Hoe staat het met online privacy? Een checklist

Facebook staat de laatste maanden in een slecht daglicht. Het bedrijf moet zich verantwoorden voor een zoveelste dataschandaal. De bal ging aan het rollen toen klokkenluider Christopher Wylie in een interview met The Guardian uitlegde hoe het bedrijf Cambridge Analytica persoonlijke informatie van Facebook-gebruikers verzamelde zonder de toestemming van die personen. Wylie werkte samen met de universiteit van Cambridge om de gegevens te verkrijgen.

Informatie van vrienden

De gegevens zijn verzameld via een app genaamd ‘thisisyourdigitallife’, gebouwd door de academici Aleksandr Kogan, los van zijn werk aan de universiteit van Cambridge. In samenwerking met Cambridge Analytica werden honderdduizenden gebruikers betaald om een persoonlijkheidstest af te leggen en zij stemden ermee in dat hun gegevens werden verzameld voor academische doeleinden.

De ‘thisisyourdigitallife’-app verzamelde echter ook informatie over Facebook-vrienden van testers en dat leidde tot een gegevensdatabank van tientallen miljoenen profielen. Het platformbeleid van Facebook staat alleen het verzamelen van gegevens van vrienden toe om de gebruikerservaring in apps te verbeteren en verbiedt het verkopen of gebruiken van die informatie voor reclame.

Doormiddel van de persoonlijkheidstest kreeg Wylie 270 duizend profielen binnen, maar ook toegang tot Facebook-profielen van vrienden van die deelnemers. Uiteindelijk bleven er 50 miljoen bruikbare profielen over in de databank. Later was er sprake van 87 miljoen, maar dit aantal zou in de praktijk nog veel hoger liggen. Cambridge Analytica zou immers niet één, maar meerdere persoonlijkheidstests hebben ontwikkeld die de data buitmaakten. Dat zegt Brittney Kaiser, een voormalig medewerkster van het bedrijf, tijdens een verhoor door het Britse parlement.

De bal ging aan het rollen toen klokkenluider Christopher Wylie in een interview met The Guardian uitlegde hoe Cambridge Analytica persoonlijke informatie van Facebook-gebruikers verzamelde zonder de toestemming van die personen.

Amerikaanse verkiezingscampagne

De presidentiële verkiezingscampagne van huidig Amerikaans president Donald Trump deed beroep op Cambridge Analytica om toegang te krijgen tot die persoonlijke informatie die zonder toestemming werd gebruikt. Begin 2014 ontwikkelde het bedrijf een systeem om individuele Amerikaanse kiezers te targeten met gepersonaliseerde politieke advertenties.

In 2012 gebruikte voormalig Amerikaans president Barack Obama een vergelijkbare tactiek. Ook hij ontwikkelde een app waarmee hij toegang verkreeg tot Facebook-profielen en vriendenlijsten, maar de app maakte duidelijk dat het over de verkiezingscampagne van Barack Obama ging. De ‘thisisyourdigitallife’-app daarentegen misbruikte de data van Facebook-gebruikers.

Marketingtools

In maart kwam het dataschandaal aan het licht. Sindsdien kreeg Facebook veel kritiek over zich heen, omwille van de data die het openstelde voor andere bedrijven en omdat het platform het schandaal niet zelf aan het licht bracht. Ook legde productmanager David Baser in een verklarende tekst uit hoe het bedrijf gegevens van andere websites verkrijgt aan de hand van marketingtools van Facebook. Facebook verkrijgt informatie als een gebruiker op de like-knop drukt of een bericht deelt op een site, maar ook of als je toegang krijgt tot een site of applicatie via een Facebook-login.

De marketingtools meten de impact van advertenties op het netwerk, maar ook erbuiten. “Als u een website of applicatie bezoekt die onze diensten gebruikt, krijgen wij informatie, ook als u niet verbonden bent met Facebook of geen account hebt”, benadrukt Baser. “Dat is omdat de andere apps of sites niet weten wie Facebook wel of niet gebruikt.”

Privacybeleid

“Het is tijd. #verwijderfacebook”, schrijft medeoprichter van WhatsApp Brian Acton op Twitter. De tweet komt na een lange periode van geruchten over diefstallen van persoonlijke gegevens van Facebook-profielen, zonder de toestemming en medeweten van gebruikers.

In de nasleep van het schandaal rond Cambridge Analytica, laat Facebook weten dat het de toegang die app-ontwikkelaars kunnen krijgen tot gegevens van gebruikers verder beperkt. Hoewel slechts een kleine 300.000 mensen effectief gebruik maakten van de app van Cambridge Analytica, liet het falende databeleid van Facebook op dat moment toe om ook gegevens van vrienden van gebruikers van de app te verzamelen. Daardoor kon het bedrijf een database van tientallen miljoen profielen opbouwen.

