Op zaterdagochtend 9 mei 2018 rent een Nederlander langs een landingsbaan van het vliegveld van de Iraakse stad Erbil. Hij doet het rustig aan. In 29 minuten en 34 seconden legt hij 4,7 kilometer af.

De man, we noemen hem Ton, is een Nederlandse militair die deel uitmaakt van de capacity-building mission in Irak, een missie die bij Erbil is gelegerd. Dit is een van de belangrijkste plekken vanwaaruit sinds 2014 de strijd tegen de terroristische groepering Islamitische Staat (IS) wordt gevoerd.

Het is absoluut niet de bedoeling dat wij weten wie Ton is. Als de identiteit van mensen als Ton uitlekt, legt een woordvoerder van Defensie ons later uit, lopen niet alleen deze personen gevaar, maar ook de gehele operatie én de staatsveiligheid van Nederland. Waarom is het dan zo simpel om Tons persoonlijke gegevens te achterhalen?

Ton gebruikt Polar, een populaire fitness-app van Finse makelij. Een app zoals miljoenen hardlopers en fietsers die gebruiken, om hun snelheid, afstand en calorieverbruik te meten.

Als je je aanmeldt voor deze gratis app, krijg je toegang tot een wereldkaart. Op die kaart kun je een locatie bekijken om bijvoorbeeld te zien welke hardlooprondjes er zijn en wie die hebben gerend. Je kunt ook naar bekenden zoeken en zien waar zij allemaal hebben gesport.

Zo komen we Ton op het spoor. We zoeken op de kaart in de buurt van de Iraakse landingsbaan. Daar vinden we Tons werkelijke naam en achternaam en komen we erachter dat hij een Polarhorloge draagt (de Polar V800).

Door op Tons profiel te klikken en zijn geschiedenis te bekijken, ontdekken wij dat veel van zijn Nederlandse hardlooprondjes beginnen en eindigen bij een huizenblok in een Noord-Nederlands dorpje. Met wat aanvullend gegoogel vinden we Tons volledige adres en de namen en foto’s van zijn vrouw en kinderen.

En Ton is niet de enige. Via Polar achterhalen we de namen en adressen van meer dan 6.000 mensen van 69 verschillende nationaliteiten die op 200 gevoelige locaties sportten. Locaties zoals militaire bases, nucleaire opslagplaatsen, dronevliegvelden en kantoren van inlichtingendiensten.

Dit is echt niet de bedoeling. In veel landen geldt een strikte geheimhouding voor namen van mensen in vergelijkbare functies. In de Verenigde Staten kun je een tienjarige celstraf krijgen als je de identiteit van een geheim agent openbaart. Op de militaire basis van Erbil mogen de Nederlandse militairen elkaar alleen met de voornaam aanspreken.

Wij leren Tons geheime achternaam kennen door ons in te schrijven voor een sportapp.

Privacy staat op de kaart

De afgelopen jaren is er gigantisch veel aandacht voor privacy gekomen. Het staat hoog op de politieke agenda. Boeken over data, hacken en surveillance zijn bestsellers. Onderzoeksjournalistiek over de verzameldrift van overheden en bedrijven krijgt hoge journalistieke onderscheidingen. Documentaires met titels als The Great Hack en The Social Dilemma doen het goed op Netflix.

Dit boek, waarvan je een geactualiseerde editie leest, past in die ontwikkeling. Toen Je hebt wél iets te verbergen in september 2016 verscheen, konden we niet vermoeden dat het zo’n succes zou worden.

De aandacht was overweldigend, van De Wereld Draait Door tot Koffietijd en van NRC en Vrij Nederland tot iedere Belgische kwaliteitskrant. We mochten praten over het boek bij gemeenten, op ministeries, op grote softwareconferenties, bij techbedrijven, op scholen en universiteiten. Er zijn inmiddels meer dan 60.000 exemplaren verkocht.

We zijn onbescheiden genoeg om te stellen dat de kwaliteit van het boek daarbij een rol speelt. Maar we moeten ook eerlijk zijn: het tij zit mee. Was privacy tot voor kort een onderwerp dat maar weinig mensen kon interesseren, sinds een paar jaar is duidelijk dat de datalust van overheden en bedrijven iedereen kan raken. Nu houden niet alleen juristen, journalisten en politici zich met het onderwerp bezig, maar staat privacy bij een groot publiek op de kaart.

