Standaardrechten: wie krijgt standaard toegang tot jouw data?
Stel je huurt een nieuw appartement. Krijg je bij de sleuteloverdracht automatisch ook een sleutel tot de kelderberging van de buren, tot het dakterras en tot de brievenbus van iedereen in het pand — tenzij je zelf actief zegt dat je dat niet wilt? Of krijg je juist alleen toegang tot je eigen woning, en moet iedereen die meer wil, daar apart en expliciet om vragen? Dat verschil is in de kern waar "standaardrechten" over gaat: welke toegang, welke bevoegdheden en welke gegevens een systeem, een app of een dienst vanzelf krijgt, zonder dat jij daar iets voor hoeft te doen.
In de digitale wereld draait bijna alles om dit soort standaardinstellingen. Een nieuwe app op je telefoon, een nieuw account op een website, een nieuw slim apparaat in huis: ze worden allemaal geleverd met vooraf ingestelde rechten. Mag de app bij je locatie? Wordt je surfgedrag gevolgd tenzij je dat uitzet, of juist niet gevolgd tenzij je dat aanzet? Die keuze — wat de fabrikant of ontwikkelaar als vertrekpunt kiest — blijkt in de praktijk enorm veel invloed te hebben, omdat de meeste mensen nooit iets aan de standaardinstellingen veranderen.
Wat is het precies?
Achter "standaardrechten" gaat een combinatie van techniek en regelgeving schuil. Aan de technische kant gaat het om permissiesystemen: de mechanismen waarmee besturingssystemen als Android en iOS bijhouden welke app bij welke functie van je telefoon mag — de camera, de microfoon, je contactenlijst, je locatie. Elke keer dat een app zo'n functie wil gebruiken, checkt het systeem of die toestemming (permissie) is verleend.
Belangrijk is het onderscheid tussen opt-in en opt-out. Bij opt-in is de standaardsituatie "nee": een functie staat uit totdat de gebruiker actief "ja" zegt. Bij opt-out is het omgekeerd: de functie staat standaard aan, en de gebruiker moet zelf op zoek naar de knop om hem uit te zetten. Onderzoek in de gedragswetenschap laat al decennia zien dat de meeste mensen de standaardoptie aanhouden, simpelweg omdat wijzigen moeite kost of omdat ze niet weten dat de instelling bestaat. Wie de standaardinstelling bepaalt, bepaalt dus in de praktijk het gedrag van een groot deel van de gebruikers.
Aan de juridische kant staat in Europa een concreet principe centraal: privacy by design en by default, vastgelegd in Artikel 25 van de Algemene Verordening Gegevensbescherming (AVG, internationaal bekend als GDPR), die sinds 25 mei 2018 van kracht is. Dit artikel verplicht organisaties om technische en organisatorische maatregelen te nemen zodat standaard — dus zonder dat de gebruiker iets hoeft in te stellen — alleen de persoonsgegevens worden verwerkt die daadwerkelijk noodzakelijk zijn voor het specifieke doel. Een webshop mag bijvoorbeeld niet standaard je adres delen met marketingbureaus; dat moet je zelf aanvinken, niet uitvinken.
Wat wil men ermee bereiken?
Het idee achter standaardrechten die "privacyvriendelijk" zijn, is dat bescherming niet mag afhangen van hoe technisch onderlegd of oplettend een gebruiker toevallig is. Niet iedereen leest een privacyverklaring van twintig pagina's of duikt in de instellingenmenu's van een telefoon. Door de veiligste optie tot standaard te maken, wordt de gemiddelde gebruiker automatisch beter beschermd, ook zonder dat hij er zelf iets voor doet.
Daarnaast is er het doel van échte, geïnformeerde toestemming (informed consent). Toestemming die je geeft omdat je toevallig op "akkoord" klikte bij een venster dat je wilde wegklikken, is juridisch en ethisch iets anders dan toestemming die je bewust en actief geeft nadat je begreep waar je voor koos. Strengere standaardrechten dwingen bedrijven om dat onderscheid serieus te nemen.
Een derde doel is het verkleinen van het zogeheten aanvalsoppervlak in de beveiliging: hoe minder rechten een app of dienst standaard heeft, hoe minder er kan misgaan als die app gehackt wordt of data lekt. Een weerapp die geen toegang heeft tot je microfoon, kan die microfoon ook niet misbruiken als er een kwetsbaarheid in de code zit.
