← De aandachtsmachine

Reclame & surveillance

De platforms zijn gratis. Jij bent het product — en dat in een preciezere zin dan de uitdrukking meestal doet vermoeden.

Hoe je deze pagina leest. Tik op een onderstreept woord om de exacte academische term en een korte uitleg te zien. Open een "Dieper"-vak voor het bewijs en de punten die nog ter discussie staan. De hoofdtekst werkt op zichzelf — sla beide over en je krijgt nog steeds het hele verhaal.

Hoe het begon

DoubleClick werd in 1996 opgericht en begon gebruikers met cookies over websites heen te volgen — de eerste grootschalige gedragsprofilering van internetgebruikers voor commerciële doeleinden. In 1999 nam het Abacus Direct over, een offline databroker met gegevens over wat consumenten in de echte wereld kochten. Privacyvoorvechters sloegen meteen alarm: anoniem surfgedrag koppelen aan een aankoopgeschiedenis die tot een persoon te herleiden is, zou iets wezenlijk nieuws opleveren. De FTC, de Amerikaanse toezichthouder, deed onderzoek en sloot het dossier in 2001 zonder actie te ondernemen — met de kanttekening dat het sluiten ervan geen vaststelling was dat de wet was nageleefd.

Google kondigde de aankoop van DoubleClick aan in 2007 en rondde die af in 2008. In 2009 begon het met advertenties op basis van interesses, die van elke browser een profiel maakten aan de hand van de sites die hij bezocht. Zeven jaar lang hield Google die surfgeschiedenis gescheiden van de namen in de accounts van zijn gebruikers; in 2016 liet het die belofte stilletjes los — precies de combinatie van online gedrag en identiteit waar voorvechters in 1999 voor hadden gewaarschuwd. De zorg werd vastgelegd, onderzocht en daarna terzijde geschoven. De sector groeide.

Real-time bidding: de veiling die je nooit ziet

Als je een website bezoekt, vindt er een veiling plaats in de tijd die de pagina nodig heeft om te laden — meestal 100 milliseconden. Je gedragsprofiel wordt tegelijk naar tientallen advertentiebedrijven gestuurd. Zij bieden op het recht om jou een advertentie te laten zien. De advertentie van de winnaar verschijnt. De veiling is voorbij voordat je de kop hebt uitgelezen.

Dit systeem heet real-time bidding (RTB). Volgens onderzoek van de Irish Council for Civil Liberties (ICCL) worden de gegevens van de gemiddelde internetgebruiker in de EU naar schatting 376 keer per dag naar adverteerders gestuurd. In de Verenigde Staten is de schatting 747 keer per dag. Niet naar de winnende bieder. Naar alle bieders — elk bedrijf dat de gegevens ontvangt, kan een kopie van je profiel bewaren, of het de veiling nu wint of niet, en niets in het systeem houdt dat tegen.

In 2022 oordeelde de Belgische Gegevensbeschermingsautoriteit dat het eigen toestemmingskader van de advertentiesector voor RTB in strijd is met de AVG (GDPR), en in 2024 bevestigde het Hof van Justitie van de Europese Unie, op vragen van een Belgische rechter, belangrijke delen van die redenering. Het systeem draait gewoon door.

Wat er in het profiel staat

De gegevens die in een RTB-veiling worden rondgestuurd, bevatten meestal: je locatie bij benadering, het apparaat dat je gebruikt, de tijd en datum, de site die je bezoekt, en — cruciaal — je afgeleide kenmerken. Dat zijn geen feiten over jou. Het zijn afleidingen uit je gedrag op duizenden sites, over maanden en jaren: je waarschijnlijke inkomensklasse, je zorgen over je gezondheid, je politieke voorkeur, je relatiestatus, je angsten.

Shoshana Zuboff beschrijft dit in The Age of Surveillance Capitalism (2019) als een fundamentele omslag in de economische logica van het internet: menselijke ervaring is grondstof, verwerkt tot producten die gedrag voorspellen, verkocht aan wie er maar voor wil betalen. Het product is niet het platform. Het product ben jij — preciezer gezegd: het voorspellende model van wat je hierna gaat doen.

Device fingerprinting: de surveillance die blijft

De meeste mensen kennen cookies, en verwijderen ze of klikken cookiebanners weg. Device fingerprinting is iets anders. Het herkent je apparaat door tientallen technische kenmerken te combineren — je browserversie, schermresolutie, geïnstalleerde lettertypen, het gedrag van je grafische kaart, je tijdzone, je taalinstellingen — tot een unieke code, zonder dat er iets op je apparaat hoeft te worden opgeslagen.

Fingerprinting steunt op signalen die je niet makkelijk kunt wissen, dus cookies wissen houdt het niet tegen, en voor browsers is het lastiger te blokkeren. Het blijft bestaan tussen sessies en kan, samen met andere identificatoren, je surfgedrag aan elkaar rijgen.

In 2024 zag Google af van zijn lang aangekondigde plan om cookies van derden in Chrome uit te faseren — het volgmechanisme dat al jaren onder druk stond van toezichthouders en publiek. Los daarvan verbiedt Google sinds februari 2025 bedrijven die zijn advertentieproducten gebruiken niet langer om aan fingerprinting te doen — een wijziging die de Britse privacytoezichthouder "onverantwoordelijk" noemde. Het antwoord van de sector op de druk om één surveillancemechanisme af te schaffen, was het te houden, en er een krachtiger mechanisme naast toe te staan.

