Profiling jakkes

De rode bloemkool* in je hoofd geactiveerd?!

*Uit: Remco Claassen's Verbaal Meesterschap

Een rode bloemkool staat symbool voor woede die ontembaar van binnen komt opzetten. Je wilt wel rustig zijn, maar het lukt niet. Je wilt discussiëren, maar het wordt eenrichtingsverkeer. Hier enkele dingen in het maatschappelijke verkeer die raken aan Identiteit en privacy en die je zooooooow kwaaaaaaad kunnen maken.... De vraag is of je dan nog redelijk bent.... Ik neem zelf de proef op de som. Oordeel zelf of ik nog kan argumenteren terwijl het stoom uit mijn oren komt (maar dat zie je in een blog gelukkig niet).

Verzekeringen geven korting

Maarten Wegdam brengt nuance in vermeende ongenuanceerd benadering van Verzekeringen die aan vergaande profiling (met IoT) willen gaan doen. Goed stuk, vind ik.

Graag wil ik toch wat kanttekeningen plaatsen bij het stuk van Wegdam. Hij schrijft "Het gaat primair om gebruikersacceptatie, niet om wetgeving. Iets wat juridisch mag maar mensen creepy vinden gaat mislukken! Gebruikersacceptatie vereist transparantie, echte consent en een win-win waarbij ook de consument een duidelijk voordeel ziet." Opmerking 1: Ik vrees dat met het bewerken van de mens met marketing technieken gebruikersacceptatie gekocht gaat worden.

Alles te koop is te cynisch?

Voorbeeld uit een ander segment, de makelaardij, waarbij in gebruikersacceptatie wordt geinvesteerd. Waarbij wat krom is, recht wordt gemaakt op een reversed Uri-Geller-achtige wijze:

Jaar na jaar, elke dinsdag op één of meer Nederlandse TV zenders demonstreren entertainment programma's hoe men een huis koopt. Na zo'n vasthoudend bombardement (je moet wel blijven kijken :-) ), geloof je het meest idiote scenario uiteindelijk zelf ook. Dat gaat zo:

Er worden je drie huizen voor gelegd, je kiest er één, laat de quizmaster een biedprijs roepen die bij je past, en hij/zij gaat voor je onderhandelen met de andere partij en dan kom je qua prijs op het midden uit. Champagne!!... Zo koopt men dus een huis; de belangrijkste aankoop in een mensenleven!

Een dergelijke truc kan de Verzekeringswereld ook wel bedenken. De lobby'ers en reclamemensen lopen zich al warm.

Gebruikersacceptatie is een rekbaar, kneedbaar en koopbaar begrip, zeker als je een lange adem hebt. En dat hebben verzekeraars met deze belangen van prijsdifferentiatie en bewijslast omkering. Want wie garandeert ons dat zij de gegevens niet gebruiken buiten het doel van de verzameling om?! Als ik een claim indien, word ik eerst om de oren geslagen met de "feiten" die bekend zijn. Of vinden we dat niet netjes. Wacht maar, straks vinden we dat ook kunnen. Nog 10 jaar op klanten inwerken en we zijn als was in hun handen.

Maarten Wegdam is dus goed geloviger dan ik als hij schrijft: "En er zullen mensen zijn die dit niet willen, en die moeten de reële optie houden te weigeren. Goed gebruik van privacy-enhancing technologies en privacy-by-design, zodat de privacy sensitiviteit gereduceerd wordt." Opmerking 2: Verzekeraars zijn bedrijven met een winstoogmerk. Ze zullen er alles aan doen om beide laatste genoemde zaken te ontmoedigen. De vraag is: willen we een wereld waarin we het normaal gaan vinden dat een verzekeraar mee kijkt met - en gegevens verzameld over veel dingen die je doet? Zo niet, dan moeten we nu "ingrijpen" (whatever that may be), straks zit je op een glijdende schaal.

So far so good, toch?: nog geen stoom uit m'n oren.

Spuit 11 geeft ook modder

In het kielzog van Wegdam's artikel: NOS gooit wat olie op het privacy-vuur met de titel 'Recht op privacy straks alleen voor de rijken'. Ten eerste vind ik het een journalistieke zonde om de titel van het stuk niet te laten matchen met de inhoud omdat het recht op privacy iets fundamenteel anders is dan de prijs van privacy. Ten tweede is het stuk een in elkaar gegooid opiniestuk dat de klok wel heeft horen luiden maar niet weet aan te geven waar de klepel hangt. Boos worden is goed; maar dan vooral op het "vertrouwde" medium NOS dat dit schrijfsel plaatst.

Maar ik me natuurlijk niet kwaad maken op een artikel van een paar maanden geleden....

FearMetrix : The Identity Prejudice Network

Er is altijd baas boven baas. Threatmetrix is zo'n baasje die de stoutste verzekeraar tot schooljongetje degradeert. Kijk dit filmpje van 2 minuten en .... lekker boos worden! Dank je wel, Jaap van PIMN, voor de tip.

De Digital Identity Network is ordinaire ouderwetse profiling. Ouderwets omdat het bekende uitkomsten heeft: vooroordelen en discriminatie van grote groepen mensen. Ordinair omdat het resultaat deurbeleid is: je komt er niet meer in. En wat dacht je van: fouten, fouten en nog eens fouten. Dat is de ervaring met profiling door het koppelen van databases. En toegeven dat er fouten worden gemaakt?: ho maar! Wel krijgt de onschuldige voorbijganger omkering van bewijslast voor zijn/haar kiezen: "Ooh, hebben wij in dit unieke geval een verkeerd besluit genomen op basis van profiling?; toon maar aan!" Ouderwets en ordinair dus. Fraudebestrijding als in 'ik zie aan je ogen dat je gaat jatten en mijn broer vindt dat ook, dus je gaat eruit!'

Big brother is watching you. En waarom kan dat? Omdat ze gegevens hebben die 'de leden van het netwerk' met een ander doel hebben verzameld en vervolgens inzetten in koppelingen en "businessrules". Het is de vraag of je met internationale privacy wetgeving in de hand daar iets tegen kunt doen. Alhoewel omdat PRISM zich ook nergens wat van aan trekt, en die moeten het voorbeeld geven, is dat wel heel ijdele hoop... Ook weer te cynisch?

Een voorbeeldje waar vooroordelen over individuen in gekoppelde business rules mis gaan. De Duitse staat maakt in eind jaren 70 een profiel van een RAF terrorist. Dat luidde ongeveer als volgt "het is een man, betaalt cash en heeft een tweede huis in een binnenstad van een grote Duitse stad." Wie rolden eruit? Politici die een optrekje van een buitenechtelijk vriendinnetje betaalden! :-) In mijn geheugen gegrift, maar ik kon al Googlend geen enkel stuk daarover vinden. Dus voel je vrij om mijn voorbeeld te weerleggen. Maar ik weet nog dat het (broodje Aap?!) verhaal veel indruk op me maakte. Hoe een business rule als een boomerang kan binnen komen.

Lees meer over wikipedia:Profiling_(information_science) en wikipedia:Behavioral_targeting en haar risico's. De winst komt in veel gevallen terecht bij commerciële organisaties. Er is een uitzondering in ons vakgebied! Hoera!: continuous_authentication, daar hebben wij gebruikers ook wat aan!

Hier een uurtje Threatmetrix angst zaaien. Plof je al uit elkaar?

Mooi dat Identity en Access Management ook goede implementaties kan laten zien. Daarover de volgende keer meer.