Nie zdajemy sobie sprawy z tego, jak marnie są chronione informacje o nas
Iwona Rajca – specjalistka od bezpieczeństwa danych w firmie Protegrity. Absolwentka kierunku Data Science na University of Dundee w Wielkiej Brytanii. Autorka bloga datawanderings.com
Kilkadziesiąt milionów użytkowników Facebooka miało zostać poddanych manipulacji, w efekcie której zagłosowali na Donalda Trumpa. Czy rzeczywiście tak się stało?
– Na ile tak faktycznie było, naprawdę nie wiadomo. Ludzie, którzy pracowali wtedy w Cambridge Analytica, mówią, że doszło do tego pod koniec kampanii, kiedy na wykorzystanie tych informacji na dużą skalę nie było już czasu. Kontrowersyjne są nie skutki, tylko to, czy był taki zamiar i możliwość. Skandal był wielki, bo w ciągu jednego tylko dnia od wypłynięcia sprawy Facebook stracił 16 mld dol. wartości swoich akcji. Uruchomiono też akcję #deletefacebook, w którą zaangażowali się celebryci. To niezwykle ciekawa reakcja, bo o tym, że politycy wykorzystują każdą dostępną informację na nasz temat, wiemy od dekad. Myślę jednak, że zadziałało przede wszystkim to, że mamy do czynienia z Trumpem, postacią, która polaryzuje społeczeństwo, i z Facebookiem, czyli miejscem, gdzie żyjemy online. Właśnie poprzez połączenie tych dwóch elementów sprawa staje się tak osobista dla komentujących.
Zwłaszcza że Facebook kojarzy się z wartościami, które Trump potępia: jest dla wszystkich, nie uznaje podziałów, znosi granice.
– Z jednej strony tak, ale z drugiej musimy oddzielić to, kto jest kreatorem Facebooka, od tego, kto z niego korzysta. Bo facebookowe społeczeństwo także jest spolaryzowane. Doświadczamy tego również w Polsce, gdzie tworzą się tzw. bańki społecznościowe, w których użytkownicy przerzucają się takimi samymi materiałami. Te bańki się nie przenikają, przez co tworzy się zaburzony obraz świata, a ludzie z lenistwa i z niemożności sprawdzania każdej informacji biorą go za jedyny właściwy. Każdy ma swoją bańkę: prawicowiec, lewicowiec, ogrodnik, miłośnik zwierząt, fan rocka. Podczas kampanii Trumpa docierano do ludzi w tych bańkach ze spersonalizowanym przekazem – jeśli ktoś jest aktywistą, dostarczało mu się treści, które zmuszą do realnego działania. Taki przynajmniej był plan.
Czyli po prostu sprzedawano pewne treści i komunikaty.
– Sprzedawano to dobre słowo, bo tak samo działa marketing. Nadal niektóre firmy wysyłają newsletter na cały świat, do wszystkich. Ale jeśli jesteśmy firmą, która sprzedaje pączki, to adresując kampanię do ludzi nielubiących pączków, tracimy pieniądze. Musimy więc najpierw konsumentów „stargetować”. Kojarzysz takie aplikacje na Facebooku jak quizy w stylu „Do kogo jesteś podobny?” albo gry jak „Candy Crush”, w których możesz sobie dokupować gadżety i akcesoria? Za te drugie płacisz, za to z tych pierwszych korzystasz za darmo, o ile się zgodzisz na udostępnienie pewnych danych o sobie. To może być imię i nazwisko, adres mejlowy czy lista kontaktów. Nowoczesny barter.
O dostęp do tych danych proszą też dostawcy publicznego internetu, choćby na lotniskach czy w lobby hoteli.