Voorbeelden uit de praktijk
Een aantal concrete veranderingen laat zien hoe standaardrechten in de loop der jaren zijn aangescherpt:
- Android 6.0 "Marshmallow" (2015): Google introduceerde zogeheten runtime permissions. Daarvoor moest je bij het installeren van een app in één keer akkoord gaan met alle permissies tegelijk, of de app helemaal niet installeren. Sindsdien vraagt een app pas om toestemming op het moment dat een specifieke functie — zoals de camera — daadwerkelijk gebruikt wordt, waardoor de keuze concreter en beter te overzien is.
- AVG / GDPR (van kracht sinds 2018): met Artikel 25 werd "privacy by default" voor het eerst een harde, EU-brede juridische verplichting in plaats van een vrijblijvend advies.
- Apple App Tracking Transparency, iOS 14.5 (april 2021): Apple verplichtte apps om expliciet toestemming te vragen voordat ze gebruikers over verschillende apps en websites heen mogen volgen via een unieke advertentie-identifier (IDFA). De standaardinstelling werd "niet volgen", wat grote gevolgen had voor de advertentie-inkomsten van bedrijven als Meta.
- Mozilla Firefox, Enhanced Tracking Protection (sinds 2019): Firefox zette trackingbescherming standaard aan voor alle gebruikers, in plaats van dit als optionele instelling te verstoppen in een menu.
- EU Digital Markets Act, DMA (van kracht sinds 2024): grote platformen die als "poortwachter" (gatekeeper) zijn aangemerkt — waaronder Google, Apple en Meta — moeten gebruikers bij het eerste gebruik een neutraal keuzescherm tonen voor bijvoorbeeld browsers en zoekmachines, in plaats van zelf alvast een standaardkeuze voor te programmeren.
Hoe ver is de techniek?
Standaardrechten zijn geen afgerond project maar een voortdurend proces van bijstellen, testen en soms terugdraaien. De regelgeving is inmiddels behoorlijk stevig verankerd in Europa dankzij de AVG en de DMA, en ook Californië heeft met de California Consumer Privacy Act en de opvolger CPRA vergelijkbare principes ingevoerd. De grote besturingssystemen hebben hun permissiesystemen de afgelopen tien jaar duidelijk verfijnd en verstrengd.
Toch blijven er hardnekkige obstakels. Het bekendste is het probleem van dark patterns: ontwerptrucs waarmee bedrijven gebruikers, ondanks een privacyvriendelijke standaardinstelling, subtiel richting een minder privacyvriendelijke keuze duwen — bijvoorbeeld door de "weiger alles"-knop klein en grijs te maken en de "accepteer alles"-knop groot en gekleurd. Toezichthouders onderzoeken en beboeten dit soort praktijken, maar de handhaving loopt vaak achter op de creativiteit van ontwerpafdelingen.
Een tweede obstakel is permission fatigue (toestemmingsmoeheid): doordat gebruikers voortdurend om toestemming worden gevraagd, klikken velen automatisch "akkoord" weg zonder te lezen. Dat ondermijnt het achterliggende doel van geïnformeerde keuzes, ook als de standaardinstelling zelf goed is bedoeld. Er is geen technische "oplossing" hiervoor in zicht; het blijft een afweging tussen bescherming en gebruiksgemak. Ook grensoverschrijdende handhaving is lastig: een Europese wet raakt moeilijk een bedrijf dat vooral vanuit de Verenigde Staten of Azië opereert, al dwingt de omvang van de Europese markt bedrijven vaak wel tot aanpassingen.
Wie werken eraan?
Aan de technische kant bepalen vooral de grote platformbeheerders de facto de standaardrechten: Google (Android), Apple (iOS/macOS) en Mozilla (Firefox) beslissen rechtstreeks welke instelling gebruikers standaard krijgen. Het World Wide Web Consortium (W3C) werkt aan bredere technische privacystandaarden voor browsers, bijvoorbeeld rond tracking en cookies, al verloopt de invoering daarvan vaak traag omdat browserbouwers het onderling oneens zijn.
Aan de regelgevende kant is de Europese Unie toonaangevend, met de Europese Commissie als opsteller van wetten als de AVG en de DMA. Toezicht op de naleving ligt bij nationale privacytoezichthouders — in Nederland de Autoriteit Persoonsgegevens (AP) — die samenwerken via de European Data Protection Board (EDPB), het orgaan dat zorgt voor consistente uitleg en handhaving van privacyregels binnen de hele EU. Buiten Europa zijn met name Californische wetgevers (met de CCPA/CPRA) en in mindere mate andere Amerikaanse staten actief op dit terrein, al ontbreekt in de VS tot dusver een federale privacywet die vergelijkbaar is met de AVG.