Sociale media en online videobedrijven verzamelen enorme hoeveelheden van uw persoonlijke gegevens op en buiten hun websites of apps en delen deze met een grote verscheidenheid aan derde partijen, bevestigt een nieuw personeelsrapport van de Federal Trade Commission (FTC) over negen technologiebedrijven.
In het donderdag gepubliceerde rapport van de FTC wordt gekeken naar de gegevensverzamelingspraktijken van Facebook, WhatsApp, YouTube, Discord, Reddit, Amazon, Snap, TikTok en Twitter/X tussen januari 2019 en 31 december 2020. De bedrijfsmodellen van de meeste bedrijven worden gedreven door het volgen van de manier waarop mensen omgaan met hun platforms, het verzamelen van hun persoonlijke gegevens en het gebruiken ervan om te bepalen welke inhoud en advertenties gebruikers op hun feeds zien, aldus het rapport.
De bevindingen van de FTC bevestigen jarenlange rapportage over de diepgang en breedte van de trackingpraktijken van deze bedrijven en roepen op tot “grootschalig gebruikerstoezicht” door technologiebedrijven. Het bureau beveelt het Congres aan federale privacyregels uit te vaardigen op basis van wat het heeft gedocumenteerd. Het agentschap doet een specifiek beroep op wetgevers om te erkennen dat de bedrijfsmodellen van veel van deze bedrijven weinig doen om effectieve zelfregulering aan te moedigen of gebruikersgegevens te beschermen.
“Het onderkennen van dit fundamentele feit is belangrijk voor zowel handhavers als beleidsmakers, omdat elke poging om de manier waarop deze bedrijven de persoonlijke informatie van mensen verzamelen te beperken of te reguleren in strijd zal zijn met hun primaire zakelijke prikkels”, aldus FTC-voorzitter Lina Khan in een verklaring. “Om effectieve regels of remedies te creëren die deze gegevensverzameling beperken, zullen beleidsmakers ervoor moeten zorgen dat het overtreden van de wet niet lucratiever is dan het naleven ervan.”
De FTC wil ook dat de in het rapport genoemde bedrijven investeren in “het beperken van het bewaren en delen van gegevens, het beperken van gerichte reclame en het versterken van de bescherming voor tieners.”
Het rapport benadrukt met name dat consumenten weinig controle hebben over de manier waarop deze bedrijven hun persoonlijke gegevens gebruiken en delen. De meeste bedrijven hebben demografische gegevens over gebruikers, zoals leeftijd, geslacht en taal, verzameld of afgeleid. Sommigen verzamelden gegevens over het gezinsinkomen, het onderwijsniveau en de ouderlijke en burgerlijke staat. Maar zelfs als dit soort persoonlijke gegevens niet expliciet worden verzameld, kunnen sommige bedrijven het gedrag van gebruikers op het platform analyseren om zonder hun medeweten details over hun persoonlijke leven af te leiden. Tot de gebruikersinteressecategorieën van sommige bedrijven behoorden bijvoorbeeld ‘baby, kinderen en moederschap’, wat de ouderlijke status zou onthullen, of ‘pasgetrouwden’ en ‘echtscheidingsondersteuning’, wat de burgerlijke staat zou onthullen. Deze informatie werd vervolgens door sommige bedrijven gebruikt om de inhoud die mensen te zien kregen, aan te passen om de betrokkenheid op hun platforms te vergroten. In sommige gevallen wordt die demografische informatie gedeeld met derden, zodat zij hen kunnen targeten met relevantere advertenties.
Welk product er ook werd gebruikt, het was volgens de FTC niet eenvoudig om zich af te melden voor de gegevensverzameling. Bijna alle bedrijven zeiden dat ze persoonlijke gegevens aan geautomatiseerde systemen verstrekten, meestal voor het weergeven van inhoud en advertenties. Aan de andere kant bood bijna geen van hen een “alomvattende mogelijkheid om het gebruik van uw gegevens door algoritmen, data-analyse of AI direct te controleren of af te wijzen”, aldus het rapport.
