Verdienen de cookiewet en privacy op mobiel dezelfde aanpak?

Sinds 2012 is er de cookiewet. Deze wet is ontworpen om u, de gebruiker, controle te geven over eigen gegevens. De wet zelf is omstreden, maar de resultaten van de wet niet. Bij het zien van de cookie-dialoog drukken mensen #item1">zonder aarzelen op „Ja”. Daar komt bij dat mensen die cookies verwijderen extra pijn wordt gedaan; de cookiemeldingen blijven komen. En dan heb je nog de organisaties die erg stout zijn en nog steeds zonder vragen tracking cookies plaatsen. Deze bedrijven worden achter de broek aan gezeten door de ACM, er moet worden toegezien op naleving. Kortom, er zijn in Nederland nogal wat euros opgestookt aan de cookiewet. Maar hebben we nu controle over eigen gegevens?

Mobile apps en controle over eigen gegevens

Bij introductie werd gemeld dat de cookiewet breed is geformuleerd. Ook apps zouden eronder vallen. Maar waar je ook zoekt bij overheidsinstanties: niets over apps. In de toelichting op de laatste wetswijziging komt het woord cookie honderden keren voor, het woord website 13 keer, en het woord app of mobiel geen een keer. Het is duidelijk dat de absolute aandacht voor deze thematiek ligt bij het web. 

Ondertussen verplaatst online verkeer zich naar mobiel. En op mobiel is app verkeer dominant boven website verkeer. Apps kunnen zo’n beetje alles op je smartphone aanspreken: adresboek, bellen, foto’s, GPS, gegevensopslag. Dat is een grote kracht ten opzichte van websites, maar om vanzelfsprekende redenen een gevaar voor privacy. Om gebruikers controle te geven over wat een app wel en niet mag zijn er daarom app permissies. 

Op Android geef je vóór installatie van een app toestemming voor alle permissies die nodig zijn. Dit lijkt duidelijk, maar het model kent een aantal grote nadelen. Het is stikken of slikken; je accepteert alle permissies of je hebt geen app. Ook is het niet duidelijk welke functie welke permissie nodig heeft. Tot slot zijn de beschrijvingen van Android permissies vaak ruim. Er wordt beschreven wat er in theorie mogelijk is, niet wat er gebruikt wordt. Apple’s iOS doet dit beter. Een iOS app vraagt pas permissie op het moment dat het nodig is („deze app wil toestemming tot locatie”). Hiermee zie je meteen een verband tussen de gevraagde permissie en de geleverde prestatie. Maar omdat dit op app-niveau, en niet op functioneel niveau plaatsvindt, staat niets de app in de weg om ook andere dingen te doen met de gevraagde permissie. Ook niet ideaal dus. Ohja, trouwens, de internetverbinding en opslag van data zijn op iOS géén permissie. Dit ziet iOS als standaard bij een applicatie. 

De cookiewet richt zich op registraties voor het verwerken van persoonlijke gegevens. Kunnen apps ook gebruikers volgen? Over apps heen? Ja, dat kan. Het wordt gefaciliteerd.

Zowel Android als iOS kennen in het Operating Systeem een advertising ID. Deze opvolger van het beruchte UDID stelt makers van apps in staat gebruikers te herkennen aan een sleutel en te volgen over verschillende toepassingen. Het Advertising ID is in beginsel anoniem. Maarja, het is anoniem totdat je het verrijkt natuurlijk. Daar komt bij dat het advertising ID standaard aan staat en lastig te vinden is (ik daag je uit). De mensen die deze knoppen vinden zijn, zo vermoed ik, dezelfde mensen die adblockers installeren en kritisch kijken naar meldingen over cookies. En dit is nou net niet die meerderheid die beschermd moet worden met een wet.

Hoe nu verder?

Wij betalen met onze gegevens voor „gratis” diensten. De effecten van dit principe, gecombineerd met technische vooruitgang zijn duizelingwekkend. Ik vind het daarom ook belangrijk dat er eerlijk wordt verteld wat de deal is tussen consument en leverancier. Maar ik denk niet dat de cookiewet hierin slaagt. 

Voor een goede maatregel moet eerst de vraag worden beantwoord: wie maken we verantwoordelijk voor empowerment van de consument? De cookiewet maakt alle site-makers verantwoordelijk. Dit is groot, duur, en lijkt niet erg effectief. Bij apps ligt deze verantwoordelijkheid nu bij het ecosysteem (Android & iOS). Beide modellen kennen problemen. Maar ik verwacht dat de laatste het meest succesvol is. Deze biedt een consistente gebruikerservaring en is bovendien economisch gunstiger. Waarom introduceren we in de web-browsers eigenlijk geen permissie voor tracking?