Publicitate & supraveghere

Platformele sunt gratuite. Produsul ești tu — într-un sens mai precis decât sugerează de obicei expresia.

Cum să citești pagina. Atinge orice cuvânt subliniat ca să vezi termenul academic exact și o definiție scurtă. Deschide orice casetă „Detalii” pentru dovezi și pentru ce e controversat. Textul principal se descurcă singur — poți să le sari pe ambele și tot prinzi întreaga idee.

Cum a început

DoubleClick a fost fondată în 1996 și a început să urmărească utilizatorii de la un site la altul cu ajutorul cookie-urilor — prima profilare comportamentală la scară largă a utilizatorilor de internet în scop comercial. În 1999 a cumpărat Abacus Direct, un broker de date offline, cu evidențe ale cumpărăturilor reale făcute de consumatori. Apărătorii vieții private au tras imediat un semnal de alarmă: combinarea navigării online anonime cu un istoric de cumpărături care identifică persoana ar fi creat ceva calitativ nou. FTC (autoritatea americană pentru protecția consumatorilor) a investigat și a închis dosarul în 2001 fără să ia vreo măsură — precizând însă că închiderea lui nu era o constatare că legea fusese respectată.

Google a anunțat cumpărarea DoubleClick în 2007 și a finalizat-o în 2008. În 2009 a lansat publicitatea bazată pe interese, care întocmea profilul fiecărui browser după site-urile pe care le vizita. Timp de șapte ani, Google a ținut acest istoric de navigare separat de numele din conturile utilizatorilor săi; în 2016 a renunțat discret la această promisiune — exact combinația de comportament online și identitate de care avertizaseră apărătorii vieții private în 1999. Îngrijorarea a fost documentată, investigată, apoi lăsată deoparte. Industria a crescut.

Real-time bidding: licitația pe care n-o vezi niciodată

Când intri pe un site, are loc o licitație în timpul în care se încarcă pagina — de obicei 100 de milisecunde. Profilul tău comportamental e transmis simultan către zeci de companii de publicitate. Ele licitează pentru dreptul de a-ți arăta o reclamă. Apare reclama câștigătorului. Licitația s-a încheiat înainte să termini de citit titlul.

Sistemul se numește real-time bidding (RTB, licitare în timp real). Potrivit cercetărilor Irish Council for Civil Liberties (ICCL), datele utilizatorului mediu de internet din UE sunt transmise, după estimări, celor care cumpără reclame de 376 de ori pe zi. În Statele Unite, estimarea e de 747 de ori pe zi. Nu doar ofertantului câștigător. Tuturor ofertanților — fiecare companie care primește transmisia poate păstra o copie a datelor din profilul tău, fie că câștigă licitația, fie că nu, și nimic din sistem nu o oprește.

În 2022, autoritatea belgiană pentru protecția datelor a constatat că propriul cadru de consimțământ al industriei de publicitate pentru RTB încalcă RGPD (GDPR), iar în 2024 Curtea de Justiție a Uniunii Europene, răspunzând la întrebările adresate de o instanță belgiană, a confirmat părți esențiale ale acestui raționament. Sistemul funcționează în continuare.

Ce conține profilul

Datele transmise într-o licitație RTB includ de obicei: locația ta aproximativă, dispozitivul pe care îl folosești, data și ora, site-ul pe care îl vizitezi și — lucrul esențial — caracteristicile deduse despre tine. Acestea nu sunt fapte despre tine. Sunt deducții trase din comportamentul tău pe mii de site-uri, de-a lungul lunilor și anilor: categoria de venit în care probabil te afli, grijile tale legate de sănătate, înclinațiile tale politice, situația ta sentimentală, anxietățile tale.

Date deduse (inferred data)

Date pe care nu le-ai dat niciodată, generate prin prezicerea trăsăturilor tale din comportamentul tău — de exemplu, deducerea unei probleme de sănătate din articolele pe care le citești. În dreptul european al protecției datelor, deducțiile despre tine pot fi date cu caracter personal, dar rareori știi că există, nu le poți vedea și nu le poți corecta ușor. Profilul care decide ce ți se arată e unul la care nu ai acces.

