Cambridge analytica en het Facebook-dataschandaal — het moment waarop privacy mainstream werd

Situatie

Begin 2018 was Facebook een bedrijf met 2,2 miljard maandelijks actieve gebruikers en $40,7 miljard aan jaarlijkse reclame-inkomsten. Het was ook een bedrijf dat sinds ten minste 2010 opereerde op basis van een impliciete overeenkomst met zijn gebruikers: gratis connectiviteit in ruil voor gedragsgegevens die konden worden gemodelleerd, getarget en verkocht. Mark Zuckerberg had een decennium besteed aan het opschalen van die overeenkomst, van een slaapzaalcuriositeit tot een tweezijdige marktplaats tussen adverteerders en aandacht. Voor de meeste marketeers was de Facebook Graph API, de interface die apps van derden toegang gaf tot gebruikersdata, geen ethische kwestie. Het was een conversie-optimalisatieprobleem.

Cambridge Analytica was, in commercieel opzicht, een obscuur politiek adviesbureau. Het moederbedrijf SCL Group had aan verkiezingen gewerkt in Trinidad, Nigeria en Kenia, en verkocht een dienst die het "psychografische targeting" noemde, het idee dat je de persoonlijkheid van een kiezer kon voorspellen aan de hand van digitale sporen en vervolgens politieke reclame kon afstemmen op hun psychologisch profiel. De directeur, Alexander Nix, had een Davos-klaar persona gecultiveerd: Eton, Manchester, een voorliefde voor krijtstrepen en zelfpromotie. De belangrijkste financier was Robert Mercer, de teruggetrokken hedgefonds-miljardair achter Renaissance Technologies. De vicevoorzitter was Steve Bannon, die kort daarna hoofdstrateeg van Donald Trump zou worden.

De datastroom die Facebook uiteindelijk $5 miljard zou kosten, begon in 2014. Aleksandr Kogan, een psychologieonderzoeker aan de Universiteit van Cambridge, bouwde via zijn bedrijf GSR een persoonlijkheidsquiz-app genaamd "thisisyourdigitallife". Ongeveer 270.000 mensen betaalden om de enquete in te vullen. Onder de op dat moment geldende regels van de Facebook Graph API v1 legden die 270.000 toestemmingen ook de profielgegevens bloot van al hun vrienden, namen, likes, verjaardagen, relatiestatus, pagina-interacties, foto's. De extrapolatie was brutaal en destijds volledig toegestaan. Kogan oogstte gegevens van naar schatting 87 miljoen accounts, een cijfer dat Facebook zelf bevestigde aan de UK ICO in april 2018. Vervolgens gaf hij de dataset door aan Cambridge Analytica in strijd met Facebook's ontwikkelaarsvoorwaarden, een overtreding waarvan Facebook al in december 2015 op de hoogte was en die het niet openbaar maakte.

De context is van belang. Tegen 2015 had de adtech-industrie een decennium lang een specifieke marketingaanname genormaliseerd: hoe gedetailleerder de targetingdata, hoe beter het rendement op advertentie-uitgaven. De orthodoxie van performance marketing behandelde toestemming als een aanvinkvakje onderaan een aanmeldformulier. Marketingdirecteuren bij bureaus van WPP tot Publicis bouwden hun carriereverhalen rond gedragstargeting. De relevante governance-infrastructuur, de UK Data Protection Act 1998, het FTC-toestemmingsbevel tegen Facebook uit 2011, de nog hangende Algemene Verordening Gegevensbescherming van de EU, was niet ontworpen voor een wereld waarin een enkele app-installatie de data van 324 andere mensen kon lekken naar een politieke operatie van derden.

