Mi volt ez a nagy Facebook balhé, és mi az a GDPR?

A Cambridge Analytica egy brit kis elemző cég, amely cég profi módon profilozza emberek viselkedését, ezek alapján pedig nagyon pontos arculatot tudnak felállítani az emberekről. Így tudják elérni, hogy célzott, nagyon egyedi üzenetekkel a lehető legnagyobb mértékben lehessen befolyásolni minket. A Cambridge Analytica nem kevesebbet állít magáról, hogy az ő profilozó képességük segített befolyásolni a brit emberek véleményét a brexit szavazás előtt, magyarán, hogy részben miattuk szavaztak annyian az EU-tól való elszakadásra.

Ha ezt hihetetlennek tartod, megértünk. De határozottan nem a komolytalanságot támasztja alá a tény, hogy az amerikai elnökválasztási kampányban is jelentős szerepet vállaltak, mégpedig a későbbi nyertes, Donald Trump oldalán. Bizony, a Trump kampányában felkérték ezt az elemző céget, hogy segítsenek összerakni egy ütős kis kampányt. Aztán jöttek a személyre szóló hirdetések a Facebookon, és sok egyéb ügyes trükk, amivel máris előállt a kívánt eredmény (nyilván nem csak ennyi kellett hozzá, de ez is segített).

Na oké, szóval van egy cég, aki ügyesen zsonglőrködik az adatokkal, jól elemez, és még jobb kampányokat készít. Mi ezzel a baj? Ha ennyiről szólna a dolog, akkor semmi gond nem lenne. A probléma messzebb van. Még 2015-ben kiderült, hogy a Facebook megállapodott a Cambridge-i egyetem egyik professzorával, hogy egy személyiség-előrejelző alkalmazást használjanak. A professzor pszichológiával foglalkozott, és kutatási célokból szeretett volna adatokat kapni a Facebook felhasználóiról. Ez eddig rendben van, hiszen a Facebookon ehhez külön kellett telepíteni egy kis alkalmazást, ahol az adatvédelmi feltételek elfogadásával a felhasználók hozzá is járultak ahhoz, hogy az alkalmazás hozzáférhessen a Facebook-on lévő adataikhoz és az adataik eljuthassanak a professzorhoz. Körülbelül 270 ezer felhasználó adatairól van szó.

Igen ám, de a professzor a Facebookkal (valamint az alkalmazás használóival) kötött szerződést megszegve az összegyűjtött adatokat harmadik fél részére is átadta. A Facebook erről 2015-ben értesült is, és törölte azonnal az alkalmazást, valamint jogi lépéseket is kilátásba helyezett. Ennek elkerülése érdekében igazolásokat kértek a professzortól (és az adatelemzőktől), hogy az összes érintett felhasználó megszerzett adatait törölték. Ezeket az igazolásokat meg is kapták, ám később kiderült, ennek ellenére az adatokat mégsem törölték.

Azonban mint kiderült, elvileg az alkalmazás nem csak azoknak a felhasználóknak fért hozzá az adataihoz, akik elfogadták a felhasználói feltételeket, hanem az ismerőseikéhez is, így pedig már több, mint 50 millió felhasználó adatairól van szó.

Rájöttek, hogy pusztán demográfiai adatok alapján nem lehet eléggé pontosan "megtippelni" a párt preferenciát (ahogyan mást sem). Attól még, hogy két hasonló korú, ugyanolyan nemű ember ugyanabban a városban él, közel sem biztos, hogy egyformán gondolkodnak (noha tény, hogy nagyobb az átfedés gondolkodásban köztük, mint mondjuk egy teljesen más korú, nemű, vagy földrajzi elhelyezkedésű ember között).

A Cambridge Analytica (CA) ehelyett a pszichográfiai profilozásban hisz, ami nem más, mint az emberek pszichológiai sajátosságaik alapján történő csoportosítás (szemben az előbb említett demográfiai csoportosítással). A másik elemzési szempont pedig a pszichometria, vagyis a pszichológiai tulajdonságok mérése, például kérdőívekkel.

