Machtsstrijd: de wereld na de cookie

Na het slopen van de cookiemuren lijkt ook de cookie zelf op zijn retour. Van Microsoft tot Google: ze werken allemaal aan anonieme profielsystemen. Grootste nadelen: geen standaardisatie en geen controlemechanismen.

Het was nieuws dat de aandacht trok: Google wil af van third-party cookies en deze vervangen door een anoniem volgsysteem dat voorlopig AdID is gedoopt. Dat systeem bevat gegevens waar adverteerders onder strenge privacyvoorwaarden mee aan de slag kunnen.

Naar verluidt krijgt AdID een looptijd van een jaar, waarna de browser de gegevens automatisch verwijdert. Ook zouden gebruikers een tweede AdID kunnen aanmaken voor sessies die ze strikt privé willen houden. Adverteerders moeten verder akkoord gaan met bepaalde privacyvoorwaarden die nog niet zijn gepubliceerd. Google lijkt het nieuwe systeem overigens al te hebben besproken met toezichthouders en consumentenorganisaties. En denkt dat het met een eigen systeem gebruikers meer controle kan bieden.

Ook Microsoft zoekt naar alternatieve volgmethoden. Het alternatief voor de cookie zou bij hen reeds intern zijn getest. In eerste instantie wil het bedrijf er gebruikers mee kunnen volgen tussen desktops, laptops, tablets en smartphones, mits die op software van Microsoft draaien. Maar ook het gedrag op de Xbox-spelcomputer, Internet Explorer en zoekmachine Bing zou op deze wijze beter in kaart kunnen worden gebracht. Het cookie-alternatief zou het bedrijf ook moeten helpen om gepersonaliseerde advertenties op Windows-apparaten te tonen. Volgens de softwarereus is de nieuwe technologie beter voor de privacy van de gebruiker, aangezien de data alleen door Microsoft zelf wordt beheerd.

Pseudonymiseren
Cookies zijn ooit ontwikkeld voor tijdelijke opslag van gegevens, maar tegenwoordig zijn ze onmisbaar voor profielen, voorkeursinstellingen, optimalisatie, retargeting (het opnieuw tonen van eerder bekeken advertenties), verificatie, webanalyse en virtuele winkelmandjes. Het verzet daartegen is de laatste jaren gegroeid: de politiek vond dat aan het vergaren van persoonsgegevens paal en perk moest worden gesteld: consumenten moesten beschermd en geïnformeerd worden.

Er kwamen nieuwe regels en van de weeromstuit gebruikersonvriendelijke cookiemuren. “Nederland is het enige land ter wereld waar tot in het parlement zo uitgebreid is gesproken over cookies”, zegt Auke van den Hout van Adatus en vicevoorzitter van IAB Nederland. De brancheorganisatie is tevreden met het compromis dat uiteindelijk in het parlement is afgesproken, zegt Van den Hout. Minister Kamp van Economische Zaken werkt inmiddels aan een versoepeling van de regelgeving. Hierdoor vallen voor dienstverlening nuttige cookies, zoals analytische cookies, A/B-testingcookies en affiliate cookies, niet langer onder de informatieplicht en de zogenoemde toestemmingsvereiste. Er wordt alleen om toestemming gevraagd in die gevallen waarin dit ook daadwerkelijk voor de privacy van de gebruiker van belang is. “We zijn blij dat deze periode achter ons ligt”, aldus IAB’s vicevoorzitter. “De branche heeft veel kosten moeten maken om dit proces te begeleiden en het wetsvoorstel dat er nu ligt, houdt ons inziens voldoende rekening met zowel de belangen van de consument als die van de adverteerder.”

Ook in Europees verband zijn er interessante ontwikkelingen. Dit najaar heeft het Europees Parlement in principe ingestemd met nieuwe en strengere Europese privacywetgeving. Er ligt nu een voorstel waarbij bedrijven privégegevens mogen gebruiken als ze die ‘pseudonymiseren’: het idee is dat je de verzamelde profielgegevens niet toekent aan een persoon, maar aan een activiteit. De persoon an sich is niet interessant, alleen zijn profiel.

Schade

Groot voorstander daarvan is Europarlementariër Seán Kelly. “Het is voor bedrijven ondoenlijk om bij het verzamelen van profielinformatie daar iedere keer toestemming voor te vragen,” vertelde Kelly eerder dit jaar aan Emerce. “De praktijk is dat de meeste consumenten de verzoeken om expliciete toestemming voor datacollectie niet eens zullen zien. En dus zullen ze ook geen toestemming geven. Bedrijven kunnen vervolgens niet adverteren, wat weer schadelijk is voor de onderneming. Het voorstel voor opname van pseudo-anonimisering haalt de eis voor expliciete toestemming bij datacollectie voor targeting wel weg.”

Niet iedereen ziet de plannen zitten. Volgens Sophie in ’t Veld, fractievoorzitter voor D66 in het Europees Parlement, is de persoon achter een pseudoniem nog steeds makkelijk te achterhalen. Burgerrechtenbeweging Bits of Freedom kan zich ook al niet vinden in de stelling dat het meeste volgen en profileren van gebruikers ‘geen significante inbreuk pleegt op hun rechten’. “Onbegrijpelijk in een tijd waarin data wordt gelekt, doorverkocht en opgevraagd door buitenlandse afluisterdiensten.”

