Big Brother zit ove eral! Heel w wat instelliingen, perssonen of orrganisaties nemen hett niet zo nauw m met de privacy van de e burgers. D De Liga voo or Mensenrechten en La Ligue de es droits de l’hom mme hebbe en een aanttal kandidaaten op een n rijtje gezet die het reecht op privvacy niet respecteren. Hiero onder vindt u het doss ier van één n van de kan ndidaten.
ONLINE BEHAVIOURAL ADVERTISING (Online) behavioural advertising, targeting of marketing zijn de Engelse termen voor wat online reclame op basis van surfgedrag is. Het principe is behoorlijk eenvoudig: het surfgedrag van iemand op het internet wordt in detail gemonitord, meestal voor een onbepaalde periode. Het gaat nog een stap verder dan ‘contextual advertising’, wat betekent dat je bv. op een website met informatie over modetrends reclame zal aangeboden krijgen over kledijwinkels. Online reclame op basis van surfgedrag daarentegen bestaat erin een gedetailleerd profiel van de surfer op te maken, hetzij aan de hand van het IP‐adres1 van de gebruiker, of waarschijnlijker, aan de hand van de eigenste computer door het bewaren van ‘cookies’ in het surfprogramma dat men gebruikt om op het internet te navigeren, zoals Internet Explorer, Mozilla Firefox, Chrome, Opera enz.2 Cookies dienen verschillende doeleinden, zoals het bijhouden van je gebruikersnaam en wachtwoord voor een bepaalde website, maar bv. ook je taalinstellingen en andere instellingen die je verkiest voor een website. Ten laatste is er ook nog de categorie ‘tracking cookies’, welke de gebruiker actief zullen volgen tijdens zijn surfsessies en zijn of haar surfgedrag zullen registreren, bijhouden en doorsturen naar de server van welke deze afkomstig is. Wanneer je een website bezoekt, bezoek je immers een bepaald adres op een server. De instellingen van je surfprogramma zijn meestal zo ingesteld dat je cookies aanvaardt, deze bevorderen immers ook het gebruiksgemak. Langs deze weg probeert men informatie over je te vergaren, het zogenaamde ‘profiling’, welke men dan gebruikt voor marketing‐ of andere doeleinden. Het opmaken van een gedetailleerd gebruikersprofiel is zeer interessant voor marketingdoeleinden en hier kan flink wat mee verdiend worden. Vroeger waren het meestal adware‐ of spyware‐toepassingen van malafide oorsprong die data verzamelden op onze computers. Tegenwoordig is profilering echter volledig ingeburgerd en verloopt dit ook via een minder software‐matig intrusieve weg. Adware‐ en spyware‐toepassingen worden nu immers geweerd door antivirusprogramma’s. Tracking cookies daarentegen worden automatisch geïnstalleerd door servers van websites of toepassingen vereist voor het surfen. Indien men het surfprogramma zo instelt dat deze cookies telkens manueel aanvaard moeten worden of deze niet aanvaard worden, zal de gebruiker telkens meldingen krijgen en zijn websites zo geprogrammeerd dat het gebruiksgemak eronder zal lijden. Gebruikers kunnen dus cookies weigeren, met als gevolg dat het surfen gebruiksonvriendelijk wordt. Tracking cookies worden tegenwoordig door zowat alle commerciële websites gebruikt. Grote online advertentiewebsites zoals Google, Yahoo, Bing!, maar ook Amazon en Facebook 1
Het IP‐adres is het nummer dat je aansluiting in het internetnetwerk krijgt. Je kan dit vergelijken met je telefoonnummer en het telefonienetwerk. 2 Voor meer informatie over dit onderwerp, zie bv.: Centre for Democracy and Technology, CDT's Guide to Behavioural Advertising. Washington DC, 27 oktober 2009. http://www.cdt.org/privacy/targeting.