Surse

Wachter & Mittelstadt (2019), A Right to Reasonable Inferences, Columbia Business Law Review.

Shoshana Zuboff, în The Age of Surveillance Capitalism (2019), descrie asta ca pe o reorientare fundamentală a logicii economice a internetului: experiența umană devine materie primă, prelucrată în produse de predicție comportamentală și vândută oricui plătește. Produsul nu e platforma. Produsul ești tu — mai exact, modelul predictiv a ceea ce vei face în continuare.

Surplus comportamental (behavioural surplus)

Termenul lui Zuboff pentru datele de comportament care rămân după ce un serviciu ți-a fost livrat — tiparele de click, locațiile și momentele care nu sunt necesare ca produsul să funcționeze, dar sunt captate oricum și folosite pentru predicție. Acest surplus e materia primă a afacerii: e rafinat în predicții despre comportamentul tău viitor și vândut pe piețe pe care nu le vezi niciodată.

Surse

Zuboff, S. (2019), The Age of Surveillance Capitalism, PublicAffairs.

Device fingerprinting: supravegherea care rezistă

Cei mai mulți oameni știu de cookie-uri și fie le șterg, fie acceptă bannerele despre cookie-uri. Device fingerprinting (amprentarea dispozitivului) e altceva. Îți identifică dispozitivul combinând zeci de caracteristici tehnice — versiunea browserului, rezoluția ecranului, fonturile instalate, comportamentul plăcii grafice, fusul orar, setările de limbă — într-un identificator unic, fără să fie nevoie să se stocheze ceva pe dispozitivul tău.

Fingerprinting-ul se bazează pe semnale pe care nu le poți șterge ușor, așa că ștergerea cookie-urilor nu îl oprește, iar browserelor le e mai greu să-l blocheze. Persistă de la o sesiune la alta și, combinat cu alți identificatori, îți poate pune cap la cap navigarea.

În 2024, Google a renunțat la planul anunțat de mult de a elimina treptat cookie-urile terțe din Chrome — mecanismul de urmărire aflat de ani de zile sub presiunea autorităților și a publicului. Separat, din februarie 2025 a încetat să le mai interzică firmelor care îi folosesc produsele de publicitate să practice fingerprinting — o schimbare pe care autoritatea britanică pentru protecția datelor a numit-o „iresponsabilă”. Răspunsul industriei la presiunea de a renunța la un mecanism de supraveghere a fost să-l păstreze și să permită, alături de el, unul mai puternic.

Cambridge Analytica: ce face posibil asta

În 2014 și 2015, datele a până la 87 de milioane de profiluri de Facebook au fost colectate fără consimțământ printr-o aplicație-chestionar și transmise către Cambridge Analytica, care le-a folosit în munca sa pentru campanii politice din SUA în ciclul electoral din 2016. Colectarea și transferul sunt fapte confirmate, documentate în propria declarație a Facebook și în mărturiile din Congres (2018), în decizia Federal Trade Commission împotriva Cambridge Analytica (2019) și în investigația Information Commissioner din Regatul Unit. Dacă datele au servit alegerilor prezidențiale din 2016 e mai puțin sigur: scrisoarea comisarului spune că, din câte se înțelege, o parte din ele au fost folosite în campanii politice, „inclusiv (se suspectează) în alegerile prezidențiale din SUA din 2016”, dar că, din dovezile analizate, „nu a fost posibil să se stabilească” ce date au fost folosite într-o anumită parte a unei campanii.

Referendumul pentru Brexit e o poveste separată și mai limitată. Information Commissioner's Office (ICO), autoritatea britanică pentru protecția datelor, a investigat și a conchis în octombrie 2020 că Cambridge Analytica nu a fost implicată în referendum dincolo de niște demersuri inițiale și că datele colectate de pe Facebook — referitoare la alegători înregistrați în SUA — nu ar fi putut fi folosite în el. Spunem asta tocmai pentru că credibilitatea site-ului depinde de a nu exagera nici măcar o afirmație convenabilă.