In de nasleep van het Cambridge Analytica-dataschandaal moest CEO van Facebook Mark Zuckerberg zich komen verantwoorden voor het Europees Parlement en Amerikaans Congres.

Nieuwe regels

Allereest gaan de nieuwe maatregelen om het limiteren van de informatie die ontwikkelaars kunnen ontvangen zonder de toestemming van Facebook. Zo zal een ontwikkelaar nu zonder toestemming van Facebook enkel je naam, profielfoto en e-mailadres kunnen verkrijgen. App-ontwikkelaars kunnen in de toekomst wel toegang verkrijgen tot meer gegevens, maar dit enkel als Facebook hen daarvoor toestemming geeft na een screening.

Wat verder nog een belangrijke wijziging is, is dat apps niet langer levenslang aan je Facebook-account gekoppeld blijven als je ze niet gebruikt. Waar vroeger apps die gekoppeld waren in theorie data konden blijven verzamelen, is dat nu enkel het geval als je de app eens per drie maanden blijft gebruiken.

Facebook heeft daarnaast aangegeven onderzoek te gaan doen naar apps die grote hoeveelheden data hebben verzameld in het verleden. Door middel van dit onderzoek willen ze achterhalen of er in het verleden mogelijk nog data misbruikt is. Mocht dat het geval zijn, dan zal Facebook zijn gebruikers hierover inlichten.

Ook gaat Facebook nu nog een stap verder door ook de richtlijnen voor de community aan te passen. “Onze richtlijnen voor de community, die we blijven ontwikkelen, zijn richtlijnen voor hoe je mag communiceren op Facebook”, eindigt de inleiding. “Met deze gedachte vragen we leden van de Facebook-community om deze richtlijnen te volgen.”

De Facebook-richtlijnen zijn wereldwijd van toepassing op alle soorten inhoud en zodanig ontworpen om allesomvattend te zijn. “Het doel van onze richtlijnen voor de community is om te stimuleren dat mensen zichzelf kunnen uiten en het creëren van een veilige community. We baseren ons beleid op input van onze community en van experts uit branches als technologie en openbare veiligheid”, stelt Facebook.

Beterschap op komst

Sinds 25 mei is een nieuwe Europese regelgeving van toepassing die organisaties verplicht om strenger met gegevens om te gaan en beschermt de Europese burgers tegen gegevensmisbruik. Uit GDPR of de General Data Protection Regulation volgt dat bedrijven binnen de 72 uur de toezichthoudende autoriteiten op de hoogte brengen van datalekken. De betrokkenen hebben het recht om toestemming van gegevensgebruik in te trekken en mag gegevensverwijdering eisen.

De Europese regelgeving maakt bovendien geen onderscheid tussen data die in een datacenter in Europa of elders in de wereld beheerd wordt. Bovendien moet in grootschalige bedrijven een Data Protection Officer aangesteld worden om te waken over de veiligheid van gebruikersgegevens.

De gegevens moeten met voldoende nadruk op veiligheid worden verwerkt door gebruik te maken van de noodzakelijke technische en organisatorische maatregelen. Dit beschermt de data tegen iedere niet toegelaten of onwettige raadpleging, verlies, vernietiging of wijziging.

Rechtszaak

Als data verzameld wordt, moet je als gebruiker daar expliciet toestemming geven. Veel bedrijven op het internet paste daarom hun privacybeleid aan. Voldoet een bedrijf niet aan de GDPR-richtlijnen, dan kunnen zij een boete krijgen die vier procent van hun wereldwijde omzet of 20 miljoen euro bedraagt bij een vaststelling van een overtreding.

Zowel Facebook als Google liggen al onder vuur en worden ervan beschuldigd de persoonlijke data van internetgebruikers te delen met andere bedrijven of organisaties. De Oostenrijkse privacy-activist Max Schrems legde een klacht neer tegen de technologiebedrijven. Het aangepaste privacybeleid gaat niet ver genoeg en gebruikers worden gedwongen tot een akkoord of niet akkoord en dat is een inbreuk tegen de regelgeving rond toegepaste content.

Besluit

Online privacy is een gevoelig onderwerp, maar de nieuwe Europese GDPR-richtlijnen zorgen ervoor dat je als Europese staatsburger een beter inzicht krijgt in de data die diensten verzamelen. De gegevens moeten worden bewaard in een vorm die het mogelijk maakt de betrokkenen te identificeren en niet langer worden bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor zij worden verwerkt.