Volgens Janneke Stoeltjes, privacyadvocaat bij Bits of Freedom, laat het Europees Parlement hiermee blijken er bijzonder weinig van te begrijpen. “Zij doen de kans om nieuwe regels voor profiling vast te stellen eigenlijk teniet door een uitzondering voor ‘pseudo-anonieme data’ toe te juichen, terwijl het gebruik van een pseudoniem niets verandert aan de mogelijkheden om gebruikers te volgen.” Zelfregulering werkt aantoonbaar niet, daar is de datamarkt te groot en te lucratief voor, zegt Stoeltjes. “We moeten duidelijke en technologieneutrale regels vaststellen die in heel Europa gelden. En moeten voorkomen dat mensen zich onveilig, bespied en achterdochtig online begeven.”

Grensgevallen
Verzet komt ook uit andere hoeken. Mozilla, de non-profitorganisatie achter de webbrowser Firefox, heeft onlangs een stukje software uitgebracht waarmee iedereen kan zien welke websites en commerciële organisaties gebruikers volgen op internet. Deze toevoeging – Lightbeam geheten – is belangrijk, zegt directeur Mark Surman van Mozilla, “omdat iedereen over zijn eigen gegevens en privacy moet kunnen beslissen.”
Mozilla was ook de eerste (browser)organisatie die gebruikers in staat stelde om sommige ‘trackingcookies’ te blokkeren. Gebruikers wissen of blokkeren inmiddels al actief dertig tot veertig procent trackingcookies, zo blijkt uit gegevens. De Safaribrowser van Apple staat zelfs standaard al zo ingesteld: 76 procent zou die instelling ongemoeid laten.

Mozilla heeft zich, net als het Noorse browserbedrijf Opera, eerder dit jaar aangesloten bij een project van de Stanford Universiteit en enkele privacyorganisaties om het gebruik van ongewenste cookies in te perken. Het zogenoemde Cookie Clearinghouse van de Stanford Universiteit wil verder gaan dan de standaard Do Not Track (DNT) waarover browsermakers en adverteerders het maar niet eens kunnen worden. Cookie Clearinghouse hanteert onder meer een centrale lijst waarop wordt aangegeven of een bepaald domein ongewenste volgcookies plaatst op de computer van gebruikers. “Do Not Track en onze oplossing zien we als heel verschillende zaken die prima naast elkaar kunnen bestaan”, zegt de Nederlander Rob van Eijk (onder meer verbonden aan het Centrum Regionale Kennisontwikkeling van de Universiteit Leiden) die aan het overleg deelneemt. “DNT gaat over wat te doen als een gebruiker aangeeft niet gevolgd te willen worden. Ons initiatief wil gebruikers en ontwikkelaars in staat stellen privacyvriendelijke oplossingen te presenteren.”

Mozilla en Opera hebben inmiddels aangegeven met de lijst de browser te willen verbeteren, zodat deze vergelijkbaar is met de instellingen voor cookies op Apples Safaribrowser. De Firefoxbrowser zou zodoende bijvoorbeeld niet meer kunnen toestaan dat als een gebruiker uitlogt bij een sociaal netwerk, het volgen gewoon doorgaat.

Volgens Van Eijk zitten er haken en ogen aan het verouderde technische concept van de cookie uit 1994. Daarom is het voor de browsers belangrijk om grensgevallen goed te bestuderen. “Het moet bijvoorbeeld mogelijk zijn om een opt-out cookie te plaatsen, zonder dat daarmee een deur wordt opengezet voor het plaatsen van andere cookies.”

Blokkade
Het hanteren van een centrale lijst die wordt gedownload naar de browser is maar een van de mogelijkheden. “Dat soort lijsten bestaat veel langer”, zegt Van Dijk. “Denk aan het populaire Ghostery, of aan de browser add-on PrivacyChoice TrackerBlock. Alle lijsten hebben hetzelfde doel voor ogen, namelijk het vergroten van transparantie. Het internet zit technisch gezien immers al ingewikkeld genoeg in elkaar.”

Inmiddels zijn de plannen om in Firefox standaard third-party cookies te blokkeren alweer op de lange baan geschoven. De blokkade komt er niet eerder dan medio 2014 of helemaal niet meer. Zelfs intern wordt de stap toch als tamelijk radicaal gezien.

Maar bovenal zijn het de grote internetbedrijven die nu ideeën kenbaar hebben gemaakt om hun eigen volgtechnieken in te zetten en het gebruik van cookies los te laten. De plannen zijn wederom slecht nieuws voor advertentiebureaus die nog altijd op grote schaal trackingcookies gebruiken om profielen te creëren van websitebezoekers.

Vorig jaar introduceerde Apple al eens een eigen reclamecookie voor zijn mobiele telefoons en tablets. Over Apples ID for advertisers maakte de reclamebranche zich toen nog niet zo druk, omdat cookies op tablets en smartphones nu eenmaal niet of minder goed werken, zeker wanneer apps worden gebruikt.