Eficiența acestei țintiri asupra rezultatelor alegerilor e cu adevărat controversată printre politologi — afirmația că Cambridge Analytica a decis rezultatele nu e bine susținută. Ce nu e controversat e că infrastructura exista și a fost folosită, și că regulile în vigoare atunci au făcut prea puțin ca s-o oprească: autoritatea britanică a amendat ulterior Facebook cu suma maximă de 500.000 de lire sterline permisă de legea dinainte de RGPD, iar în 2019 a urmat înțelegerea de 5 miliarde de dolari dintre FTC și Facebook. Cadrul mai puternic de protecție a datelor a venit mai târziu.

Ce poți face

Nicio acțiune individuală nu învinge sistemul RTB — el funcționează la nivel de infrastructură, iar răspunsul pe măsura dimensiunii lui e unul structural. Apărările parțiale care chiar ajută sunt adunate într-un singur loc, ca să rămână la zi: Ce poți face pentru acțiuni și Instrumente & site-uri pentru instrumentele concrete. Iar ca să vezi ce dezvăluie browserul tău chiar acum, demo-ul Tracking & Targeting îți arată pe loc.

Cum știm — cifrele RTB, deciziile privind RGPD și ce e controversat în cazul Cambridge Analytica

Cifrele zilnice de 376 (UE) și 747 (SUA) provin din analiza ICCL a datelor industriei despre cât de des e transmis în licitațiile RTB profilul unui utilizator obișnuit. Ele măsoară frecvența transmisiilor, nu un abuz dovedit — dar ideea rămâne valabilă: fiecare ofertant care primește o transmisie poate păstra o copie, fie că câștigă, fie că nu, așa că datele se răspândesc mult dincolo de orice tranzacție individuală.

Situația juridică. Autoritatea belgiană pentru protecția datelor a constatat că Transparency and Consent Framework al IAB Europe — stratul de consimțământ pe care se sprijină o mare parte din RTB — încalcă RGPD (Decizia 21/2022). La trimiterea preliminară, Curtea de Justiție a UE (cauza C-604/22, 2024) a confirmat părți esențiale ale acestui raționament, inclusiv faptul că un „TC String” poate constitui date cu caracter personal. Sistemul funcționează totuși în continuare, cât timp cadrul e refăcut.

Cambridge Analytica — ținem linia la ce e dovedit. Confirmat: colectarea a până la 87 de milioane de profiluri, transferul lor către Cambridge Analytica și folosirea lor de către aceasta în munca sa politică din SUA, precum și slăbiciunea regulilor în vigoare atunci. Controversat: dacă țintirea a schimbat rezultatele alegerilor — politologii sunt sceptici că micro-targeting-ul are puterea decisivă de convingere care i se atribuie adesea. Infirmat: afirmația răspândită că Cambridge Analytica a înclinat balanța la Brexit — investigația ICO din Regatul Unit a constatat că datele colectate despre alegători americani nu ar fi putut fi folosite în referendum. Ținem intenționat aceste trei categorii separate.

