Het Rathenau Instituut maakte op 18 juni het rapport ‘De prijs van gratis internet‘ bekend. In dat rapport beantwoordt het instituut de vragen van de vaste Kamercommissie voor Digitale Zaken van de Tweede Kamer. De commissie vroeg hen te onderzoeken hoe online tracking werkt en hoe online tracking de publieke waarden zoals privacy, autonomie en veiligheid beïnvloedt.

Het instituut constateert onder meer dat er niet veel terecht komt van de handhaving op de geldende regels, zoals de AVG, zodat advertentiebedrijven vrolijk hun gang kunnen gaan, met grote risico’s voor de internetgebruikers.

Het is jammer dat het Rathenau Instituut in de conclusies geen melding maakt van initiatieven als Public Spaces en ook niet in gaat op mogelijkheden om een aantal essentiële diensten naar de EU te halen en met overheidsondersteuning op non-profit basis te realiseren (zoals beveiligde e-mail, messaging en gespecialiseerde groepen). Dat moet Europees prima te doen zijn, aangezien de EU druk bezig is met projecten als eDelivery (veilige communicatie tussen overheidsinstellingen).

De bevindingen (zie de aankondiging):

1. Wat is online tracking en hoe werkt het?

Het ontstaan van online tracking hangt nauw samen met de ontwikkeling van het internet en de commercialisering ervan in de jaren 1990 en daarna. Wat begon met een cookie als geheugen voor gebruikerssessies, om bijvoorbeeld online winkelen mogelijk te maken, ontwikkelde zich tot een complex en ondoorzichtig systeem waarin via uiteenlopende technieken gegevens van gebruikers worden verzameld, gecombineerd, geanalyseerd en verhandeld.

De verzamelde data kunnen voor verschillende doelen worden gebruikt. In de kern gaat het om het personaliseren van online content (zoals een advertentie of tijdlijn). Het achterliggende idee is dat personalisatie leidt tot een betere matching van vraag en aanbod van producten en diensten en dus niet alleen tot hogere verkoopcijfers, maar ook tot tevreden consumenten. Het open karakter van de datahandel zorgt ervoor dat verschillende partijen toegang kunnen krijgen tot de gegevens. Dat geldt dus niet alleen voor partijen die vanuit commerciële motieven interesse hebben in de data. Zodoende maakt online tracking bijvoorbeeld ook politieke microtargeting en beïnvloeding mogelijk.

De mogelijkheden om data te verzamelen en analyseren lijken bovendien alleen maar toe te nemen. Dit beperkt zich inmiddels niet meer tot data over surfgedrag op websites, maar gaat ook over data die verkregen is via apps, wearables, games en chatbots. Nieuwe technieken en producten zorgen ervoor dat er niet alleen meer, maar ook steeds intiemere informatie kan worden vergaard, zelfs van offline activiteiten. Denk hierbij aan data over hartslag, slaap en beweging, waar vervolgens allerlei gezondheidsconclusies uit getrokken kunnen worden, die weer gebruikt kunnen worden voor het tonen van specifieke advertenties en aanbiedingen.

De verwachting is dat deze trend zich de komende jaren verder doorzet, vanwege opkomende technieken als generatieve AI, VR en neurotechnologie. Denk daarbij aan bijvoorbeeld het volgen van handbewegingen, pupilreflexen en mogelijk in toekomst breinactiviteit. Hierdoor kunnen bedrijven en diensten nog meer en gedetailleerdere informatie verzamelen en de omgeving waarin advertenties en boodschappen worden aangeboden nog verder personaliseren. Dit wordt ook wel hyperpersonalisatie genoemd.

Online tracking inmiddels uitgegroeid tot een miljardenindustrie met economische prikkels voor websites en apps, met adverteerders en met dienstaanbieders en databrokers. Deze industrie leunt sterk op de verzameling en beschikbaarheid van zoveel mogelijk data. En hoewel het tracking-ecosysteem bestaat uit een grote groep actoren, wordt het functioneren ervan in belangrijke mate gestuurd door slechts een handvol commerciële platformbedrijven.

