Google FLoC: een zegen of een vloek voor het internet?

Google maakte eind 2020 bekend aan een nieuw advertentiesysteem te werken dat een beter alternatief zou vormen voor cookies. Het nieuwe systeem kreeg de naam FLoC mee en past binnen het opensource-initiatief Privacy Sandbox van Google. Met Privacy Sandbox wil Google het internet privacyvriendelijker maken. Dat begint in de eerste plaats bij de eigen internetdiensten. Google Chrome mag dan wel met afstand de meest gebruikte browser van allemaal zijn, op vlak van privacybescherming heeft de browser niet de beste reputatie in de markt. FLoC moet daarin voor een kentering zorgen. Maar het systeem is nog maar net in gebruik genomen, of het wordt al zwaar gecontesteerd. Hoe zit FLoC in elkaar en is het effectief ook een verbetering voor onze privacy? Op die vragen gaan we een antwoord zoeken.

De koek is op

Je kent het vast wel: je surft naar een website en plots word je lastig lastiggevallen door een pop-upscherm dat je vraagt je cookievoorkeuren in te stellen. Cookies zijn in feite kleine tekstbestandjes die een website vastplakt op de harde schijf van je computer. De cookies komen meestal van de websitebeheerder zelf, maar sommige websites staan ook cookies van externe adverteerders toe op hun websites (third-party cookies). Van zodra de cookie geïnstalleerd is, kunnen gegevens van je internetsessie opgeslagen worden in cookiebestanden. Voor adverteerders vormen die gegevens zeer nuttige informatie. Elke muisklik zegt iets over wie je bent en waar je interesses liggen. Op basis daarvan kunnen adverteerders je zeer gericht selecteren voor een online advertentiecampagne.

Het systeem van cookies is nooit erg populair geweest onder internetgebruikers. De pop-upschermen, die webbeheerders wettelijk verplicht zijn te tonen, worden door de meeste surfers als enorm storend ervaren. Ook de wetgevende macht is er niet erg happig op. Dat admins van websites en adverteerders alles kunnen volgen wat je online doet strookt niet echt met privacywetgevingen. Bovendien blijven sommige gegevens van je surfsessies soms jarenlang bewaard. Je doet er daarom goed aan om regelmatig via de instellingen van je browser je cookiegegevens leeg te maken.

Het was langer duidelijk dat het systeem van trackingcookies niet langer meer werkbaar was. Firefox was de eerste grote commerciële browser die besloot third-party cookies te verbieden, Apple Safari volgde in 2020. Google was één van de laatste die third-party cookies bleef toelaten in Chrome, maar dat zal met de introductie van FLoC veranderen. Eens FLoC op punt staat, zouden cookies tegen uiterlijk 2023 volledig moeten verdwenen zijn. Dat is alvast een pluspunt voor FLoC.

Van individuen naar cohorten

Maar wat doet FLoC dan precies anders dan cookies? Een hint zit in de volledige naam van FLoC: Federated Learning of Cohorts. Een groot verschil met cookies is dat internetsurfers niet langer meer als individuen maar als groepen (cohorten) worden gevolgd. Het systeem installeert dus geen trackers meer op je harde schijf die jouw surfdata bewaren. In plaats daarvan word je op basis van de websites die je bezoekt onderverdeeld in een segment met mensen die gelijkaardige interesses tonen. Adverteerders krijgen dan enkel de geaggregeerde data uit die cohorten ter beschikking om advertenties aan te kopen die voor een geselecteerde doelgroep interessant zijn. Dat moet tot hogere conversies uit die advertenties leiden. Maar voor de internetgebruiker is er ook wat te winnen: individuele gegevens zoals de websites die je bezoekt, inloggegevens of IP-adres blijven buiten schot. Google noemt dit ‘het individu laten verdwijnen in de menigte’.

“Google FLoC maakt een einde aan individuele tracking via cookies.”

De uitrol van FLoC staat op dit moment nog in zijn kinderschoenen. Voorlopig voert Google de eerste praktijktesten uit met de meest recent gelanceerde versie van Chrome in de Verenigde Staten en enkele Aziatische en Zuid-Amerikaanse landen. Gebruikers moeten minstens de update naar Chrome 89 uitgevoerd hebben om in aanmerking te komen. In Europa kan Google nog niet aan de slag omdat FLoC in zijn huidige vorm nog niet volledig in overeenstemming is met de GDPR-wetgeving. Aangezien FLoC nog in volle ontwikkeling is, hoeft dat zeker nog niet te betekenen dat het systeem nooit in Europa zal kunnen gebruikt worden. Maar het is wel een legaal obstakel dat Google zal moeten overwinnen willen ze van FLoC een succes maken.

