De duurste knop van dit jaar is een knop die je niet ziet. Wie een Google-account aanmaakte, kreeg ‘web- en app-activiteit’ standaard aan. Wie dat niet wilde, moest zelf ontdekken dat de uitgang achter ‘meer opties’ lag.
De Ierse privacytoezichthouder heeft uitgerekend wat zo’n verstopte uitgang kost: 403 miljoen euro. Een les in privacy by default, betaald door iemand anders. Dat is meteen de goedkoopste manier om hem te leren.
Wat er gebeurde: 403 miljoen voor locatiegegevens
Op 21 september legde de Ierse Data Protection Commission (DPC) Google een AVG-boete op van 403 miljoen euro. Het ging om de verwerking van locatiegegevens via drie functies: Web & App Activity, Location History en Location Accuracy op Android.
- De periode: 25 mei 2018 tot 4 februari 2020. De klachten kwamen eind 2018 van acht Europese consumentenorganisaties, waaronder de Consumentenbond, gecoördineerd door BEUC. Het onderzoek liep sinds februari 2020.
- De bevindingen: onrechtmatige en oneerlijke verwerking bij Web & App Activity en Location History. Onvoldoende transparantie bij alle drie de functies. Locatiegegevens langer bewaard dan nodig.
- De opvallendste: bij Location Accuracy kon Google niet aantonen dat de verwerking rechtmatig, eerlijk en transparant was. Een overtreding van de verantwoordingsplicht.
- De opdracht: zes maanden om de verwerking in lijn te brengen met de AVG.
Google stelt dat het om historisch beleid gaat en dat het sinds 2019 veel heeft aangepast. Gebruikers kunnen gegevens nu na drie tot 36 maanden automatisch laten verwijderen, en de tijdlijn van Google Maps staat op het toestel zelf. Volgens The Irish Times kan Google tegen onderdelen in beroep gaan; dat is niet bevestigd. Eerlijk is eerlijk: de boete gaat over keuzes van zes jaar geleden.
Privacy by default: je standaardinstelling is je echte privacybeleid
Artikel 25 lid 2 van de AVG is kort: standaard verwerk je alleen wat nodig is voor het doel. Je privacyverklaring vertelt wat je van plan bent. Je standaardinstelling laat zien wat je doet.
Het ongemakkelijke deel: vrijwel niemand verandert een standaardinstelling. Dat weet elke productontwerper, en daarom is de standaard nooit neutraal. Wie bepaalt wat aan staat, bepaalt wat er verwerkt wordt.
Nu ben jij Google niet. Maar ook jij kiest standaarden, of laat ze kiezen. In het welkomstscherm van je eigen app. In de instellingen van je Microsoft 365- of andere cloudomgeving die de leverancier meeleverde. In de HR-tool die ‘analytics’ aan had staan bij oplevering. In de AI-assistent die bij de uitrol voor iedereen aanstaat. ISO 27002 maatregel 5.34 vraagt om privacy en bescherming van persoonsgegevens; de praktijk vraagt vooral wie die vinkjes heeft gezet.
Dark patterns: ‘meer opties’ is geen keuze
De Consumentenbond noemt het zonder omwegen: sturende knoppen en dark patterns, oftewel misleidende ontwerptrucs. Volgens de bond ‘ontfutselde’ Google zo de toestemming. De AVG vraagt toestemming die vrij, specifiek, geïnformeerd en ondubbelzinnig is. Een uitgang die je moet zoeken, is geen keuze maar een speurtocht.
De test is pijnlijk eenvoudig. Tel de klikken naar ‘ja’ en tel de klikken naar ‘nee’. Zijn die niet gelijk, dan heb je geen toestemmingsscherm gebouwd maar een trechter. De EDPB schreef er richtlijnen over voor socialemediaplatforms (Guidelines 03/2022 over misleidende ontwerppatronen). Ook buiten die sector lezen ze als een catalogus van schermen die we allemaal weleens hebben goedgekeurd.
Het vervelende voor organisaties: de ontwerper die het scherm bouwt, zit zelden in hetzelfde overleg als de functionaris gegevensbescherming (FG) die erover moet oordelen. En de marketeer die op conversie wordt afgerekend, zit er wel bij.
Bewaartermijn en verantwoordingsplicht: ‘voor de zekerheid’ is geen grondslag
De DPC noemt de bewaring expliciet als verzwarende factor. Adjunct-commissaris Graham Doyle: het langer dan nodig bewaren van locatiegegevens “aggravated this loss of control”. Locatiegegevens laten zien waar iemand woont, werkt en wat hij gelooft. Hoe langer je ze bewaart, hoe meer verhaal ze vertellen.
Dat herkent elke FG. De bewaartermijn staat netjes in het verwerkingsregister, maar de database heeft dat register nooit gelezen. Opslagbeperking (artikel 5 lid 1 sub e AVG) en het daadwerkelijk verwijderen van informatie (ISO 27002 maatregel 8.10) zijn twee verschillende dingen. Alleen de tweede telt.
Dan Location Accuracy. Daar stelde de DPC niet vast dat het fout ging, maar dat Google niet kon laten zien dat het goed ging. Dat is artikel 5 lid 2: de verantwoordingsplicht. Een toezichthouder vraagt niet of je het goed doet. Hij vraagt of je het kunt aantonen. Met documenten, niet met de collega die het zich nog herinnert.
En let op de klok: klachten in 2018, boete in 2026. De instelling die jij vandaag aanzet, wordt over zes jaar beoordeeld. Met de documentatie van vandaag.
Drie vragen voor maandagochtend
- Welke instellingen in onze producten en cloudomgevingen staan standaard aan voor gegevensverzameling, en wie heeft dat besloten? Als het antwoord ‘de leverancier’ is, is dat ook een antwoord.
- Hoeveel klikken kost ‘ja’ in onze eigen toestemmingsschermen, en hoeveel kost ‘nee’?
- Kunnen we voor onze drie grootste verwerkingen binnen een werkdag laten zien waarom we ze mogen doen en wanneer de gegevens echt verdwijnen?
Standaardinstellingen zijn geen techniek. Het is beleid dat niemand hoefde te ondertekenen.
Bronnen
- Data Protection Commission: DPC fines Google €403 million following inquiry into Google’s processing of location data
- EDPB: The Irish Data Protection Commission fines Google 403 000 000 EUR
- The Irish Times: Irish data protection watchdog fines Google €403m over GDPR breaches
- Consumentenbond: Overwinning na klacht Consumentenbond, enorme boete voor Google
- EDPB: Guidelines 03/2022 on deceptive design patterns in social media platform interfaces