Inmiddels is dit systeem zo complex, dat niet duidelijk is welke partijen er precies van profiteren en wie niet. Het grootste deel van de groeiende advertentiemarkt lijkt echter terecht te komen bij internationale platformbedrijven. Nederlandse mediabedrijven lijken daarentegen niet of nauwelijks van de groeiende digitale advertentiemarkt te profiteren. Bovendien blijft het lastig te bewijzen dat gepersonaliseerde advertenties effectiever zijn dan andere vormen van adverteren. Zo valt er veel af te dingen op het idee dat gepersonaliseerde advertenties in het voordeel werken van consumenten en adverteerders.

2. Wat zijn de risico’s van online tracking ten aanzien van publieke waarden?

Gratis heeft in veel gevallen toch een prijs. Een bekend gezegde rondom online tracking luidt: als je niet betaalt voor het product, bén je het product. De persoonlijke data van internetgebruikers is, in economische termen, een commodity geworden: een handelswaar waarmee door verschillende actoren in het advertentie-ecosysteem geld wordt verdiend. Het is de prijs die gebruikers betalen voor gratis online diensten.

Het feit dat grote hoeveelheden persoonlijke data van internetgebruikers toegankelijk zijn voor verschillende partijen, kent de nodige risico’s in termen van publieke waarden. Een breed scala van wetenschappelijk onderzoek laat zien dat deze risico’s spelen op zowel het individuele als het maatschappelijke niveau. Op individueel niveau raakt online tracking aan waarden als privacy, autonomie, veiligheid, gelijke behandeling en welzijn. Op maatschappelijk niveau zien we dat het vragen oproept over de nationale veiligheid, collectieve welvaart en democratie.

Hieronder bespreken we kort de verschillende publieke waarden die onder druk komen door online tracking.

Privacy
Bij online tracking hebben internetgebruikers slechts beperkt inzicht in, en controle over, de informatie die over hen verzameld wordt, met welke partijen deze gedeeld wordt en wat daar vervolgens mee gebeurt. In theorie hebben gebruikers de mogelijkheid om keuzes te maken ten aanzien van welke data ze willen delen, maar in de praktijk wordt dat het hen vaak moeilijk gemaakt. Bovendien zorgen de complexiteit van tracking en de ondoorzichtigheid van het ecosysteem ervoor dat het überhaupt de vraag is of van individuele consumenten mag worden verwacht dat zij in staat zijn om geïnformeerde keuzes te maken ten aanzien van tracking.

Autonomie
Het beïnvloeden van de opinies, keuzes en het gedrag van de ontvanger is een belangrijk doel van online tracking. Consumenten kunnen bijvoorbeeld genudged worden om bepaalde aankopen te doen. Met online tracking heeft de verkopende partij onevenredig veel kennis over de kopende partijen. In specifieke gevallen kan dat ook een negatieve invloed hebben op het welzijn van individuen, bijvoorbeeld als zij gericht benaderd worden op bepaalde zwaktes of verslavingen.

Non-discriminatie
Online tracking maakt het mogelijk om onderscheid te maken tussen persoonsprofielen zodat specifieke groepen kunnen worden bereikt. Dit kan leiden tot ongelijke behandeling. Soms gebeurt dit abusievelijk, maar het kan ook het gevolg zijn van bewuste keuzes die adverteerders maken of de mogelijkheden die platformen bieden om bepaalde groepen uit te sluiten voor bepaalde advertenties.

Persoonlijke en nationale veiligheid
Door de omvangrijke dataverzameling te combineren met andere data (aangekocht of gelekt), kunnen verschillende stukjes informatie aan elkaar worden geknoopt. Op die manier kan vaak de identiteit (naam, adres, woonplaats) van een persoon worden achterhaald. Kortom, het is steeds lastiger om anoniem te blijven. Dit kan iemands persoonlijke veiligheid in gevaar brengen, denk aan politieke vluchtelingen of militairen. Het kan uiteindelijk ook de nationale veiligheid in gevaar brengen, bijvoorbeeld als het gebruikt wordt voor spionage of chantage. Doordat verschillende (statelijke en niet-statelijke) buitenlandse actoren toegang kunnen verkrijgen tot data over burgers, is buitenlandse inmenging een serieus risico.

