Veilig webwinkelen

P3P moet privacy van klanten beschermen

Met de explosieve toename van b2c-websites (business to consumer) groeit ook het belang van de bescherming van gebruikersgegevens. Bieden b2c-sites hun klanten voldoende privacy? Verliezen ze klanten omdat ze niet voldoende vertrouwelijkheid kunnen garanderen? Hoe voorkomt een organisatie dat sites van derden binnen haar site klanteninformatie voor eigen doeleinden gebruiken? Het gebruik van de opkomende standaard voor internetprivacybeleid P3P kan hierbij helpen.

KLM.com "Met miljoenen transacties per maand via KLM.com heeft het vertrouwen van de klant altijd de hoogste prioriteit gehad", vertelt Kees Wijnstra, informatiemanager bij KLM Distribution & E-Commerce. Om het vertrouwen van de klanten te waarborgen is besloten P3P te implementeren. Samen met de KLM CIO office is een project gestart om, in samenwerking met de verschillende afdelingen, het P3P-beleid te ontwerpen en te implementeren. Aangezien KLM.com een van de eerste in de vliegtuigindustrie is die P3P implementeert, moest het ontwerp vanaf nul gemaakt worden. Als basis is een algemeen privacybeleid voor de hele website gebruikt, dat later valt aan te passen voor bepaalde gedeeltes. Het beleid wordt automatisch in alle talen vertaald. Verder is een 'compact policy' geïmplementeerd. Daardoor kan KLM.com-functionaliteit in sites van derden geplaatst worden. Om te garanderen dat de commerciële afdelingen zich houden aan het privacybeleid zijn in elke afdeling privacy-coördinatoren benoemd, met centrale aansturing vanuit de KLM Security office.

Een internetprivacybeleid specificeert welke gegevens van een gebruiker een bedrijf registreert (in cookies) en hoe het die data verder kan gebruiken voor bepaalde doeleinden. Het kan hier om persoonlijke gegevens gaan. Het privacybeleid kan ook financiële en medische informatie noemen als de site dergelijke gegevens registreert. Het beleid moet dan aangeven of die data ook voor marketing-, financiële- of andere doeleinden gebruikt wordt.

Vertrouwen

P3P (Platform for Privacy Preferences Project) is ontwikkeld door W3C (World Wide Web Consortium). Het is sinds begin 2002 een aanbeveling en een industriestandaard om privacybeleid in een voor de computer leesbaar formaat aan te bieden. Gebruikers kunnen op deze manier gemakkelijk en 'automatisch' meer controle krijgen over het gebruik van hun persoonlijke informatie op bezochte websites.
De introductie van een standaard voor internetprivacybeleid als P3P vergroot het vertrouwen van gebruikers en stelt hen in staat om te anticiperen op het privacybeleid van een website. Sinds de invoering van P3P ondersteunen bedrijven als Walmart, General Motors, Ford, IBM, Microsoft, KLM en Philips deze standaard. Van de top-20 Nederlandse bedrijven in de AEX bieden maar twee sites deze privacybescherming aan. De verwachting is dat binnen twee jaar het gebruik van P3P voor internetprivacy door het merendeel van bedrijven geaccepteerd en geïmplementeerd zal zijn.

