CBP en Google debatteren over privacy

Het CBP organiseerde gisteren met de Consumentenbond een debat over privacy in het licht van de grote hoeveelheden persoonsgerelateerde data die bedrijven als Google opslaan. Googles privacyconsultant voor Europa was tevens van de partij en Tweakers.net was erbij.

Het CBP is bezorgd over de data die door zoek- en e-commercebedrijven wordt opgeslagen. Volgens het College laten zaken zoals de door de Amerikaanse regering opgevraagde Google-query's voor doeleinden die niet eens voor opsporing bedoeld zijn, zien dat vrees voor 'hergebruik' van gegevens reëel is. Het CBP vindt dat consumenten het recht hebben om aan hen gerelateerde informatie te kunnen inzien, te corrigeren en desgewenst kunnen (laten) verwijderen. Daarnaast ziet het College graag waarborgen dat er niet meer gegevens worden opgeslagen dan strikt noodzakelijk en dat deze niet tot in de eeuwigheid worden bewaard.

Peter Fleischer, die de titel 'Privacy Counsel Google Europe' draagt, wees erop dat Google zeer gedetailleerde informatie over zijn privacybeleid beschikbaar heeft.Deze informatie is daarnaast zodanig beschikbaar dat iedereen een duidelijk beeld van het beleid kan krijgen: wie een globaal overzicht wil hoeft geen pagina's vol informatie 'van juristen voor juristen' door te spitten. Daarnaast probeert het zijn privacyrichtlijnn te exporteren, zo verplicht het bedrijven die Google Analytics gebruiken, contractueel om de privacyimplicaties hiervan duidelijk aan hun eigen gebruikers bekend te maken. Bij Google Toolbar, waar bovengemiddelde privacyrisico's aan kleven, roept het bedrijf gebruikers met rode letters op toch vooral de gebruiksvoorwaarden te lezen. Ten slotte zet het bedrijf zich in om gebruikersprivacy beter te beschermen: volgens de Amerikaanse wet genieten consumenten-pc's weliswaar uitgebreide bescherming, maar de autoriteiten hebben veel makkelijker toegang tot bedrijfsservers - waar nog wel meer informatie over meneer Jansen op zou kunnen staan dan op zijn pc'tje. Google wil dat die consumentenbescherming wordt doorgetrokken naar servers waarop informatie van burgers te vinden is.

Wetenschaps- en mediaspecialist Herbert Blankensteijn van het NRC Handelsblad vroeg Fleischer, in het licht van de door de VS opgevraagde gebruikersdata, waarom Google eigenlijk niet de data verwerkt en bewaart in de landen waar de gebruikers zitten. Volgens Blankenstein kunnen op die manier lokale privacywetten eenvoudiger worden nageleefd. Fleischer had echter een eenvoudig antwoord: 'Vanwege China'. Google mag dan onder vuur liggen vanwege het 'voorcensureren' van zijn Chinese google.cn-domein, het op Chinese bodem zetten van de gebruikersgegevens is pas echt vragen om problemen, zo is de gedachte. Madeleine McLaggan van het CBP deed een schepje bovenop Blankenstein's vraag en suggereerde dat Google de gebruikersgegevens eigenlijk in het geheel niet moet bewaren. Daarop antwoorde Fleischer met een wedervraag: 'Moet een bank dan maar geen geld in de kluis hebben omdat die kan worden overvallen?'. Daarop had McLaggan geen weerwoord.

De Britse informaticus en privacyactivist Ian Brown was het echter goeddeels met haar eens en stelde dat bedrijven geen informatie op zouden moeten slaan die is te herleiden naar individuele gebruikers. Dat dat ook mogelijk is met het soort informatie dat Google opslaat, ondanks dat het er computerprogramma's op laat kauwen in plaats van dat mensen in de database gaan turen, blijkt uit de zaak van door AOL in een vlaag van verstandsverbijstering online gezette zoekquerydata - onder meer via 'vanity searches', waarbij mensen naar informatie over zichzelf zoeken, bleek dat een aantal gebruikers te identificeren waren tezamen met hun soms genante zoekquery's.

