Akta RODO (GDPR). Co Mark Zuckerberg wie o tobie

Ogólne rozporządzenie o ochronie danych Unii Europejskiej, czyli RODO, to najbardziej rozbudowane przepisy o prywatności na świecie. Skoro tu jesteś, pewnie już wiesz, że pozwala nawet zażądać kopii wszystkich danych, które firma o tobie trzyma. Ale czy próbowałeś tego sam? Jeśli chcesz, oto kilka zaskakujących rzeczy, na które możesz trafić.

Ten tekst dzieli się na trzy części. Każda dotyczy jednego z trzech poziomów zbierania danych. Im głębiej schodzimy po tej „górze lodowej danych”, tym mniej przejrzyste stają się sposoby zbierania i cele, do których konkretne informacje służą.

Poziom 1: dane oddane dobrowolnie

Czubek góry lodowej: Facebook i Google wiedzą wszystko, co wprost sam im o sobie mówisz. Zwykle jest to co najmniej imię i nazwisko, adres e-mail i data urodzenia. Część użytkowników dokłada jednak całą masę dodatkowych informacji, daleko poza to, czego platformy potrzebują, żeby świadczyć usługę. Adres, dane zawodowe, a nawet status związku są na platformach takich jak LinkedIn czy Facebook dość zwyczajne.

Tego typu informacje zwykle widać na profilu albo da się je podejrzeć i edytować w ustawieniach. Bardziej wrażliwe rzeczy, jak data urodzenia czy adres, często zostają prywatne domyślnie. Sporo podanych informacji może być jednak publiczne dla wszystkich, zależnie od ustawień prywatności.

Poziom 2: dane zebrane

Nie powinno dziwić, że platformy internetowe zapisują i używają danych, które sam im oddajesz. Robi się znacznie mniej przejrzyście przy danych, które zbierają z twojej aktywności i korzystania z aplikacji. Wszystko, czego szukasz, co klikasz albo oglądasz, jest zapisywane. Większość nawigacji trzyma też całą historię lokalizacji. Mój współzałożyciel Jakob niedawno zajrzał w swoje dane Google Maps i okazało się, że usługa zapisała około 38.8 miliona linii danych GPS. Wydrukowane zrobiłoby to ponad 1,000 książek grubych jak Biblia.

To nie wszystko. Wiesz, że wiele usług śledzi wszystko, co robisz na ich stronie, nawet jeśli nic nie klikasz? Takie dane często służą do poprawiania użyteczności albo do sprawdzania, na jaki typ treści patrzysz najdłużej. Tak to wygląda, gdy włączamy powtórki sesji w naszym narzędziu analitycznym (PostHog). Patrzysz, jak Jakob drugi raz próbuje zapisać się do newslettera, bo jest po prostu tak cholernie dobry. Patrz, jak mu idzie!

Część narzędzi analitycznych zapisuje też to, co wpisujesz w pole tekstowe, nawet jeśli nie wciskasz przycisku wysyłki. Uważaj więc, wpisując hasła albo wrażliwe informacje w polach, które nie są wprost oznaczone jako pola hasła, albo na stronie, której nie ufasz.

Firmy używają tego typu informacji, żeby ulepszać usługi, domyślać się, co lubisz, i serwować spersonalizowane reklamy. Użytkownikowi zwykle nie jest jednak tak łatwo do nich sięgnąć. Często da się zobaczyć podsumowanie części zebranych informacji, takich jak reakcje, komentarze albo historia wyszukiwania. Reszta zostaje schowana. Tu wchodzi UE i RODO. RODO pozwala zażądać kopii swoich danych. Czyli każdej informacji, którą da się powiązać z tobą. Obejmuje to większość typów zebranych danych.

Samo żądanie tych informacji bywa bardziej rozbudowane i zajmuje kilka dni (według RODO firmy mają się zastosować w ciągu 30 dni). Dane trzeba wydać w formacie nadającym się do odczytu maszynowego, na przykład w pliku JSON. Dla kogoś o imieniu C-3PO byłaby to pewnie lektura, od której nie da się oderwać, ale ludziom zwykle ciężko się tym delektować. Nie znaczy to, że patrzysz na jedynki i zera. Gdy jednak przekopujesz 38.8 miliona linii surowych współrzędnych GPS, efekt jest podobny.

Załóżmy jednak, że kopię danych z usługi takiej jak Facebook albo Google już masz. Oto kilka rzeczy, w które wciąż warto zajrzeć. Facebook trzyma na przykład twoją ostatnią znaną lokalizację (last_known_location.json), zakupy zrobione przez ich aplikację (payment_history.html) i reklamy, na które patrzyłeś.

Zastanawiałeś się kiedyś, czemu na Facebooku nagle zaczynają się reklamy rzeczy, które oglądałeś na zupełnie innej stronie? W pliku advertisers_using_your_information.html Facebook wymienia wszystkie firmy, które używają twoich danych osobowych, żeby celować w ciebie reklamą. Te firmy już mają o tobie informacje w tak zwanych listach odbiorców, zebrane albo kupione na własną rękę. Na przykład to, czy oglądałeś produkt na ich stronie. Facebook dokłada do tego własne dane i reklamy robią się jeszcze bardziej hiperpersonalizowane. U mnie ta lista ma około 120 firm i są na niej różni brokerzy danych.

Jest więcej. Niedawno zażądałem kopii swoich danych od Payback, programu lojalnościowego w handlu należącego do Master Card. Dostałem cały rejestr prawdziwych zakupów w sklepach stacjonarnych zrobionych kartą lojalnościową plus szczegółową historię tego, kiedy byłem blisko któregoś z ich sklepów partnerskich. A może próbujesz sobie przypomnieć, jakiego utworu słuchałeś 9 maja 2022 o 6:28 rano? Bez obaw, Spotify ma cię z głowy: jest pełna historia odtworzeń.

