Er zijn fundamentele beginselen voor consumentenbescherming die het verdienen om bij elke gelegenheid te worden herhaald. FTC-besluit zojuist aangekondigd op Cambridge Analytica case biedt precies deze mogelijkheid.
Wij raden u aan de klacht om het volledige beeld te krijgen, maar hier zijn enkele belangrijke feiten. Eind 2013 of begin 2014 werd Cambridge Analytica – dat zichzelf omschreef als een ‘data science marketing- en adviesbureau’ – op de hoogte van onderzoek dat suggereerde dat de Facebook-profielgegevens van mensen zouden kunnen worden gebruikt om hun persoonlijkheidskenmerken te voorspellen. Cambridge Analytica wilde die informatie voor kiezersprofilering, microtargeting en andere diensten die het aanbiedt aan Amerikaanse politieke campagnes en marketingklanten.
Hoe kon Cambridge Analytica toegang krijgen tot dergelijke gegevens? Dit is waar de Graph API van Facebook relevant werd. (Een API (application programming interface) is een reeks protocollen en tools voor het bouwen van apps.) Versie 1 van Facebook’s Graph API verzamelde grote hoeveelheden profielinformatie over gebruikers die een bepaalde app hadden geïnstalleerd of er rechtstreeks interactie mee hadden. Het verzamelde ook gegevens van hun Facebook-vrienden, mensen die geen interactie met de app hadden. In 2014 introduceerde Facebook versie 2, waardoor ontwikkelaars geen profielgegevens van vrienden van app-gebruikers konden verzamelen. Maar Facebook behield bestaande apps zodat ze voor een langere periode clandestiene gegevensverzameling konden voortzetten. (Die praktijk was een onderdeel van De handhavingsactie van de FTC ter waarde van $ 5 miljard tegen Facebook.)
Het beleid van Facebook maakte een app met versie 1 zeer aantrekkelijk voor Cambridge Analytica. Het bedrijf deed zaken met ontwikkelaar Aleksandr Kogan, die een versie 1-app had geregistreerd op het Facebook-platform die hergebruikt kon worden om de profielgegevens te verzamelen die Cambridge Analytica nodig heeft. Maar toen Cambridge Analytica de app begon te gebruiken, zei de FTC dat het bedrijf de consumenten niet de waarheid had verteld over de informatie die het had verzameld. Volgens de klacht kregen gebruikers van de app te horen:
. . . (W)e wil graag een deel van uw Facebook-gegevens downloaden via onze Facebook-app. We willen dat u weet dat we uw naam of andere identificeerbare informatie NIET zullen downloaden – we zijn geïnteresseerd in uw demografische gegevens en smaak.
Dit was volgens de FTC volledig onjuist omdat de app onder meer de Facebook-ID’s verzamelde van minstens 250.000 Facebook-gebruikers die rechtstreeks interactie hadden gehad met de app, en de Facebook-ID kon worden gebruikt om de gebruiker te identificeren. De app verzamelde ook Facebook-ID’s, namen en andere informatie van tussen de 50 en 65 miljoen Facebook-vrienden van die gebruikers.
Cambridge Analytica zei ook deel te nemen aan de EU-VS-privacyschildkader en om te voldoen aan de Privacy Shield-principes waren twee aanvullende verklaringen volgens de FTC vals of misleidend.
De overeenkomst werd ondertekend door de CEO van Cambridge Analytica, Alexander Nix, en de ontwikkelaar van de app, Aleksandr Kogan voorgestelde oplossingen met de FTC, maar de zaak tegen Cambridge Analytica ging door. Het bedrijf, dat in mei 2018 het faillissement heeft aangevraagd, heeft geen reactie ingediend, en volgens de FTC-regels komt dit neer op het afstand doen van zijn recht om de aantijgingen in de klacht te betwisten. Daarom heeft de Commissie een beslissing constateren dat Cambridge Analytica Sectie 5 van de FTC Act heeft geschonden en een bevel heeft opgelegd dat onder meer eist dat Cambridge Analytica de bedrieglijk verkregen Facebook-gegevens verwijdert, samen met alle bijbehorende werkproducten. Het bevel vereist ook dat het bedrijf voldoet aan zijn lopende verplichtingen onder het EU-VS Privacy Shield Framework.
Hier is het kernprincipe van consumentenbescherming dat in dat besluit wordt benadrukt: het verbod van de FTC Act op oneerlijke of bedrieglijke praktijken omvat verkeerde voorstellingen over de manier waarop bedrijven omgaan met de persoonlijke informatie van consumenten. De Commissie oordeelde dat de belofte van Cambridge Analytica aan gebruikers van de app om hun naam of andere identificeerbare informatie niet te downloaden vals en misleidend was. Bovendien “was dit een expliciete verklaring, en als zodanig vermoedelijk inhoudelijk.” Daarom was het voor de Commissie niet nodig om “afzonderlijk te onderzoeken hoe deze verklaringen door redelijke consumenten zouden worden geïnterpreteerd.” De Commissie kwam tot soortgelijke conclusies met betrekking tot de valse en misleidende verklaringen van Cambridge Analytica over deelname aan het EU-VS-privacyschild en de naleving van de beginselen ervan.
Als uw bedrijf beweringen doet over de manier waarop het consumenteninformatie gebruikt, bedenk dan dat dergelijke beloften, net als alle andere objectieve verklaringen, waarheidsgetrouw moeten zijn en door voldoende bewijsmateriaal moeten worden ondersteund.