daarentegen, gaan een stap verder. Wanneer je bv. gebruik maakt van de zoekrobot van Google, dan zal de cookie op je computer bijhouden wat je zocht, wat je bezocht, welke artikel je aanklikte, m.a.w. je surfgeschiedenis en wat al je interesses zijn. Google gebruikt dit voor de reclame die ze aanbiedt bij haar eigen zoekresultaten. Google biedt echter ook – voor een kleine vergoeding per klik– advertentieruimte aan op allerhande websites. Wanneer je deze websites bezoekt, zal het cookie van Google op je computer bijhouden dat je deze websites hebt bezocht. Aan de hand van trefwoorden wordt de informatie op deze website en de bezochte webpagina in een categorie onderverdeeld en opgeslagen. Wanneer je dan een andere website bezoekt met opnieuw Google‐advertentieruimte, zal deze informatie opnieuw naar de cookie doorgestuurd worden. Zo kan een profiel van de gebruiker aangemaakt worden en kan de advertentieruimte op de website die je bezoekt aangepast worden aan je profiel, waardoor er meer kans is dat je geïnteresseerd bent in deze advertentie en je op de bijhorende link klikt. De nieuwste trend is dat je wanneer je aangemeld bent op Facebook, Google+, MySpace enz. en je andere websites bezoekt, je pagina’s, artikels e.d. kan delen of een waardering kan geven. Websites gebruiken dit uiteraard om zich te promoten, maar voor Google e.a. is dit uiteraard een extra bron aan informatie.
Extra zorgwekkende evoluties zijn ten eerste de opkomst van ‘flash cookies’, welke niet meer in de lijst van cookies in het surfprogramma voorkomen, maar elders tussen de software van de computer geïnstalleerd worden. Deze zijn uiteraard moeilijk opspoorbaar en zorgen er soms ook voor dat gewiste tracking cookies opnieuw en ongevraagd opduiken.3 Ten tweede wordt er nu ook getest of tracking cookies via het netwerk van de internetaanbieders kunnen opereren of via dit netwerk het surfgedrag van de gebruiker in de gaten kan gehouden worden. 4 Totaal gebrek aan respect voor de persoonlijke levenssfeer Er kunnen verschillende vragen gesteld worden over het vergaren van dergelijke berg aan persoonlijke informatie via cookies: was de gebruiker zich hiervan bewust? Kan de gebruiker dit weigeren? Welke –vertrouwelijke?– informatie vergaart men? Wat doet men met de vergaarde informatie? Wie krijgt deze informatie te zien? Wijze waarop informatie vergaard wordt Dergelijke cookies, ter ondersteuning van online reclame op basis van surfgedrag, kunnen na verloop van tijd dus een schat aan informatie herbergen over de gebruiker. De standaardinstellingen van surfprogramma’s en hun toepassingen zijn er zo naar gemaakt dat cookies automatisch worden geïnstalleerd op de computer van de gebruiker. De internetadvertentiebedrijven e.a. gebruiken namelijk het opt‐out principe, waarbij er van uit gegaan wordt dat de gebruiker impliciet akkoord gaat met de installatie van cookies op zijn computer en dus ook met de dataverzameling over zichzelf, tot hij deze zelf manueel verhindert of verwijdert.5 De gebruiker, wanneer hij niet op de hoogte is van dergelijke technologieën en zijn surfprogramma met standaardinstellingen installeert en gebruikt, wordt dus op geen enkele manier de toestemming gevraagd om grote hoeveelheden gedetailleerde informatie over hem/haar te verzamelen. De doorsnee gebruiker wordt m.a.w. in het ongewisse gelaten. Dit betekent dat tracking cookies zonder toestemming worden geïnstalleerd op een privaat toestel om private gegevens te verzamelen. Wanneer de bewuste gebruiker er nu echter zou voor kiezen om het gebruik van cookies uit te schakelen, zal hij snel ondervinden dat de gebruiksvriendelijkheid van vele websites er danig op achteruit gaat. Hij of zij zal hierover continu meldingen krijgen. Met andere woorden, de gebruiker zal zijn instellingen opnieuw op automatisch moet zetten en cookies toelaten om zich te verzekeren van enig gebruiksgemak.