Democratie
Zoals we eerder al constateerden wordt online tracking ingezet om de opinies, keuzes en het gedrag van de ontvanger te beïnvloeden. Dat beperkt zich niet alleen tot advertenties met commerciële doeleinden, maar kan ook het tonen van politieke boodschappen omvatten. Zo wordt geprobeerd om burgers te beïnvloeden in hun meningsvorming, met mogelijke impact op het democratisch debat en vrije verkiezingen. Daarnaast kan het functioneren van de democratie ook geraakt worden door de optelsom van eerder genoemde publieke waarden die onder druk komen te staan door online tracking.

Economische welvaart
Het blijft lastig te meten hoe effectief gepersonaliseerde advertenties zijn ten opzichte van andere vormen van adverteren. Door de complexiteit van het advertentie-ecosysteem is het evenzeer de vraag wie nu het meest profiteren van dit systeem en wie niet. Al met al valt moeilijk empirisch hard te maken dat gepersonaliseerde advertenties daadwerkelijk effectiever zijn dan andere vormen van adverteren. Bovendien is het twijfelachtig of de huidige online-advertentiemarkt en de online trackingpraktijken die daarin een grote rol spelen, bijdragen aan de totale economische welvaart. In ieder geval blijken Nederlandse mediabedrijven niet of nauwelijks te hebben geprofiteerd van de groeiende digitale advertentiemarkt.

3. Wat zijn de juridische kaders voor online tracking?

Er bestaan meerdere lagen van wet- en regelgeving. De juridische kaders die van toepassing zijn, gaan niet noodzakelijk specifiek over online tracking, maar bieden bredere bescherming voor mensenrechten, gegevens en consumenten. Zowel de gelaagdheid als de context van de wetgeving zijn belangrijk om de nationale politieke handelingsruimte ten opzichte van online tracking te begrijpen.

Op het internationale niveau bestaan er verschillende kaders die mensenrechten moeten waarborgen. Verder heeft de Europese Unie de afgelopen decennia wettelijke kaders opgesteld om de rechten van burgers bij digitale communicatie en de verwerking van persoonsgegevens te beschermen, waaronder de Algemene Verordening Gegevensbescherming (AVG), ePrivacyrichtlijn (uitgewerkt in de Nederlandse Telecommunicatiewet), Digitale dienstenverordening (DSA), Digitale marktenverordening (DMA), AI-verordening en Verordening politieke advertenties.

Binnen de huidige juridische kaders van de Telecomwet is online tracking toegestaan, mits dit voldoet aan bepaalde vereisten. Hierbij is het van tevoren en volledig informeren van gebruikers en vragen van hun toestemming essentieel. Daarnaast gaat de AVG ervan uit dat bij online tracking persoonsgegevens worden verwerkt. Dit mag alleen als er op de juiste manier toestemming wordt gevraagd; toestemming dient geïnformeerd, vrijelijk, specifiek en ondubbelzinnig te zijn.

Voor bijzondere persoonsgegevens, zoals godsdienst, gezondheid en seksuele voorkeuren, moeten gebruikers uitdrukkelijke toestemming geven. Het moet altijd duidelijk zijn of een uiting reclame is en van welk bedrijf. Voor politieke advertenties gelden nog scherpere regels. Verder gelden er ook strenge regels rond de internationale doorgifte van data.

Ondanks deze wet- en regelgeving vindt er veelvuldig tracking plaatst die in strijd is met de wet. Apps en websites tracken soms al voordat überhaupt toestemming is verkregen, of alsnog nadat gebruikers dit hebben geweigerd. En in veel gevallen wordt er op onjuiste manieren om toestemming gevraagd via cookiebanners. Een eerste probleem is dus niet-naleving van de geldende wet- en regelgeving.

