Facebook blir fremstilt som den store stygge ulven. Men de er ikke alene: VGs app delte data med 55 tredjeparter

• PETTER BAE BRANDTZÆG, seniorforsker ved SINTEF

Facebook er den siste uken blitt fremstilt som den store stygge personvernsulven i media, men hva med media selv og hva med norske tjenesteleverandører - ivaretar de vårt personvern?

Facebook er bare en del av et større problem der våre persondata er blitt en ettertraktet handelsvare som selges i enormt nettverk av tredjepartsaktører. Persondata om deg og meg samles inn i storskala.

Dette er en informasjonsdeling du og jeg ikke har oversikt over. Knapt nok de som leverer og lager tjenestene har oversikt. Massive mengder informasjon flyttes og selges kontinuerlig til databaser over landegrenser og mellom ulike aktører.

Norske nettjenester og nettaviser er også aktive aktører i denne tvilsomme forretningsmodellen, hvor informasjon om deg og meg er råvarer.

Forretningsmodellen til alle reklamestøttede tjenester på nettet er å selge data – om deg og meg, men vi aner dessverre ingen ting om hvor og hvem som har dataene om oss til enhver tid.

Dette er en destruktiv forretningsmodell som setter internettbrukerne under konstant overvåkning fra et kobbel av aktører som vi ikke aner hvem er. Vi som nettbrukere har mistet eierskapet til dataene våre, og er fratatt et grunnleggende personvern. Vi har mistet kontrollen over dataene om oss selv.

Hva handler disse dataene om?

Jo det er summen av alle de digitale sporene vi etterlater oss, ikke bare på internett, men også i økende grad utenfor nettet. Det er data om hva vi leser og når eller hva vi søker opp på nettet, liker og kommenterer noe på Facebook, hvilke venner vi har, pulsen vår, hvem vi har datet på Tinder, når vi logget inn på Gmail, når vi betalte for en vare eller reiste på ferie, hvilken mobil vi bruker, hvor og når.

Noen apper har også tilgang til hva vi sier gjennom mikrofonen på telefonen. Dette er data som deles og brukes av nettstedene vi besøker, og det summen av alle delene som blir delt om oss som er skummelt, fordi de brukes til å danne profiler om hvem vi er og hva vi liker eller misliker.

I 2015/2016 gjorde jeg og min kollega Antoine Pultier ved SINTEF en studie av de 21 mest populære appene i Norge. Studien var bestilt av Forbrukerrådet. Vi fant at det er ikke bare Facebook som tar for seg av dataene våre.

Norges største nettavis VG deler og selger data til en skog av tredjeparter. Ingen annen app delte så mye data om oss til tredjeparter.

Bildet i denne artikkelen viser det skremmende resultatet ved bruk av Android-appen, hvor data fra moderappen VG deles til 55 tredjeparter.

Målet er at vi som brukere skal få skreddersydd reklame, en psykologisk manipulering på individnivå som effektivisere reklamens makt.

Har du for eksempel søkt på en reise til Tenerife på Google, får du tilbud om hoteller på Tenerife neste gang du er på VG.

Vi fant også at hver gang man bruker Vipps er det ikke bare penger som flyttes på - informasjon overføres også til Facebook. 

• (For ordens skyld: Vipps opplyser til Medier24 at dette ble endret, og at det i dag ikke deles data med Facebook)

Deler av konklusjonen fra Forbrukerrådets rapport for mange av appene var:

• du fratas grunnleggende personvern
• noen apper sporer deg – også når den ikke er i bruk (f.eks Runkeeper)
• personlig og identifiserbar data videresendes til tredjepart
• i flere apper kan vilkår endres når som helst og uten varsel

Selv om Cambridge Analytica-saken smalt nå, så er det lite nytt under solen. Facebooks elendige personvern og lemfeldige deling av brukerdata til apper på plattformen deres har vi visst om lenge.

At det gjøres i stort omfang visste vi også. En rapport jeg skrev med Marika Lüders for Forbrukerrådet i 2009 avdekket flere av de feilene ved Facebook som nå diskuteres, som at Facebook gav bort persondata til tredjeparts apper i øst og i vest. Men det er først nå, med Cambridge Analytica, at folk og pressen og politikerne åpner øynene.

Summen av alt vi deler og liker på Facebook og andre steder på nettet brukes til å kartlegge hvem vi er og hva vi liker. I en analyse av Standford-forsker Michal Kosinski publisert i tidsskriftet PNAS, fant de at en enkel algoritme kan beskrive personligheten din bedre enn en venn ved hjelp av 70 av Facebook-likes.

For å kjenne deg bedre enn din egen mor, far eller søsken var behovet kun 150 likes. Om du er gift vil algoritmen kjenne kona eller mannen din bedre dersom algoritmen har tilgang på mer enn 300 Facebook-likes.

Kosinski har videre funnet ut hvordan likes også predikerer personlighet og hvordan billedskanning av et profilbilde kan fortelle hvilken seksuell preferanse du har.

Mye av denne kunnskapen brukte altså Cambridge Analytica til et mektig politisk verktøy. Men også nettavisene og tjenester og apper i Norge samler inn brukerdata. For eksempel, når VG samler inn informasjon om oss over tid er det mulig å trekke konklusjoner om hva slags profil vi har.

For eksempel om vi liker fotball, er single eller er småbarnsforeldre. Denne typen data analyser blir mer og mer raffinert, og det er det som er skummelt.

Opplevd personvern er rett og slett ikke godt nok. Det må være reelt.

Dessverre brukes og misbrukes persondata av svært mange og vi har trolig kun sett toppen av isfjellet. Kombinasjon av store mengder med brukerdata og kunstig intelligens er en etisk bombe, og det er ikke bare hos Facebook dette etiske ansvaret hviler på, det gjelder også norske tjenester og store nettaviser som VG, Dagbladet og Aftenposten.

Alle som er avhengig av en reklamefinansiert forretningsmodell, der vil dine brukerdata inngå. Mens du leser denne artikkelen vil også Medier24 overvåke hva du gjør.

I følge en programvare som heter Ghostery bruker Medier24 hele 23 tredjepartstrackere. (Hvis du vil vite mer om hvem som ser på deg, last ned Ghostery, en nettleserutvidelse som sporer og kan blokkere disse «tredjeparts trackere».)

Er det så håp?

EUs forordning for personvern, The General Data Protection Regulation (GDPR), blir norsk lov 25. mai 2018. Det betyr at vi får nye regler for personvern i EU og i Norge.

Det nye regelverket gir virksomheter nye plikter og enkeltpersoner nye rettigheter, også amerikanske tjenester som operer i Norge, slik som Google og Facebook. Dette skal potensielt revolusjonere hvordan vi tenker rundt den destruktive forretningsmodellen som dominerer på internettet har per i dag.

Data og informasjonsflyt er viktig, men med GDPR må det gis samtykke om en virksomhet skal behandle personopplysninger om deg og meg. Loven gir enkeltpersoner rett til å kreve tilgang sine personopplysninger og hvordan data om deg og meg er samlet inn.

Hvis jeg slutter å være kunde for en avis eller Vipps har jeg rett til at alle disse dataene de sitter på meg slettes.

Kanskje dette vil tvinge frem nye forretningsmodeller hvor persondata ikke lenger er den viktigste råvaren?