Vijf reacties, en zelden een vraag over de data¶

Als ik iemand een bevinding over zijn eigen gegevens voorleg, komt er vrijwel nooit eerst een vraag over de meting. Er komt een reactie, en het zijn er steeds dezelfde vijf: ontkenning, schaamte, woede op een partij die er weinig aan kan doen, berusting, en soms een uitbarsting die veel groter is dan de technische ernst.

Dat is geen tekortkoming van de mensen die ik spreek. Data voelt persoonlijk, en dat maakt het gesprek erover geladen. Het gaat over je huis, je lichaam, je kind. Wie hoort dat zijn database traag is, haalt zijn schouders op. Wie hoort dat zijn locatie op een advertentieveiling is aangeboden, voelt iets in zijn maag. Zie Mensen nemen hun data heel persoonlijk.

Bewijsniveau hierbij: dit is een patroon dat ik uit gesprekken afleid. Ik heb reacties niet geteld en ik heb ze niet gecodeerd. Het is een gedachte en geen bevinding. Ik zie het vaak genoeg terugkomen om het serieus te nemen en er mijn werkwijze op aan te passen.

Ontkenning is de goedkoopste uitweg¶

De eerste reactie is bijna altijd twijfel aan de meting. Dat kan niet kloppen. Dat zal een instelling van mijn browser zijn. Dat is vast oud. Ik neem die reactie niet kwalijk, want ze is rationeel: als de meting fout is, hoeft er niets te veranderen, en dat is de goedkoopste uitweg die er bestaat.

Ontkenning is ook de reactie waar ik het meest aan heb. Ze is het enige antwoord uit de vijf dat zich laat oplossen met bewijs. Daarom lever ik het bewijs standaard mee, met een hash over elk bewijsstuk zodat een tegenpartij het kan narekenen. Zie Hoe mijn scanner werkt, van bezoek tot bewijsstuk en hang je bewijs aan de ruwe meting niet aan je eigen analyse. Wie na de eerste schrik de opname zelf openslaat, komt vaak op een ander punt uit dan waar hij begon.

Er zit een valkuil in. De ontkenning heeft soms gelijk. Een naam in de code bewijst niet dat er een gegeven stroomt, en aanwezig is iets anders dan afgevuurd. Zie Een naam in de code is nog geen tracker en in de code gevonden is niet hetzelfde als live gemeten. Ik behandel elke tegenspraak daarom als een reden om te controleren.

Schaamte, omdat het over jezelf gaat¶

De tweede reactie is stiller en komt vaker voor bij burgers dan bij organisaties. Iemand hoort wat een app over hem doorgeeft en voelt zich betrapt op zijn eigen keuze, terwijl de app zelf buiten schot blijft. Ik had dit moeten weten. Ik heb dat zelf geïnstalleerd. Ik heb op akkoord geklikt.

Die schaamte is misplaatst en ze is goed te verklaren. In cyclus-apps voeren mensen het intiemste in dat er is: gezondheid, stemming, seksleven. Uit de analyse van drie populaire apps bleek dat de ene het sober en binnen Europa houdt, de andere een privacylaag over een fundament van advertentie- en analytics-netwerken legt, en de derde een complete Russische laag droeg voor analytics, login en betalingen. Zie Mensen voeren hun intiemste gegevens in zonder de risico's te beseffen. Niets daarvan stond op het scherm dat de gebruiker zag.

Ik zeg dat dan ook zo. De verantwoordelijkheid ligt bij de partij die doel en middelen bepaalt, en dat is de uitgever van de app. Zolang we het framen als een persoonlijke keuze, ontsnapt precies de partij die aan de knoppen zit. Schaamte verlamt, en een verlamde gebruiker doet niets. Iemand die begrijpt dat het hem is aangedaan, zoekt een alternatief of dient een klacht in.

De woede landt bijna altijd verkeerd¶

De derde reactie is boosheid, en die gaat vrijwel nooit naar de partij die de datastroom in gang zette. Ze gaat naar de overheid in het algemeen, naar Google, naar "ze", of naar mij omdat ik het kwam vertellen.

Dat komt doordat de echte ontvanger onzichtbaar is. Een gemiddelde overheidssite spreekt 3,2 externe partijen aan, de mediaan is 2, en de staart loopt door tot 38 op een enkele site. Zie De ontvangers die in geen enkel verwerkingsregister staan. Die namen zeggen een burger niets. Hij kan zijn woede nergens aan ophangen, dus hangt hij hem aan het dichtstbijzijnde herkenbare gezicht.

Het is precies het mechanisme waardoor er over dit grondrecht geen publieke verontwaardiging ontstaat. Raakt iemand de vrijheid van meningsuiting aan, dan staat het land op zijn kop. Bij tracking ontbreekt elk mechanisme dat woede opwekt: er is geen dader met een naam, geen moment waarop het gebeurde, en geen zichtbare schade. Zie Waarom niemand boos wordt om dit grondrecht. De woede die er wel is, zoekt daarom een verkeerd doelwit, en verpuft daar.

Mijn werk is dan om het doelwit terug te geven. Ik noem de ontvanger, het moment en de lading. Bij de Belastingdienst kon ik zeggen welke host het was, welk veld erin zat en hoe lang het herkenningsnummer bewaard bleef: een ECID van 38 cijfers in de cookie s_ecid, met een levensduur van twee jaar. Zie Achter je DigiD loopt de tracking gewoon door. Boosheid met een adres erop is bruikbaar.

Waarom een reactie soms veel groter is dan de bevinding¶

Soms krijg ik een reactie die in geen verhouding staat tot wat ik gemeten heb. Een enkele analytics-cookie, en iemand is dagenlang van slag. Dat is makkelijk weg te zetten als overdreven. Ik denk dat het iets anders is.