Surse

Irish Council for Civil Liberties (ICCL) — raport despre sistemul RTB al IAB (2022); cifrele zilnice de 376/747.
Decizia 21/2022 a autorității belgiene pentru protecția datelor privind TCF al IAB Europe — Belgian Data Protection Authority.
Curtea de Justiție a Uniunii Europene (7 martie 2024), IAB Europe, cauza C-604/22 — un „TC String” e dată cu caracter personal, iar IAB Europe e operator asociat.
Kristol, D.M. (2001), HTTP Cookies: Standards, Privacy, and Politics, ACM Transactions on Internet Technology 1(2), 151–198 (versiune deschisă: arXiv:cs/0105018) — cookie-urile terțe și rețelele de publicitate ale căror profiluri depindeau de ele; înființarea DoubleClick în ianuarie 1996 (nota de subsol 21).
DoubleClick Inc. (13 martie 2001), Form 10-K for the fiscal year ended December 31, 2000, US Securities and Exchange Commission — înființată pe 23 ianuarie 1996; fuziunea cu Abacus Direct pe 23 noiembrie 1999; FTC „și-a închis ancheta … fără să recomande alte măsuri” în ianuarie 2001.
US Federal Trade Commission, Bureau of Consumer Protection (22 ianuarie 2001), staff letter closing the investigation of DoubleClick — personalul FTC a constatat că DoubleClick „nu a combinat datele de identificare personală de la Abacus Direct cu datele de navigare (clickstream)” și a închis dosarul, pas care „nu trebuie interpretat ca o constatare că nu s-ar fi putut produce o încălcare”.
Angwin, J. (21 octombrie 2016), Google Has Quietly Dropped Ban on Personally Identifiable Web Tracking, ProPublica — protestele din 1999 față de DoubleClick și Abacus; evidențele de navigare ale DoubleClick, păstrate „implicit separat de nume” până când Google și-a schimbat politica de confidențialitate în 2016.
Google (13 aprilie 2007), Google to Acquire DoubleClick, comunicat de presă depus la SEC (3,1 miliarde de dolari în numerar), și (11 martie 2008), Google Closes DoubleClick Acquisition, blogul Inside AdWords.
Wojcicki, S. (11 martie 2009), Making ads more interesting, Official Google Blog — lansarea publicității „bazate pe interese”, care asociază „categorii de interese … cu browserul tău”.
Zuboff, S. (2019), The Age of Surveillance Capitalism, PublicAffairs.
Wachter & Mittelstadt (2019), A Right to Reasonable Inferences, Columbia Business Law Review.
Facebook (4 aprilie 2018), An Update on Our Plans to Restrict Data Access on Facebook — declarația că datele a până la 87 de milioane de oameni ar fi putut fi transmise către Cambridge Analytica.
US Federal Trade Commission (decembrie 2019), FTC Issues Opinion and Order Against Cambridge Analytica.
US Federal Trade Commission (24 iulie 2019), FTC Imposes $5 Billion Penalty and Sweeping New Privacy Restrictions on Facebook.
UK Information Commissioner's Office (ICO) (2 octombrie 2020), scrisoarea către Comisia DCMS care încheie investigația Cambridge Analytica — nu a fost implicată în referendumul privind UE; datele de pe Facebook priveau alegători din SUA; folosirea lor în alegerile prezidențiale din SUA din 2016 e suspectată, nu stabilită (Anexa 2, paragrafele 18 și 30).
UK Information Commissioner's Office (ICO) (19 decembrie 2024), Our response to Google's policy change on fingerprinting.
Chavez, A. (22 iulie 2024), A new path for Privacy Sandbox on the web, Google Privacy Sandbox.
Kalla, J.L. & Broockman, D.E. (2018), The Minimal Persuasive Effects of Campaign Contact in General Elections: Evidence from 49 Field Experiments, American Political Science Review 112(1).
Wang, J., Zhang, W. & Yuan, S. (2017), Display Advertising with Real-Time Bidding (RTB) and Behavioural Targeting, Foundations and Trends in Information Retrieval 11(4–5), 297–435 (versiune deschisă: arXiv:1610.03013) — de la vizitarea paginii la reclama câștigătoare, „de obicei în cel mult 100 ms”.
Comisia pentru comerț, știință și transporturi și Comisia pentru justiție ale Senatului SUA (10 aprilie 2018), Facebook, Social Media Privacy, and the Use and Abuse of Data, audiere comună, S. Hrg. 115-683 — mărturia lui Mark Zuckerberg despre aplicația-chestionar a lui Aleksandr Kogan și despre datele ajunse de acolo la Cambridge Analytica.
UK Information Commissioner's Office (6 noiembrie 2018), Investigation into the use of data analytics in political campaigns: A report to Parliament — amenda de 500.000 de lire sterline aplicată companiei Facebook (25 octombrie 2018), „cea mai mare permisă de DPA1998”.