Vanaf 25 mei 2018 zullen bedrijven zich moeten gaan houden aan de algemene verordening gegevensbescherming (AVG), een wet die drastisch zal veranderen hoe bedrijven met de data van Europeanen om moeten gaan. Wat betekent deze wet voor Europeanen? Wat betekent het voor bedrijven? En wat betekent deze wet voor de (data-)economie? Dit artikel zal deze niet zo eenvoudige vragen pogen te beantwoorden.

Wat betekent de AVG voor jou?

De AVG (GDPR in het Engels) is er met name om Europese gebruikers van al wat data verzamelt meer macht te geven en techgiganten minder. Gebruikers krijgen dus meer rechten. Zo krijgen ze:

• het recht op vergetelheid. Dit houdt in dat al jouw data van een platform verwijderd moet worden als jij erom vraagt.  Niet alleen bij de organisatie die jouw data verzameld heeft, maar ook bij alle organisaties aan welke deze is doorverkocht.
• Het recht om informatie op te vragen: iedere organisatie zal in een standaardformaat jouw data aan je uit moeten keren.

Wat verandert er voor bedrijven?

Behalve dat bedrijven de eerder genoemde verplichtingen naar gebruikers moeten nakomen, moeten ze ook echt kunnen aantonen dat ze dit doen. Dit is niet zo eenvoudig. Het betekent dat een bedrijf van ieder beetje data moet bijhouden van welke gebruiker het afkomstig is en op welke plekken in het bedrijf het zich bevindt. Dit zal een nieuwe grote kostenpost vormen voor bedrijven.

Als het al lukt…

Want dat is nog maar de vraag. Veel bedrijven gebruiken machine learning methoden voor het verwerken van gebruikersdata. Machine learning methoden werken als een soort black-box. Het is hierbij niet mogelijk om te verklaren waarom een model de uitkomsten geeft die het geeft. Het is dus ook zeer lastig om uitspraken te doen over de impact van de data van één gebruiker met betrekking tot het totale model. Daarom is het ook onmogelijk om de impact van een data entry uit het algoritme te halen.

Bijvoorbeeld

Stel ik verwijder mijn Facebook account. Dan zou ik Facebook in de toekomst dus moeten kunnen vragen mijn data te verwijderen. Dat zou ook betekenen dat ze mijn data niet meer mogen gebruiken om te bepalen welke reclames goed zijn voor anderen met een soortgelijk profiel (22-jarige econometristen van VESTING). Dit is niet mogelijk: mijn likes, clicks en views hebben Facebook’s algoritmes al gekalibreerd. Deze tweaks aan het algoritme hebben vervolgens weer gezorgd voor andere reclames bij anderen, die op hun beurt ook weer feedback opleveren voor het algoritme. Mijn data zorgt voor feedback voor het algoritme, waarmee het groeit. Vragen om het effect van mijn data weg te halen, zou zijn als het vragen om het effect van een gegeten stuk fruit uit iemands lichaam weg te halen. De effecten van het fruit zijn marginaal, toch zeker aanwezig, maar praktisch onomkeerbaar.

De AVG-Blockchain paradox

Blockchaintechnologie heeft veel belofte voor de toekomst. Helaas voor de blockchainstartups, lijkt de technologie op het eerste gezicht incompatibel met de AVG. Blockchaindata is namelijk niet te verwijderen uit het register. Een gebruiker zou dus nooit zijn betaalgegevens terug kunnen krijgen of kunnen laten verwijderen. Vanuit het perspectief wat blockchainenthousiasten aanhangen, lijkt de eigenschap van het niet kunnen verwijderen een voordeel. Niets of niemand kan namelijk jouw data wijzigen. Vanuit het privacy-georiënteerde perspectief van EU-ambtenaren, is dit echter een groot nadeel. Sommige blockchainkenners denken dat het weggooien van de encryptiesleutel voldoende zal zijn, zodat de data nog wel in het register staat, maar niet meer toegankelijk is. Andere beweren dat de data écht verwijderd dient te worden. Het AVG-publicatieblad biedt hier weinig duidelijkheid in. De vraag rest hoe de talloze blockchain startups hier na 25 mei mee om zullen gaan.