A CA a saját bevallása szerint mind a 220 millió amerikai választópolgárról kb. ötezer adatponttal rendelkezik. Tudják róluk, hogy milyen újságot olvasnak, mit néznek a TV-ben, milyen kajákat esznek, milyen autóval járnak, milyen ruhákat hordanak, milyen telefonjuk van és így tovább. Elmondásuk szerint a pszichológiai modelljük segítségével ezekből az adatokból könnyen ki tudják következtetni, hogy ki kire fog szavazni, és miért. Ebből pedig már nem nehéz kitalálni, hogy ez alapján egész könnyen lehet manipulálni a nem biztos szavazótábort célzott hirdetésekkel, és ilyen módon befolyásolni akár egy világ vezető hatalmának elnökválasztását is.

A GPDR az EU új általános adatvédelmi rendelete. Tulajdonképpen a személyes adatok kezeléséről szóló rendelet. Eddig nem volt egységes rendelet a személyes adatok kezeléséről az EU-ban, idén május 25-től viszont lesz. Ez sokkal szigorúbb adatkezelési szabályokat követel meg a személyes adatokat kezelő cégektől az eddigiekhez képest. A cégeknek kötelező lesz adatvédelmi szabályzatot készíteniük, amely biztosítja az ügyfeleiket arról, hogy a személyes adataik nem kerülhetnek illetéktelen kezekbe az ő hozzájárulásuk nélkül.

Mondunk banális példát: ha megkérdezi egy hölgy, vásárolt-e a férje egy adott boltban, akkor erre a boltos nem adhat választ, hiszen az a férj személyes adata, hogy az adott pillanatban hol járt éppen, és mit csinált. Persze ha a férj előzetesen hozzájárult ahhoz, hogy ha érdeklődik a feleség, akkor nyugodtan megmondhatják neki, úgy már oké... Nyilván ez egy bődületes marhaság ami a példánkban van, de valami ilyesmi a lényeg.

Gondolj bele, mennyi személyes adatot (adott esetben kényes adatot) kezel egy bank, egy egészségügyi szolgáltató (háziorvos, üzemorvos, stb), vagy akár egy panzió (bizonyos esetekben ott már elég kényes tud lenni, hogy járt-e ott a férj vagy sem - az előző példára reflektálva).

Hogy mi számít személyes adatnak? Gyakorlatilag minden olyan információ, ami egy személlyel kapcsolatos. Például ha elviszed javítatni valamidet, és elkérik a telefonszámodat, hogy majd tudjanak értesíteni, amikor elkészültek, akkor a cég hozzájutott a Te személyes adatodhoz. Ezért nekik szabályzatban biztosítaniuk kell, hogy a Te telefonszámodat nem fogják más célra használni, és nem fogják kiadni (vagy eladni) harmadik személy részére (kivéve persze, ha erre törvényi kötelezettségünk van, pl. rendőrségi nyomozás).

A szabályzatban rendelkezniük kell a cégeknek arról is, hogy ha véletlenszerűen hozzáférhetett harmadik személy személyes adathoz, akkor milyen intézkedéseket tesz a cég.

A GPDR rendelet érvénybe lépésétől (ami már csak bő 2 hét) azok a cégek, akik nem rendelkeznek megfelelő szabályzattal, bírságra számíthatnak.

Nehéz kérdés, mert az online térben, a digitális világban igazából fogalmad sincs arról, hogy mi történik a háttérben, és hogy az adataid valójában kihez jutnak el és kihez nem. Persze az adatvédelmi nyilatkozatok és szabályzatok elvileg Téged védenek, ahogy a törvény is melletted áll, de semmi sem garantálja, hogy az adataidat tényleg a leírt szabályzatot betartva kezelik (lásd Facebook - CA botrány).

Mégis azt javasoljuk, hogy lehetőleg csak megbízható alkalmazásokat használj (pl. a Facebook-on nem biztos, hogy jó ötlet egy csomó kis alkalmazást használni). Mielőtt használni kezded, olvasd el az adatvédelmi szabályzatukat (tudjuk, nagyon hosszú, bizonyára nem fogod elolvasni, de ha tisztában akarsz lenni vele, akkor muszáj lesz).

És azt is javasoljuk, hogy lehetőleg mindig csak az épp elégséges adatot tedd közzé magadról. Ne légy túl buzgó, mert csak könnyebben "profilozhatóvá" teszed magad.

Légy tisztában vele: amit megadsz magadról, azt megszerezheti más is, illetéktelen kezekbe kerülhet. Ha valamilyen személyes adatodat félted, akkor ne tedd közzé. (Mastermind Számítástechnika)