In opiniepeilingen geeft een grote meerderheid aan privacy zeer belangrijk te vinden. Van de deelnemers aan een onderzoek onder 27.000 Europese burgers in 2019 had slechts 14 procent het gevoel volledige controle te hebben over zijn persoonlijke data. 62 procent van de ondervraagden maakte zich hierover grote zorgen.

En in een poll uit 2016 onder 24.143 internetgebruikers uit 24 landen gaf 79 procent van de ondervraagden aan zich ongerust te maken over het gebrek aan online privacy. In de jaren daarna − 2018 en 2019 − geven de respondenten aan zich hierover steeds meer zorgen te zijn gaan maken.

We handelen er niet naar

Kijk je naar ons gedrag, dan zie je iets heel anders. Dan geeft 45 procent van de Nederlanders aan bereid te zijn gezondheidsdata af te staan in ruil voor premiekorting. Dan gebruiken we Google en Facebook nog steeds dat het een lieve lust is. Dan verdiepen we ons totaal niet in privacyvoorwaarden en klikken we klakkeloos op ‘ja, ik heb de voorwaarden gelezen’ en ‘ja, ik ga akkoord’. Dan stemmen we gewoon weer op politieke partijen waarvoor privacy het moetje van hun partijprogramma is.

In het dagelijks leven is privacy een waarde die het heel snel van andere waarden verliest. Als we de keuze hebben tussen privacy en gezondheid, tussen privacy en veiligheid of tussen privacy en gemak, dan kiezen de meesten voor het tweede.

Je kunt stellen dat privacy aan dezelfde kwaal lijdt als het klimaat: het baart ons grote zorgen, zeggen we, om vervolgens stilletjes op dezelfde voet verder te gaan en voor de makkelijkste weg te kiezen – zoals we ook in olieslurpende auto’s blijven rijden en het vliegtuig nemen naar onze vakantiebestemming.

Ons onderzoek naar Polar laat zien hoe diep dit zit. Zelfs medewerkers van inlichtingendiensten en militairen – mensen die getraind zijn om met gevoelige data om te gaan – kunnen de verleiding niet weerstaan.

Het probleem blijft onzichtbaar

Dit zien we al zolang we over privacy en surveillance schrijven. Sinds 2013 doen wij dat voor De Correspondent, de jaren daarvoor deden we dat voor andere media. Privacy was nog geen onderwerp voor bestsellers, prijswinnende journalistiek en hitdocumentaires. Je moest als journalist nog het onderste uit de kan halen om je hoofdredacteur ervan te overtuigen dat een verhaal over privacy de moeite waard was.

Zo stuitten we vaak op glazige blikken bij onze bazen. Dat lag aan de tijd − privacy stond nog veel minder op de kaart −, maar ook aan onszelf. We konden het simpelweg niet goed uitleggen. Ja, bedrijven die ons surfgedrag bijhouden zijn griezelig, maar waarom precies? Ja, de risicoprofielen die overheden van ons maken zijn totaal ondoorzichtig, maar die kunnen toch ook heel nuttig zijn? Ja, Google en Facebook kennen ons beter dan onze beste vrienden, maar wat is daar eigenlijk mis mee? Zonder privacy geen democratie, zeiden we, maar hoe zit dat dan? En waarom is ‘ik heb niets te verbergen, dus ook niets te vrezen’ zo’n naïef argument? Wat hebben we dan wél te verbergen?

Een belangrijke reden dat deze vragen zo moeilijk te beantwoorden zijn, is dat we niet zien wat er met onze gegevens gebeurt. We zien niet welke overheden, bedrijven en criminelen op onze data jagen, hoe ze dat doen, waarom ze het doen en wat ze er uiteindelijk mee doen.

Deze onzichtbaarheid verklaart ook onze onverschilligheid. Althans: ons gebrek aan daadkracht. Ze verklaart waarom wij het belang van privacy vooral met de mond belijden. Ze verklaart waarom wij denken niets te verbergen te hebben. Ze verklaart waarom geheim agenten en militairen op missie − mensen die niets minder dan hun identiteit te verbergen hebben − gedachteloos hun app aanzetten als ze een rondje gaan rennen.

We zien het niet en daardoor begrijpen we het niet en daardoor voelen we de urgentie niet.

