Maker van Cow Clicker-app vertelt: zo slordig ging Facebook om met data

Ken je Cow Clicker nog?

Het is 2010, Steve Jobs leeft nog, Google+ bestaat nog niet en Facebook was nog geen beursgenoteerd bedrijf. Ian Bogost zit op de bank bij een vriend in Brooklyn en ergert zich aan de stompzinnige games op Facebook. Hij besluit een satirisch spelletje te maken: Cow Clicker. Het was niet veel meer dan een game waarbij je op een koe moest klikken, maar de game werd een daverend succes. Meer dan 180.000 mensen vonden het leuk genoeg om te spelen. Zo kreeg Bogost, eigenlijk zonder dat hij daar bewust naar op zoek was of erom vroeg, een enorme berg persoonlijke data van 180.000 mensen in handen. In een persoonlijk relaas vertelt hij nu hoe bedrijven nog steeds kunnen beschikken over jouw data, ook als het gaat om een spelletje dat je in 2010 ooit eens in een gekke bui hebt gespeeld. Zo heel onschuldig was Facebook toen ook al niet: games zoals Farmville en Pet Society werden bewust gemaakt om mensen verslaafd te maken en om de connecties met vrienden zoveel mogelijk uit te buiten. Cow Clicker was eigenlijk bedoeld als een satirisch spelletje, als protest tegen de spelletjes die onder de niet zo snuggere Facebook-gebruikers populair waren. Het was destijds heel gemakkelijk om allerlei persoonlijke data te verzamelen. Sterker nog: het was nauwelijks te voorkomen. Als je een populaire game maakte kreeg je ongevraagd alle data van Facebook cadeau.

Makkelijk data binnenslurpen
Sinds 2007 staat Facebook het toe om apps te maken. Het idee was dat het meer gebruikers zou trekken, die langer op het platform zouden rondhangen. Er ontstonden persoonlijkheidsquizzen, horoscopen en heel veel spelletjes. Het was makkelijk voor appmakers om allerlei informatie binnen te slurpen, zoals vriendenlijst, locatie, relatiestatus, likes, posts en meer. Pas in 2014 begon Facebook die informatie te beperken en kregen appmakers alleen nog naam, geslacht, netwerk en profielfoto te zien. Voor locatie en andere uitgebreidere info moest eerst toestemming worden gevraagd. Voor een gebruiker is het niet altijd even duidelijk: de pop-up waarin je toestemming geeft is in de stijl van Facebook, waardoor het lijkt alsof Facebook erachter staat. Het lijkt ook alsof de apps zelf binnen de Facebook-website draaien, terwijl dat niet zo is.

Telkens wanneer je zo’n app opende stuurde Facebook een nieuwe bak met gebruikersdata. Aanvankelijk gebeurde dat nog onversleuteld. Facebook eiste dat elke appmaker over een privacybeleid beschikte, maar controleerde niet wat daarin stond. Er werd alleen gekeken of ergens een pagina tekst met het kopje ‘privacybeleid’ te vinden was. De maker van Cow Clicker kreeg daarom toegang tot alle Facebook ID’s en de netwerken van mensen, waarmee nog meer informatie te achterhalen was. Facebook stuurde appontwikkelaars allerlei data en drong erop aan dat ze niet meer zouden opslaan dan ze nodig hadden, maar controleerde er niet op. De quick-and-dirty werkwijze van Facebook zorgde ervoor dat data niet goed was beveiligd en er niet werd nagedacht over consequenties. Snel nieuwe functies invoeren met A/B-tests was belangrijker dan alles goed dichttimmeren.

Nooit controle
Terugkijkend vindt Ian Bogost de huidige reactie van Mark Zuckerberg nogal laf. Facebook heeft nooit controle uitgeoefend op het verzamelen, delen en verkopen van gebruikersdata. Die data is nu zodanig verspreid dat het niet meer terug te draaien is. Gebruikers konden hun permissies later intrekken en het was dan de bedoeling dat de appmakers ook hun data zouden verwijderen. Maar Bogost betwijfelt of veel bedrijven dat doen. Als je data al in vreemde handen is, heeft Facebook niet meer de macht om te zorgen dat het wordt gewist. Die data is al lang doorverkocht en het is niet meer te traceren op hoeveel plekken het nu is opgeslagen. Sommige Facebook-appmakers hadden vanaf het begin kwaadaardige plannen, anderen kregen de data in de schoot geworpen. Of zoals Bogost het zegt: “We kregen het in onze mik geschoven”.

Wil je de toestemming van apps intrekken, dan kan dat. Wel moet je er rekening mee houden dat data die al bij appmakers ligt niet zomaar wordt gewist. Je zou elke appmaker afzonderlijk kunnen benaderen met een verzoek om jouw privédata te wissen, maar je kunt moeilijk controleren of dit daadwerkelijk gebeurt. Ook kan de data inmiddels zijn verkocht aan allerlei externe partijen.

Bekijk ook

Zo kun je op Facebook de toestemming van apps intrekken en beperken

Heb je Facebook gebruikt voor het inloggen bij apps, dan kunnen de makers van die apps heel wat informatie over jou verzamelen zoals je e-mailadres, telefoonnummer en vriendenlijst. Lees hier hoe je de toestemming van apps kunt intrekken op Facebook, zodat de makers niet langer over jouw privédata beschikken.