Van aanwezig tot doorverkocht zijn vijf trappen, met vijf bewijslasten
Code in een app, een verzoek op de lijn, een gegeven dat aankomt, een profiel dat wordt gekoppeld, een dossier dat wordt verkocht. Dat zijn vijf verschillende beweringen, en ze vragen elk om ander bewijs. Wie de ene meet en de andere opschrijft, heeft een fout in zijn stuk staan die een advocaat er in één zin uithaalt. Hier staat elke trap met wat je ervoor moet aantonen.
De vijf trappen¶
Dit is de ruggengraat onder alle andere notities in dit lexicon. Vijf beweringen die in het spraakgebruik door elkaar lopen, met per trap wat je moet aantonen om hem te mogen doen.
Trap 1: aanwezigheid. De code van een derde partij zit in de app of op de pagina. Bewijs: de bibliotheek in het pakket, het script in de broncode, de naam in de configuratie. Wat het níét bewijst: dat er iets is verstuurd. Code kan achter een schakelaar zitten, alleen in een bepaald land vuren, of gewoon nooit worden aangeroepen. Zie Een naam in de code is nog geen tracker en Dat een tool iets kan, bewijst niet dat het gebeurde.
Trap 2: het verzoek. Je toestel legt tijdens gewoon gebruik contact met een adres van die derde partij. Bewijs: het verzoek in de netwerkopname, met tijdstip en volgorde. Wat het níét bewijst: dat er een persoonsgegeven in zat. Een verzoek zonder identificerende inhoud is nog geen verwerking van jouw gegevens, al is het adres zelf al een gegeven (jouw IP kwam daar aan). Zie Een verzoek zonder cookie bewijst niets en Een host die je toestel belt is nog geen partij die je data krijgt.
Trap 3: de verstrekking. In dat verzoek zit iets dat naar jou wijst: een herkenningsnummer, een reclamenummer, de pagina die je las, je locatie. Bewijs: het veld, letterlijk, uit de opname. Dit is het niveau waarop de meeste van mijn bevindingen staan, en het is het hoogste niveau dat een browsermeting of een netwerkopname op eigen kracht kan halen. Zie Het reclamenummer is de sleutel die anoniem persoonlijk maakt en Op een nieuwssite kan een gedeeld nummer herleidbaar maken wat je las.
Trap 4: de koppeling. Twee of meer partijen brengen hun waarnemingen over jou samen tot één profiel. Bewijs: de uitwisseling van identifiers zelf, zichtbaar als een sync-verzoek waarin het nummer van A en het nummer van B in dezelfde url staan. Zie Cookie-sync laat losse partijen dezelfde persoon herkennen en Wie je herkenningsnummer deelt, verwerkt je samen.
Trap 5: de doorverkoop. Een partij draagt gegevens over jou tegen betaling over aan een partij die daar zelf niets mee te maken had. Bewijs: een contract, een prijslijst, een productpagina, een marktplaatsvermelding, een klokkenluider, een toezichtdossier. Dit is niet met een meetopstelling te bewijzen. Nooit. Wie doorverkoop beweert op grond van netwerkverkeer, springt over een gat.
Waarom de sprong van 3 naar 5 zo vaak wordt gemaakt¶
Omdat trap 3 en trap 5 in de beleving hetzelfde voelen. Als jouw locatie bij een bedrijf terechtkomt waarvan je nooit hebt gehoord, dan is dat voor jou hetzelfde als verkocht worden. Emotioneel klopt dat. Juridisch en bewijstechnisch niet, en het verschil is precies waar een woordvoerder in gaat zitten.
Er is nog een reden. In het advertentiemodel is doorverkoop vaak niet nodig, want het geld wordt met de toegang verdiend, niet met de overdracht. Een inkoopplatform hoeft jouw profiel niet te kopen om erop te kunnen bieden. Het krijgt de kenmerken meegestuurd in het biedverzoek, gratis, honderden keren per dag. Dat is geen verkoop. Het is erger, want het is structureel en het gaat naar iedereen die meedoet.
Dat is de kern van de zaak, en hij gaat verloren zodra het woord doorverkoop valt. Zie Privacy faalt door verstrooiing en door concentratie.
De trap die je meet is de trap die je opschrijft¶
De werkregel is kort. Schrijf de trap op die je hebt gemeten, met het bewijs van die trap erbij, en zeg er expliciet bij welke trap je níét hebt gemeten. Dat laatste is geen zwakte in het stuk. Het is wat het stuk overeind houdt als er tegenwerping komt.
In de praktijk betekent dat vier zinnen die ik in bijna elk stuk terug laat komen:
- Ik heb gemeten dat X werd verstuurd naar Y, op moment Z, in deze omstandigheden.
- Ik heb niet gemeten wat Y daarmee doet.
- Ik heb geen aanwijzing dat Y deze gegevens doorverkoopt, en ik beweer dat ook niet.
- Wie dat wel wil weten, moet bij Y het verwerkingsregister opvragen, niet bij mij.
Zie Gemeten is niet bewezen, Label elke bevinding op bewijsniveau en Een aanwijzing is nog geen bewijs.
Wat elke trap juridisch betekent¶
De trappen lopen niet gelijk op met het recht, en dat is een tweede valkuil.
Trap 1 en 2 zijn juridisch bijna altijd niets. Trap 3 is meestal het moment waarop de cookiewet (artikel 11.7a Telecommunicatiewet) en de AVG allebei gaan gelden: er wordt iets op je toestel geplaatst of uitgelezen, en er wordt een persoonsgegeven verwerkt. Trap 4 tilt de zaak naar gezamenlijke verwerkingsverantwoordelijkheid, want twee partijen bepalen samen doel en middelen. Trap 5 is een verstrekking aan een ontvanger, met alles wat daarbij hoort aan grondslag, informatieplicht en registerplicht.
Let op de asymmetrie. De zwaarste trap in het spraakgebruik, doorverkoop, is niet de zwaarste trap in het recht. Trap 3 zonder geldige toestemming is al onrechtmatig, en die is wél te meten. Dat is de reden dat ik mijn werk daar heb neergelegd. Zie Zonder geldige toestemming is de cookie onrechtmatig en De cookiewet is de snelste toets die een meting kan halen.