– W 2015 r. polityka prywatności na Facebooku była inna niż teraz, zdecydowanie mniej restrykcyjna. Kiedy myślimy o naszych danych w internecie, nie zdajemy sobie sprawy z tego, jak marnie są chronione. Ucieka nam również to, jak działa kapitalizm i jaki wpływ ma Dolina Krzemowa na kształtowanie gospodarki, społeczeństwa i naszego życia. W 2015 r. programiści mieli więcej swobody w korzystaniu z naszych danych zamieszczonych na Facebooku. Wtedy można było poprosić użytkowników o udostępnienie informacji nie tylko o nich, ale także z profili ich znajomych. I to się stało w przypadku Cambridge Analytica. Tak naprawdę to wszystko wynika z jednej aplikacji, która była testem osobowościowym. Na podstawie naszych lajków, zainteresowań i generalnie aktywności na Facebooku można było dostać profil osobowości, który określał, czy jest się pozytywnym, negatywnym czy neurotykiem.
Lubimy takie rzeczy.
– Bardzo lubimy. Nie możemy dziś osądzać użytkowników tej aplikacji, czy zrobili dobrze, czy źle, bo to była rozrywka. Na ten test zapisało się 270 tys. ludzi, co już jest imponującym wynikiem. A za sprawą ówczesnej polityki prywatności aplikacja uzyskała dostęp do 50 mln kont.
Właśnie przez to, że zgodziliśmy się na dostęp do profili naszych znajomych, tak po prostu?
– Tak jest. My możemy się obwarowywać prywatnością i być naprawdę bardzo świadomi tego, gdzie się dostają nasze dane, ale jesteśmy bezpieczni tylko do tego stopnia, jak naiwni czy jak głupi są nasi znajomi. Nie jesteśmy sami w sieci. Dlatego mówiąc o sprawie Cambridge Analytica, wolałabym nie oceniać, czy to było etyczne. Natomiast warto powiedzieć, czy to był wyciek danych. Nie był, wszystko stało się zgodnie z prawem.
Czy to znaczy, że prawo było aż tak wadliwe, że nie przewidywało takich możliwości, czy to było zaniechanie?
– Tu leży różnica między prawem a Facebookiem, bo Facebook popatrzył w przyszłość i to przemyślał: „Będziemy mieć duży problem, jeżeli te dane kiedyś się wydostaną”. Oni to, co się stało, przewidzieli i – być może późno, ale tak jak mogli – opanowali. Nigdy natomiast nie było interwencji ze strony amerykańskiego rządu, żeby prawa dostępu do danych ograniczać. I dalej tego prawa nie ma. Stany Zjednoczone w porównaniu z Europą naprawdę są w tyle, jeśli chodzi o świadomość prywatności w sieci.
W Europie taka sytuacja nie mogłaby mieć miejsca?
– Niestety, na dzień dzisiejszy mogłaby, bo Facebook ma taką samą politykę w każdym kraju. Natomiast Europejczycy są bardziej świadomi tego, jak udostępniają dane, i niedługo wgląd Facebooka w nasze życie się zmniejszy przez nowe prawo Unii Europejskiej, RODO – rozporządzenie o ochronie danych osobowych, które wchodzi 25 maja. Reguluje ono, do jakiego stopnia firmy mają prawo pobierać nasze dane i wtórnie je przetwarzać. To bardzo ciekawe prawo, bo zostało napisane z perspektywy użytkownika, a nie firm. Dzięki niemu m.in. będziemy mieć większy wpływ na to, jak dane o nas są wykorzystywane. Co ważne, wszystkie firmy, które mają dane użytkowników europejskich, muszą do tego prawa się dostosować. W tym momencie Unii Europejskiej jest wszystko jedno, czy firma ma siedzibę w Stanach Zjednoczonych, w Unii, czy w Afryce. Jeżeli tylko przetwarza dane użytkowników europejskich, podlega temu prawu.
Czy takie prawo ma w ogóle szansę być egzekwowane?
– Nie wiem do końca, jak to będzie wyglądało w skali całego świata, ale podoba mi się podejście zupełnie inne od np. prawa finansowego. Wyklucza istnienie oaz w innych krajach, jak choćby rajów finansowych.
Jak doszło do tego, że nagle się dowiedzieliśmy o tym, co się wydarzyło w 2015 r.?
