Er zijn fundamentele beginselen voor consumentenbescherming die herhaald moeten worden wanneer de gelegenheid zich voordoet. Het zojuist aangekondigde besluit van de FTC in Cambridge Analytica geval biedt precies zo’n mogelijkheid.
Je wilt de klacht om het volledige beeld te krijgen, maar hier zijn enkele opvallende feiten. Eind 2013 of begin 2014 hoorde Cambridge Analytica – dat zichzelf omschreef als een “data-science consultancy- en marketingbureau” – van onderzoek dat suggereerde dat de Facebook-profielgegevens van mensen gebruikt zouden kunnen worden om hun persoonlijkheidskenmerken te voorspellen. Cambridge Analytica wilde die informatie gebruiken voor kiezersprofilering, microtargeting en andere diensten die het aan Amerikaanse politieke campagnes en marketingklanten aanbood.
Hoe kon Cambridge Analytica toegang krijgen tot die gegevens? Dat is waar de Graph API van Facebook relevant werd. (Een API – application programming interface – is een reeks protocollen en tools voor het bouwen van apps.) Versie 1 van Facebook’s Graph API verzamelde enorme hoeveelheden profielinformatie van gebruikers die een bepaalde app rechtstreeks hadden geïnstalleerd of ermee interactie hadden gehad. Het verzamelde die gegevens ook van hun Facebook-vrienden – mensen die geen enkele interactie met de app hadden. In 2014 introduceerde Facebook versie 2, waardoor ontwikkelaars geen profielgegevens van vrienden van app-gebruikers konden verzamelen. Maar Facebook heeft bestaande apps overgenomen, zodat ze de heimelijke gegevensverzameling voor een langere periode kunnen voortzetten. (Die praktijk was een onderdeel van de FTC’s orderhandhavingsactie ter waarde van $ 5 miljard tegen Facebook.)
Het beleid van Facebook maakte een app met versie 1 zeer aantrekkelijk voor Cambridge Analytica. Het bedrijf ging in zee met ontwikkelaar Aleksandr Kogan, die een versie 1-app had geregistreerd op het Facebook-platform die opnieuw kon worden gebruikt om de profielgegevens te verzamelen die Cambridge Analytica wilde. Maar toen Cambridge Analytica de app begon te gebruiken, beweerde de FTC dat het bedrijf de consumenten niet de waarheid vertelde over de informatie die het verzamelde. Volgens de klacht kregen app-gebruikers te horen:
. . . (W)e wil graag een deel van uw Facebook-gegevens downloaden via onze Facebook-app. We willen dat u weet dat we uw naam of andere identificeerbare informatie NIET zullen downloaden – we zijn geïnteresseerd in uw demografische gegevens en voorkeuren.
Dat, zo beweerde de FTC, was ronduit onwaar omdat de app onder meer Facebook-ID’s verzamelde van minstens 250.000 Facebook-gebruikers die rechtstreeks interactie hadden met de app – en de Facebook-ID kon worden gebruikt om de gebruiker te identificeren. De app verzamelde ook Facebook-ID’s, namen en andere informatie van tussen de 50 miljoen en 65 miljoen Facebook-vrienden van die gebruikers.
Cambridge Analytica beweerde ook deel te nemen aan de EU-VS-privacyschildkader en om te voldoen aan de principes van het Privacy Shield waren twee aanvullende claims volgens de FTC vals of bedrieglijk.
Cambridge Analytica CEO Alexander Nix en app-ontwikkelaar Aleksandr Kogan ondertekenden voorgestelde nederzettingen met de FTC, maar de zaak tegen Cambridge Analytica ging door. Het bedrijf, dat in mei 2018 failliet ging, heeft geen antwoord ingediend, en volgens de FTC-regels betekent dit afstand doen van zijn recht om de beschuldigingen in de klacht te betwisten. Daarom heeft de Commissie een beslissing constateren dat Cambridge Analytica Sectie 5 van de FTC Act heeft geschonden en een bevel heeft opgelegd dat onder meer eist dat Cambridge Analytica de Facebook-gegevens die het op bedrieglijke wijze heeft verkregen, verwijdert, samen met alle bijbehorende werkproducten. Het bevel vereist ook dat het bedrijf voldoet aan zijn voortdurende verplichtingen onder het EU-VS Privacy Shield Framework.
Hier volgt het fundamentele beginsel van consumentenbescherming dat in dat besluit wordt benadrukt: Het verbod van de FTC Act op oneerlijke of bedrieglijke praktijken omvat onjuiste voorstellingen met betrekking tot de manier waarop bedrijven omgaan met de persoonlijke informatie van consumenten. De Commissie oordeelde dat de belofte van Cambridge Analytica aan app-gebruikers dat zij hun naam of andere identificeerbare informatie niet zouden downloaden vals en misleidend was. Bovendien was het “een uitdrukkelijke claim, en als zodanig vermoedelijk materieel.” Daarom was het voor de Commissie niet nodig om “afzonderlijk te onderzoeken hoe deze beweringen door redelijke consumenten zouden worden geïnterpreteerd.” De Commissie kwam tot soortgelijke conclusies met betrekking tot de valse en misleidende verklaringen van Cambridge Analytica over deelname aan het EU-VS Privacy Shield Framework en het naleven van de beginselen ervan.
Als uw bedrijf beweringen doet over de manier waarop u consumenteninformatie gebruikt, onthoud dan dat deze beloften – net als elke andere objectieve weergave – waarheidsgetrouw moeten zijn en ondersteund moeten worden door passende onderbouwing.
