Meta lijkt zijn AI-systemen ook op data van Europese gebruikers te gaan trainen. Dat meldde Tweakers enige tijd terug. Het bedrijf beroept zich daarbij – natuurlijk – op de AVG-grondslag van gerechtvaardigd belang. De AP vindt dat dat niet mag, haar Europese collega’s van wel (in principe). Hoe zit dat nu?
In het nieuwe privacybeleid van Meta wordt op diverse plekken verwezen naar de mogelijkheid om AI te trainen op gebruikerscontent. Dat gaf vele gefronste wenkbrauwen, onder meer omdat Meta hier geen toestemming voor vraagt maar alleen een opt-out aanbiedt.
Juridisch klopt dat: Meta beroept zich op de AVG-grondslag van gerechtvaardigd belang, en daarbij hoef je nou net geen toestemming te vragen. Wel moet je dan een recht van bezwaar gunnen (art. 21 AVG). Een betrokkene moet dan “met zijn specifieke situatie verband houdende redenen” aandragen, die evalueer je en dan besluit je of je wellicht de verwerking beter kan staken.
Nee, dat is geen echte opt-out. Die bestaat eigenlijk alleen bij verwerking voor marketingdoeleinden (art. 21 lid 2), en dit kennen we als het schuifje bij tracking en cookies. Meta heeft dus formeel de juiste keuze gemaakt binnen haar proces, want wat zij doet is geen verwerking voor direct marketing.
Maar mag dat überhaupt, deze grondslag inroepen voor het gebruiken van persoonsgegevens om een AI mee te trainen? Nee, aldus onze eigen AP: dat is een “zuiver commercieel belang”, geen “belang waarvan we in de maatschappij vinden dat het door het recht beschermd moet worden.” Vaste lezers weten dat ik dit onzin vind: ondernemen is een grondrecht en dus een rechtens beschermd belang.
Wat niet betekent dat het dus mág, want bij gerechtvaardigd belang hoort een afweging. Zo zien de Europese toezichthouders (verenigd in de EDPB) het ook: in principe moet dit kunnen, maar je moet wel een goede belangenafweging hebben, zo vat ik het maar even samen. Daarbij weegt zwaar wat mensen redelijkerwijs mochten verwachten. Gezien de ophef bij Meta kun je daar dus wel vraagtekens bij stellen.
(Voor de fijnproevers, ik zou wel eens een analyse willen zien waarom hergebruik voor statistische doeleinden via doelbinding art. 5(1)(b) jo. 89 AVG niet opgaat. Ik snap dat dit bij scrapen van andermans website niet kan, maar het is Meta haar eigen eerste kkverwerking.)
Arnoud
Over “hergebruik voor statistische doeleinden” statistische gegevens zou zijn hoeveel berichten worden geplaatst op maandag ochtend negen uur en dergelijken. Meta wil niet info over hoeveelheid of bijv. lengte van berichten / comments Meta wil de inhoud van die berichten om AI mee te trainen.
Wat mij betreft is de inhoud geen statisch gegeven over een bericht.
Maar er staat niet “verwerken met het oog statistieken op de brondata te verkrijgen”, er staat verwerken “met het oog op statistische doeleinden”. Ik vind dat significant breder. Een taalmodel is een enorme berg statistische gegevens over die berichten. Grof gezegd dat na “ik” heel vaak “ben” komt en in de context van chats daarna heel vaak “er” of “onderweg”.
@Arnoud: ik ben geen specialist op dit terrein, maar wel eentje die geniet van lekkere maaltijden. Daarom bij deze mijn voorgerecht.
Als ik goed geïnformeerd ben dan werkt Facebook er naar toe dat zij alle netwerken, welke op Facebook herkenbaar zijn, te beschouwen als haar jachtterrein (eigendom) om in beeld te brengen hoe de onderlinge verhoudingen liggen tussen alle mensen en organisaties daarop voorkomend.
Dus een kleindochter/zoon op Facebook communiceert over haar/zijn oma en opa (niet op Facebook) en noemt ze bij naam, hun woonplaats (want ze logeren daar) en plaatst ook een leuke foto van allen erbij. Door de GPS-lokalisering van de slimme telefoon (standaard geactiveerd) is ’toevallig’ het thuisadres van oma/opa op 20 cm. precies bekend. En dan koppelt Facebook dat nog even aan de internet datasets, laten een genAI los ‘et voilà’ wat weten zij opeens veel van oma/opa, niet Facebook gebruikers zijnde. Bronnen daarnaast: kadaster, abonnementenregisters, creditcardbestedingen enz. enz.
Facebook verwerkt haar gegevens zelf (zegt ze), maar opereert niet anders dan TikTok en verkrijgt data van mensen, die dat absoluut niet wensen en zonder toestemming. Het inroepen van het gerechtvaardigd belang is dan m.i. een bewuste farce en zelfs als Facebook een ‘opt-out’ functie standaard zou inbouwen, dan nog is dat een cynische ‘keuze’, want alle multinationals/grootbedrijven plaatsen het schuifje, maar dan wel bij alle 700+ … 3den partners (cynisch bedoeld), welke ook nog eens een laagje dieper verborgen wordt. U zal ook al die schuifjes met 15 minuten bewerkingstijd doorakkeren!?