– Dużego wywiadu na ten temat udzielił magazynowi „Guardian” jeden z pracowników Cambridge Analytica, który odszedł z firmy, ponieważ nie podobały mu się jej praktyki – w amerykańskich mediach mówi się o nim whistleblower (sygnalista). Następnie przedruki pojawiły się w mediach skorelowanych ze stroną demokratyczną w Stanach Zjednoczonych, co miało wpływ na skalę nagłośnienia. O tym, że takie działanie miało miejsce w 2015 r., wiedzieliśmy wcześniej, natomiast nie do końca zdawaliśmy sobie sprawę z jego rozmiarów. Nie wiedzieliśmy, która aplikacja wykorzystała nasze dane i komu je sprzedała. Teraz wiemy, a ta świadomość powoduje, że ludzie poczuli się niepewnie. To o tyle zabawne, że zabiegi marketingowe oparte na docieraniu do nas ze sprofilowanymi nowościami i reklamami są faktem od lat. Trzeba było kogoś tak kontrowersyjnego jak Trump, żebyśmy należycie się przejęli sprawą.
Faktycznie sytuacja napędziła nam stracha, bo pokazała niemoc wobec firm i instytucji, które z naszych danych korzystają.
– My w Europie posługujemy się prawem z 1995 r. Wyobrażasz sobie? W 1995 r. mieliśmy dyskietki, mało kto miał jeszcze modem do łączenia się z internetem w domu! Ale i tak jest to bardzo dobrze napisane prawo, choć nie ma tak naprawdę systemu kar ani egzekucji. Teraz, jeśli firma nie trzyma się zasad tego prawa, może zostać ukarana kwotą nawet 4% obrotu rocznego. To gigantyczne pieniądze. W tym prawie są pomocne nam zapisy, chociażby prawo do bycia zapomnianym. Teraz będziemy mogli napisać do firmy i poprosić, żeby wymazała nas ze swojej bazy danych. I ona musi to zrobić.
Czyli kiedy ktoś zadzwoni do mnie i powie, że ma dane z losowania, mogę się domagać natychmiastowego usunięcia ich z bazy?
– To kolejny ciekawy przykład, bo osoba, która do ciebie dzwoni, nie ma twoich danych od ciebie, tylko prawdopodobnie od data brokera – firmy skupującej i sprzedającej takie dane. Żyjemy w gospodarce danych, w której obraca się nimi codziennie jak każdym innym towarem. Amazon, eBay czy Facebook zarabiają na tym, że korzystamy z ich usług, ale ogromna część ich przychodu pochodzi ze sprzedawania naszych danych, np. informacji o preferencjach osób z danego regionu. Informacja o tym, że na Allegro ludzie ze Świętokrzyskiego najczęściej kupują traktory, jest dla marketerów niezwykle istotna. I Facebook, i eBay takie dane mają i handlują nimi.
Do znajomego na Śląsku zawsze dzwonią z propozycją kupna odkurzacza, a u mnie, na Podhalu, proponują samowary i urządzenia do gotowania na parze.
– 30-40 lat temu transakcje zapisywaliśmy w zeszytach. Później pojawiły się bazy danych: wielkie elektroniczne tabele, gdzie każda linijka to informacja o transakcji – a jest ich na tyle dużo, że mieszczą się na kilku czy kilkuset serwerach. Na samym początku istnienia baz cieszyło już to, że możemy zapisywać dane bez kartki i długopisu. Do tego pojawiła się analityka pozwalająca prognozować sprzedaż, a jej narzędzia statystyczne pozwoliły na kalkulacje, ile zarobię, jeśli zainwestuję w danym regionie. Później do tego dołączono prawdopodobieństwo i zaczęły się takie cuda, jakie oglądamy na Amazonie, gdzie kupujesz książkę, a system podpowiada ci, co zakupili użytkownicy o podobnych zainteresowaniach. To jest typ analizy koszykowej, bo działa jak w supermarkecie, czyli jeśli ktoś kupił chleb, prawdopodobnie kupi też masło. Umieszczenie tych dwóch produktów blisko siebie na półce ma więc sens, bo może zwiększyć sprzedaż. A może umieszczenie ich z dala od siebie sprawi, że klient kupi więcej, bo po chleb i tak trzeba się wybrać? Tym rządzi nie projekt przestrzenny, ale rachunek prawdopodobieństwa.