Verschillende bedrijven zeggen dat het onmogelijk is om zelfs maar een volledige lijst samen te stellen van met wie zij uw gegevens delen. Toen de bedrijven werd gevraagd te vermelden met welke adverteerders, datamakelaars of andere entiteiten zij consumentengegevens delen, heeft geen van de negen bedrijven de FTC een volledige inventaris verstrekt.
De FTC ontdekte ook dat, ondanks bewijs dat kinderen en tieners veel van deze platforms gebruiken, veel technologiebedrijven meldden dat, omdat hun platforms niet op kinderen zijn gericht, verschillende praktijken voor het delen van gegevens voor kinderen onder de 13 jaar niet nodig zijn. Volgens het rapport meldde geen van de bedrijven dat er sprake was van gegevensuitwisseling waarbij de gegevens die via hun websites en apps van 13- tot 17-jarigen waren verzameld, anders werden behandeld dan gegevens van volwassenen, ook al zijn gegevens over minderjarigen gevoeliger.
De FTC noemde de dataminimalisatiepraktijken van de bedrijven ‘verschrikkelijk ontoereikend’ en constateerde dat sommige bedrijven er niet in slaagden informatie te verwijderen wanneer gebruikers daarom vroegen. “Zelfs de bedrijven die gegevens verwijderden, zouden slechts enkele gegevens verwijderen, maar niet alle”, aldus het rapport.
“Het is de meest fundamentele vereiste”, zegt Mario Trujillo, advocaat bij de Electronic Frontier Foundation. “Het feit dat sommigen dit niet hebben gedaan, zelfs ondanks de privacywetten van de staat die dit vereisen, toont aan dat sterkere handhaving nodig is, vooral van de consument zelf.”
Sommige bedrijven betwistten de bevindingen van het rapport. In een verklaring zei Discord dat het rapport van de FTC een belangrijke stap was, maar dat het “heel verschillende modellen op één hoop gooide”.
na het promoten van de nieuwsbrief
“Het bedrijfsmodel van Discord is heel anders: we zijn een realtime communicatieplatform met sterke privacycontroles voor gebruikers en geen eindeloze scrollende feeds. Ten tijde van het onderzoek beschikte Discord niet over een officiële digitale advertentiedienst”, zegt Kate Sheerin, hoofd overheidsbeleid voor Discord in de VS en Canada.
Een woordvoerder van Google zei dat het bedrijf het strengste privacybeleid in de branche hanteert. “We verkopen nooit persoonlijke gegevens van mensen en gebruiken nooit gevoelige informatie om advertenties weer te geven. We verbieden het personaliseren van advertenties voor gebruikers jonger dan 18 jaar, en we personaliseren geen advertenties voor iedereen die ‘inhoud bedoeld voor kinderen’ op YouTube bekijkt’, zegt Google-woordvoerder José Castañeda.
De andere bedrijven hebben ofwel geen officieel commentaar gegeven, ofwel niet onmiddellijk gereageerd op een verzoek om commentaar.
Maar als bedrijven de bevindingen van de FTC betwisten, is het aan hen om bewijs te leveren, zegt het Electronic Privacy Information Center (Epic), een in Washington gevestigde onderzoeksorganisatie van openbaar belang die zich richt op privacy en vrijheid van meningsuiting.
“Ik heb voor bedrijven gewerkt aan de naleving van de privacywetgeving, en laten we zeggen dat ik absoluut niets geloof zonder documentatie ter onderbouwing van de claims”, zegt Epic Global Privacy Counsel, Calli Schroeder. “En ik ben het eens met de conclusie van de FTC dat zelfregulering een mislukking is. Bedrijven hebben herhaaldelijk laten zien dat winst hun prioriteit is en dat ze kwesties op het gebied van consumentenbescherming en privacy alleen serieus zullen nemen als dit gevolgen heeft voor de winst.”