Brown is van mening dat zoekmachinedata eigenlijk op de servers versleuteld zou moeten worden en pas op de clientmachine, die van de gebruiker dus, gedecodeerd zou moeten worden. Targeted advertising zou daar gewoon mogelijk mee zijn, aangezien de gebruikerscomputer een clustertje reclame zou kunnen downloaden en lokaal kan beslissen wat er getoond wordt. E-commercebedrijven die prijsdicriminatie toe willen passen - meer in rekening brengen aan de snelle passant die nu een cadeautje moet hebben dan aan de prijsbewuste student - zouden het wel moeilijk hebben maar die zijn volgens Brown niet netjes bezig en kunnen derhalve de pot op. De informaticus benadrukt echter dat het versleutelscenario er eentje van de ideale wereld is: 'er zou dan zoveel in netwerk- en browserstructuren gewijzigd moeten worden dat het niet echt realistisch om dat te eisen. Maar Brown schept er een zichtbaar genoegen in om bedrijven en het publiek op de theoretische mogelijkheid ervan te wijzen.

Fleischer kreeg nog vragen voorgeschoteld over het opslaan van informatie die niet strikt noodzakelijk is voor de geleverde diensten, met name het lang opslaan van zoekgeschiedenis. Volgens Fleischer doet het bedrijf dat ten bate van het ontwikkelen van nieuwe diensten - zo kwam het bedrijf bijvoorbeeld pas met targeted advertising nadat het de zoekmachine al een tijdje in de lucht had, en kon er toen handig gebruik worden gemaakt van de opgeslagen gegevens. Een ander voorbeeld is de spell-checker: deze geeft suggesties bij zoektermen met een tikfout op basis van gelijkende eerder geplaatste zoekopdrachten. Brown is niet geheel van begrip verstoken voor Googles standpunt dat de informatie naderhand nuttig gebruikt kan worden maar vindt dat er geen enkele noodzaak is om ip-adressen op te slaan bij de zoekopdrachten, om de gewenste diensten te kunnen leveren. Volgens de privacyexpert kan deze eenvoudig in een code worden gewijzigd.

Fleischer ging ten slotte in op het CBP-standpunt dat gebruikers over henzelf opgeslagen informatie in moeten kunnen zien. Op Blankensteijns vraag of Google hem kan laten zien wat het bedrijf over hem weet antwoordde de 'Privacy Counsel': 'Jazeker, ga maar naar privacy.google.com'. Helaas bleek naderhand dat dit subdomein nog helemaal niet bestaat, dus wellicht liep Fleischer vooruit op zaken die nog komen. De Google-consultant zei dat er bij zijn werkgever wordt nagedacht over de wens tot inzage en controle. Als voorbeeld schetste hij een tool die Googlelaars in staat moet stellen om informatie te kunnen inzien die over de gebruiker wordt bijgehouden en eventueel kan worden verwijderd. Over de exacte mogelijkheden van deze tool en welke gegevens dan verwijderd zouden kunnen worden, moest Fleischer het antwoord schuldig blijven, omdat het ontwerp nog op de tekentafel ligt. Hij denkt dat de functionaliteit zich in ieder geval zal beperken tot geregistreerde Google-gebruikers aangezien het niet mogelijk is om een gebruiker te identificeren op basis van zijn ip-adres; bovendien kunnen ip-adressen gespooft worden, wat impliceert dat X de gegevens, bijvoorbeeld de zoekquery's, van Y in kan zien als die over Y's ip-adres beschikt - uiteraard een zeer onwenselijke situatie.

Reacties (30)

[SpiceWorm]

Daarop antwoorde Fleischer met een wedervraag: 'Moet een bank dan maar geen geld in de kluis hebben omdat die kan worden overvallen?'. Daarop had McLaggan geen weerwoord.

Ik heb wel een weerwoord:
Het primaire doel van een bank is het bewaren van geld.
Van google is toch hopelijk niet het primaire doel het bewaren van gegevens van gebruikers.

[Verwijderd]

Het primaire doel van een bank is geld gebruiken om er meer geld van te maken. Het primaire doel is informatie gebruiken om er meer informatie (en dus geld) mee te maken.

[TranceSetter]

Klopt als een bus. Een bank heeft inderdaad net als iedere andere profit-organisatie het doel om geld te verdienen. Dit doen ze door het geld van klanten te gebruiken als lening voor anderen. Door er rente op te heffen krijg je geld binnen...

[WaarAnders]

nee dat klopt niet.

