Content zonder consent: wie heeft er cookies nodig?

De Autoriteit Persoonsgegevens signaleert dat de burger bewuster bezig is met online privacy. Wetgeving zorgt wereldwijd stapsgewijs voor betere bescherming van je data, in dit artikel lees je waarom dat nodig is. Ik bewijs daarnaast met voorbeelden van Husqvarna en Gazelle dat cookies eigenlijk niet nodig zijn en de prullenbak in kunnen.

De consument merkt vaker dat online privacy niet vanzelfsprekend is. De politiek volgt met de Digital Services Act, die online veiligheid moet vergroten. Onder andere door een verbod op third-party cookies, app-tracking zonder akkoord van de bezoeker en dark patterns voor cookietoestemming. De wet wacht panklaar op goedkeuring in de Europese Unie.

‘Ík heb niets te verbergen’, kun je denken. ‘Mijn data mogen ‘ze’ hebben’.

Maar weet je dat wel zeker? Laat je ook vreemden door je persoonlijke spullen thuis neuzen? Ik kan het antwoord wel raden: nee, natuurlijk niet. Maar waarom zou je dat dan wél goed vinden als het over je digitale privacy gaat?

Een kijkje terug

Rond 2018 speelde het schandaal rondom databedrijf Cambridge Analytica, dat gelekte Facebookdata gebruikte. Een sleutel tot die gegevens was een ogenschijnlijk onschuldige app waarmee je je persoonlijkheid testte. Uiteindelijk kon data van zo’n 87 miljoen mensen gebruikt worden om de Amerikaanse verkiezingen te beïnvloeden.

In 2019 was de FaceApp populair, waarmee je een ouderdomsfilter over je foto legde. Het bleek een Russische app waarin de Europese privacywetgeving mogelijk niet gold. Via de app werden je foto, IP-adres en smartphone-gegevens opgeslagen. Je gezicht stond daardoor dus in een database. Je weet niet zeker of er niets voor identiteitsfraude wordt gebruikt.

In datzelfde jaar werd de Amerikaanse appbouwer Tiny Lab op de vingers getikt. Het bedrijf maakt apps voor kinderen en werd ervan beschuldigd gebruikers te tracken (ook minderjarige gebruikers) en hun data te verkopen, zoals de toestellocatie.

Waarvoor geef je toestemming?

Waar je als consument toestemming voor geeft, is vaak onduidelijk. Wie spit de cookiemelding door van een website? Hoeveel mensen bekijken alle voorwaarden na het downloaden van een app? Bijna niemand.

Daar zit het risico van het huidige model. Wat er met je data gebeurt is diffuus. Je hebt doorgaans géén idee. Kijk bij een cookiemelding van (bijvoorbeeld) een nieuwssite eens bij ‘derde partijen’ of ‘partners’ waarmee je gegevens worden gedeeld. Zoals je klikgedrag en precieze locatie. Je zult versteld staan met hoeveel partijen dat is.

Wat is het risico?

Ach, onschuldig surfen op een nieuwssite of in een app, dat kan toch geen kwaad? Toch zeggen je klikgedrag (met je interesses), de tijdstippen, locatiegegevens, telefoon- of computergegevens heel veel over jou. Je past in een profiel om te ‘targeten’.

Combineer dat eens met data die op een andere manier toegankelijk wordt. Om weer de Autoriteit Persoonsgegevens (AP) aan te halen: het aantal datalekken steeg vorig jaar “explosief” tot bijna 25.000 meldingen, een verdubbeling ten opzichte van 2020. Zo’n 9% van die datalekken is het gevolg van cyberaanvallen, meldt de AP.

Nog vers in de herinnering staat het datalek van de GGD. Van 6,5 miljoen Nederlanders waren de persoons-, test- en vaccinatiegegevens en uitkomst van bron- en contactonderzoek te zien. Toegankelijk voor de 26.000 GGD-medewerkers. Er bleek data te zijn gestolen en verhandeld.

Begin dit jaar maakte een medisch centrum uit Eindhoven bekend dat er vertrouwelijke patiëntgegevens waren gelekt. Twee maanden terug bleek ook dat van twee Gelderse gemeenten honderdduizenden bestanden met persoonlijke gegevens van inwoners op het dark web werden aangeboden na een datalek. En een bekende dierentuin was in juni slachtoffer van een ransomware-aanval waarbij mogelijk persoonsgegevens betrokken waren.

Het kan (en moet) anders

Je wil best iets delen als je er iets voor terugkrijgt, zoals relevante content. Maar wil je dat iedereen aan de haal kan gaan met je data?

• Dat meer dan 85% van de iOS-gebruikers vorig jaar ‘nee’ zei tegen de vraag of apps mogen tracken, is een antwoord op die vraag.
• In mei 2018 kwam de AVG. De bezoekers van NPO Start en NOS kregen de vraag: ‘Wil je gepersonaliseerde advertenties zien?’ 90% zei ‘nee’.

Het systeem is te ver doorontwikkeld en kwetsbaar voor misbruik. Daarbij tonen dit soort scores aan dat de consument anders wenst. En we kunnen anders met data omgaan.

2 voorbeelden: sales zonder cookies

De oplossing schuilt in content. Kijk niet naar wie er áchter het scherm zit. Kijk naar wat er óp het scherm staat, het umfeld. Doe dat op een slimme manier:

• Kijkt iemand ‘Boer zoekt vrouw’, dan is de gerelateerde content niet ‘koeien, paarden en boerderijen’. Eerder ‘relaties en liefde’.
• Vorig jaar mochten sommige sporters door covid niet mee naar de Olympische Spelen. Gerelateerde content is niet per definitie ‘sport’ maar ‘gezondheid’ of ‘corona’.

Gazelle

Een test met fietsfabrikant Gazelle gaf een interessant resultaat. Gazelle wilde met online video landelijke dekking halen op sites van regionale publieke omroepen.

We onderscheidden 2 groepen: consent (met cookies) en no-consent (zonder cookies).

Dat was de enige variabele. Verder waren de A- en B-groep gelijk, dus ook het soort toestel (mobiel of niet) was in balans.

De no-consentgroep klikte bewuster en bleef langer op de site van Gazelle. Dat geeft aan dat de no-consentgroep geïnteresseerder was (en dus waardevoller) dan de consentgroep.

Husqvarna

Met tuinmachinemaker Husqvarna deden we een soortgelijke test. Nu met display-advertenties bij regionale publieke omroepen. Daarbij werd wél rekening gehouden met mogelijkheden voor ‘targeting’.

Voor de no-consentgroep keken we naar het umfeld (zoals domeinen en onderwerpen). De consentgroep vonden we via een IP-adres, de no-consentgroep door plaatsgerelateerde content die werd bekeken, zoals nieuws uit een specifieke stad.

De advertenties scoorden bij no-consent op click-through rate 6% beter dan bij consent. De cost-per-click was 8% lager. Geen cookies, alleen content.

Wat de toekomst brengt

Deze voorbeelden tonen aan dat consent voor het delen van je gegevens niet hoeft. Je kunt relevante boodschappen zien op basis van de content die je bekijkt. De digitale toekomst kan de consument content zónder consent bieden. Met meer bewustwording en betere wetgeving op een veiliger web. En toch privacyvriendelijk en persoonlijk. Op naar een gezonder internet, zonder cookies.