Deze week heeft Google Privacy Sandbox aangezet in Google Chrome. Dat klinkt fantastisch voor je privacy, maar is het niet.
TL;DR:
– Met Privacy Sandbox verplaatst het tracken van “onderwerpen die je interessant vindt” ten behoeve van advertenties naar je browser. Hierdoor kan Google je via Chrome niet alleen meer volgen op websites waar ze advertenties tonen of Google Analytics in geïmplementeerd is, maar op alle websites die je bezoekt (mogelijk incl. private browsing).
– De uitleg bij de vraag of ze dat aan mogen zetten (de opt-in) is selectief en benadrukt alleen de voordelen, een zogenaamde Dark Pattern.
– Google sorteert hiermee voor op het feit dat tracking via cookies steeds moeilijker wordt en hoopt zo de inkomsten van gepersonaliseerde advertenties op basis via tracking opgebouwde profielen veilig te stellen.
Het artikel op Tweakers doet geen recht aan de enorme privacy-invasie die Privacy Sandbox in potentie is: Google verleidt je om ad-interest tracker aan te zetten in Google Chrome omdat het je meer controle zou geven en goed zou zijn voor je privacy. Het artikel van Ars Technica (Engelstalig) geeft duidelijker aan waar het ‘m aan schort en welk smerig spelletje Google met z’n browser speelt om z’n (tracking/profiling gebaseerde) advertentie-inkomsten veilig te stellen:
Don’t let Chrome’s big redesign distract you from the fact that Chrome’s invasive new ad platform, ridiculously branded the “Privacy Sandbox,” is also getting a widespread rollout in Chrome today. If you haven’t been following this, this feature will track the web pages you visit and generate a list of advertising topics that it will share with web pages whenever they ask, and it’s built directly into the Chrome browser. It’s been in the news previously as “FLoC” and then the “Topics API,” and despite widespread opposition from just about every non-advertiser in the world, Google owns Chrome and is one of the world’s biggest advertising companies, so this is being railroaded into the production builds.
Google seemingly knows this won’t be popular. Unlike the glitzy front-page Google blog post that the redesign got, the big ad platform launch announcement is tucked away on the privacysandbox.com page.
Ars Technica (emphasis mine)
Als je dat goed leest, gaan er verschillende alarmbellen af. Eerst de naam (twee keer) wijzigen, van FLoC naar Topics en nu dus weer naar Privacy Sandbox. Dat is een goede manier om met een schone lei te beginnen nadat er online veel weerstand tegen de techniek was. Bovendien klinkt Privacy Sandbox natuurlijk een stuk privacy-vriendelijker. Van de publicatie ervan proberen ze af te leiden door het tegelijk met een groots aangekondigde redesign door te voeren.
Met andere woorden: Google wil liever niet dat we hier te veel aandacht aan geven of goed begrijpen dat het eigenlijk om dezelfde techniek gaat als het eerdere FLoC en Topics. Ook als ze je om toestemming vragen (Google is daartoe verplicht dankzij de AVG), leggen ze alleen uit wat de mogelijke voordelen zijn: een klassieke Dark Pattern. Er wordt vooral benadrukt dat Privacy Sandbox je meer controle geeft:
Voor- of achteruitgang?
Tot op zekere hoogte is dat niet gelogen: je kunt nu in je browser zelf je “interesses” (voor advertenties) beheren – of zelfs weigeren dat je browser die interesses bijhoudt (ironisch genoeg moet je de dienst dus weigeren/uitzetten voor de maximale controle). Maar tegelijkertijd verlies je de controle over wie je daar via (al dan niet 3rd party) cookies toegang toe geeft. Daarnaast komt de gemiddelde internetter niet in de instellingen van z’n browser, laat staan om zijn advertentie-interesses te beheren. Overigens kon dat beheren van je interesses nu ook al, maar dan via een daarvoor bestemde website (zie bijvoorbeeld deze uitleg).
Voor de privacy-bewuste internetter is het in theorie een vooruitgang: je kunt de ad-topics uitzetten/weigeren en vervolgens ook cookies (blijven) wissen of weigeren. Voor de internetter die deze wijziging blind accepteert als “oh klinkt goed voor privacy dus doe maar” is het een achteruitgang, omdat de tracking en profiling verplaatst van cookies naar de browser – en ineens ook websites monitort waar Google geen tracker vinger tracker in de pap heeft (zoals bijvoorbeeld dit blog) en mogelijk zelfs ook in private browsing – daar kan ik nog niets over vinden.
“Toestemming”
Door de opt-in springt Google in ieder geval door het juiste AVG-hoepeltje, maar het is een goed voorbeeld van het kat-en-muisspel tussen beleidsmakers en de markt.
Tracking-cookies waarmee je interesses tot op heden in kaart worden gebracht liggen onder vuur: eigenlijk alle browsers behalve Chrome bieden al mogelijkheden ze te weigeren worden de laatste tijd en ze steeds vaker aangepakt door toezichthouders. Dat laatste gaat in de praktijk gaat over het feit dat je bij de gemiddelde cookie pop-up niet gewoon op “wil ik niet” kunt klikken, of dat niet duidelijk (genoeg) wordt uitgelegd wat je nu eigenlijk accepteert. Beide in de hoop dat je maar gewoon op “accepteren” klikt, dat je “toestemming” geeft. Maar dat is geen “goed geïnformeerde, vrijelijk gegeven, specifieke toestemming” is zoals de AVG vraagt.
Zowel de website-eigenaar als Google hebben daar belang bij: dan kunnen ze je beter volgen en (meer) aan je verdienen met advertenties. Dat Google nu hiermee komt is dus geen toeval. En het zal wel weer een paar jaar duren voordat dit weer wordt gereguleerd. Tot die tijd kan Google in ieder geval op deze manier weer blijven verdienen aan tracking- en profiling gebaseerde advertenties, ten koste van jouw privacy.
Daarmee is Google Chrome nu definitief verworden tot de repressieve browser die het oorspronkelijk bestreed1De oorspronkelijke Internet Explorer – uit de tijd dat Mozilla Firefox nog Netscape Navigator was. 😉: Zo’n groot marktaandeel dat sommige website-bouwers niet eens meer checken of de website nog wel in andere browsers werken – en al lang niet meer het belang van gebruikers, internet en interoperabiliteit voorop.
Wat resteert is een browser die nog snel en veilig is – en dat is ook belangrijk. Maar onthoudt: beveiliging en privacy zijn niet hetzelfde. Zeker niet in dit geval. Zoals Ars Technica concludeert:
Google says it will block third-party cookies in the second half of 2024—presumably after it makes sure the “Privacy Sandbox” will allow it to keep its profits up. Did any user in the world want a user-tracking and ad platform baked directly into their browser? Probably not, but this is Google, and they control Chrome, and this probably still won’t make people switch to Firefox.
Ars Technica
Footnotes
- 1De oorspronkelijke Internet Explorer – uit de tijd dat Mozilla Firefox nog Netscape Navigator was. 😉