Toen kwam Carole Cadwalladr. De journalist van The Observer volgde het SCL-Cambridge Analytica-verhaal sinds eind 2016 en publiceerde een reeks artikelen die langzaam de puzzelstukken samenstelde van wat het bepalende adtech-schandaal van het decennium zou worden. In maart 2018 publiceerde ze samen met The New York Times een onderzoek gebaseerd op de getuigenis van Christopher Wylie, de rozeharige 28-jarige voormalig directeur onderzoek die had geholpen de psychografische modellen te bouwen en vervolgens een van de meest invloedrijke klokkenluiders van het decennium werd. Wylie was in de herfst van 2017 het appartement van Cadwalladr binnengelopen met een externe harde schijf, een pro-deo-advocaat en een verhaal dat hij al probeerde te vertellen sinds hij Cambridge Analytica in 2014 had verlaten. Wat een niche academisch debat was geweest over "surveillance-kapitalisme", een term gepopulariseerd door Shoshana Zuboffs boek uit 2019 maar al sinds 2015 circulerend in Europese gegevensbeschermingskringen, werd binnen 72 uur een wereldwijd politiek verhaal over de vraag of digitale marketinginfrastructuur was gebruikt om het Brexit-referendum en de Amerikaanse presidentsverkiezingen van 2016 te manipuleren. Het aandeel Facebook verloor meer dan $50 miljard aan marktkapitalisatie in de eerste twee handelsdagen alleen. Mark Zuckerberg deed er zes dagen over om publiekelijk te reageren, een interval dat zijn eigen communicatieteam later omschreef als de slechtste strategische stilte in de geschiedenis van het bedrijf.

De inzet van het verhaal ging strikt genomen niet over de competentie van Cambridge Analytica. Academische analyses in de twee daaropvolgende jaren, door Eitan Hersh van Tufts, David Sumpter van Uppsala en Michal Kosinski, wiens oorspronkelijke PNAS-paper uit 2013 over Facebook-likes als persoonlijkheidsvoorspeller de methodologie van Cambridge Analytica had geinspireerd, zouden suggereren dat de psychografische claims van het bedrijf substantieel overdreven waren. Wat het verhaal zo belangrijk maakte, was niet of de targeting daadwerkelijk werkte. Het was wat het verhaal onthulde over de onderliggende infrastructuur: een marketingtechnologiestack ontworpen om persoonlijke data te verplaatsen van instemmende gebruikers naar niet-verantwoordingsplichtige derden, zonder audittrail, zonder betekenisvolle toestemming en zonder zichtlijn tussen het datasubject en de entiteit die hun data gebruikte. Elke performance marketeer in 2018 begreep het leidingwerk. Vrijwel geen van hen had zich afgevraagd of het leidingwerk ethisch was.

Beslissing

De beslissingen die het schandaal veroorzaakten waren in hoofdzaak geen beslissingen over het al dan niet overtreden van de wet. Het waren beslissingen over wat marketing legitiem aan haar infrastructuur kon vragen. Drie clusters van benoemde actoren illustreren het patroon.

Het eerste cluster bevond zich binnen Facebook. In 2010 autoriseerden Zuckerberg en Chris Cox, destijds hoofd product, de Graph API v1-specificatie die app-ontwikkelaars in staat stelde de vriendenlijst van een gebruiker op te vragen. De interne logica was duidelijk: het openstellen van de sociale grafiek voor ontwikkelaars zou de groei van het platform versnellen en Facebook tot de onmisbare identiteitslaag van het mobiele web maken. Het alternatief, smallere toestemmingsscopes, opt-in op vriendniveau, audittrails, zou de groei hebben vertraagd en de relaties met ontwikkelaars als Zynga, Tinder en Spotify hebben beschadigd. De afweging werd gemaakt, gedocumenteerd in interne productmemo's die later werden bovengegraven door het Digital, Culture, Media and Sport Committee van het Britse parlement (de "Six4Three"-onthullingen gepubliceerd in december 2018), en pas in 2014 herzien, toen Facebook de API aanscherpte met Graph v2. Tegen die tijd had de deur vier jaar opengestaan.