Mnie te rekomendacje zazwyczaj bardzo cieszą, bo ułatwiają mi robotę.
– Tu jest pies pogrzebany: z jednej strony możemy to nazwać inwazją na naszą prywatność, ale z drugiej każdy musi sobie odpowiedzieć na pytanie, czy ten wpływ mu przeszkadza, czy jest użyteczny. Tak przecież działa Netflix, który produkuje coraz więcej seriali, bo śledzi to, na co patrzymy. Hitowy serial „Stranger Things” jest doskonałym przykładem zaawansowanej analizy koszykowej. Netflix przestudiował sobie to, co oglądamy, i zobaczył, że jest mnóstwo fanów rzeczy z lat 80., a równocześnie jest mnóstwo fanów filmów SF i horrorów. Pojawiło się pytanie, jak to połączyć. Odpowiedź: trzeba zrobić serial utrzymany w konwencji lat 80., który odpowie na zainteresowania tej grupy ludzi, na tyle dużej i silnej, że może zagwarantować oglądalność na bardzo wysokim poziomie. I tak się stało.
Tymczasem krytycy piali z zachwytu nad aktualną odpowiedzią na tęsknotę za latami 80.
– Bo ta tęsknota tam jest, więc znów musimy sobie odpowiedzieć na pytanie, czy Netflix robi coś fajnego, czy nieetycznego. Netflix nie tylko monitoruje to, co użytkownik ogląda, ale też dzięki jego aktywności – lub jej brakowi – wie, kiedy zasypia, jak dużo ogląda naraz, w którym momencie przełącza program na inny, ile odcinków z rzędu jest w stanie przyswoić. To wszystko bardzo ich interesuje. Netflix doskonale zna różnicę pomiędzy tym, co dodajemy sobie do ulubionych, a co tak naprawdę oglądamy. Założyciele Netfliksa przyznają, że opierając się jedynie na ankietach, serwis miałby bazę złożoną z zagranicznych filmów z napisami. W ankietach bowiem użytkownicy kreowaliby się na ludzi poszukujących wartości intelektualnych, a w rzeczywistości oglądali coś zupełnie innego – komedie romantyczne i sensacyjniaki, które publicznie wyśmiewają. Dziś w marketingu nie patrzy się na to, co ludzie mówią, tylko na ich zachowania.
Jaki jest następny krok marketingu?
– Nowe rynki. W tradycyjnym marketingu firmy opierają się na własnej bazie użytkowników, czyli wiedzą, skąd są, co kupują, co lubią itp. Jest to też ograniczenie, bo każda firma chce się rozwijać i podbijać nowe rynki. A jak mogą wiedzieć o nowym rynku, jeżeli nikt z tego rynku nie kupuje ich produktów? Ten problem został rozwiązany przez big data, czyli niemal wybuch dostępnych danych w ostatniej dekadzie. Dane o innych rynkach możemy po prostu sobie kupić. Mimo że jesteśmy firmą, która działa w Polsce, i mamy własną bazę klientów, możemy napisać do Facebooka albo Twittera i skupić od nich dane, dzięki czemu dowiemy się, czym się interesują, jak kupują i jaki mają budżet konsumenci w Niemczech albo we Francji. I to są naprawdę cenne informacje, które uzmysławiają prawdziwą wartość danych.
Znamy tę wartość?
– Nowe pokolenie tak. Poprzedniej generacji trudniej przychodzi zrozumienie drobnych druczków polityki prywatności, trudniej odsiewa prawdziwe informacje od fałszywych. Młodzi – młodsi niż my – ludzie wychowali się w czasach fake newsów, więc lepiej rozumieją, czym się rządzi informacja w internecie.
Ale jak się nauczą, po co mają nie sięgać, skoro na podstawie danych możemy powiedzieć, kto jest podatny na papierosy, a kto na alkohol, i takie uzależniające produkty zaoferować?
