GDPR is een gemiste kans in privacybescherming

GDPR stelt zich te veel voor van de controle die mensen over hun eigen data hebben. Uit de praktijk blijkt dat dat helemaal niet werkt en dus is de wet een gemiste kans.

De algemene verordening inzake gegevensbescherming van de Europese Unie, die op 25 mei in werking is getreden, is een hoognodige actualisering van de richtlijn gegevensbescherming van 1995 en in veel opzichten een aanzienlijke verbetering. Daniel Solove, een vooraanstaand privacy-onderzoeker, zegt dat het een "blauwdruk voor de bescherming van gegevens biedt die grondiger en vollediger is dan bijna elke andere privacywet…".

Helaas is het belangrijkste uitgangspunt, de bescherming van de persoonlijke levenssfeer door middel van het recht van personen om controle te hebben over hun eigen gegevens, niet geactualiseerd.

Individuele controle van gegevens is niet effectief

Onder de Amerikaanse wetgeving produceren financiële instellingen, artsen en websites privacyverklaringen die niemand leest. De bestaande EU-cookierichtlijn vereist dat websites bezoekers op de hoogte stellen van het feit dat ze cookies gebruiken, maar mensen klikken ze weg of negeren ze. Het recente boek van Woodrow Hartzog, Privacy's Blueprint, bevat vele illustraties van hoe de controlemechanismen er niet in slagen om privacy te beschermen. Toestemmings-vermoeidheid maakt mensen afgestompt en zorgt ervoor dat ze de berichten negeren die bedoeld zijn om hen te beschermen.

Op het gebied van GDPR had de EU de kans om op deze erkende mislukking te reageren met een creatieve nieuwe aanpak. In plaats daarvan heeft de EU nog meer de nadruk gelegd op het verkrijgen van consent door te eisen dat organisaties een ontegenzeggelijke verklaring van overeenstemming nodig hebben voordat informatie kan worden verzameld.

Een van de gevolgen daarvan was de stortvloed van toestemmingsverklaringen in onze inboxen gedurende de afgelopen maand of zo. Aangezien de toestemmingsvoorwaarden zijn gewijzigd, heeft iedereen die een mailinglijst beheert waarop mogelijk Europese contacten staan, een afmeldmogelijkheid naar de mensen op de lijst gestuurd.

Sommige Amerikaanse uitgevers hebben Europeanen tijdelijk de toegang tot hun websites ontzegd uit angst voor deze nieuwe regels voor toestemming. De advertentienetwerken en de uitgevers betwisten wie voor het verzamelen van de nieuwe bevestigende toestemmingen voor gerichte advertenties verantwoordelijk zou moeten zijn.

Na verloop van tijd zullen deze overgangskwesties worden opgelost. Ondernemingen zullen echter nog steeds te maken hebben met omslachtige en dure toestemmingsmechanismen die consumenten zullen blijven behandelen als storende irriterende stoffen.

De privacy-lessen van Cambridge Analytica

Zelfs rationele en goed geïnformeerde consumenten kunnen er niet voor kiezen zichzelf te beschermen tegen privacyschade, omdat hun veiligheid niet alleen afhangt van hun eigen handelen. Hun privacy hangt voor een groot deel af van wat anderen over zichzelf onthullen.

Dat is één les uit de Cambridge Analytica episode. Onderzoekers van de Universiteit van Cambridge maakten een Facebook-app die gebruikers vroeg om hun Facebook-profielgegevens te delen en psychologische vragen te beantwoorden uit een standaard persoonlijkheidsvragenlijst. Zij gebruikten de antwoorden om gebruiker-persoonlijkheidsprofielen aan te maken.

De onderzoekers beschikten over miljoenen records waarin psychometrische scores en Facebook-gegevens aan elkaar werden gekoppeld, wat verbazingwekkend nauwkeurige voorspellingen over Facebook-gebruikers mogelijk maakte. Zelfs als sommige mensen zorgvuldig waren over het onthullen van ras, seksuele geaardheid en politieke tendensen, waren anderen dat niet. Dit liet de onderzoekers toe om die gevoelige feiten te voorspellen die de mensen niet hadden gedeeld, op basis van minder intieme feiten die ze wel hadden onthuld.

