Het is al te laat, alle gestolen facebookdata zijn onherroepelijk in omloop

Woensdag trok Facebook-directeur Mark Zuckerberg eindelijk zijn mond open over het schandaal rond databedrijf Cambridge Analytica. Het databedrijf maakte psychologische profielen met de gegevens van 50 miljoen Amerikanen om ze te bestoken met advertenties voor de Trump-campagne. En het vreemde was dat al die data uit een domme Quiz-app kwam.

Zuckerberg zei dat het bedrijf maatregelen heeft genomen om te voorkomen dat zoiets ooit nog eens gebeurt en ook dat het in de toekomst niet meer mogelijk is voor andere partijen om gegevens door te verkopen:

Dit klinkt als een strak plan, maar Facebook is hier veel te laat mee. Het bedrijf kan gegevens met geen mogelijkheid achteraf verwijderen. Als iemands gegevens zijn opgehaald, is de data zeer waarschijnlijk verkocht, witgewassen en weer in Facebook gepompt.

“Je moet ervan uitgaan dat deze informatie uit je gepeuterd is,” vertelde Woodrow Hartzog, auteur van Privacy’s Blueprint: The Battle to Control the Design of New Technologies, me eerder deze week.

Die quizjes, games, persoonlijkheidstest en apps die Facebook een paar jaar geleden op hun platform toeliet, waren vaak helemaal geen spelletjes, maar verborgen dataminingoperaties. Natuurlijk kan Facebook ze alsnog van hun platform afgooien, maar veel ontwikkelaars zijn inmiddels failliet en dus niet meer te bereiken. En iedereens gegevens? Die zijn al lang en breed doorverkocht aan data brokers die er advertentieprofielen van maken en die ook weer doorverkopen.

Veel van die data brokers zijn gewoon marketing partners van Facebook. Dat betekent dat ze gewoon mogen adverteren met die profielen die ze hebben samengesteld. De data van veel mensen zijn dus waarschijnlijk eerst door een of andere niet helemaal koshere app verzameld, daarna doorverkocht aan één van de vele data brokers, en ze gebruiken die data nu weer op Facebook om mensen van alles aan te smeren. Dat je gegevens al een paar jaartjes oud zijn, betekent niet dat ze niet meer bruikbaar zijn.

“Gegevens doorverkopen was volgens de voorwaarden van Facebook niet toegestaan. Veel apps bestonden maar zo kort dat hier bijna niet Facebook geen moeite deed om iets aan de doorverkoop te doen,” zegt Alan Mislove, een onderzoeker aan de Northeastern University. Mislove doet onderzoek naar data brokers op Facebook. “Je kunt natuurlijk nog steeds oude data in het nieuwe systeem gebruiken.”

Ook al liket iemand bepaalde pagina's niet meer, heeft hij al z'n foto’s en statusupdates verwijderd, toch kunnen brokers nog steeds toegang hebben tot al deze data. Brokers kunnen alles gewoon weer op Facebook importeren, zodat ze mensen kunnen blijven targeten. Facebook kan het gebruik van deze gegevens niet buiten hun eigen platform controleren.

Facebook en Zuckerberg weten dat dit het geval is. Als iemand een externe app toegang tot z'n profiel wil ontzeggen, geeft Facebook een melding dat de app “mogelijk nog steeds gegevens heeft die je met ze hebt gedeeld.”

Toen ik de app “Ik wed dat ik je favoriete kleur kan raden” wilde verwijderen, kwam ik erachter dat het toegang tot mijn profiel, relatiestatus, seksuele voorkeur, verjaardag, werkgeschiedenis, statusupdates, onderwijs, gebeurtenissen, geboortestad, huidige woonplaats, foto’s, religieuze en politieke opvattingen, video’s, website, persoonlijke beschrijven en likes. Als ik die app nu probeer te verwijderen, zegt Facebook dat de app nog steeds toegang tot mijn gegevens kan hebben. Daarnaast zegt het bedrijf dat ik “voor meer informatie over het verwijderen van deze gegevens, contact kan opnemen met ‘Ik wed dat ik je favoriete kleur kan raden’ of kan kijken in het privacybeleid van ‘Ik wed dat ik je favoriete kleur kan raden’.

Dit is natuurlijk onmogelijk, want er zit geen echt bedrijf achter de app. Hun privacybeleid linkt naar iets dat de “Social App Guide” wordt genoemd en al jaren niet meer online te vinden is. Een kijkje met de Wayback Machine stelt me ook niet echt gerust:

Dus ja, het is fantastisch dat Facebook nu wil gaan veranderen. Maar het is al veel te laat. Veel mensen hebben hun gegevens aan honderden, misschien wel duizenden, apps gegeven. Veel van deze apps waren er alleen maar om persoonlijke data te stelen. Veel van deze apps bestaan niet meer. En er is niets dat Facebook kan doen om dat te veranderen.

Kort na lancering van Facebook noemde Zuckerberg de gebruikers van zijn platform “domme idioten”, omdat ze hem vertrouwden met hun persoonlijke gegevens. Dat bericht is sindsdien duizenden keren gerepost. Hij zou als geen ander moeten weten dat, zodra gegevens in handen komen van een derde partij, het bijna onmogelijk is om ze te laten verdwijnen.