Marktmonopolie en GDPR-problemen

Google FLoC klinkt op papier allemaal zeer mooi en het is allemaal met de beste intenties bedacht, maar toch heerst er veel twijfel of dit systeem wel de beste manier is om de noden van adverteerders en internetgebruikers te verzoenen. De kritiek op het FLoC-systeem is tweedelig. De Britse marktwaakhond startte vrij snel na de aankondiging een onderzoek of Google met dit nieuwe systeem zijn grip op de digitale advertentiemarkt niet nog meer zou verstevigen. Maar er blijven ook privacytwijfels bestaan. Zo is het zoals we hebben aangehaald nog niet duidelijk hoe Google deze advertentietool volledig GDPR-conform gaat krijgen. Het grootste knelpunt zit hem in de controle van internetgebruikers over de data die websites van hen verzamelen. Hoe irritant die cookievoorkeurenmenu’s ook waren, je had op zijn minst als bezoeker iets te zeggen over welke cookies precies kunnen uitgestuurd worden. Zo kon je het beperken tot enkel noodzakelijke cookies. Het is minder duidelijk hoe Google dit met FLoC precies wil organiseren. Want vergis je niet: adverteerders en Google krijgen enkel cohortgegevens te zien, maar je data wordt nog wel steeds door je browser opgeslagen. De GDPR-wetgeving stelt zwart op wit dat aanbieders van internetproducten nooit data mogen bewaren zonder medeweten van de gebruiker die ook altijd de mogelijkheid moet krijgen om te laten verwijderen. Moet Google FLoC ook met pop-upmenu’s werken of vindt Google een andere oplossing?

We legden deze kritiekpunten zelf even voor aan Google en uit de schriftelijke toelichting die zij ons bezorgden leidden we de volgende zaken af. Wat betreft het punt over monopolievorming is de uitleg van Google klaar en helder. FLoC zal als een api-bestand worden aangeboden zodat iedereen de tool kan implementeren in zijn diensten. Dat past binnen de filosofie van het open en veilige internet waarop Privacy Sandbox gestoeld is. FLoC is dus zeker niet exclusief voor de browser Chrome bestemd. Google hoopt dat andere browsers, zoekmachines en online adverteerders er op termijn ook mee aan de slag gaan. Dat het bepaalde partijen kan wegjagen van Googles advertentiediensten lijkt het bedrijf zelfs erbij te willen nemen om hun bredere missie te verwezenlijken. Wat betreft de GDPR-problemen is Google minder duidelijk hoe zij dit concreet zullen gaan aanpakken. We moeten het voorlopig stellen met “FLoC zit nog in volle ontwikkeling” en “We blijven honderd procent achter Privacy Sandbox staan en we zullen zo snel als mogelijk testen in Europa starten”.

Browsers haken af

Op dit moment lijken nog maar weinig andere partijen te willen meestappen in het Privacy Sandbox-project. DuckDuckGo heeft als eerste de stap genomen om FLoC volledig te weren uit zijn zoekmachine, die zich in de markt zet als een privacyvriendelijker alternatief voor Google Search. In een blogpost laat de browser er geen twijfel over bestaan: Google FLoC is een ramp voor de online privacy. Volgens DuckDuckGo verandert er voor de gemiddelde internetgebruiker helemaal niets. Websites kunnen op het moment dat je op een URL klikt toegang krijgen tot je ‘FLoC ID’ en op basis daarvan hun advertenties afstemmen. Vergelijk het met een winkel binnenstappen waar het personeel de producten die je gaat kopen op voorhand al kan klaarzetten op basis van wat je in andere winkels kocht. Bovendien kunnen websitebeheerders nog altijd via het FLoC ID aan je IP-adres geraken en je individueel tracken zoals bij cookies. DuckDuckGo zal daarom standaard FLoC weren zodat je niet in een cohorte kan belanden. De ontwikkelaars hebben zelfs een speciale extensie voor Chrome-gebruikers ontwikkelt die FLoC kan blokkeren.

Het sterke statement van DuckDuckGo heeft duidelijk wat losgemaakt binnen de browsermarkt. Ondertussen heeft ook Microsoft Edge, dat nochtans net als Chrome uit Chromium is opgebouwd, al verstaan niet mee in het project te stappen. Het verzet blijft niet onder de concullega’s van Google. De webbeheertool WordPress zal plug-ins van Google FLoC bij toekomstige updates deactiveren. En het lijstje tegenstanders zal de komende tijd wellicht nog wel aangevuld worden.

Wat betekent het voor de toekomst van Google FLoC? Zal het project al sneuvelen nog voor het goed en wel is begonnen? Zo’n vaart zal het zeker niet lopen. Google is volledig toegewijd aan hun project en gelooft dat Privacy Sandbox de toekomst van het internet zal vormgeven. Maar om de maatschappij nog mee te krijgen in die narratief zal de techgigant straf uit de hoek moeten komen. Er heersen op dit moment nog te veel privacybezorgdheden die ook niet helemaal onterecht zijn. Er is geen duidelijk opt-in- en opt-out systeem voorzien, gebruikers lijken maar weinig controle te hebben over het beheer van hun data en welke data belandt nu precies in handen van websitebeheerders en adverteerders? Google heeft nog werk aan de winkel om dat in orde te krijgen.

“Er bestaan nog te veel twijfels over FLoC om het systeem als nieuwe standaard te hanteren.”  

Am I FLoCed?

Deze vraag zou zomaar een nieuwe internethit kunnen worden. Am I FLoCed? is de naam van een gratis webtool van EFF die zich als een fervent tegenstanders van de advertentietool profileren. Je kan er controleren of je bij de eerste proeven al in een cohorte beland bent. Al kan je er vrij gerust in zijn dat dat nog niet het geval is. Google FLoC is nog maar van toepassing voor 0,5% van alle internetgebruikers en is nog niet actief in Europa.