Bank: Het primaire doel richting de klanten is geld opslaan en op een willekeurig moment weer beschikbaar te hebben. Of via geld opname, of via overboeking, of via een pin betaling.

Google: Het primaire doel richting klanten van google is mensen helpen informatie te vinden op internet.

Bij beide zit hierachter dat ze winst willen maken. Dit doen ze op verschillende manieren. Een bank doet dat door mensen kosten door te rekenen, zelf geld te investeren en hogere rente percentages op te strijken dan jij met je spaarrekening doet.

[Tijger]

Jawel, Google's 'kapitaal' is de informatie die ze over gebruikers opslaan, daarmee zeg ik niet dat Google informatie identificeerbaar opslaat maar wel dat ze geen historie van gebruiksgedrag kunnen maken zonder historirsche gegevens te hebben.

[BartS12]

Er is wel degelijk een groot verschil:
- Een bank overvallen is strafbaar
- Google moet zijn gegevens op verzoek van de overheid gewoon inleveren.

Het zou een mooie boel worden als de overheid gewoon tegen de Rabobank kan zeggen "geef maar hier, de inhoud van jullie kluis".

[Verwijderd]

"Van google is toch hopelijk niet het primaire doel het bewaren van gegevens van gebruikers"

Het primaire doel is het verkopen van advertenties, en dus het bewaren van gegevens zodat je het meeste aan de advertenties verdient.

[Verwijderd]

Mits gegevens van gebruikers aan advertentie's worden gekoppeld, aangezien gebruikers met het zoeken van website's niet bezig zijn met geld verdienen, daar waar mogelijk de gegevens van gebruikers worden gebruikt voor advertentie's en adverteerders dus doelmatiger hun advertentie's daarop kunnen afstemmen

Maw, het is niet nodig dat Google uberhaupt gegevens van gebruikers opslaat en aangezien er niet kan worden gecontroleerd wat Google er mee doet mag men er vanuit gaan dat men de gegevens "misbruikt", aangezien er geen andere reden is voor opslag.

[Mombasa]

Het primaire doel is het aanbieden van zoekdiensten. Het primaire doel van een bedrijf hoeft niet het meest winstgevende te zijn.

[Verwijderd]

Dit debat vond plaats in De Balie in Amsterdam en was live online te volgen.

Video terugkijken kan binnen enkele dagen via

www.debalie.nl


Daar zijn nu al stills te bewonderen, waaronder fragmenten van de powerpoint presentaties van Peter Fleischer (Privacy Counsel Google Europe) en Ian Brown (Commissaris Privacy International, adviseur FIPR en oprichter van de Open Rights Group)

[killercow]

Vreemd,

Ik zie al maanden in een of andere google pagina al mijn gegevens, en al mijn zoek queries, ook zie ik welke urls ik heb bezocht op die dagen etc

Heel handig, niet alleen omdat ik nu terug in de tijd kan, maar idd ook omdat ik dan ook een ruwe schets kan maken van wat google van mij weet.

[Blokker_1999]

Daar heb ik google niet voor nodig. ctrl+h is voldoende.

[evEndzhar]

Fleischer had echter een eenvoudig antwoord: 'Vanwege China'.

Dat is wel een erg makkelijk excuus. Google kan natuurlijk ook gewoon hun gegevens in een land bewaren waar de gegevens van klanten (gebruikers) goed beschermd kunnen worden. Of ze dit nu kunnen bereiken door gegevens van Nederlanders in Nederland en van Chinezen in China te bewaren of niet maakt niet uit. In andere woorden: ze kunnen makkelijk een uitzondering maken voor een land als China.

[thegve]

Ik denk dat een groot bedrijf als Google ook zo nu en dan een beetje diplomatiek moet zijn. Als zij overal ter wereld landspecifieke servers neerzetten, behalve in China, dan kan China wel eens zeggen "Jullie vertrouwen ons niet? Dan wij jullie ook niet", en een nieuwe rule in de great firewall opnemen.

[Verwijderd]

Als je geen google toolbar gebruikt, hoe kan google dan zien wie jij bent en hoe kan google meerdere zoekqueries en andere activiteiten op het web koppelen aan dezelfde persoon (uitgaande van een dynamisch ip adres)?