Het tweede cluster bevond zich binnen Cambridge Analytica. Alexander Nix beschreef in vergaderingen die later werden opgenomen door Channel 4 News in een undercoveroperatie uitgezonden op 19 maart 2018, diensten waaronder omkoping, chantage en het inzetten van Oekraiense sekswerkers om politieke tegenstanders in diskrediet te brengen. In dezelfde uitzendingen beschreef hij het psychografische targetingmodel als het concurrentievoordeel van het bedrijf. De beslissing om de data van Kogan aan te schaffen, voor ruwweg $800.000, volgens Wylie, werd genomen door Nix en zijn hoofd data Brittany Kaiser, naar verluidt met het besef dat de data was verkregen onder voorwaarden die in strijd waren met Facebook's ontwikkelaarsovereenkomst. De logica was commercieel: de budgetten voor politieke marketing in de Amerikaanse verkiezingscyclus van 2016 werden geschat op $11,4 miljard. Een bedrijf dat geloofwaardig kon beweren voorspellende targeting van "onbesliste" kiezers te bieden, kon zijn diensten dienovereenkomstig prijzen.

Het derde cluster bevond zich binnen de klantorganisaties die de diensten afnamen. De Leave.EU-campagne, de digitale operatie van Trump 2016 (geleid door Brad Parscale) en een reeks kleinere politieke klanten tekenden opdrachtbrieven met Cambridge Analytica op basis van beloftes dat het bedrijf kiezers kon targeten op basis van persoonlijkheidskenmerken, "Openness", "Conscientiousness", "Extraversion", "Agreeableness", "Neuroticism", het OCEAN-model. Of de targeting daadwerkelijk werkte zoals geadverteerd, is, zoals latere academische reviews door David Sumpter en Michal Kosinski zouden aantonen, oprecht onzeker. Of de beslissing om de dienst af te nemen een doordacht ethisch kader rond autonomie en toestemming weerspiegelde, is dat niet. Dat deed het niet.

Wat achteraf opvalt, is wat vrijwel niemand in de marketinggemeenschap ter discussie stelde. Geen enkel groot bureau van record publiceerde tussen 2014 en 2018 een ethische review van het gebruik van Facebook-data door derden. Geen enkele CMO weigerde publiekelijk toegang tot lookalike audiences afkomstig van geschraapte vriendengrafieken. De ICO merkte later op, in haar rapport van november 2018, dat "de digitale campagneomgeving zich heeft ontwikkeld in een tempo dat het vermogen van toezichthouders en het publiek om het te controleren heeft overtroffen". Vertaald uit toezichthoudersjargon: marketeers wisten wat ze deden, en de zelfreguleringsinfrastructuur van marketing had geen vocabulaire om hen tegen te houden.

Een vierde beslissingscluster verdient aandacht, omdat het dicht bij de gewone marketingprofessional staat. Binnen de reclame-industrie, bij bureaus als WPP, Omnicom en Publicis, en bij interne marketingteams van Fortune 500-adverteerders, wisten mensen hoe lookalike audience-modellering werkte. Ze begrepen dat Facebook's Custom Audience- en Lookalike Audience-functies afhankelijk waren van datastromen waaraan de getargete personen in geen enkele geeinformeerde zin hadden ingestemd. Interne trainingsprogramma's bij de grote bureaus leerden de techniek expliciet aan. Vaktijdschriften voor marketing vierden de bureaus die er het meest effectief gebruik van maakten. Tussen 2014 en 2018 is er geen enkel geval bekend van een groot bureau van record dat een klantgerichte ethiekmemo publiceerde die waarschuwde voor de kwetsbaarheid van de toestemmingsinfrastructuur onder gedragstargeting. De stilte was geen samenzwering. Het was een branchebreed professioneel falen om de basisvragen van het F11-kader toe te passen, zou deze consument, als hij begreep wat er gebeurde, hiermee instemmen, op de belangrijkste innovatie in marketingmeting sinds de introductie van televisiekijkcijfers. Het schandaal, toen het uitbrak, was voor niemand in het vak een verrassing. Het was een verrassing dat de verrassing zo lang op zich had laten wachten.

