Californië's privacywet heeft een nalevingsprobleem

De California Consumer Privacy Act was bedoeld om inwoners betekenisvolle controle over hun persoonlijke gegevens te geven. Maar een uitgebreide audit van meer dan 7.000 populaire websites vertelt een ander verhaal. Onderzoekers ontdekten wat zij omschreven als "niet-naleving op industriële schaal" van de CCPA, waarbij veel grote technologiebedrijven systematisch een wettelijk erkend privacysignaal negeren dat rechtstreeks in browsers is ingebouwd.

Het signaal in kwestie heet de Global Privacy Control (GPC). Wanneer geactiveerd, stuurt het automatisch een instructie naar elke website die u bezoekt, met de mededeling dat ze uw persoonlijke informatie niet mogen volgen of verkopen. Onder de CCPA is het honoreren van dit signaal niet optioneel voor bedrijven die zaken doen in Californië. Het is een wettelijke vereiste. Toch constateerde de audit dat in sommige gevallen het volgen doorging bij 86% van de bezoeken, zelfs wanneer het GPC-signaal actief was.

Dat cijfer verdient even wat reflectie. Een gebruiker kan alles goed doen, een wettelijk beschermde privacyinstelling activeren, en toch in de overgrote meerderheid van zijn browsesessies gevolgd worden en zijn gegevens mogelijk laten verkopen.

Waarom juridische bescherming alleen niet voldoende is

Privacywetten zoals de CCPA vertegenwoordigen echte vooruitgang. Ze stellen rechten vast, creëren handhavingsmechanismen en verschuiven de bewijslast naar bedrijven om hun gegevenspraktijken te rechtvaardigen. Maar deze audit illustreert een kloof waarover privacyvoorvechters al lang waarschuwen: een wet is slechts zo effectief als de handhaving ervan.

Wanneer niet-naleving zo wijdverbreid en zo systematisch is, suggereert dit dat bedrijven hebben berekend dat het risico op regelgevende sancties lager is dan de waarde van de gegevens die ze verzamelen. Dat is een structureel probleem, geen individueel probleem. Geen enkele hoeveelheid zorgvuldig lezen van cookiebannners of klikken op "alles weigeren" lost een systeem op waarbij de traceringsinfrastructuur op de achtergrond blijft draaien, ongeacht uw keuze.

Dit is ook buiten Californië van belang. Hoewel de CCPA alleen van toepassing is op inwoners van Californië, bedienen de websites die deze overtreden gebruikers overal ter wereld. Dezelfde traceringstechnologieën, advertentienetwerken en gegevensmakelaars opereren wereldwijd. Als grote bedrijven bereid zijn een staatswet met echte tanden te negeren, is de situatie in rechtsgebieden met zwakkere bescherming waarschijnlijk erger.

Wat dit voor u betekent

De praktische conclusie van deze audit is ongemakkelijk maar belangrijk: u kunt niet alleen op juridische kaders vertrouwen om uw privacy tijdens het surfen op het web te beschermen. Naleving door bedrijven is op zijn best inconsistent en, volgens dit onderzoek, op zijn slechtst verwaarloosbaar als het gaat om het respecteren van uw opgegeven voorkeuren.

Dit betekent niet dat privacywetten waardeloos zijn. Regelgevende druk, boetes en publieke verantwoording verschuiven de balans op den duur. Maar in de tussentijd wordt uw daadwerkelijk surfgedrag waarschijnlijk veel uitgebreider gevolgd dan welke toestemmingsbanner of opt-outinstelling ook zou suggereren.

De tools die betrouwbaardere bescherming bieden, werken op technisch niveau in plaats van op beleidsniveau. Een browserextensie die trackers van derden blokkeert, vraagt een bedrijf niet om uw voorkeuren te respecteren. Het voorkomt simpelweg dat de traceringsscode überhaupt wordt geladen. Op vergelijkbare wijze versleutelt een VPN uw internetverbinding en maskeert uw IP-adres, dat een van de voornaamste identificatoren is die worden gebruikt om profielen van uw gedrag op verschillende websites op te bouwen. Geen van beide benaderingen is afhankelijk van de goede wil van bedrijven of van regelgevende handhaving.

Privacycontroles op browserniveau zijn ook geavanceerder geworden. Firefox en browsers die zijn gebouwd op privacygerichte principes blokkeren standaard veel traceringsscripts. Het GPC-signaal zelf is een browserinstelling die het waard is om in te schakelen, niet omdat bedrijven het betrouwbaar respecteren (deze audit maakt duidelijk dat ze dat niet doen), maar omdat het een gedocumenteerde registratie van uw opgegeven voorkeuren creëert, wat van belang kan zijn bij handhavingsacties.

Praktische stappen om uw privacy nu te beschermen

Gezien wat deze audit onthult, zijn hier concrete acties die echte bescherming bieden in plaats van op beleid gebaseerde beloften:

  • Schakel de Global Privacy Control in in uw browserinstellingen. Het wordt misschien niet altijd gerespecteerd, maar het voegt een juridische grondslag toe en wordt steeds meer ondersteund door privacygerichte browsers.
  • Gebruik een tracker-blokkerende browserextensie zoals uBlock Origin of een privacygerichte browser die standaard scripts van derden blokkeert. Deze werken ongeacht of een site uw opt-outvoorkeuren respecteert.
  • Overweeg een VPN voor algemeen browsen, met name op netwerken die u niet beheert. Een VPN blokkeert trackers niet rechtstreeks, maar voorkomt wel dat uw internetprovider en waarnemers op netwerkniveau een beeld van uw activiteit opbouwen, en het maskeert het IP-adres dat uw sessies op verschillende sites aan elkaar koppelt.
  • Controleer periodiek de privacyinstellingen van uw browser. Cookies van derden, bescherming tegen fingerprinting en het blokkeren van trackers zijn vaak standaard uitgeschakeld in gangbare browsers.
  • Wees sceptisch over cookietoestemmingsbannners. Onderzoek toont consequent aan dat veel sites doorgaan met traceren, ongeacht welke optie is geselecteerd.

De CCPA was een betekenisvolle stap in de richting van het ter verantwoording roepen van bedrijven voor de manier waarop ze omgaan met persoonsgegevens. Maar deze audit bevestigt wat veel privacyonderzoekers al jaren betogen: juridische rechten en technische realiteiten zijn twee heel verschillende dingen. Inzicht in die kloof, en stappen zetten om deze te dichten met de beschikbare tools, is momenteel de meest betrouwbare weg naar betekenisvolle privacybescherming.