Daarnaast bestaan grijze gebieden binnen het juridische kader. Zo is er discussie of mensenrechten, zoals het recht op privacy en de vrijheid van gedachte, geweten en godsdienst, breed geïnterpreteerd kunnen worden voor de bescherming tegen beïnvloeding via online tracking (en de combinatie met technologieën als virtual reality en neurotechnologie).

Ook is voor bedrijven niet altijd helder of toestemming verplicht is. Zo is er volgens de Telecomwet geen toestemming nodig voor functionele en beperkt analytische cookies, oftewel analytische cookies met geringe gevolgen voor de privacy van gebruikers. Toezichthouders lijken echter een strengere opvatting daarvan te hanteren dan de wetgever. Bovendien ontwikkelt de techniek zich constant, waardoor het bijvoorbeeld moeilijk is in concrete richtlijnen te vatten voor welke functionaliteiten van Google Analytics toestemming verplicht is.

Er bestaat ook onduidelijkheid rondom de vraag wanneer precies sprake is van geïnformeerde, vrije en ondubbelzinnige toestemming. Dit probleem hangt deels samen met de wijze waarop door veel websites om toestemming wordt gevraagd, maar ook met de vraag of van individuele internetgebruikers überhaupt wel mag worden verwacht dat zij in staat zijn om de complexiteit van online tracking en dataverwerking te begrijpen, en zodoende een bewuste keuze te maken. Dat laatste probleem is inherent aan het consent-model.

Verder is vaak sprake van een machtsverschil tussen aanbieder en gebruiker, wordt toegang tot een dienst afhankelijk gemaakt van toestemming (met cookiemuren waaronder pay-or-okay-modellen), en wordt niet altijd voor alle dataverwerking en doeleinden afzonderlijk toestemming gevraagd.

Ook is het de vraag of gebruikers via cookiebanners hun voorkeuren ondubbelzinnig kunnen uitdrukken, aangezien het vaak (visueel) gemakkelijker is om te accepteren en lastiger om te weigeren door zogenaamde dark patterns.

Een juridisch kader vraagt tot slot om afdoende toezicht en handhaving. Dit verloopt deels via een getrapt systeem waarbij er op EU-niveau moet worden samengewerkt. Binnen Nederland is er nog een werkverdeling tussen AP en ACM (hoewel er een voorstel bij de Tweede Kamer ligt om het toezicht op de AVG volledig bij de AP te beleggen). Het huidige systeem is in de praktijk niet altijd even efficiënt. Binnen de EU geldt dat de lidstaat waar een bedrijf is gevestigd de toezichthouder levert. Dit zorgt voor een forse belasting van met name de Ierse toezichthouder, waar veel techbedrijven zijn gevestigd. De capaciteitskwestie speelt echter ook in Nederland. AP en ACM moeten tienduizenden apps en websites bekijken met beperkte middelen. In de praktijk kan de AP dus slechts sporadisch optreden en boetes uitdelen. Het is bovendien de vraag of boetes een voldoende afschrikmiddel zijn voor kapitaalkrachtige bedrijven, die volgens verschillende gerechtelijke uitspraken herhaaldelijk de wet hebben overtreden.

Kortom, de huidige wet- en regelgeving biedt houvast om internetgebruikers te beschermen tegen de nadelige effecten van online tracking, maar uit onze analyse komt ook een aantal onduidelijkheden en knelpunten naar voren. Deze knelpunten en onduidelijkheden gelden voor de bescherming van de rechten van internetgebruikers en voor de uitvoerbaarheid en handhaving van de wettelijke kaders. Deze aspecten beperken de effectiviteit van bestaande wetgeving.

4. Wat zijn alternatieven voor online tracking?

Er zijn op dit moment geen kant-en-klare alternatieven die het huidige complexe systeem kunnen vervangen. Wel zijn er verschillende instrumenten om de nadelen van online tracking tegen te gaan en publieke waarden te versterken. Niet elk van deze opties is geschikt voor iedere gebruiker, website of app. Soms is de juridische status nog onduidelijk (zoals rondom het pay-or-okay-model) en in veel gevallen blijft er een bepaalde mate van tracking bestaan. We stippen de alternatieven hier kort aan.