De emotie wordt sterker naarmate iemand zich eigenaar voelt van wat er gemeten wordt. Bij een bouwer is dat zijn werk. Bij een burger is het zijn lichaam of zijn gezin. Hetzelfde feit levert dan verschillende temperaturen op, en het verschil is hoeveel van de eigen identiteit erin zit.

Daar komt de onomkeerbaarheid bovenop. Een softwarefout raakt de werking van een dienst en is op te lossen. Wat naar buiten is gegaan, komt niet terug. Je kunt de tracker uitzetten voor de volgende keer. Dat helpt vooruit en het herstelt niets. Mensen voelen dat verschil aan, en die intuïtie klopt met hoe de techniek werkt.

En er is de optelsom. Een los gegeven lijkt onschuldig: een locatie, een tijdstip, een zoekterm. Bij elkaar worden het patronen die je zelf niet kent. Zie Het risico zit in de optelsom, niet in het losse veld. Wie dat eenmaal doorheeft, reageert op het geheel terwijl ik hem één cookie liet zien. De reactie is dan proportioneel aan het echte probleem en disproportioneel aan mijn voorbeeld. Ik reken dat niemand aan.

Berusting is het gevaarlijkste antwoord¶

De vierde reactie klinkt het kalmst en is de enige die ik echt vervelend vind. Ze weten toch alles al. Het is te laat. Daar is niets meer aan te doen.

Berusting is gevaarlijk om drie redenen. Ze is feitelijk onjuist, ze verlamt, en ze is precies wat de partij aan de andere kant nodig heeft.

Feitelijk onjuist, omdat de metingen laten zien hoeveel er per organisatie verschilt. Over 1.718 overheidssites loopt het aandeel dat al vóór toestemming trackt uiteen van 20,8 procent bij de ene toestemmingsmodule tot 100 procent bij de andere. Zie Welke toestemmingsmodule je kiest, voorspelt of je overtreedt. Er was ook een cyclus-app die je gegevens technisch niet eens kán doorverkopen, omdat ze geen internet-permissie heeft en nul bytes verstuurt. Zie Een app kan volledig lokaal, zonder een enkele netwerkcall. Als alles overal hetzelfde was, zou dat verschil er niet zijn. Het bestaat, dus het is een keuze.

Verlammend, omdat berusting elke volgende stap overbodig maakt. Wie denkt dat het toch al te laat is, meldt niets, klaagt niet, wisselt niet van app en stemt er niet op. De hele handhavingsketen begint bij iemand die het de moeite waard vindt om te melden.

En het is precies wat de andere kant nodig heeft. Een boete is voor een groot bedrijf vaak geen straf en meer een rekening. Zie Een boete is voor een groot bedrijf geen straf, maar een rekening. Als de financiële prikkel zwak is, blijft publieke druk over als correctiemiddel. Berusting haalt dat laatste middel weg. Dat is de reden dat ik "ze weten toch alles al" steviger tegenspreek dan ontkenning of woede.

Hoe ik een bevinding daarom breng¶

Ik vertaal de datastroom naar de schade. Een lijst met endpoints zegt een burger niets. Een koopprofiel wordt prijsdiscriminatie, een aanwezigheidskalender wordt inbraakrisico. Zie beschrijf niet de datastroom maar de schade. En ik schrijf meteen in lezerstaal, want een technisch correcte zin die niemand voelt doet niets. Zie vaktaal kost een verhaal zijn werking.

Ik zet er altijd een handeling naast. De keten wordt doorbroken bij de bron: schrap elke tracker die je niet in één zin kunt uitleggen. Voor een functionaris gegevensbescherming is de snelste zelftest zijn eigen site meten en de ontvangerslijst naast het verwerkingsregister leggen. Voor een gebruiker is het de voorwaarden lezen en de app laten staan als er vreemde, onbegrijpelijke taal in staat.

Ik laat zien dat het ook goed afloopt. De Belastingdienst zette de tracking op 6 juni uit, geverifieerd via een nulmeting, meldde op 12 juni uit eigen beweging bij de Autoriteit Persoonsgegevens, en de staatssecretaris bedankte de melder. Zie Een grote organisatie kan een fout erkennen en zichzelf melden. Eén afgelopen dossier doet meer tegen berusting dan tien nieuwe bevindingen.

En ik laat de emotie staan zonder haar te laten meewegen in het oordeel. Een kalme reactie maakt mijn bevinding niet waar, en een woedende reactie maakt haar niet onwaar. De meting staat los van hoe hij landt. Zie Wie ben ik om iets te vinden? Ik draai het om en Label elke bevinding op bewijsniveau.

Wat ik hierover niet weet¶

Ik weet niet of deze vijf reacties de enige zijn, of dat ik ze zie omdat ik ze verwacht. Dat risico is echt: wie een patroon eenmaal benoemt, vindt het overal terug. Ik heb geen telling, geen controlegroep en geen manier om te toetsen of iemand die vandaag berustend reageert over een maand alsnog iets doet.

Wat ik wel weet, is dat de eerste reactie zelden de laatste is. De eerste mail is bijna altijd koel of afhoudend. De tweede, nadat het bewijs op tafel ligt, is inhoudelijker. Dat lukt niet altijd. Het lukt vaak genoeg om het gesprek te blijven zoeken, en om het bewijs zo aan te leveren dat meekijken makkelijk is.

Zie ook Van een cookie loopt een lijn naar de fraudeur aan de telefoon, Cyclus-apps weten het intiemste dat er is en Bij gedrag telt het effect, bij de persoon de intentie.