Privacy zichtbaar maken

Dus toen wij acht jaar geleden bij De Correspondent besloten samen op te trekken in ons journalistieke onderzoek, realiseerden wij ons dat dit de sleutel kon zijn: als wij erin zouden slagen om het onzichtbare zichtbaar te maken, dan konden we het belang van privacy laten zien. Dit boek is het resultaat van die zoektocht.

Goed onderzoek begint bij een scherpe definitie van het onderwerp. Dat is met privacy geen eenvoudige opgave: over de vele vormen en betekenissen van privacy zijn bibliotheken volgeschreven. Er bestaat bijvoorbeeld zoiets als ‘fysieke’ privacy, het idee dat mensen jou niet mogen aanraken als je daar geen zin in hebt. Er is ‘ruimtelijke’ privacy, daarbij gaat het over iemands huis als de plek waarvan onbevoegden niet horen te weten wat er gebeurt. Er is ook ‘relationele’ privacy, waarbij het draait om vertrouwen binnen verschillende relaties.

In dit boek staat privacy als de bescherming van persoonlijke informatie centraal, ‘informationele’ privacy volgens de wetenschappelijke literatuur. Onze opvatting van persoonlijke informatie – of ‘data’ en ‘gegevens’ – is breed. Van telefoonnummer tot e-mailadres, van online zoekgedrag tot burgerservicenummer, van huisadres tot IP-adres.

Wij volgen daarbij twee sporen. Allereerst onderzoeken wij wat er dagelijks met onze persoonlijke informatie gebeurt. Tegelijkertijd zoeken wij naar het belang van privacy. Waarom moeten wij ons hier zorgen over maken? De methode die wij daarbij hanteren, is enerzijds klassiek journalistiek: we beantwoorden de wie-, wat-, waar-, waarom- en hoe-vragen over persoonlijke data. Anderzijds maken we gebruik van nieuwe journalistieke onderzoeksmethodes. In de onderzoeksjournalistiek geldt dat je, als je het naadje van de kous wilt weten, het geldspoor moet volgen: follow the money. Als je het geld volgt, stuit je op belangen en macht en leg je bloot wat onder de oppervlakte ligt.

Voor onze zoektocht houden wij vast aan een ander adagium: follow the data. Door datasporen te volgen, net zoals bij de Polar-zaak, kunnen we laten zien wat voor informatie wij allemaal over onszelf weggeven en hoe tientallen bedrijven en instanties die data onderling verhandelen en delen. Zo kunnen wij uitvinden welke beslissingen er worden genomen op basis van die data en aantonen hoe die beslissingen onze levens bepalen.

Onze zoektocht brengt ons van de dataslurpende apps naar de achterdeuren van de Belastingdienst, en van zwarte markten in de krochten van het internet tot aan de Amerikaanse douane. We hebben smartphones gekraakt, wifinetwerken gehackt, internetverkeer onderschept, sociale media ontleed, databases leeggetrokken, hackbijeenkomsten gehouden, honderden privacyvoorwaarden uitgekamd, tientallen openbaarheidsverzoeken ingediend en honderden deskundigen en denkers in binnen- en buitenland gesproken.

Voor deze herziene editie hebben we nieuwe bronnen aangeboord, de laatste onderzoeken bekeken, actuele voorbeelden toegevoegd en een nieuw hoofdstuk geschreven over de macht van de grote techbedrijven. We kunnen alvast verklappen: je hebt wél iets te verbergen.

Een publiek goed

Sterker nog: we hebben iets te verbergen. Uit ons onderzoek blijkt dat de verzameling, het analyseren en het gebruik van persoonsgegevens grote maatschappelijke gevolgen kunnen hebben, die verder gaan dan het individu. Gevolgen voor de democratie, zoals de Facebook-Cambridge Analytica-zaak laat zien. Voor de staatsveiligheid, zoals uit ons Polar-onderzoek blijkt. Voor de wereldeconomie, waar de dataslurpende Big Techs het besturingssysteem van zijn geworden.

Als wij één les over privacy hebben geleerd de afgelopen zeven jaar dan is het deze: privacy is óók een fundamentele waarde voor de hele samenleving. Privacy gaat niet alleen over jou, het gaat over ons allemaal. Het is als drinkwater: een essentieel publiek goed waar wij niet zonder kunnen.