Waarom een ladder¶

De meeste discussies over privacy lopen vast doordat twee mensen hetzelfde woord gebruiken voor heel verschillende dingen. De een zegt dat een bedrijf gegevens deelt en bedoelt dat er een verzoek is gezien. De ander hoort dat er dossiers worden verkocht.

Daarom zet ik elke vondst op een trap, en noteer ik erbij op welke trede hij staat. Dat kost een zin extra en het voorkomt vrijwel elke ruzie over wat ik nou eigenlijk beweer.

De treden¶

Van hard naar zacht, en elk hoger niveau vraagt meer bewijs dan het vorige.

1. Aanwezig in de code. De naam van een partij, een bouwsteen, een endpoint staat in het bestand. Dit bewijst dat de mogelijkheid is ingebouwd. Meer niet. Het bewijst niet dat er iets vuurt, en soms niet eens dat het de partij is die je denkt.

2. Verzoek waargenomen. Ik heb het toestel de verbinding zien maken, in de opname, met tijdstempel. Nu staat vast dat er contact was.

3. Inhoud vastgesteld. Ik kan zien wat er meeging: welke identifier, welke parameters, welke cookie. Nu staat vast wat er is verstrekt.

4. Ontvanger bevestigd. Ik weet welke partij achter dat domein zit, geverifieerd, en niet afgeleid uit de naam.

5. Verwerking aangetoond. Er is bewijs dat de ontvanger er ook iets mee doet: een profiel dat terugkomt, een koppeling die zichtbaar wordt, een verklaring van de partij zelf.

6. Doorgifte of doorverkoop bewezen. De hoogste trede, en de zeldzaamste. Hier heb ik vrijwel nooit bewijs voor, en dus zeg ik het vrijwel nooit.

Wat je op elke trede wel en niet mag zeggen¶

De kern van het systeem is dat de formulering meebeweegt met de trede.

Op trede 1 zeg ik dat een app de bouwstenen van een partij aan boord heeft. Op trede 3 zeg ik dat een identifier naar een domein van die partij is verstuurd. Pas op trede 5 mag het woord profiel vallen, en op trede 6 het woord doorverkoop.

De verleiding is altijd om een trede hoger te formuleren dan je bewijs draagt, want het klinkt sterker en het is meestal ook waar. Precies daar sneuvelt een dossier. Eén overclaim en de rest van je rapport is verdacht, hoe goed het ook is.

De nulbevinding hoort er ook op¶

Een leeg resultaat krijgt bij mij dezelfde behandeling.

Ik schrijf niet dat een app schoon is. Ik schrijf wat ik heb gemeten, hoe lang, onder welke omstandigheden, en dat ik binnen die grenzen niets heb waargenomen. Dat is iets anders dan afwezigheid, en het verschil is groot genoeg om er een aparte zin aan te wijden.

Wie een mislukte of beperkte meting presenteert als vrijspraak, doet precies wat hij een bedrijf verwijt: een indruk wekken die de meting niet draagt.

Waarom dit het belangrijkste beginsel is¶

Als ik één regel zou mogen houden, was het deze.

Ze maakt mijn werk aanvalsbestendig, want elke zin is te herleiden tot een waarneming. Ze maakt het navolgbaar, want een ander kan mijn treden nalopen. En ze maakt het bruikbaar voor een toezichthouder of een rechter, die precies deze scheiding nodig heeft om iets met een melding te kunnen.

Maar bovenal houdt ze mij eerlijk. Op het moment dat ik iets vind wat me boos maakt, wil ik het groter maken dan het is. De ladder staat daar tussen.

Zie ook Beargumenteer eerst het tegendeel van je eigen bevinding, in de code gevonden is niet hetzelfde als live gemeten en Technisch juiste uitspraken kunnen een verkeerde indruk wekken.