Gevolgen voor de (data-)economie in Europa

Jack Ma, miljardair en CEO van Alibaba Group, deed eerder uitspraken over de technologiesector in Europa. In een interview met Justin Trudeau beantwoordde hij zijn eigen vraag waarom er geen internetbedrijven in Europa zijn: ‘They worry too much.’ Hij vervolgde zijn speech met een impersonatie van de typische Europeaan: “Ohh privacy, Ohh, security!” Volgens Ma maken Europeanen zich dus te druk over privacy om een groot internetbedrijf op te kunnen zetten.
[youtube https://www.youtube.com/watch?v=tcDq6rnB0qo?start=27]
Er dient er dus eerst een groot bedrijf gebouwd te worden, om vervolgens in toenemende mate te voldoen aan de uitdagingen van privacy, aldus Ma. Feit is alleen, dat Europa inderdaad al mijlenver achter ligt op internetgebied en er wellicht een nieuwe strategie gevonden moet worden.
In dat opzicht geeft deze nieuwe wetgeving juist hoop voor Europa. Door de regels van het speelveld te veranderen ontstaat er ineens een markt zonder koploper; de markt voor social media die aan deze strikte wetgeving voldoen. Het zou zomaar kunnen blijken dat de systemen van Facebook of andere social media zo gebouwd zijn dat het zeer lastig voor hen is om te voldoen aan de Europese regelgeving, wat opstartproblemen en miljardenboetes tot gevolg kan hebben. Dat alles terwijl (nieuwe) Europese bedrijven, die de Europese privacy wens kennen en in hun cultuur hebben zitten, met nieuwe technologie juist wel goed zouden kunnen gedijen in deze nieuwe markt.
Dit zou niet de eerste keer zijn dat bedrijven marktaandeel en grote winst behalen doordat hun land de markt aanpast. Zo werd rond 1980 in Denemarken het produceren van windenergie rendabel gemaakt door stimulering vanuit de overheid. Denemarken was hier vroeg mee en dit heeft ervoor gezorgd dat Deense bedrijven 20 jaar later in totaal 38% van de wereldwijde windturbinemarkt in handen hadden.
Het idee lijkt duidelijk: zoek een markt waarvan je weet dat die er ook in andere landen gaat komen en creëer hem alvast in eigen land. Dan heb je grote kans om koploper te worden. Het is namelijk niet onwaarschijnlijk dat andere landen ook privacy-sceptisch zullen worden. Of de Deense windturbinestrategie ook voor de data-economie opgaat, zal nog moeten blijken. Maar, mocht het niet zo zijn, dan hebben Europeanen in ieder geval meer privacy in de toekomst.

Conclusie

De nieuwe privacy wetgeving gaat veel verandering brengen. Gebruikers gaan erop vooruit. Bedrijven gaan moeite krijgen met de implementatie. Maar op de lange termijn zou het best eens gunstige neveneffecten kunnen hebben voor de Europese technologie sector. Zeker is in ieder geval dat dit verstrekkende gevolgen gaat hebben voor iedereen die met data moet werken, econometristen dus ook.

Bronnen:

• https://www.welivesecurity.com/2017/11/13/transparency-machine-learning-algorithms/
• https://medium.com/wearetheledger/the-blockchain-gdpr-paradox-fc51e663d047
• http://www.griequity.com/resources/industryandissues/Energy/Wind%20Energy%20DevelopmentsIncentives%20in%20Selected%20Countries.htm
• https://en.wikipedia.org/wiki/Wind_power_in_Denmark

Dit artikel is geschreven door Tim van Schaick