[sjaaknsaak]

Hij denkt dat de functionaliteit zich in ieder geval zal beperken tot geregistreerde Google-gebruikers aangezien het niet mogelijk is om een gebruiker te identificeren op basis van zijn ip-adres; bovendien kunnen ip-adressen gespooft worden, wat impliceert dat X de gegevens, bijvoorbeeld de zoekquery's, van Y in kan zien als die over Y's ip-adres beschikt - uiteraard een zeer onwenselijke situatie.

Dus door bijvoorbeeld gebruik te maken van gmail. Je bent automatisch ingelogd in Google als je ook in gmail bent ingelogd. Ik check dus altijd eerst ff m'n gmail en vervolgens log ik uit voordat ik iets opzoek in Google. Het is niet zo dat ik iets te verbergen heb, maar ik hou er niet van als mijn zoekqueries aan mij persoonlijk gekoppeld worden (ook niet vanuit marketingoogpunt). Die google-ads komen toch wel..

* sjaaknsaak gebruikt adblock plus dus komen ze stiekem niet

[kamerplant]

Behalve door een Google account herkent Google je door middel van een unieke ID die je automatisch ontvangt door middel van een cookie.

[kodak]

Als deze manier van debateren en verdedigen gelijk staat aan hoe het CBP in Nederland opkomt voor bescherming van persoonsgegevens dan staat het er niet best voor.

Alleen al het argument dat het vanwege China gebeurt was voldoende om protest te doen wegvegen. Maar het CBP hoort dondersgoed haar taak te weten: opkomen voor bescherming persoonsgegevens van personen onder Nederlandse belang. Dat het bij China gevaarlijk is om in het land gegevens te bewaren vanwege belangen van personen maakt het opslaan van Nederlandse persoonsgegevens in het buitenland net zo gevaarlijk!

Daarbij sluit het "onmogelijke" bij het ene land nooit een mogelijkheid voor een ander land uit om gegevens echt goed te kunnen beschermen onder bijvoorbeeld de Nederlandse wet.

[Verwijderd]

CBP staat toch voor Centraal Bureau Persoonsregistratie en niet College?

[Verwijderd]

Nee, College Bescherming Persoonsgegevens.

zie:http://www.cbpweb.nl/

[Roelant]

klik: http://www.cbpweb.nl/

En loer eens in de titel van je browser.

[XplodingForce]

Voor mensen die bang zijn dat de privacy van mensen in het geding is, doordat je die privacy-voorwaarden van de google toolbar alleen op internet kan lezen:

Bij de installatie van de google toolbar worden deze voorwaarden ook getoond, met ook in zeer grote letters erboven: "PLEASE READ THIS CAREFULLY
IT'S NOT THE USUAL YADA YADA". Als je dan nog niet doorhebt dat er speciale voorwaarden aanzitten...

Ook kun je deze features gewoon uitschakelen bij de installatie (ook als je gewoon typical install kiest krijg je deze optie), dus het is echt niet zo dat je geen andere keuze hebt.

Nee, ik ben geen medewerker van google. Ja ik gebruik de google toolbar

[Scorpion1984]

Ja misschien bij de toolbar, maar bij www.google.nl / www.google.com valt 0,0 te vinden over de privacy voorwaardes. De enige manier om die dingen op te zoeken, is door deze te accepteren(lees gebruiken van de zoekmachine). Vanaf de google website, naar de voorwaardes komen is gewoon onmogelijk zonder het gebruik van de service zelf.

[NeOTheMaTriXM]

http://www.google.nl/intl/nl/privacy.html

[rodie83]

Is het dan zo lastig om via www.google.nl op "alles over google"te klikken en vervolgens "Privacy reglement"?

Uiteindelijk kies je er zelf voor google te gebruiken - en dus accoord te gaan met hun regelement. Ik vind verder ook niet dat google daar verder erg schimmig over doet.

[Verwijderd]

Dit debat vond plaats in De Balie in Amsterdam en was live online te volgen.

Video terugkijken kan binnen enkele dagen via http://www.debalie.nl/art...p?siteid=&articleid=94204

Daar zijn nu al stills te bewonderen, waaronder fragmenten van de powerpoint presentaties van Peter Fleischer (Privacy Counsel Google Europe) en Ian Brown (Commissaris Privacy International, adviseur FIPR en oprichter van de Open Rights Group)