Binnen 0,0146 seconden wisten 835 bedrijven wie Julia was. Ze vatte het angstbeeld in een kunstwerk

Met één muisklik ging kunstenaar Julia Janssen akkoord met de voorwaarden van de website van The Daily Mail. Pas later kwam ze erachter dat die haar gegevens deelde met 835 bedrijven. Ze zette de ‘kleine lettertjes’ van al die bedrijven achter elkaar en laat ze voorlezen op de Dutch Design Week in Eindhoven. Honderden uren lang.

‘Och jeetje!’ Minke Greve (66) slaakt een kreet. ‘Dit is écht heel erg.’ Het boek dat voor haar op tafel ligt, is geen ijzingwekkende thriller, maar een verzamelwerk van 835 sets privacyvoorwaarden. De voorwaarden die kunstenares Julia Janssen (25) ergens tussen 2016 en 2017 met één achteloze muisklik accepteerde. In welgeteld 0,0146 seconden ging ze niet alleen akkoord met de privacyvoorwaarden van de website dailymail.co.uk, die ze bezocht, maar ook met die van de 835 bedrijven waarmee de krantensite gegevens deelt.

Of ze die bewuste surfsessie op zoek was naar een sappige roddel of per ongeluk doorklikte: Janssen weet het niet meer. Maar vaststaat dat haar cookies werden opgeslagen en bewaard. Toen ze vorig jaar onderzoek deed naar haar eigen surfgedrag, leidden die haar terug naar de website van Daily Mail. Met wat doorklikken zag ze dat die samenwerkt met websites waarvan ze het bestaan niet vermoedde. Ze struinde al die sites af en bundelde de voorwaarden.

Het resultaat ligt deze week op tafel in een container op de Dutch Design Week in Eindhoven. Een boek van encyclopedische proporties: 826 pagina’s vol kleine lettertjes. Te veel om in je eentje te verhapstukken, dus roept Janssen de hulp in van voorbijgangers. Iedereen mag een kwartier voorlezen, lang genoeg om in de stemming te raken, te kort om gek van te worden. Na 17 uur zijn 85 pagina’s gelezen, het boek ligt nog steeds open bij de A. In dit tempo duurt het nog zo’n 450 uur voordat alle pagina’s zijn doorgeploegd.

Verkoopwaar

Ellen Julio (64) laat zich er niet door opjagen. Met rustige stem somt ze op dat Adility niet alleen uw browser registreert, maar ook het IP-adres en apparaat waarmee u surft. Natuurlijk wist ze wel dat haar online-gedrag werd gevolgd. Onlangs nog zocht ze in een webwinkel naar een linnen blouse, toen ze tussendoor een woordje wilde leggen op het digitale scrabblebord WordFeud kwam een reclame in beeld voor precies zo’n blouse. Maar het wordt haar nu nog duidelijker: ‘We zijn verkoopwaar geworden.’

En dat is precies hoe Janssen erover denkt. Tussen de 835 bedrijven die haar gegevens verzamelden, zaten veel adverteerders en data brokers – bedrijven die persoonsgegevens weer doorverkopen aan adverteerders. Hoe representatief het aantal van 835 is, weet ze niet. Maar dat bedrijven onderling data delen, is bekend en toegestaan. Zo deelt DPG Media, de uitgever van onder meer de Volkskrant en Trouw, gegevens over onder meer surfgedrag met Sanoma, Telegraaf Media Groep en RTL Nederland, ‘om zo marketeers in staat te stellen betere advertenties te tonen’.

‘Dit gaat wel heel diep’, zegt Jurrit van der Ploeg (28). Hij heeft zojuist de privacyvoorwaarden opgedreund van een boekingswebsite. ‘Alles wordt opgeslagen: je leeftijd, waar je boekt, waarvandaan je zoekt. Ze kijken niet naar je ras, stond er, dat valt dan weer mee.’ Natuurlijk, hij zou graag willen beloven dat hij voortaan alle privacyvoorwaarden netjes leest, ‘maar het kost zoveel tijd.’

De gemiddelde leestijd per set privacyvoorwaarden is een halfuur, berekende Janssen. Met enkele uitschieters naar beneden en boven. ‘Die van Microsoft duurden bijvoorbeeld acht uur. Daar kwamen mensen gechoqueerd uit.’ Die tijd zit enerzijds in de lengte – de privacyvoorwaarden van PayPal tellen meer woorden dan Shakespeares Hamlet – maar ook in de moeilijkheidsgraad. The New York Times vergeleek 150 sets privacyvoorwaarden met literaire klassiekers. Alleen Kants Kritiek van de zuivere rede las moeilijker dan de privacyvoorwaarden van Facebook.

AVG

De Algemene verordening gegevensbescherming (AVG) verlangt dat gebruikers worden geïnformeerd over de verwerking van hun gegevens, legt hoogleraar privacyrecht Gerrit-Jan Zwenne uit. Artikel 12, 13 en 14 schrijven voor dat privacyvoorwaarden toegankelijk en begrijpelijk geformuleerd moeten zijn, en de gebruiker moeten informeren over onder meer de gegevens die worden verzameld, voor welk doel, hoe lang die gegevens bewaard blijven en met wie ze worden gedeeld.

De AVG heeft voor bedrijven en overheden duidelijk gemaakt wat er in die voorwaarden moet staan, zegt Zwenne. Maar voor de gebruiker is het er niet altijd beter op geworden. ‘Als alle eisen keurig naar de geest van de wet worden opgesomd, kan het veel te veel informatie zijn. Die overload kunnen we gewoon niet aan.’

Dus besluiten we vaak om die voorwaarden dan maar klakkeloos te accepteren. Dat bleek eens te meer uit Amerikaans onderzoek, waarbij 543 studenten de privacyvoorwaarden van het fictieve sociale netwerk NameDrop voorgeschoteld kregen. Verstopt in die kleine lettertjes stond de voorwaarde dat ze door op akkoord te klikken hun eerstgeboren kind zouden afstaan. 97 procent klikte op ‘got it’.

Valuta

Er zit een verschil in hoe we denken over privacy en hoe we ermee omgaan, zegt Janssen. ‘Als je vraagt: vind je privacy belangrijk, is het antwoord meestal ‘ja’, maar als je een pop-up in je scherm krijgt die zegt: geef je privacy op om door te gaan, klikken we op ‘akkoord’.’ Tegelijkertijd hebben we ook maar weinig keuze, want veel websites zijn simpelweg niet toegankelijk als je de privacyvoorwaarden niet accepteert. Je data zijn online nu eenmaal de valuta.

En dat is ook helemaal niet erg, vindt Janssen. Aan het delen van data zitten zelfs voordelen, want wie vindt een gepersonaliseerd reisadvies niet handig. ‘Maar we moeten wel controle hebben over wie wat van ons weet.’ In de toekomst ziet ze het liefst dat gebruikers zelf de voorwaarden formuleren waarop ze hun data aan bedrijven verkopen. Maar ze geeft direct toe dat dat nog wel even zal duren. Eerst moeten mensen er überhaupt van doordrongen zijn dat hun privacy wordt geschonden. Samen lezen dus. Zodat we straks niet meer pikken wat we elke dag aan voorwaarden accepteren.