Er zijn fundamentele beginselen voor consumentenbescherming die herhaald moeten worden wanneer de gelegenheid zich voordoet. Het zojuist aangekondigde besluit van de FTC in Cambridge Analytica geval biedt precies zo’n mogelijkheid.
Je zult willen lezen klacht om het volledige beeld te krijgen, maar hier zijn enkele opvallende feiten. Eind 2013 of begin 2014 hoorde Cambridge Analytica – dat zichzelf omschreef als een ‘data-science advies- en marketingbureau’ – van onderzoek dat suggereerde dat de Facebook-profielgegevens van mensen zouden kunnen worden gebruikt om hun persoonlijkheidskenmerken te voorspellen. Cambridge Analytica wilde deze informatie gebruiken voor kiezersprofilering, microtargeting en andere diensten die het Amerikaanse politieke campagnes en marketingklanten aanbood.
Hoe kreeg Cambridge Analytica toegang tot deze gegevens? Dit is waar de Graph API van Facebook relevant werd. (Een API, een application programming interface, is een reeks protocollen en hulpmiddelen voor het bouwen van apps.) Versie 1 van Facebook’s Graph API verzamelde enorme hoeveelheden profielinformatie van gebruikers die een bepaalde app rechtstreeks hadden geïnstalleerd of er interactie mee hadden gehad. Het verzamelde deze gegevens ook van hun Facebook-vrienden – mensen die geen enkele interactie met de app hadden. In 2014 introduceerde Facebook versie 2, waardoor ontwikkelaars geen profielgegevens van vrienden van app-gebruikers konden verzamelen. Maar Facebook heeft bestaande apps overgenomen, zodat ze gedurende een langere periode geheime gegevensverzameling kunnen voortzetten. (Die praktijk was onderdeel van De orderhandhavingsactie van de FTC ter waarde van $ 5 miljard tegen Facebook.)
Het beleid van Facebook maakte een app met versie 1 zeer aantrekkelijk voor Cambridge Analytica. Het bedrijf ging in zee met ontwikkelaar Aleksandr Kogan, die een versie 1-app had geregistreerd op het Facebook-platform die opnieuw kon worden gebruikt om de profielgegevens te verzamelen die Cambridge Analytica wilde. Maar toen Cambridge Analytica de app begon te gebruiken, beweerde de FTC dat het bedrijf consumenten niet de waarheid vertelde over de informatie die het verzamelde. Volgens de klacht kregen app-gebruikers te horen:
. . . (W)e wil graag een deel van uw Facebook-gegevens downloaden via onze Facebook-app. We willen dat u weet dat we uw naam of andere identificeerbare informatie NIET zullen downloaden – we zijn geïnteresseerd in uw demografische gegevens en voorkeuren.
Dat was volgens de FTC volkomen onjuist, omdat de app onder meer Facebook-ID’s verzamelde van minstens 250.000 Facebook-gebruikers die rechtstreeks interactie hadden met de app – en de Facebook-ID kon worden gebruikt om de gebruiker te identificeren. De app verzamelde ook Facebook-ID’s, namen en andere informatie van tussen de 50 miljoen en 65 miljoen Facebook-vrienden van die gebruikers.
Cambridge Analytica beweerde ook deel te nemen EU-VS-privacyschildkader en om te voldoen aan de Privacy Shield-principes, twee aanvullende beweringen die volgens de FTC vals of misleidend waren.
Cambridge Analytica CEO Alexander Nix en app-ontwikkelaar Aleksandr Kogan ondertekenden voorgestelde schikking met de FTC, maar de zaak tegen Cambridge Analytica ging door. Het bedrijf, dat in mei 2018 het faillissement heeft aangevraagd, heeft geen antwoord ingediend, wat volgens de FTC-regels een afstand doet van zijn recht om de beschuldigingen in de klacht aan te vechten. Daarom heeft de Commissie een beslissing oordeelde dat Cambridge Analytica Sectie 5 van de FTC Act had geschonden en vaardigde een bevel uit waarin onder meer werd geëist dat Cambridge Analytica de op frauduleuze wijze verkregen Facebook-gegevens zou verwijderen, samen met alle bijbehorende werkproducten. Het bevel vereist ook dat het bedrijf voldoet aan zijn voortdurende verplichtingen onder het EU-VS Privacy Shield Framework.
Hier is het fundamentele beginsel van consumentenbescherming dat in dat besluit wordt benadrukt: het verbod van de FTC Act op oneerlijke of bedrieglijke praktijken omvat misleidende informatie over de manier waarop bedrijven omgaan met de persoonlijke informatie van consumenten. De commissie oordeelde dat de belofte van Cambridge Analytica aan app-gebruikers dat zij hun naam of andere identificeerbare informatie niet zouden downloaden vals en misleidend was. Bovendien “was het een uitdrukkelijke beschuldiging en als zodanig vermoedelijk materieel.” Daarom was het voor de Commissie niet nodig om “afzonderlijk te onderzoeken hoe deze beweringen door redelijke consumenten zouden worden geïnterpreteerd”. De Commissie kwam tot soortgelijke conclusies met betrekking tot de valse en misleidende beweringen van Cambridge Analytica over deelname aan het EU-VS Privacy Shield Framework en de naleving van de beginselen ervan.
Als uw bedrijf beweringen doet over de manier waarop u consumenteninformatie gebruikt, bedenk dan dat deze beloften – net als elke andere objectieve weergave – waarheidsgetrouw moeten zijn en ondersteund moeten worden door een adequate rechtvaardiging.