– Według prawa nie można promować takich używek w internecie. Ale nic nie stoi na przeszkodzie promowaniu czekolady czy coli. Co prawda, trudniej zobaczyć przez internet, czy ktoś faktycznie pije colę, ale na Facebooku są tak absurdalne grupy jak „Wolę pepsi niż coca-colę”. A firmy mogą skupować nasze dane tylko po to, żeby tworzyć spójniejsze profile ludzkie. To nie do końca jesteśmy my, ale marketing na razie robi się na poziomie grupy, a nie indywidualnym. Zauważ, że te grupy stają się coraz mniejsze i mniejsze.
Czy w takim razie nasze dane są coraz bezpieczniejsze, czy wprost przeciwnie?
– Jesteśmy bezpieczni na tyle, na ile pozwalają nam na to nasi znajomi, dlatego naprawdę potrzebujemy wsparcia ze strony rządu w postaci odgórnych regulacji. Pod tym kątem inicjatywa UE jest świetna. Z nowych uregulowań musimy wiedzieć to, że mamy prawo do kontrolowania tego, gdzie nasze dane są używane. To nie tak, że zapisujemy się do korzystania z jakiegoś portalu i w tym momencie zezwalamy na sprzedawanie i przetwarzanie dalej naszych danych. Możemy powiedzieć takim praktykom „nie”. Zyskujemy prawo dowiedzenia się, ile dana firma ma o nas informacji i co z nimi robi.
Weźmy inny przykład. Pracownica firmy Inter Polska przesłała mi niedawno cudzą polisę, tym samym zyskałem dostęp do wszelkich danych obcej mi osoby. Firma nie tylko nie wyciągnęła konsekwencji, ale próbowano mi wmówić, że to ja jestem prawnie zobligowany do zniszczenia otrzymanych danych. Czy nowe prawo reguluje i takie sytuacje?
– Częściowo tak, bo na firmy nałożono obowiązek szyfrowania danych. Teraz nawet jeśli haker się włamie, nie wyciągnie danych realnych. Jeżeli jakaś firma nie przestrzega tych praw, jako konsumenci możemy interweniować, mamy prawo, a nawet obowiązek to zgłosić, a kolejnym krokiem będzie – podejrzewam – Urząd Ochrony Konkurencji i Konsumentów. Jest to zupełnie inna strategia niż pomysł rządu Chin, który na podstawie danych obywateli tworzy systemy ratingowe. Wyobraź sobie taką sytuację: jedziesz Uberem w Chinach, kierowca wystawia ci opinię, a ta opinia jest wpisywana do rejestru pozostającego w rękach rządu.
Przerażające.
– Tak, ale z drugiej strony czy to nie jest podobne do inicjatyw marketingowych sektora prywatnego? Target, duża sieć supermarketów w USA, przeprowadził analizę danych pod kątem tego, co ludzie kupują, żeby wiedzieć, czy nabywca jest w ciąży. Dziewczyna w USA dostała ich newsletter z ofertą wózków dziecięcych, zabawek i ubranek. Dopiero na podstawie tego dowiedziała się, że spodziewa się dziecka. Algorytm wiedział przed nią! To jeden z flagowych przykładów analizy big data. Trzeba jednak powiedzieć, że algorytmy nie są jeszcze tak inteligentne. Ale taki marketing jest o wiele skuteczniejszy niż ten ogólny.
W takim razie czy wybory w USA mogłyby przebiegać inaczej, gdyby nie majstrowanie przy Facebooku?
– Myślę, że Facebook miał takie samo znaczenie jak każdy inny kanał. Nie wiemy, na ile dane z Facebooka zostały wykorzystane, ale wiemy, że takie profilowane komunikaty były tworzone pod różne grupy społeczeństwa przez każdy rodzaj mediów. To fakt, ale takich kanałów mogły być dziesiątki. Facebook wyróżnia na pewno to, że się o nim dowiedzieliśmy i bezradność naszego prawa została obnażona.
