Loadingdata | Daniel Bos

Twee weken terug schreef ik al over de indi­a­nen­ver­halen die de ronde doen naar aan­lei­d­ing van de “cook­iewet”. Ik heb op dat artikel een aan­tal uit­stek­ende vra­gen en opmerkin­gen gehad (zowel op mijn blog als elders) en heb daarom besloten een ver­volg te schri­jven, waar ik een aan­tal pun­ten nog eens extra kan aanstip­pen en zal proberen een aan­tal onduidelijkhe­den weg te nemen.

In een van de reac­ties werd gevraagd om de impact voor de ver­schil­lende par­ti­jen die getrof­fen wor­den door deze nieuwe regel­gev­ing. Dit leek mij een uit­stek­ende struc­tuur voor dit artikel. De ver­schil­lende pun­ten zijn dus gerangschikt rond de thema’s “Bezoek­ers”, “Web­site Beheerders” en “Adver­teerders”.

Bezoek­ers

De media (ook het IAB is hier niet geheel onschuldig aan) heeft de indruk gegeven dat deze nieuwe regel­gev­ing ervoor zal zor­gen dat gebruik­ers op iedere web­site eerst een aan­tal pop­ups zal moeten wegk­likken, voor­dat de web­site bezocht kan wor­den. Dit is mede ingegeven door het idee dat adver­teerders voor iedere web­site toestem­ming moeten kri­j­gen. Dit is echter per­ti­nent onjuist. De meeste adver­teerders werken via third-party cook­ies (cook­ies die niet door de web­site die je bezocht geplaatst wor­den, maar door de adver­teerder zelf). Een adver­teerder hoeft hier slechts een­ma­lig toestem­ming voor te kri­j­gen. Dit betekent dat de gebruiker alleen voor de eerste paar web­sites die hij bezoekt toestem­ming hoeft te geven of te weigeren.

Daar­naast bestaat het idee dat het weigeren van cook­ies tot gevolg zal hebben dat er voor ieder bezoek opnieuw gevraagd zal wor­den om toestem­ming. Mijns inziens is dit eve­neens onjuist. Het al-dan-niet geven van toestem­ming kan alsnog opges­la­gen wor­den in een cookie, aangezien de wet het toe­laat tech­nis­che cook­ies te plaat­sen. Met de opmerk­ing dat de cookie alleen voor dit doel gebruikt mag worden.

Een punt van aan­dacht is echter wel dat cook­ies (en de weiger­ing of toestem­ming hier­voor) per browser opges­la­gen wor­den. Dit betekent dat als een gebruiker ver­schil­lende browsers gebruikt, of ver­schil­lende appa­raten gebruikt, er ook meerdere keren toestem­ming gegeven moet wor­den. Dit is het­zelfde als bijvoor­beeld book­marks en opges­la­gen wacht­wo­or­den. Ik kan mij echter voorstellen dat er plu­g­ins ontwikkeld zullen wor­den om dit te synchronizeren.

Tenslotte een opmerk­ing over de Do-Not-Track func­tion­aliteit die browser fab­rikan­ten recen­telijk ontwikkeld hebben: Deze biedt een opt-out mogelijkheid voor browser track­ing. De over­heid gaat er, in mijn ogen terecht, vanuit dat track­ing zo belan­grijk is dat opt-out niet vol­doende is. Je kunt er immers niet vanuit gaan dat iedereen op de hoogte is van de func­tion­aliteit en impli­caties van Do-Not-Track, en tevens gebruik maakt van een browser die dit onder­s­te­und. Ik zie overi­gens wel mogelijkhe­den bei­den te com­bineren. Als een gebruiker de Do-Not-Track func­tie aan heeft staan, dan kan dit gezien wor­den als een explicite weigering.

Web­site beheerders

De web­site beheerder is de First Party, ofwel degene waar de bezoeker recht­streeks mee com­mu­niceert. De Web­site beheerder is ver­ant­wo­ordelijk de bezoeker te informeren over de track­ing cook­ies die zijn web­site plaatst, en toestem­ming hier­voor te verkri­j­gen. Ook al bestaande cook­ies vallen hieron­der! Deze mogen niet gebruikt wor­den tot­dat de bezoeker hier toestem­ming voor gegeven heeft.

