hebt gegeten, levert Mark Zuckerberg niet $270 aan gemiddelde jaaromzet per gebruiker op. In plaats daarvan gebruiken bedrijven deze informatie om gevolgtrekkingen over je te maken, die voor hen veel nuttiger zijn. Dat brengt ons bij het diepste deel van de data-ijsberg, waar het water troebel is en zonlicht zelden komt...

Niveau 3: afgeleide data

Hier wordt het echt interessant. Dataopslag is niet gratis, en techbedrijven zouden geen gigabytes aan informatie over je verzamelen als ze niet dachten dat die op een gegeven moment nuttig zou zijn. De waarheid is dat ze deze enorme hoeveelheden data nodig hebben voor analyse. De resultaten kunnen worden gebruikt om bepaalde diensten te verbeteren of om je in groepen in te delen voor gerichte advertenties of contentsuggesties.

Naast je gedetailleerde locatiegeschiedenis gebruikt Google bijvoorbeeld ook de snelheid waarmee je reist en een reeks andere factoren om uit te zoeken welk vervoermiddel je gebruikt. Het doet ook gokken over de route en timing van je dagelijkse woon-werkverkeer.

De data die Meta onder de AVG verstrekt, bevat ook een lijst van je afgeleide interesses voor content (bijvoorbeeld your_topics.json voor Instagram) en advertenties (bijvoorbeeld ads_interests.html voor Facebook). Instagram denkt dat ik van Food, Travel Destinations en Interior Design houd, wat behoorlijk klopt. Ik werd echter ook ingedeeld in de categorie Bugs & Worms, een hobby die ik nog moet ontdekken.

Als een gebruiker interesse heeft in US-Politics, kan Facebook zelfs aannames doen over politieke voorkeur, die hier ook opduiken. Adverteerders kunnen deze informatie gebruiken om politiek gerichte content te tonen.

Als je echter een politieke campagne lanceert om mensen te overtuigen op je te stemmen, zijn de categorieën van Facebook misschien wat te grof. Maar er is een oplossing. Weet je nog die doelgroeplijsten van eerder, waarmee bedrijven hun eigen data konden combineren met die van Facebook? In 2018 kwam Facebook in de problemen omdat het een politiek adviesbureau, Cambridge Analytica, precies dat liet doen.

CA gebruikte psychologische profielen van gebruikers, verkregen via een enquête, en combineerde die met data over hun Facebook-vrienden om zwevende kiezers te bereiken en hun content te tonen die de tegenstander van hun klant in diskrediet bracht. De algehele effectiviteit van de campagne blijft onzeker, maar het laat een van de vele manieren zien waarop bedrijven en politieke actoren de genoemde tools kunnen combineren met krachtige data-analyse en die in hun voordeel kunnen gebruiken.

Maar dat is niet alles: als bedrijven hun 1,000 bijbels aan persoonlijke informatie over jou niet gebruiken om je stemgedrag te beïnvloeden of te beslissen of je meer een insecten- of een wormenmens bent, kunnen ze er behoorlijk creatief mee worden.

Kredietinformatiebureaus (zoals de SCHUFA in Duitsland) gebruiken bijvoorbeeld de persoonlijke data die ze van financiële instellingen krijgen om je kredietscore te berekenen, die banken vervolgens kopen om te bepalen hoe waarschijnlijk het is dat je een lening niet terugbetaalt. Omdat je kredietscore uiteraard aan jou als persoon is gekoppeld, heb je ook het recht die gratis op te vragen onder de AVG (ook al willen de bureaus je graag anders laten geloven).

Volgens verschillende bronnen berekende het datingplatform Tinder vroeger iets vergelijkbaars met een kredietscore, alleen beoordeelden zij de aantrekkelijkheid van hun gebruikers om hen te matchen met even aantrekkelijke mensen. Het bedrijf zegt echter dat ze die maatstaf een paar jaar geleden hebben losgelaten ten gunste van een dynamischer systeem, dus je ziet het niet door een verzoek onder de AVG in te dienen.

Neem de controle over je data

De AVG is een ongelooflijk krachtig instrument als het gaat om jou controle te geven over de enorme hoeveelheden data die Big Tech verzamelt. De mogelijkheid om toegang te krijgen tot deze data, die te begrijpen en te beslissen wat ermee gebeurt, is een grote stap vooruit in het beschermen van privacy en ervoor zorgen dat mensen geïnformeerde beslissingen kunnen nemen over hun digitale voetafdruk.

Het proces om je data in te zien of te verwijderen kan echter zo ontmoedigend zijn dat de meeste mensen ervoor kiezen het helemaal niet te doen. En als je wel een kopie van je data krijgt, staat de informatie die bedrijven geven meestal in machineleesbare formaten zoals JSON, wat, laten we eerlijk zijn, voor de meesten van ons niet bepaald gebruiksvriendelijk is. Hier komt Datapods in beeld.

We hebben Datapods gebouwd als je digitale bondgenoot, die je de kracht geeft om je data te bekijken, te beheren en zelfs te delen op een manier die veilig en rechttoe rechtaan is. Zie het als het opruimen van je digitale leven, waarbij jij weer achter het stuur zit. Datapods draait erom de complexe wereld van data makkelijker te maken in gebruik en de controle terug te leggen waar die hoort: bij jou.