Wat ik in de rechten zag¶

Ik las de gedeclareerde rechten en API-signalen van een grote app. Daar stonden de nieuwe Privacy Sandbox-onderdelen in, Topics en Attribution Reporting, het als privacyvriendelijk gepresenteerde alternatief voor de derde-partij-cookie. In dezelfde app, naast die nieuwe onderdelen, stond ook gewoon de klassieke advertentie-ID gedeclareerd, met de bijbehorende AD_ID-permissie. Beide waren aanwezig. De app zette de nieuwe aanpak erbij en liet de oude staan.

Bewijsniveau: gemeten, op het niveau van declaraties. Ik zag welke rechten en API's de app opvraagt. Dat is een harde waarneming uit het pakket zelf.

Concreet gaat het om twee soorten signalen naast elkaar in dezelfde app:

com.google.android.gms.permission.AD_ID        # de klassieke advertentie-ID
android.adservices.* / Topics, Attribution     # de Privacy Sandbox-onderdelen

De eerste regel is de oude wereld. De tweede regel is de nieuwe. In de app die ik las, stonden ze allebei tegelijk aanwezig, zonder dat de een de ander verving. Dat is het feit waar deze notitie op rust. Al het andere is de duiding eromheen.

Wat Topics en Attribution zijn¶

De Privacy Sandbox is Googles voorstel om gerichte advertenties te laten werken zonder de klassieke cross-site identifier. Topics leidt uit je gedrag een handvol interessecategorieën af, die aan adverteerders worden doorgegeven in plaats van een unieke identifier. Attribution Reporting meet of een advertentie tot een aankoop leidde, met vertraagde en geaggregeerde rapportjes die één klik moeilijker naar één persoon herleidbaar maken. De belofte is minder directe herkenning van het individu.

Los bekeken is dat een reële poging om de scherpste randen van tracking af te vijlen. Het probleem zit niet in de techniek van Topics zelf. Het zit in de context waarin ik hem aantref.

De verkoop van deze techniek leunt zwaar op het woord vervanging. De boodschap naar buiten is dat de derde-partij-cookie verdwijnt en dat er iets privacyvriendelijkers voor in de plaats komt. Dat frame stuurt de aandacht naar wat weggaat. De vraag die daarbij ondergesneeuwd raakt, is of de oude laag echt weg is of gewoon blijft liggen. Precies die vraag beantwoordt de code, en het antwoord dat ik vond, week af van het frame.

Erbij, met de oude stack eronder¶

De klassieke advertentie-ID doet precies wat Topics zou moeten overbodig maken. Hij herkent je toestel over apps en sessies heen. Hij is resetbaar, maar in de praktijk werkt hij als een sleutel, want hij correleert met de rest van het profiel. Zie Een resetbare identifier is alsnog een sleutel. Zolang die ID meedraait, verandert het privacyvriendelijke signaal weinig aan de onderliggende herkenbaarheid.

Daarom is de volgorde belangrijk. Het alternatief dat verkocht wordt als vervanging van de derde-partij-cookie, staat hier náást de oude advertentiestack. Het komt erbij en het haalt de oude laag niet weg. Wie de nieuwe rechten ziet en denkt dat het volgen daarmee is ingeperkt, mist de identifier die eronder blijft draaien.

De belofte gaat over verdwijnen, de code over erbij komen¶

Hier scheiden zich twee verhalen. De aankondiging gaat over wat verdwijnt: minder cookies, minder directe herkenning, een privacyvriendelijk signaal in de plaats. De configuratie in de app gaat over wat erbij komt: een nieuw kanaal, boven op het bestaande. Wie alleen de aankondiging leest, ziet de nette kant. Wie de code leest, ziet dat de oude en de nieuwe aanpak samen draaien.

Zo wordt een uitbreiding van het volgen gepresenteerd als een inperking ervan. Ik trek geen kwade opzet toe aan de bouwers, want ik kan uit de declaratie niet aflezen wat ze bedoelden. Ik stel vast dat de presentatie en de meting uiteenlopen, en dat de meting het zwaarst weegt. De echte dataruggengraat oogt zelden als reclame en zit vaak onder de nette laag. Zie De echte dataruggengraat oogt niet als reclame.

Voor de gebruiker is de uitwerking concreet. Hij hoort dat de privacy verbetert en gaat ervan uit dat er minder van hem wordt vastgelegd. In werkelijkheid komt er een informatiestroom bij, terwijl de oude blijft draaien. De optelsom van wat over hem bekend is, groeit dus, terwijl de communicatie het tegenovergestelde suggereert. Dat gat tussen wat iemand denkt af te staan en wat hij werkelijk afstaat, is het schadelijke deel. Het ondermijnt de mogelijkheid om een geïnformeerde keuze te maken, want de informatie waarop je die keuze baseert, klopt niet met de code.

Wat dit voor mijn werk betekent¶

De les is dat een privacybelofte een claim is die je tegen de code kunt houden. Ik lees de aankondiging, en daarna lees ik het manifest en het verkeer. Waar die twee samenvallen, geloof ik de belofte. Waar ze uiteenlopen, volg ik de code.

Voor de beoordeling van de Privacy Sandbox betekent het dat de vraag verschuift. De vraag is niet of Topics op zichzelf privacyvriendelijker is. De vraag is of het oude tracken naast Topics blijft draaien. Zolang de klassieke identifier meeloopt, is het nette signaal een toevoeging boven op een fundament dat blijft staan. Dat is een uitbreiding van het volgen, hoe vriendelijk de bovenlaag ook is verpakt.

Er is een historische parallel die me op scherp zet. Elke keer dat de industrie een privacyvriendelijker techniek aankondigt, is de eerste vraag wat er met de oude techniek gebeurt. Bij server-side tagging bleef het volgen bestaan, het verhuisde alleen uit het zicht naar de server van de uitgever. Bij CNAME-cloaking werd een derde partij vermomd als eigen subdomein om afweer te omzeilen. Het patroon herhaalt zich: een nieuwe laag die als opschoning klinkt, terwijl de onderliggende herkenning intact blijft. Ik behandel de Privacy Sandbox met datzelfde wantrouwen, tot de meting laat zien dat de oude laag echt is verdwenen. Tot dan lees ik de belofte als de helft van het verhaal, en de code als de andere helft.

Dat wantrouwen is geen oordeel over de techniek van Topics of Attribution zelf. Als een app de klassieke identifier echt zou verwijderen en alleen de nieuwe onderdelen zou draaien, zou ik dat een verbetering noemen en het ook zo opschrijven. De maatstaf ligt bij de meting, niet bij mijn verwachting. Wat ik weiger, is de aankondiging op haar woord geloven zolang de code iets anders laat zien. In de app die ik las, liet de code iets anders zien. Dat is de hele claim, en ik houd hem niet groter dan dat.

Zie ook De echte dataruggengraat oogt niet als reclame, Een resetbare identifier is alsnog een sleutel en Een naam in de code is nog geen tracker.