Cambridge Analytica ontwikkelde een gelijkende psychologische test. Misschien werd het slechts door een paar honderdduizend mensen gebruikt, maar uit de gegevens werden gevolgtrekkingen gemaakt over de politieke voorkeuren van miljoenen potentiële stemmen. Ondanks de onenigheid over de vraag of hun model wel klopte of effectief was, is het duidelijk dat zo'n model gebruikt zou kunnen worden om het stemgedrag te beïnvloeden van mensen die hun politieke opvattingen nooit kenbaar hadden gemaakt.

Een ander voorbeeld. Californische wetshandhavingsambtenaren hebben onlangs een verdachte geïdentificeerd in een reeks verkrachtingen en moorden uit de jaren zeventig en tachtig. Om deze "Golden State Killer" te lokaliseren, koppelden ze DNA uit de oorspronkelijke misdaadscènes aan genetische gegevens die werden geüpload naar een openbare genetische informatiematchingsite. Maar de informatie op de website was niet die van de verdachte. Hij had zijn genetische informatie niet openbaar gemaakt. De genetische informatie in de databank kwam van zijn familieleden die er vrijwillig voor hadden gekozen om deze daar te plaatsen. Onbekend bij de moordenaar verstrekte zijn familie de genetische aanwijzingen die wetshandhaving toelieten om hem op te sporen.

Zoals deze gevallen laten zien, kan persoonlijke informatie worden verzameld met behulp van andere beschikbare bronnen, zelfs als sommige mensen perfecte data-hygiëne beoefenen. Mensen kunnen nog steeds indirect schade lijden door politieke manipulatie of blootstelling aan individuele genetische zwaktes. We kunnen allemaal manieren bedenken om de privacy van informatie in deze gevallen te beschermen, maar geen van de effectieve maatregelen is afhankelijk van individuele controle.

Beschermen van privacy is als beschermen van het milieu

De bescherming van de persoonlijke levenssfeer kan niet op individuele basis plaatsvinden, omdat mensen met elkaar verbonden zijn door biologische, psychologische en sociale overeenkomsten en relaties. Zo heeft het in de wetenschap altijd al gewerkt. Nieuw is de mate waarin observatie en gevolgtrekking op basis van deze overeenkomsten onvermijdelijk zijn in de digitale wereld van vandaag.

Voorvechters van privacy en wetenschappers zien al jaren de grenzen van de controle over individuele gegevens. In 2009 reageerde de privacygroep World Privacy Forum in haar commentaar aan de Federal Trade Commission: "Zelfs de meest informatiebewuste, privacy-gevoelige consument kan niet ontkomen aan profilering door zorgvuldige informatiegewoonten."

Deze profielen kunnen voor goed zaken worden gebruikt - voor het identificeren van mensen met een niet-gediagnosticeerde ziekte of een risico op een mislukking op school zonder extra hulp of het risico om een terroristische daad te plegen - maar ook voor slechte zaken. Zij kunnen echter niet naar eigen individueel believen worden gewist of gecontroleerd. Ook al zouden gewone consumenten kunnen worden overgehaald om de gegevensverzamelingspraktijken nauwlettend in de gaten te houden, wat onrealistisch is, toch zullen zij indirect te maken krijgen met informatielekken, zoals in de zaken van Cambridge Analytica en de Golden State Killer.

Ik heb in 2011 de aandacht gevestigd op deze informatie-externaliteiten in een artikel over wettelijke bepalingen. Onlangs zijn privacygeleerden Karen Levy en Solon Barocas begonnen met een taxonomie van deze privacy-afhankelijkheden waar informatie over de ene persoon informatie onthult over anderen.

Het vermogen van data-analytici om steeds nauwkeurigere conclusies te trekken uit gemakkelijk beschikbare gegevens betekent dat deze externe effecten en afhankelijkheden geen zeldzame grillige curiosa zullen zijn. Het zullen alomtegenwoordige elementen van het dagelijks leven worden.

In een dergelijke onderling verbonden wereld zal het vertrouwen in de zeggenschap van de consument over zijn eigen informatie nog minder doeltreffend zijn dan in het verleden het geval is geweest. Ondanks de gemiste kans in GDPR, moeten alle academici, vertegenwoordigers van het bedrijfsleven, advocaten en beleidsmakers zich richten op betere manieren om mensen te beschermen tegen echte privacyschade.

Related:

Copyright © 2018 IDG Communications, Inc.

Discover what your peers are reading. Sign up for our FREE email newsletters today!