Daarnaast neemt de vraag naar specifieke gebruikersgegevens toe. Een van de grootste gegevensverzamelaars uit de Verenigde Staten, Acxiom, probeert online sporen van een consument zelfs te koppelen aan politieke voorkeur en inkomen. Het bedrijf beschikt vandaag de dag al over een immense database met profielen van meer dan zevenhonderd miljoen gebruikers.

Grote jongens
In principe zou de politiek ook moderne volgtechnieken aan banden kunnen leggen. Fingerprinting valt in Nederland reeds onder de huidige telecommunicatiewet. Van Eijk denkt dat afschaffing van cookies niet de oplossing is. “Het privacyprobleem wordt daardoor alleen maar groter. Cookies zijn namelijk zo gek nog niet, die worden in de browser verwerkt en zijn daarom een technisch middel dat het juridische principe van transparantie bewerkstelligt. Op het moment dat op grote schaal overgegaan wordt op trackingmiddelen zonder cookies, ben je de transparantie kwijt.”

Ook het IAB vindt de alternatieven geen goed idee. Begrijpelijk vanuit hun optiek, want er staat veel op het spel: jaarlijks wordt wereldwijd bijna honderd miljard euro uitgegeven aan digitale advertenties. De branchevereniging is daarom zelf een oriënterende studie gestart onder de noemer The Future of the Cookie. IAB-bestuurder Van den Hout: “Ik zou me toch echt zorgen gaan maken als adverteerders in de toekomst bij de grote jongens moeten aankloppen om onder hun voorwaarden inzicht te krijgen in gebruikersgegevens. Al begrijp ik goed dat het voor hen het ideale ecosysteem is: de gebruiker geeft in ruil voor diensten toestemming dat zijn gegevens worden geanalyseerd.”

Van den Hout verwacht echter niet dat de cookie op termijn zal verdwijnen. Wat er volgens hem wel moet gebeuren, is dat de consument inzicht krijgt in de verwerking van die gegevens. “Ik vergelijk het met de voedselketen. We aten eieren en kipfilet zonder te weten wat erachter zat. Nu is dat belangrijk geworden. We willen weten hoe die keten in elkaar steekt. Zo ook met de dataketen. Als ik daar inzicht in heb, kan ik zelf bepalen welke cookie ik wel en niet accepteer.”

Fingerprinting
Fingerprintingtechnieken die cookies omzeilen, worden steeds vaker ingezet. Onderzoekers van KU Leuven vonden onlangs op zeker vierhonderd websites dergelijke op JavaScript gebaseerde technieken. Anderen gebruiken weer Flash-fingerprinting, waarmee standaardinformatie, zoals lettertypes, schermgrootte en gebruikte softwareversie, via de browser wordt verzameld. Op deze manier kan een gebruiker eveneens worden herkend, zelfs als hij alle cookies heeft geblokkeerd.

En er zijn meer mogelijkheden. Bewegingssensoren zouden in de toekomst gebruikt kunnen worden om individuele smartphonegebruikers te herkennen en zo cookies te vervangen. De bewegingssensor (accelerometer) is namelijk te herkennen aan zijn imperfectie, aldus promovendus Hristo Bojinov van de Stanford Universiteit. Die afwijkingen ontstaan bij de assemblage van smartphones of tablets, waardoor de apparaten nooit honderd procent identiek zijn.

Onderzoekers van de Technische Universiteit van Dresden hebben weer een andere identificatiemethode ontwikkeld, waarbij kleine variaties in het radiosignaal ter herkenning worden gebruikt.

Gesjoemel
Bits of Freedom ziet het gebruik van cookies, device fingerprinting en andere trackingtechnologie voornamelijk als een zich steeds verder ontwikkelende strijd om de controle over de persoonlijke gegevens van internetters te krijgen. “Naar onze mening hoort die controle altijd in de eerste plaats aan de gebruiker toe te komen, die dan vervolgens zelf kan beslissen of en in hoeverre hij die controle uit handen wil geven aan een adverteerder, een fabrikant van een device of een andere partij die gebruikers volgt”, zegt privacyadvocaat Stoeltjes van Bits of Freedom. “De manieren om gebruikers te volgen en die informatie te gebruiken, nemen sterk toe. Naarmate de waarde van profielen stijgt, wordt die controlevraag steeds belangrijker, omdat de implicatie voor privacy steeds groter wordt. Dat is zorgwekkend, in elk geval zolang er geen duidelijke en werkbare regels zijn die de voorwaarden voor het gebruik van deze technologieën regelen.

Kern van zulke regels moet zijn dat tracking en profiling alleen mag na toestemming (opt-in) en na duidelijke informatie. Momenteel is er sprake van een ernstige informatie-asymmetrie en veel ‘gesjoemel’ met toestemming, opt-out en opt-ins waar je niet omheen kunt.”

*) Dit interview verscheen eerder in het decembernummer van Emerce magazine (#127)

Illustratie: Carlo Giamberresi (c)