, schrijf je. Ik ga misschien nu heel erg ver, maar als ik het volgende citaat uit Wikipedia opvoer: (laatste bewerking 31.10.2023 – 12:06 uur); dan interpreteer ik dat niet als een vrijbrief voor bijvoorbeeld genocide. Zou niet overeenstemmend een beperking moeten bestaan voor het ondernemen?Ik acht het ‘ondernemen‘ door de grote machten in én rondom het sociaal economisch leven van mensen en dan met name de manipulatie van hen een misbruik van grondrechten. In mei 2023 is Winn Schwartau (je kan hem sinds 1983 als de goeroe zien van begrippen als Cyber- en Metawar) in Nederland op een ‘fact finding mission’ geweest. Hem citerend: “… Big Tech is enticing people for the sake of profit making” en hij vervolgt met: “So, Big Tech is not concerned with people and people’s privacy. They use more versed network (2.0/3.0) technologies creating surveillance capitalism.” Winn Schwartau spreekt dan ook over gedragsbeïnvloeding door ‘reality distortion’ en al in 1991 getuigde hij voor de senaat van de Verenigde Staten onder andere over massale identiteitsdiefstal. Als het mij toegestaan is; voor de geïnteresseerde, zie het interview in InformatieBeveiliging magazine, jaargang 23-2023, editie 6.
En koppel aan het voorgaande de uitspraak van Bernie Sanders in de avondshow van Arjen Lubach (2023): “… have a dislike for unregulated capitalism”.
Misbruik gaat wetgeving vóóraf. Dat zie ik ook bij Facebook.
Sorry, Arnoud … het is meer het hoofdmenu geworden dan een voorgerecht.
Waar bij mij de moeite zit is dat de opt-out alleen werkt voordat de data gebruikt is om de AI te trainen. En dat als de AI eenmaal getraind is het zo ongeveer onmogelijk is om je persoonsgegevens eruit te krijgen.
We zien nu bij Google dat op zeer specifieke vragen de AI antwoorden geeft die wel redelijk te herleiden waren tot bijvoorbeeld Reddit-posts en dus ook tot de personen daar achter. De angst dat de Meta-AI straks antwoorden gaat geven die te herleiden zijn tot heel specifieke personen is dermate billijk en redelijk dat ik niet in zie hoe een proportionaliteitstoets dit meegenomen kan hebben en dan alsnog tot de conclusie komen dat het gerechtvaardigd belang overeind blijft.
En ja, ik heb een mening over de manier waarop Meta de afgelopen 6 jaar heeft geprobeerd om de AVG te omzeilen, op basis van dat gedrag snap ik heel goed dat noyb hier aan de bel trekt. “Move fast and break stuff” werkt niet als het over personen (of de democratie, maar dat is een ander verhaal) gaat.
Ik zou wel eens een daadkrachtiger standpunt van de toezichthouders willen zien, bijvoorbeeld door maar eens gebruik te maken van de bevoegdheid om een verwerkingsverbod af te kondigen. Laat Meta dat maar eens aanvechten door volledige transparantie te geven.
In een recente case van de Belgische Gegevensbeschermingsautoriteit (beslissing 46/2024) beargumenteerde een bank ook dat het statistische doeleinden nastreefde. De GBA ging hiermee niet akkoord:
Oh wauw, het “zuiver commercieel doel” van de AP is ook in zwang bij de zuiderburen, dank je wel. Ik heb een tikje moeite met de redenering omdat in de wet staat “wetenschappelijk, historisch of statistisch” en men hier statistisch verbindt met wetenschappelijk. Als ik statistische analyse doe op mijn klantenbestand en daaruit leer dat ik in Groningen te weinig acquisitie doe, lijkt mij dat toch een legitiem statistisch doel?
Is dit niet een kwestie van “er moest een keuze gemaakt worden” omdat het praktsich onmogelijk is om in een wet goed op te schrijven precies welk commercieel doel wel, en welk commercieel doel niet mag? Kijken waar je klanten wonen om te zien waar je meer of minder moet adverteren of waar je een vestiging moet openen is dan wellicht toegestaan als zuiver commercieel doel, maar het verkopen van al je klantgegevens aan elk bedrijf die ze wil kopen om mensen reclame te sturen is alhoewel ook zuiver commercieel dan niet toegestaan.
Dat de AP dan zegt “Er moet een doel zijn dat ook maatschappelijk nuttig is of de klant helpt” en “enkel en alleen pure winstmaximalisatie zonder dat de klant daar enig voordeel bij heeft is geen toegestaan doel” is dan niet zo’n rare afweging.
Tsja. Ik denk dat je er gewoon niet uitkomt met boude statements, want dat is hoe dit allemaal begin – Aleid Wolfsen riep tegen de pers dat “zuiver commercieel gebruik” verboden is, en daar moest vervolgens een juridisch kader van gemaakt worden.
Fundamenteel klopt het niet. We zeggen ook niet dat gebruik van persoonsgegevens áltijd mag als het de vrije pers is, of dat de werkgever alléén mag wat absoluut nodig is voor het werk. Zo’n grond is de start van de discussie, daarna gaat het eigenlijk altijd over een afweging van belangen.
En dat is volgens mij waar de AVG voor gemaakt is, een kader om de juiste belangen te kunnen vinden zodat je weet wat de kaders en jurisprudentie zijn, en daarna de discussie ingekaderd voeren.
Ik snap wel dat voor veel mensen zo’n belangenafweging-redenatie een doorn in het oog is, want in de praktijk komt dat neer op “we doen gewoon wat we willen en als je het er niet mee eens bent, start maar een rechtzaak” en dan krijg je effectief het recht van de rijkste.