3
Deze praktijk wordt ‘respawning’ genaamd in het Engels jargon. Groep Gegevensbescherming Artikel 29, Advies 2/2010 over online reclame op basis van surfgedrag (‘behavioural advertising’). Brussel, 22 juni 2010. http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp171_nl.pdf. 5 EDRI, Behavioural targeting at the European Consumer Summit. Brussel, 8 april 2009. http://www.edri.org/edri‐gram/number7.7/behavoural‐target‐eu‐consumers. 4
Een ander, recent, probleem is dat websites zoals Facebook gebruikers ook blijven volgen nadat deze uitgelogd zijn of zelfs wanneer deze hun gebruikersnaam definitief opgezegd hebben bij Facebook.6 Dit kan doordat de cookies op de computer aanwezig blijven en dus ook actief blijven. De aanbieders van cookies die dit wensen kunnen cookies programmeren die voor onbepaalde tijd gegevens verzamelen en doorsturen, zonder dat de gebruiker zich hiervan bewust is. Gebrekkige bescherming burger De Europese Unie amendeerde de e‐Privacy richtlijn in 2009 om deze aan te passen aan de technologische evoluties. Een relevante wijziging m.b.t. tot ‘behavioural advertising’ en de daarbij gebruikte ‘tracking cookies’ bestaat erin dat gebruikers geïnformeerd en voorafgaand aan de installatie van cookies expliciete toestemming moeten geven.7 Deze gewijzigde richtlijn moest door de lidstaten omgezet worden naar nationale wetgeving tegen ten laatste 25 mei 2011. De Belgische federale instellingen hebben deze Europese richtlijn echter tot op vandaag nog steeds niet omgezet.8 In haar Opinie 2/2010 over online reclame op basis van surfgedrag, stelt de Groep Gegevensbescherming Artikel 29, een organisme van de EU, (vanaf nu Groep 29) dat duidelijke en volledige informatie moet aangeboden worden aan de gebruikers, die a.h.v. deze informatie dan hun toestemming kunnen verlenen. Wanneer deze informatie niet aangeboden werd, zou het volgens hen niet toegelaten mogen zijn om toestemming überhaupt te kunnen verlenen. Verder moet deze procedure gevolgd worden alvorens er een cookie wordt geïnstalleerd. De Groep 29 benadrukt dat meldingen die de gebruiker wijzen op het hoe en waarom van cookies en hoe hij deze kan uitschakelen, onvoldoende zijn. De aanbieder van een cookie moet de bestemmeling voorafgaandelijk informeren en zijn toestemming verkrijgen. De Groep 29 gaat hierop verder door te stellen dat de standaardinstelling van een surfprogramma in het voordeel van de installatie van cookies, niet als een voorafgaande en geïnformeerde toestemming kan gezien worden. 9 Dit zijn terechte probleemstellingen. In de realiteit hebben de aanbieders van cookies er echter geen baat bij dat dit gebeurt. Zonder daadwerkelijke verplichting en controle zullen zij dergelijke aanbevelingen niet ter harte nemen. De belangenverdedigingsorganisatie van de online advertentiebedrijven, Interactive Advertising Bureau Europe (IAB.europe) volgt 6
De Morgen, Facebook blijft gebruikers volgen na opzegging account. Brussel, 4 november 2011. http://www.demorgen.be/dm/nl/5403/Internet/article/detail/1343714/2011/11/04/Facebook‐blijft‐ gebruikers‐volgen‐na‐opzegging‐account.dhtml. 7 In overeenstemming met Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. 8 Interactive Advertising Bureau.be, IAB wijst op impact van te strenge cookie‐wet. Brussel, oktober 2011. http://iab‐belgium.be/nl/iab/strengecookiewet.aspx?blogmonth=10&blogyear=2011&blogid=40646. 9 Groep Gegevensbescherming Artikel 29, Advies 2/2010 over online reclame op basis van surfgedrag (‘behavioural advertising’). Brussel, 22 juni 2010. pp. 14‐22. http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp171_nl.pdf.
inderdaad deze aanbevelingen niet en stelt dat haar leden de informatie zouden moeten vermelden op de websites van de cookie‐aanbieders, alwaar dan een link zou kunnen gevonden worden om de gebruiksinstellingen te wijzigen.10 Naast het vrijblijvende karakter van deze aanbeveling, hoeft het niet benadrukt te worden dat gebruikers nauwelijks van deze mogelijkheid zullen gebruik maken omdat deze informatie moeilijk vindbaar is of verdrinkt tussen de vele andere pagina’s aan algemene‐ en gebruiksvoorwaarden. Dat gebruikers zelf een link moeten gaan opzoeken en volgen om daar hun instellingen te wijzigen en dat voor elke andere cookie opnieuw moeten doen, is totaal irrealistisch en praktisch niet haalbaar voor internetgebruikers. Op deze wijze wordt alle last bij de gebruiker gelegd en al de voordelen bij deze die de informatie vergaart en er profijt uit haalt. De aanbieders van cookies moeten deze echter kunnen opslaan bij de gebruiker en hiervoor is een surfprogramma nodig. Het probleem bij al deze programma’s is dat de standaardinstellingen automatisch alle cookies aanvaarden. Dat wil zeggen dat letterlijk iedereen toegang kan krijgen tot het dagdagelijkse surfgedrag van de gebruiker d.m.v. een tracking cookie. Andere opties verhinderen