GDPR-akterna – vad Mark Zuckerberg vet om dig

Europeiska unionens General Data Protection Regulation (GDPR) är världens mest heltäckande integritetsreglering. Om du är här vet du förmodligen redan att den till och med låter dig begära en kopia av all data ett företag har om dig. Men har du testat själv? Om du vill göra det är det här några av de överraskande saker du kan hitta.

Artikeln är uppdelad i tre delar, och varje del tar upp en av de tre nivåerna av datainsamling. Ju djupare vi går längs det här "data-isberget", desto mindre genomskinliga blir sätten uppgifterna samlas in på och syftena de används för.

Nivå 1: Uppgifter du lämnar själv

Toppen av isberget: Facebook och Google vet allt du uttryckligen berättar om dig själv. Det brukar åtminstone omfatta ditt namn, din e-postadress och ditt födelsedatum. En del användare väljer dock att lämna en hel rad ytterligare uppgifter som går långt utöver det plattformarna behöver för att tillhandahålla sina tjänster. Adresser, yrkesuppgifter och till och med relationsstatus är ganska vanligt på plattformar som LinkedIn eller Facebook.

Den här typen av information syns oftast på din profil, eller så kan du se och redigera den i inställningarna. Mer känsliga uppgifter, som födelsedatum eller adress, förblir ofta privata som standard, men mycket av det du har lämnat kan vara offentligt för alla, beroende på dina integritetsinställningar.

Nivå 2: Insamlade uppgifter

Det borde inte förvåna att nätplattformar lagrar och använder de uppgifter du själv lämnar till dem. Det blir däremot mycket mindre genomskinligt när det gäller den data de samlar in om dig utifrån din aktivitet och hur du använder apparna. Allt du söker upp, klickar på eller tittar på lagras. De flesta navigationstjänster lagrar också hela din platshistorik. Min medgrundare Jakob tittade nyligen på sin Google Maps-data och upptäckte att tjänsten hade registrerat ungefär 38.8 miljoner rader GPS-data. Om du skrev ut det skulle det bli mer än 1,000 böcker, tjocka som Bibeln.

Men det är inte allt. Visste du att många tjänster spårar allt du gör på deras webbplats, även om du inte klickar på något? Den datan används ofta för att förbättra en sajts användbarhet eller för att ta reda på vilken typ av innehåll du tittar längst på. Så här ser det ut när vi slår på sessionsinspelningar i vårt analysverktyg för webbplatsen (PostHog). Du ser Jakob försöka prenumerera på vårt nyhetsbrev för andra gången, för det är bara så jäkla bra. Titta på honom.

En del analysverktyg sparar också det du skriver i ett textfält även om du inte trycker på en knapp för att skicka in det. Var därför försiktig med att ange lösenord eller känslig information i fält som inte uttryckligen är markerade som lösenordsfält, eller på en sajt du inte litar på.

Företag använder den här typen av information för att förbättra sina tjänster, lista ut vad du gillar och visa dig personliga annonser. För dig är den däremot oftast inte lika lätt att komma åt. Du kan ofta se en sammanfattning av viss insamlad information, som reaktioner, kommentarer eller din sökhistorik, men annan information förblir dold. Det är här EU och General Data Protection Regulation (GDPR) kommer in. GDPR låter dig begära en kopia av din data. Det vill säga varje uppgift som kan spåras tillbaka till dig. Det omfattar de flesta typer av insamlade uppgifter.

Att begära ut informationen kan vara lite mer omständligt och ta flera dagar (enligt GDPR måste företag tillmötesgå begäran inom 30 dagar). Datan som kommer tillbaka ska tillhandahållas i ett maskinläsbart format, som en JSON-fil. Det skulle förmodligen bli en riktig bladvändare om du heter C-3PO, men vi människor har rätt svårt att njuta av den. Det betyder inte att du stirrar på ettor och nollor, men när du sållar igenom 38.8 miljoner rader råa GPS-koordinater kan det lika gärna vara det.

Men säg att du redan har begärt en kopia av din data från en tjänst som Facebook eller Google. Här är några saker som fortfarande kan vara intressanta att titta på. Facebook håller till exempel koll på din senaste plats (last_known_location.json), köp gjorda via deras app (payment_history.html) och annonserna du har tittat på.

Har du någonsin undrat varför du ibland börjar se annonser på Facebook för saker du tittade på en helt annan sajt? Under advertisers_using_your_information.html listar Facebook alla företag som använder dina personuppgifter för att rikta annonser till dig. De företagen har redan information om dig i så kallade målgruppslistor, som de själva har samlat in eller köpt, till exempel om du tittade på en vara på deras webbplats. Facebook kombinerar sedan den informationen med sin egen data för att göra annonserna ännu mer hyperpersonliga. För mig är listan ungefär 120 företag lång och innehåller olika datamäklare.

Men det finns mer. Jag begärde nyligen ut en kopia av min data från Payback, bonusprogrammet för detaljhandel som ägs av Master Card. Jag fick hela registret över mina köp i fysisk butik som jag gjorde med bonuskortet, plus en detaljerad historik över varje gång jag var nära en av deras partnerbutiker. Eller försöker du minnas vilken låt du lyssnade på den 9 maj 2022 klockan 6:28 på morgonen? Oroa dig inte, Spotify har dig täckt med en komplett streaminghistorik.