Tych kilka przykładów naprawdę tylko muska powierzchnię zebranych danych, które mogą gdzieś o tobie istnieć. Ilość danych o użyciu, którą firmy zbierają, jest ogromna. Sam folder z moimi informacjami z wybranych usług Google ma 3.7 GB surowych danych w ponad 5,000 osobnych plikach.

Sama wiedza, że w środową noc o 1:35 zjadłeś całe pudełko 20 Chicken McNuggets, nie zrobi Markowi Zuckerbergowi $270 średniego rocznego przychodu na użytkownika. Firmy używają tych informacji, żeby wyciągać o tobie wnioski, a te są dla nich znacznie bardziej użyteczne. I tu dochodzimy do najgłębszej części góry lodowej danych, gdzie woda jest mętna, a słońce rzadko dochodzi...

Poziom 3: dane wywnioskowane

Tu robi się naprawdę ciekawie. Przechowywanie danych nie jest za darmo, a firmy technologiczne nie zbierałyby gigabajtów informacji o tobie, gdyby nie uważały, że kiedyś się przydadzą. Prawda jest taka, że te ogromne ilości danych są im potrzebne do analizy. Wyniki da się użyć do ulepszania usług albo do wrzucania cię w grupy pod reklamy celowane i podpowiedzi treści.

Na przykład oprócz szczegółowej historii lokalizacji Google używa też prędkości, z jaką się poruszasz, i szeregu innych czynników, żeby domyślić się, jakim środkiem transportu jedziesz. Zgaduje też trasę i porę codziennych dojazdów.

Dane, które Meta wydaje na podstawie RODO, zawierają też listę wywnioskowanych zainteresowań treściami (na przykład your_topics.json dla Instagrama) i reklamą (na przykład ads_interests.html dla Facebooka). Instagram uważa, że kręcą mnie jedzenie, kierunki podróży i projektowanie wnętrz, co jest dość trafne. Dopisano mi jednak też kategorię Bugs & Worms, hobby, którego jeszcze nie odkryłem.

Jeśli użytkownik interesuje się polityką USA, Facebook potrafi nawet zgadywać sympatie polityczne i one też tu wychodzą. Reklamodawcy mogą użyć tych informacji, żeby pokazywać treści celowane politycznie.

Jeśli jednak odpalasz kampanię polityczną, żeby przekonać ludzi do głosu na siebie, kategorie Facebooka mogą być zbyt tępe. Jest na to sposób. Pamiętasz listy odbiorców, które pozwalały firmom łączyć własne dane z danymi Facebooka? W 2018 roku Facebook wpadł w kłopoty, bo pozwolił firmie doradztwa politycznego Cambridge Analytica zrobić dokładnie to.

CA wzięła profile psychologiczne użytkowników zdobyte przez ankietę i połączyła je z danymi o ich znajomych z Facebooka, żeby celować w wahających się wyborców i pokazywać im treści dyskredytujące przeciwnika klienta. Ogólna skuteczność kampanii zostaje niepewna, ale pokazuje to jeden z wielu sposobów, w jakie firmy i aktorzy polityczni łączą te narzędzia z mocną analityką danych i używają ich na swoją korzyść.

To nie wszystko. Gdy firmy nie używają 1,000 Biblii twoich danych osobowych, żeby wpływać na to, jak głosujesz, albo żeby zdecydować, czy bardziej kręcą cię robaki, czy owady, potrafią być z tymi danymi bardzo pomysłowe.

Na przykład biura informacji kredytowej (jak SCHUFA w Niemczech) biorą dane osobowe od instytucji finansowych i liczą scoring kredytowy, który banki potem kupują, żeby ocenić, jak prawdopodobne jest, że nie spłacisz kredytu. Scoring jest oczywiście przypisany do ciebie jako osoby, więc na podstawie RODO masz też prawo zażądać go za darmo (choć biura wolałyby, żebyś wierzył, że jest inaczej).

Według kilku źródeł portal randkowy Tinder liczył kiedyś coś podobnego do scoringu kredytowego, tylko że oceniał atrakcyjność użytkowników, żeby łączyć ich z podobnie atrakcyjnymi osobami. Firma twierdzi, że parę lat temu porzuciła tę metrykę na rzecz bardziej dynamicznego systemu, więc wnioskiem z RODO jej nie zobaczysz.

Przejmij kontrolę nad swoimi danymi

RODO to niezwykle mocne narzędzie, gdy chodzi o oddanie ci kontroli nad ogromem danych, które zbiera Big Tech. Możliwość dostępu do tych danych, zrozumienia ich i zdecydowania, co się z nimi dzieje, to duży krok naprzód w ochronie prywatności i w tym, żeby dało się świadomie decydować o swoim śladzie cyfrowym.

Sam proces dostępu albo usuwania bywa jednak tak zniechęcający, że większość ludzi w ogóle w niego nie wchodzi. A gdy kopia danych już jest, informacje od firm zwykle przychodzą w formatach maszynowych takich jak JSON, które, powiedzmy wprost, dla większości z nas nie są przyjazne. Tu wchodzi Datapods.

Zbudowaliśmy Datapods jako twojego cyfrowego sprzymierzeńca. Daje ci możliwość oglądania, zarządzania, a nawet udostępniania danych w sposób bezpieczny i prosty. Pomyśl o tym jak o sprzątaniu cyfrowego życia i o powrocie za kierownicę. Datapods ma sprawić, żeby skomplikowany świat danych dało się używać, i oddać kontrolę tam, gdzie jej miejsce: tobie.