ofwel totaal het plaatsen van cookies (hoewel dit op flash cookies geen effect zou hebben) of bieden een optie in het midden aan. Beide opties, en iedereen kan dit in de praktijk ondervinden, zorgen echter voor een dermate groot gebruiksongemak, dat de gebruiker zo goed als geen andere keus heeft om de automatische instelling opnieuw te activeren. Naast de agressieve wijze waarop cookies worden geïnstalleerd op private computers zonder de toestemming van de gebruiker, bieden de makers van surfprogramma’s dus geen enkele gebruiksvriendelijke en softwarematige oplossing aan die dit probleem enigszins zou kunnen verhelpen. Gebrekkige gegevensbescherming De hoeveelheid informatie die tegenwoordig verzameld wordt is enorm en zonder voorgaande. Ook data met betrekking tot de seksuele geaardheid, gezondheid, etnische origine, politieke, religieuze en filosofische overtuigingen kan en wordt verzameld. Hoewel ook bij overheden de grenzen aan het vervagen zijn i.v.m. het koppelen van databanken en het verzamelen van persoonlijke informatie, zijn deze toch nog onderhevig aan enige wetgeving en controle. Private internationale bedrijven opereren echter in een juridisch minder beperkt en complexer speelveld dan de nationale overheden. De vele meldingen en vragen in de media over schendingen van de persoonlijke levenssfeer op internet en het eenzijdig opdringen van wijzigingen in de gebruiksvoorwaarden m.b.t. tot de persoonlijke levenssfeer, geven uiting aan een toenemende ongerustheid bij de burger.11 10
IAB Europe, IAB Europe EU Framework for Online Behavioural Advertising. Brussel, 18 juli 2011. http://www.iabeurope.eu/media/55448/iab%20europe%20report%20july_28.pdf 11 De Morgen, Mensen liggen wakker van hun online privacy. Brussel, 28 oktober 2011. http://www.demorgen.be/dm/nl/5403/Internet/article/detail/1340992/2011/10/28/Mensen‐liggen‐wakker‐ van‐hun‐onlineprivacy.dhtml.
Bij Facebook en Google, om de bekendste te noemen, zijn er talloze schendingen van de persoonlijke levenssfeer. Bij vele advertentiebedrijven is het daarnaast ook een kwestie van gebrek aan transparantie. Gebruikersinstellingen worden eenzijdig ‘geactualiseerd’ zonder dat de gebruiker er erg in heeft, de algemene voorwaarden zijn zo lang en in juridisch jargon opgesteld dat niemand ze leest of begrijpt, de beveiliging van de databanken voldoet niet, datalekken en hacker‐inbraken worden verzwegen enz. Aangezien het in vele gevallen gaat om cookies die veel persoonlijke informatie verbergen, tot wachtwoorden toe, zijn de databanken met cookies niet alleen een schat aan informatie, maar dus ook een schat aan inkomsten. Hackers hebben het gemunt op servers die dergelijke cookies bewaren. Door in te breken in deze servers, kunnen hackers niet enkel de persoonlijke profielen verzamelen van gebruikers, maar ook aan die profielen gekoppelde e‐ mailadressen, namen en andere persoonlijke en gevoelige informatie. Deze informatie wordt dan op malafide wijze uitgebuit en/of verkocht aan derde partijen en misbruikt voor oplichting en het versturen van spamberichten.12 De Groep Gegevensbescherming Artikel 29 geeft aan uitermate bezorgd te zijn over de implicaties van deze praktijken voor de bescherming van de persoonlijke levenssfeer en data. De industrie faalt volgens Groep 29 in het degelijk informeren van burgers en in het verschaffen van gebruiksvriendelijke toepassingen die gebruikers de mogelijkheid geven te controleren welke informatie zoal over hen vergaard wordt. Aanbevelingen Wanneer iemand je alle dagen zou volgen en al wat je doet zou registreren, waar je ook gaat ‐ buitenshuis of binnenshuis – en deze persoon camera’s in je huis zou plaatsen enz., dan zou je deze persoon terecht aanklagen voor stalking en schending van de persoonlijke levenssfeer. Toch is het net dergelijk gedrag dat we dagdagelijks ‐ bewust of onbewust ‐ tolereren van de online advertentiebedrijven en andere aanbieders van cookies. Hoewel het verwerven van informatie op internet voor reclamedoeleinden, binnen een wettelijk kader en mits toestemming van de gebruiker, een legitiem middel is en moet zijn voor advertentiebedrijven, moet dit gebeuren met respect voor de persoonlijke levenssfeer van elke burger. Het kan niet normaal genoemd worden dat bedrijven, zonder daar onze toestemming voor te vragen of te hebben, toepassingen installeren op onze computers die geheel ons virtuele leven volgen. De advertentiebedrijven e.a. hebben de plicht de burgers op een transparante wijze te informeren over de gegevens die zij verzamelen over deze burger via zijn of haar computer en de burger daar controle over te geven. Met andere
12
De Morgen, Gegevens van 50.000 Belgische en Franse e‐mailaccounts online gezet. http://www.demorgen.be/dm/nl/5403/Internet/article/detail/1346832/2011/11/11/Gegevens‐van‐50‐000‐ Belgische‐en‐Franse‐e‐mailaccounts‐online‐gezet.dhtml.