Vaak plaat­sen web­sites echter zelf geen track­ing cook­ies, maar wor­den deze geplaatst door (bijvoor­beeld) een adver­teerder die adver­ten­ties plaatst op de web­site. In dat geval is de adver­teerder bijna altijd ver­ant­wo­ordelijk voor het informeren en verkri­j­gen van toestem­ming. Het is echter mogelijk dat adver­teerders dit afschuiven op web­site beheerders.

Alle cook­ies die noodza­ke­lijk zijn voor het func­tioneren van de web­site bli­jven toeges­taan. Hieron­der vallen sessie-cookies en inlog-cookies, maar ook cook­ies waarin bijvoor­beeld de gebruik­er­snaam wordt opges­la­gen, zodat deze bij het vol­gende bezoek niet opnieuw ingevo­erd hoeft te worden.

Vol­gens de wet moeten bezoek­ers eerst volledig gein­formeerd wor­den over het cook­iege­bruik, voor­dat ze toestem­ming kun­nen geven. Het is dus niet vol­doende om deze infor­matie op te nemen in een pri­vacy pol­icy. Ik verwacht echter dat een duidelijke vraag­stelling, in com­bi­natie met een link naar de sec­tie in de pri­vacy pol­icy betr­e­f­fende het cook­iege­bruik, wel toeges­taan zal zijn.

Adver­teerders

Een veel geho­ord argu­ment tegen de cook­iewet is dat deze het gericht advert­eren onmo­gelijk zal maken, wat tot gevolg zal hebben dat de opbreng­sten van online advert­eren zullen kelderen. Dit is vol­gens mij onjuist. Met behulp van Browser Fin­ger­print­ing kun­nen bezoek­ers met hoge mate van betrouw­baarheid gei­den­ti­ficeerd wor­den. Zie hier­voor onder andere het Panop­ticlick project van de Elec­tronic Fron­tier Foun­da­tion. Hoewel hier­bij gebruik gemaakt wordt van slechts een klein deel van de mogelijkhe­den, is de fin­ger­print van mijn browser toch uniek bin­nen de dataset van ruim 1.6 miljoen bezoek­ers. Door gebruik te maken van meer gea­vanceerde meth­o­den, zoals het meten van de klok-offset, kun­nen in de meeste gevallen zelfs iden­tieke sys­te­men bin­nen bijvoor­beeld een bedrijf uniek gei­den­ti­ficeerd wor­den. Vol­gens het artikel over het panop­ticlick project (Browser Unique­ness^[PDF]) is het zelfs mogelijk om, met hoge mate van betrouw­baarheid, te detecteren wan­neer iemand bijvoor­beeld zijn browser upgrade. Het groot­ste risico hier­bij is nog wel dat deze gegevens een­voudig ver­han­del­baar zijn, omdat er geen afhanke­lijk is van cook­ies, die slechts door een enkel domein uit te lezen zijn.

Prob­le­men en vragen

Ik hoop hier­mee de onduidelijkhe­den in het vorige artikel weggenomen te hebben. Hoewel deze nieuwe regel­gev­ing wel degelijk invloed zal hebben op het gebruik van het inter­net, is deze m.i. veel beperk­ter dat de media doet geloven. Er staan wat mij betreft echter nog wel een aan­tal pun­ten open.

Zoals eerder al aangegeven, kun­nen bezoek­ers, met behulp van Fin­ger­print­ing, met hoge mate van betrouw­baarheid gevolg wor­den. Het groot­ste prob­leem dat de over­heid heeft proberen op te lossen (pri­vacy op het inter­net) is dus nog steeds niet opgelost. De Do-Not-Track func­tie geeft aan dat een bezoeker hele­maal niet gevolgd wil wor­den, dus ook niet met behulp van Fin­ger­print­ing. Het staat web­sites echter vrij dit te negeren.

Daar­naast geldt deze regel­gev­ing niet alleen voor browsers, maar ook voor appli­caties. Niet alleen voor desk­top com­put­ers, maar ook voor tablet com­put­ers en smart­phones. Het is mij nog niet geheel duidelijk wat de impli­caties zullen zijn voor bijvoor­beeld smart­phone applicaties.

Graag hoor ik jul­lie reac­ties, vra­gen, onduidelijkhe­den of sug­gesties!

Posted from Bei­jing, Bei­jing, China.

Related posts:

Did you like what you read? Consider supporting me:
Twee weken terug schreef ik al over de indi­a­nen­ver­halen die de ronde doen naar aan­lei­d­ing van de “cook­iewet”. Ik heb op dat artikel een aan­tal uit­stek­ende vra­gen en opmerkin­gen gehad...