Overal te vinden

Sinds grote bedrijven internet en hun websites hebben geaccepteerd als middel om zaken te doen wordt steeds meer gebruikersinformatie geregistreerd en opgeslagen. Dit kan eenvoudige informatie zijn als naam en telefoonnummer. Ook financiële en medische informatie is echter via websites op te vragen en zonder medeweten van de klant voor heel andere doeleinden te gebruiken dan oorspronkelijk de bedoeling was. Deze gegevens kunnen bijvoorbeeld geanalyseerd worden voor statistische doeleinden, zoals 'hoeveel American Express- en hoeveel Visa-creditcardhouders bezochten de site'. Er kunnen ook minder wenselijke zaken gedaan worden, zoals het automatisch toevoegen van een mailadres aan een distributielijst en het doorgeven of doorverkopen van informatie aan derde partijen die ongecontroleerd lijsten bijhouden van mensen met bepaalde voorkeuren.
Doorgaans hebben websites een privacyverklaring die beschrijft wat wel en niet met persoonlijke data kan gebeuren. Meestal staat de verwijzing ergens op de homepage en heeft de hedendaagse gebruiker er nauwelijks aandacht voor, vooral niet als hij al door meerdere pagina's geloodst is om iets te kopen. Dan moet hij weer terug naar de homepage om de privacyverklaring te vinden.
P3P-internetprivacybeleid biedt de gebruiker de mogelijkheid om, onafhankelijk van waar hij zich op de website bevindt, het privacybeleid van die site te lezen. Ook kunnen er meerdere specifieke versies van het privacybeleid bestaan voor bepaalde delen van de website. Het algemene beleid, voor alleen het bekijken van de website, waarbij geen of weinig gegevens geregistreerd worden, kan anders zijn dan het beleid voor het sitedeel waar de klant artikelen koopt, omdat daar bijvoorbeeld ook financiële informatie geregistreerd wordt.
De laatste generatie internetbrowsers ondersteunt P3P (ingebouwd in het menu). Het voorkomt dat websites van derden persoonlijke informatie opslaat als die geen of geen goed privacybeleid heeft.

Twee componenten

De geavanceerdere en kritischere gebruikers hebben nog een extra mogelijkheid om de privacy-instellingen van sites automatisch te vergelijken met hun voorkeuren. Hier is wel een uitbreiding (add-on) nodig als 'AT&T Privacy Bird'. De gebruiker kan daar instellen welke informatie (adres, financiële, medische enzovoort) hij wil delen en welke niet. Als deze gebruiker een bepaalde website bezoekt, vergelijkt de uitbreiding automatisch de gebruikersvoorkeuren met de website. Vervolgens genereert de uitbreiding een lijst van gegevens die niet overeenkomen met de instellingen van de gebruiker en vraagt hij of de website die data mag opslaan.
Een P3P-implementatie bestaat uit twee componenten. Het eerste component omvat het privacybeleid of de diverse versies daarvan en referenties die het beleid van de site beschrijven. Organisaties hoeven niet voor elke taal een apart beleidsbestand te schrijven, omdat de browser deze beleidsbestanden automatisch vertaalt naar zijn lokale taal.
Het tweede component bestaat uit een 'compact policy'. Deze zorgt ervoor dat het beleid van sites van derden (zoals de autoverhuurbedrijfsite in de reisbureausite) doorgegeven wordt aan de gebruiker. Hij zorgt ook voor de automatische privacybescherming zoals 'add-ons' die aanbieden.

Veranderingsproces

Hoewel het opzetten van een privacybeleid voor een website uit een technisch deel bestaat, is het overgrote deel van de implementatie bedrijfsgericht. De invulling van het privacybeleid moeten nauw worden afgestemd met de verschillende afdelingen waarvan het beleid de activiteiten raakt en, belangrijker nog, met de juridische- en de beveiligingsafdeling. Ook moeten de verschillende afdelingen goed begrijpen wat de diverse privacybeleidsversies betekenen en wat voor gevolgen het heeft als ze nieuwe aspecten in hun beleid wil implementeren voor gebruikers en vice versa. Er moet dus een goed ondersteunings- en veranderingsproces worden opgezet.
Een cruciaal technisch aspect is het samengaan van het privacybeleid en de diverse toepassingen. Zodra over de invulling besloten is, moet de organisatie het privacybeleid goed met de verschillende applicaties testen om ongewenste afhankelijkheden en prestatieproblemen binnen toepassingen te vermijden.
Het P3P-privacybeleid is al deel van de laatste generatie webbrowsers. Het is voor een groot aantal gebruikers al toegankelijk. Nieuwere versies van browsers zullen nog kritischer worden ten opzichte van websites die P3P-privacybeleid niet ondersteunen door explicietere waarschuwingen. Bovendien zullen ze de huidige 'add-ons' beter integreren.

Strengere controle

Een algemene privacyverklaring op de website zal niet meer afdoende zijn en de gebruiker niet langer genoeg vertrouwen geven. De differentiatie van de privacybeleidsversies binnen websites zal belangrijker worden en organisatorisch ondersteund worden.

 
Michael Widjaja, senior manager GACT Groep Accenture Nederland (Global Architecture and Core Technologies)