Individuele gebruikers kunnen meer autonomie en privacy verkrijgen via het aanscherpen van privacy-instellingen, door voor andere browsers en zoeksystemen te kiezen, en door het instellen van advertentie- en trackingblockers. Dit maakt voor gebruikers individueel een verschil, maar verandert weinig aan het systeem van online tracking als geheel.

Daarnaast beperken browsers steeds meer het gebruik van third-partycookies. Dat betekent maar ten dele dat privacy beter gewaarborgd is, want er vindt nog steeds tracking plaats, maar dan met name via first-partycookies of andere vormen van tracking. Tevens worden alternatieven voor de functionaliteit van third-partycookies ontwikkeld, zoals Google’s Privacy Sandbox. Dit maakt browsers nog belangrijker binnen online tracking. Het vergroot ook de macht van bedrijven die minder afhankelijk zijn van third-partycookies, zoals Google en Facebook, en bedrijven die speler zijn binnen online tracking én browsers ontwikkelen, zoals Google en Apple. Bovendien beschermt deze ontwikkeling niet tegen andere vormen van tracking, zoals fingerprinting.

Websites en apps kunnen ook zonder online tracking en zonder targeted advertising inkomsten genereren. Eén zo’n vorm is contextueel adverteren. Hierbij worden advertenties gematcht met de content op platformen, in plaats toegesneden op de individuele gebruiker door middel van online-tracking-dataprofielen. Dit model biedt mogelijk uitkomsten voor het verdienmodel van websites en apps. Maar ook voor gebruikers, omdat tracking voor targeting advertising dan overbodig wordt. Het is echter de vraag of alle adverteerders bereid zullen zijn om over te stappen. Hierover bestaan zowel succesvolle als minder succesvolle voorbeelden.

Een ander inkomstenmodel is betalen voor diensten. Er bestaan twee varianten die niet met elkaar verward moeten worden. In de eerste plaats gaat het om pay-or-nay-modellen. Hierbij hebben gebruikers de keuze tussen betaalde toegang tot een dienst zonder tracking of geen toegang tot de dienst. Dit model kennen we van de offline wereld en is juridisch toegestaan. In de tweede plaats gaat het om pay-or-okay-modellen. Hierbij hebben gebruikers de keuze tussen betalen voor de dienst zonder tracking, of getrackt worden met gepersonaliseerde content. De Europese Commissie heeft in een recente uitspraak bepaald dat pay-or-okay voor de grote zes DMA-poortwachters niet is toegestaan. De vraag is of dit voor overige platformen en websites wel mag.

Een derde alternatief is het bekostigen van websites en apps via donaties. De krant The Guardian, de communicatieapp Signal, de online encyclopedie Wikipedia, en het microblogplatform Mastodon zijn voorbeelden. Veel van deze diensten gebruiken vrijwel geen tracking en zijn in beperkte mate of niet afhankelijk van advertenties. Dit verdienmodel is niet op alle websites en apps toepasbaar en is niet per se een optie voor alle gebruikers. Voor Signal en Mastodon hangt bruikbaarheid voor gebruikers ook af van het overstappen van contacten.

Verder zijn er privacy-vriendelijkere systemen in ontwikkeling waar individuele gebruikers meer zeggenschap hebben over hun data en toestemming om data te gebruiken. Deze worden vaak aangeduid als Personal Information Management Systems (PIMS’en). PIMS’en geven gebruikers decentrale opties voor inloggen, consent geven en de opslag van data, meestal via de browser. Het vereist echter meer standaardisering van ontwikkelaars en kennis bij gebruikers om PIMS’en als volwaardig alternatief in te zetten. En hoewel gebruikers meer controle hebben over hun data wordt deze nog steeds gedeeld en ingezet voor personalisatie. Bovendien geldt ook hier de vraag hoeveel kennis en verantwoordelijkheid bij de gebruiker kan worden gelegd.

Meer informatie:

• Aankondiging van het rapport
• Rapport (pdf)