woorden, zij worden gevraagd artikel 8 van het Europees Verdrag voor de Rechten van de Mens te respecteren.13 Dit kan echter niet alleen aan de bereidwilligheid van deze bedrijven overgelaten worden. De verschillende internationale en Europese verdragen omtrent de bescherming van de persoonlijke levenssfeer moeten geïmplementeerd worden door de Europese en Belgische overheid, die deze bepalingen ook moeten laten naleven. In eerste instantie moet de federale overheid opgeroepen worden werk te maken van het omzetten van de geamendeerde Europese richtlijn omtrent e‐Privacy. Bij het omzetten van deze richtlijnen in nationale wetgeving moet de federale wetgever de aanbevelingen van de Groep 29 ter harte nemen en de private spelers op deze markt verplichten de burgers degelijk te informeren en deze om toestemming te vragen om cookies te mogen installeren op hun computers. Cookies moeten niet alleen expliciet aanvaard worden door internetgebruikers na voorafgaande informatie te hebben ontvangen, hun activiteit moet ook in de tijd beperkt worden. Op zijn minst moet de burger een periodieke melding krijgen dat cookies nog aanwezig en actief zijn op haar of zijn computer. Het gebruik van flash cookies, die op een verdoken wijze geïnstalleerd worden om gebruikers te misleiden, moeten worden verboden zodat antivirusprogramma’s deze kunnen detecteren en uitschakelen. Zij dienen er immers toe de wil van de gebruiker te omzeilen of teniet te doen en zijn dus een rechtstreekse bedreiging voor de persoonlijke levenssfeer en inbraak op de rechten van de gebruiker. Zoals elke verzameling van persoonlijke gegevens, indien niet tot anonimiteit herleid of geaggregeerd, moet elke burger het recht hebben om de gegevens die over haar/hem verzameld werden te raadplegen en te wijzigen, zoals in overeenstemming met bestaande wetgeving ter bescherming van de persoonlijke levenssfeer.14 Surfprogramma’s zoals Internet Explorer, Mozilla Firefox, Chrome, Opera enz. moeten hun bestaande werkwijze omkeren en de privacy van de gebruiker voorop stellen. De bedrijven die deze programma’s leveren moeten hun programma’s zodanig wijzigen dat de gebruiker, zonder dat het gebruiksgemak hieronder al te veel lijdt, op een eenvoudige wijze cookies kan 13
Artikel 8 – Recht op eerbiediging van privé familie‐ en gezinsleven 1. Een ieder heeft het recht op respect voor zijn privé leven, zijn familie‐ en gezinsleven, zijn woning en zijn correspondentie. 2. Geen inmenging van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voor zover bij wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen. 14 Zoals Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.
weigeren. Het scheiden van cookies ter bevordering van het gebruiksgemak van tracking cookies kan hierbij ook helpen. De bestaande praktijk van opt‐out moet dus omgekeerd worden naar deze van opt‐in. De burger moet de keuze krijgen i.p.v. een keuze opgedrongen te krijgen. Wij roepen advertentiebedrijven en andere aanbieders van cookies op geen elektronische communicatiemiddelen te gebruiken om informatie te verzamelen, te stockeren en deze te raadplegen, op de computers van de gebruiker, zonder dat: ‐ duidelijke, begrijpbare en volledige informatie werd verschaft aan de gebruiker over het doel van de cookies, hun informatievergaring en toegang daartoe. ‐ de gebruikers de kans kregen de informatievergaring en toegang daartoe te weigeren. Wij roepen de federale regering en wetgevende macht op de omzetting van de geamendeerde EU‐richtlijn omtrent e‐Privacy spoedig om te zetten in nationale wetgeving en daarbij de bescherming van de persoonlijke levenssfeer en data van de burgers als prioriteit te stellen. Wij roepen de softwarebedrijven op hun internetsurfprogramma’s aan te passen zodat deze de rechten van de gebruikers voorop stellen en de standaardinstellingen van hun programma’s te wijzigen van opt‐out naar opt‐in betreffende cookies. NUTTIGE LINKS http://www.edri.org/ http://www.cdt.org/ http://www.iabeurope.eu/