Data

De financiele en regelgevende tol kostte vijf jaar om te kristalliseren. Het is zelfs nu nog onvolledig, lopende groepsvorderingen in de VS, de EU en Canada lopen nog steeds.

Toezichthouder / rechter	Actie	Bedrag	Jaar
US FTC	Privacyschikking (Facebook-toestemmingsbevel)	$5.000.000.000	2019
US SEC	Schikking misleidende beleggerscommunicatie	$100.000.000	2019
UK ICO	Boete (pre-GDPR DPA 1998)	£500.000	2018
UK ICO	Cambridge Analytica-handhaving (na 2022)	Berisping, geen boete	2022
US Southern District of NY	Cohen v. Facebook groepsschikking	$725.000.000	2022
Texas Attorney General	Statelijke privacyschikking	$1.400.000.000	2024
Cambridge Analytica / SCL	Ontbinding (insolventie)	n.v.t.	Mei 2018

Naast financiele sancties waren de operationele kosten binnen Facebook / Meta aanzienlijk. Het bedrijf voegde meer dan 4.000 medewerkers toe aan functies voor vertrouwen, veiligheid en contentmoderatie in de 24 maanden na het schandaal, wat neerkomt op jaarlijkse kosten die het 10-K-verslag van 2019 op meer dan $3 miljard schatte. De FTC-schikking legde ook structurele maatregelen op: een privacycommissie op bestuursniveau, driemaandelijkse nalevingscertificeringen persoonlijk ondertekend door de CEO, en een extern beoordelingsregime van twintig jaar.

De bredere consequenties voor de adtech-industrie waren nog groter. De Algemene Verordening Gegevensbescherming (GDPR) van de EU, die sinds 2012 in de wetgevende pijplijn zat, trad in werking op 25 mei 2018, acht weken na het doorbreken van het Cadwalladr-onderzoek. De timing was niet toevallig: Europese parlementariers die twijfelden over handhavingstaal verhardden hun standpunten in maart en april 2018. Tegen 2024 hadden de cumulatieve GDPR-boetes voor alle beklaagden de grens van EUR 4,5 miljard overschreden, waarvan Meta alleen al EUR 2,5 miljard voor zijn rekening nam. De California Consumer Privacy Act werd in juni 2018 aangenomen. Apple's App Tracking Transparency, het onderwerp van Case 4 in deze reeks, werd publiekelijk aangekondigd op WWDC 2020 en is, in Tim Cooks eigen framing, een directe reactie op het Cambridge Analytica-tijdperkmodel van data-extractie.

Zuckerbergs getuigenis in april 2018 voor de US Senate Commerce and Judiciary Committees duurde tien uur verspreid over twee dagen. Zijn getuigenis voor het Europees Parlement volgde in mei 2018. Bij beide gelegenheden erkende hij "een schending van vertrouwen" en committeerde hij zich aan structurele hervorming. Meta's jaarlijkse uitgaven aan privacynaleving bereikten naar schatting $5 miljard in 2023. Misschien het meest leerzame datapunt is echter geen boete of omzetcijfer maar een cultureel gegeven. Tegen 2020 was "Cambridge Analytica" in bestuurskamers, hoorzittingen van toezichthouders en collegazalen een gevestigde afkorting geworden voor een specifieke faalwijze, marketinginfrastructuur die sneller opschaalde dan haar ethische vangrails. Compliance officers citeerden de term in interne memo's. Marketingbureaus gebruikten het in new business pitches. De toezichthouders die de EU AI Act en de US Algorithmic Accountability Act zouden opstellen, noemden de casus bij zijn populaire naam in hun toelichtingen. Het schandaal was zijn eigen vocabulaire geworden.