Cambridge Analytica: wat dit mogelijk maakt

In 2014 en 2015 werden via een quiz-app zonder toestemming gegevens van maximaal 87 miljoen Facebook-profielen verzameld en doorgegeven aan Cambridge Analytica, dat ze gebruikte bij zijn werk voor Amerikaanse politieke campagnes rond de verkiezingen van 2016. Het verzamelen en het doorgeven zijn bevestigde feiten, vastgelegd in Facebooks eigen bekendmaking en getuigenissen voor het Amerikaanse Congres (2018), het besluit van de Amerikaanse Federal Trade Commission tegen Cambridge Analytica (2019) en het onderzoek van de Britse Information Commissioner. Of de gegevens een rol speelden bij de presidentsverkiezingen van 2016, is minder zeker: de brief van de Information Commissioner zegt dat een deel ervan voor zover bekend is gebruikt in politieke campagnes, "waaronder (naar vermoed wordt) de Amerikaanse presidentsverkiezingen van 2016", maar dat op grond van het bekeken bewijs "niet kon worden vastgesteld" welke gegevens in een specifiek onderdeel van een campagne zijn gebruikt.

Het Brexit-referendum is een apart en beperkter verhaal. Het Britse Information Commissioner's Office deed onderzoek en concludeerde in oktober 2020 dat Cambridge Analytica buiten eerste verkennende gesprekken niet bij het referendum betrokken was, en dat de verzamelde Facebook-gegevens — over kiezers die in de VS geregistreerd stonden — daar niet voor gebruikt kunnen zijn. We vermelden dit juist omdat de geloofwaardigheid van deze site ervan afhangt dat we zelfs een goed uitkomende bewering niet overdrijven.

Hoe effectief de targeting was voor de uitslag van verkiezingen, staat onder politicologen echt ter discussie — de bewering dat Cambridge Analytica uitslagen bepaalde, is niet goed onderbouwd. Wat niet ter discussie staat, is dat de infrastructuur bestond en werd gebruikt, en dat de regels van toen er weinig tegen deden: de Britse toezichthouder legde Facebook later de maximale boete van £500.000 op die de wet van vóór de AVG toeliet, en in 2019 volgde de schikking van $5 miljard tussen de FTC en Facebook. Het sterkere kader voor gegevensbescherming kwam pas later.

Wat je kunt doen

Geen enkele individuele actie verslaat het RTB-systeem — het werkt op het niveau van de infrastructuur, en het antwoord dat bij die schaal past, is structureel. De gedeeltelijke verdediging die wel helpt, staat op één plek bij elkaar, zodat die actueel blijft: Wat je kunt doen voor de acties, Hulpmiddelen & sites voor de concrete tools. En wil je zien wat je browser op dit moment prijsgeeft, dan laat de Tracking & Targeting-demo het live zien.

Hoe we dit weten — de RTB-cijfers, de uitspraken over de AVG, en wat er over Cambridge Analytica ter discussie staat +

De dagelijkse cijfers van 376 (EU) en 747 (VS) komen uit de analyse van de ICCL van sectorgegevens over hoe vaak het profiel van een gemiddelde gebruiker in RTB-veilingen wordt rondgestuurd. Ze meten hoe vaak gegevens worden verstuurd, geen bewezen misbruik — maar het punt blijft staan: elke bieder die de gegevens ontvangt, kan een kopie houden, of hij nu wint of niet, dus de gegevens verspreiden zich veel verder dan één transactie.

De juridische stand van zaken. De Belgische Gegevensbeschermingsautoriteit oordeelde dat het Transparency and Consent Framework van IAB Europe — de toestemmingslaag onder een groot deel van RTB — in strijd is met de AVG (Beslissing 21/2022). Na een prejudiciële verwijzing bevestigde het Hof van Justitie van de EU (zaak C-604/22, 2024) belangrijke delen van die redenering, waaronder dat een "TC String" een persoonsgegeven kan zijn. Het systeem draait desondanks door terwijl het kader wordt herzien.

Cambridge Analytica — vasthouden aan wat bewezen is. Bevestigd: het verzamelen van maximaal 87 miljoen profielen, het doorgeven ervan aan Cambridge Analytica en het gebruik dat dat bedrijf ervan maakte in zijn politieke werk in de VS, en de zwakte van de regels van toen. Omstreden: of de targeting de uitslag van verkiezingen veranderde — politicologen betwijfelen of microtargeting de beslissende overtuigingskracht heeft die er vaak aan wordt toegeschreven. Weerlegd: de veelgehoorde bewering dat Cambridge Analytica de Brexit heeft beslist — het onderzoek van de Britse ICO vond dat de verzamelde gegevens over Amerikaanse kiezers niet in het referendum gebruikt kunnen zijn. We houden deze drie categorieën bewust gescheiden.

Zie het live: Tracking & Targeting-demo →
Zie het live: Datacombinatie →
Wetten & regels: AVG →
Digital Services Act →