En browsing-tur gennem de danske medier bød sidste fredag på en ny oplevelse. I stedet for de sædvanlige ligegyldige cookie-bannere blev internetbrugere nemlig nu mødt med spritnye bokse, der fortæller, at vores data bliver delt med »samarbejdspartnere«, og at vi har mulighed for at sige »nej, tak«.
Baggrunden er EU’s nye databeskyttelsesforordning (GDPR), der kræver af virksomheder, at de oplyser os om, hvordan og hvorfor de deler vores persondata med tredjeparter, og at de skaffer et aktivt samtykke.
På trods af det bredt omtalte ‘opgør med cookies’ er det dog stadig langtfra sikkert, hvad de nye regler kommer til at betyde, hvor mange rettigheder brugerne får, og hvem hele manøvren i sidste ende skader og gavner.
‘Cookie-problemet’ er i hvert fald endnu ikke løst, mener den danske EU-parlamentariker Christel Schaldemose (S), som kæder det endelige opgør sammen med GDPR-forordningens svært forsinkede og omstridte partner, ePrivacy-forordningen. Før den er på plads, er det stadig uvist, hvor langt virksomheder må gå uden brugerens samtykke, når de indsamler persondata for at målrette reklamer, og hvorvidt de simpelthen må betinge adgang til deres tjenester af et samtykke.
»Jeg håber, at man skal have et specifikt og direkte samtykke for brug af reklame-cookies, og at man ikke som bruger må lukkes ude, medmindre man giver samtykke. Men jeg tør ikke sige, at det bliver der, vi havner,« siger hun.
Er brug lig med samtykke?
Selvom de fleste store medier i Danmark har taget væsentlige skridt i forbindelse med den nye lovgivning, så ændrer billedet sig, når man kigger på et bredere udsnit af internationale reklamefinansierede medier. Mange ligger langt fra den danske fortolkning og fortsætter blandt andet med at tolke brug af deres hjemmeside som samtykke til deling af persondata.
Og det gør de med god grund: Det er nemlig stadig langtfra sikkert, hvad de nye regler kommer til at betyde, og der kan gå år, før det bliver afgjort, mener Heidi Højmark Helveg, der er advokat med speciale i persondataret ved advokatfirmaet Integra.
Og det er endda muligt, at virksomheder i sidste ende slet ikke behøver vores accept for at tjene penge på de data, de indsamler.
»Det er meget svært at vide, hvor tæt man må gå på uden det her samtykke. Det ved vi ikke så meget om endnu, og vi finder først ud af det, når EU-Domstolen går i gang med at udtale sig, og der kan gå flere år, før det sker,« siger Heidi Højmark Helveg.
Og selvom blandt andre formanden for IT-Politisk Forening, Jesper Lund, mener, at danske medier stadig ikke lever op til den nye lovgivning, så kan det modsatte også være tilfældet, fortæller digital chef i foreningen Danske Medier Allan Sørensen:
»Vi kan ikke vide, hvor vi ender endnu. Nogle medier i Danmark har måske overimplementeret, mens andre måske stadig venter lidt for at se, hvor grænsen bliver lagt,« siger Allan Sørensen
Jannick Kirk Sørensen er ph.d. og forsker i området ved Center for Communication, Media and Information Technologies på Aalborg Universitet. Han mener ikke, at den nye lovgivning vil påvirke den såkaldte adtech-branche nævneværdigt – men at den kan hjælpe med at luge ud i de efterhånden ekstremt komplekse netværk af tredjepartsservere.
Dine data på auktion
Selve annoncesalget foregår i dag primært gennem programmer og ofte gennem såkaldte ‘real-time bidding’-auktioner. Her afvikler programmer auktioner om dine data og reklamepladsen på din skærm, så snart en side loader, for at få den højest mulige gevinst.
»‘Programmatic advertising’ er eksploderet de seneste år og er fuldstændig markedsdominerende nu,« siger Jannick Kirk Sørensen.
Det komplekse net af tredjepartsservere udgør dog et problem under de nye GDPR-regler. Mange medier har nemlig ikke styr på, hvad der sker med de personhenførbare data, når siden loades, og kommunikationen med tredjepartsserverne går i gang.
»Mange medier ved slet ikke, hvad det er for nogle tredjepartsservere, fordi det jo er dynamisk,« siger han.
Hvilke servere der får oplysninger, afhænger blandt andet af, hvem der besøger siden hvorhenne, og hvad tid det foregår, og hvordan ‘real-time bidding’-auktionerne forløber. Derudover sker det, at webprogrammører lader gammel kode blive på siden, selv efter at dens funktion er ophørt, og tredjepartsserveren ikke længere modtager data.
»Det har været en urskov derude, og det er det måske stadig. Nu forsøger branchen så at rydde lidt ud i den, selvom alle jo ellers gerne vil lytte med og få en bid af kagen,« siger Jannick Kirk Sørensen.
På trods af den mulige positive konsekvens ved GDPR mener Jannick Kirk Sørensen, at der primært er tale om en »juridisk øvelse«. Trods GDPR skal der stadig sælges reklamer, og de store spillere på markedet som Facebook og Google har både teknologien og størrelsen til at klare sig uskadt igennem.
Effekten kan blive modsat
De har nemlig – ud over enorme budgetter til jurister – mulighed for at indsamle data på en lang række måder, der ikke er tilgængelige for andre i branchen. Når de samtidig betinger deres vidt benyttede tjenester af samtykke til dataindsamlingen, så kan de ende i en endnu stærkere position efter GDPR, mener Jannick Kirk Sørensen. De udsatte er europæiske medier og mindre adtech-virksomheder.
»Det kan ende med, at dem, man synes er blevet for dominerende – som Google og Facebook – bliver endnu stærkere. De har styr på juraen, de har alle tilladelserne, og de er på stort set alle hjemmesider i verden. Dem, det så går hårdest ud over, det er de europæiske publishers,« siger han.
Netop de to amerikanske virksomheder blev samme dag som GDPR trådte i kraft ramt af klager ved datamyndigheder i flere europæiske lande for at betinge adgang til deres tjenester med brugerens samtykke.
Denne artikel stammer fra avisen Ingeniøren, fredag.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