De få exemplen ovan skrapar verkligen bara på ytan av den insamlade data som kan finnas om dig. Mängden användningsdata som företag samlar in är enorm. Bara mappen med min information från utvalda Google-tjänster innehåller 3.7 GBs rådata, lagrad i mer än 5,000 enskilda filer.

Men att bara veta att du åt en hel låda med 20 Chicken McNuggets en onsdagsnatt klockan 1:35 gör inte att Mark Zuckerberg får $270 i genomsnittlig årsintäkt per användare. I stället använder företagen informationen för att dra slutsatser om dig, och de är långt mer användbara för dem. Det tar oss till den allra djupaste delen av data-isberget, där vattnet är grumligt och solljuset sällan når ner...

Nivå 3: Härledda uppgifter

Det är här det blir riktigt intressant. Lagring av data är inte gratis, och teknikföretag skulle inte samla in gigabyte med information om dig om de inte trodde att den skulle vara användbar någon gång. Sanningen är att de behöver de här väldiga mängderna data för analys. Resultaten kan användas för att förbättra vissa tjänster eller för att sortera in dig i grupper för riktad reklam eller innehållsförslag.

Utöver din detaljerade platshistorik använder Google till exempel också hastigheten du färdas i och en rad andra faktorer för att lista ut vilket färdmedel du använder. Tjänsten gissar också på rutten och tiderna för din dagliga pendling.

Datan som Meta lämnar ut enligt GDPR innehåller också en lista över dina härledda intressen för innehåll (till exempel your_topics.json för Instagram) och reklam (till exempel ads_interests.html för Facebook). Instagram tror att jag gillar mat, resmål och inredning, vilket stämmer ganska bra. Däremot hade jag också hamnat i kategorin Bugs & Worms, en hobby jag ännu inte har upptäckt.

Om en användare är intresserad av US-Politics kan Facebook till och med göra antaganden om politisk tillhörighet, och det syns också här. Annonsörer kan använda den informationen för att visa politiskt riktat innehåll.

Men om du drar i gång en politisk kampanj för att övertyga folk att rösta på dig kan kategorierna från Facebook vara lite för trubbiga. Det finns en lösning. Minns du målgruppslistorna från tidigare, som lät företag kombinera sin egen data med Facebooks? 2018 fick Facebook problem för att de lät ett politiskt konsultbolag som hette Cambridge Analytica göra just det.

CA använde psykologiska profiler av användare, framtagna via en enkät, och kombinerade dem med data om deras Facebook-vänner för att rikta in sig på vågmästarväljare och visa innehåll som misskrediterade kundens motståndare. Hur effektiv kampanjen var i stort är fortfarande osäkert, men den visar ett av många sätt som företag och politiska aktörer kan kombinera de här verktygen med kraftfull dataanalys och använda dem till sin fördel.

Men det är inte allt. När företagen inte använder sina 1,000 biblar av personlig information om dig för att påverka hur du röstar, eller för att avgöra om du är mer en insekts- eller en maskperson, kan de bli rätt kreativa med den.

Kreditupplysningsföretag (som SCHUFA i Tyskland) använder till exempel personuppgifterna de får från finansinstitut för att räkna ut ditt kreditbetyg, som banker sedan köper för att avgöra hur sannolikt det är att du inte kan betala ett lån. Eftersom kreditbetyget uppenbart är knutet till dig som person har du också rätt att begära ut det gratis enligt GDPR (även om företagen gärna vill att du ska tro något annat).

Enligt flera källor brukade dejtingplattformen Tinder räkna ut något liknande ett kreditbetyg, med skillnaden att de betygsatte användarnas attraktivitet för att matcha dem med lika attraktiva personer. Företaget säger dock att de övergav det måttet för några år sedan till förmån för ett mer dynamiskt system, så du kommer inte att kunna se det genom en GDPR-begäran.

Ta kontroll över din data

GDPR är ett oerhört kraftfullt verktyg när det gäller att ge dig kontroll över de väldiga mängder data som Big Tech samlar in. Möjligheten att komma åt, förstå och bestämma vad som händer med den datan är ett stort steg framåt för att skydda integriteten och se till att du kan fatta informerade beslut om ditt digitala fotavtryck.

Men processen för att komma åt eller radera din data kan vara så avskräckande att de flesta väljer att inte gå igenom den alls. Och när du väl får en kopia ligger informationen företagen lämnar oftast i maskinläsbara format som JSON, vilket, om vi ska vara ärliga, inte är särskilt användarvänligt för de flesta av oss. Det är här Datapods kommer in.

Vi har byggt Datapods för att vara din digitala bundsförvant, och ge dig makten att se, hantera och till och med dela din data på ett sätt som är säkert och rakt på sak. Tänk på det som att rensa i ditt digitala liv och sätta dig tillbaka i förarsätet. Datapods handlar om att göra den komplexa datavärlden lättare att använda och lägga tillbaka kontrollen där den hör hemma, hos dig.