De ethische les

De Cambridge Analytica-casus is, in het F11-kader, het paradigmatische falen van de autonomietest. De autonomietest stelt een eenvoudige vraag: respecteerde de marketingactie het vermogen van de consument om vrij te kiezen, met adequate informatie over waar hij voor koos? Op elke dimensie is het antwoord hier nee. De 270.000 quizdeelnemers stemden niet in met het oogsten van de data van hun vrienden. De 87 miljoen vrienden stemden helemaal niet in. De politieke doelgroepen die werden getarget met gedragsmatig afgestemde content wisten niet dat de content was vormgegeven om hun psychologische kwetsbaarheden te exploiteren. Toestemming was in het Cambridge Analytica-model een administratief artefact, een aanvinkvakje verborgen in de gebruiksvoorwaarden van een app van derden, geen oprechte uitoefening van zelfbeschikking.

De proportionaliteitstest scoort al even slecht. Proportionaliteit vraagt of de middelen van overtuiging in verhouding staan tot de doelen, en of de informatie-asymmetrie tussen marketeer en doelgroep redelijk is. Psychografische targeting maximaliseerde die asymmetrie opzettelijk. Het doel van het modelleren van "Neuroticism" was om de mensen te vinden die het meest vatbaar waren voor angstgebaseerde boodschappen en advertenties op hen te richten. Dat is geen overtuiging in de liberale traditie van Habermas of Mill; het is de exploitatie van cognitieve kwetsbaarheid op industriele schaal. Het proportionaliteitsfalen is niet dat politieke marketing inherent onlegitiem is, het is dat hypergetargete psychologische manipulatie disproportioneel is ten opzichte van de maatschappelijke belangen van stemmen.

De legacytest, het derde element van het F11-diagnostisch kader, is degene die marketinghistorici voor een decennium zal bezighouden. Zouden de beslissingen van 2010-2015 standhouden onder de normen van 2020-2025? Het eerlijke antwoord is dat vrijwel elke beslissing die het schandaal mogelijk maakte nu illegaal zou zijn in de EU, gereguleerd zou zijn onder deelstatelijke wetten in de VS en publiekelijk onhoudbaar zou zijn vrijwel overal. Facebook's Graph API v1, Kogans vriendendata-oogst, Cambridge Analytica's psychografische claims, het Trump-campagne's ongeauditeerde gebruik van lookalike audiences afgeleid van gestolen data, geen van deze zou een GDPR DPIA overleven, laat staan een serieuze interne ethiekreview. De les voor marketeers is niet dat regelgeving uiteindelijk bijhaalt. Het is dat de besluitvormers van 2014 voldoende informatie hadden om zelf een legacytest toe te passen, en ervoor kozen dat niet te doen.

De bredere les voor de industrie gaat over de regulatorische reset. Twintig jaar lang had digitale marketing geopereerd in een de facto regulatorisch vacuum, waarin de afwezigheid van specifieke regels werd geinterpreteerd als toestemming. Cambridge Analytica sloot dat vacuum. GDPR, CCPA, de Digital Services Act, de EU AI Act en Apple's ATT zijn geen geïsoleerde fenomenen. Ze zijn het stroomafwaartse gevolg van een enkel industrieschandaal dat privacy tegelijkertijd tot voorpaginanieuws maakte in elke grote economie. De marketeer die de Graph API in 2015 behandelde als een kosteloos targetingvoordeel is dezelfde marketeer wiens CRM-systeem in 2025 onderworpen is aan acht overlappende privacyregimes en wiens consent management platform 2-4% van de omzet absorbeert. De regulatorische reset is geen externe schok. Het is de factuur.

Er is een secundaire les over klokkenluiders. Christopher Wylies beslissing om een publieke bron te worden, eerst on the record bij Cadwalladr, vervolgens voor het DCMS Committee van het Britse parlement, daarna in zijn memoires uit 2019, was de enkele actie die het schandaal onderzoekbaar maakte. Voor Wylie circuleerde het verhaal al jaren binnen academische conferenties en netwerken van privacyactivisten zonder mainstream politieke aandacht te bereiken. Wylie leverde het documentaire bewijs, de benoemde actoren en het interne narratief waaraan de journalistiek kon verankeren. De ethische les voor marketeers is niet dat iedereen de klok moet luiden over zijn werkgever. Het is dat marketingorganisaties die interne tegenspraak behandelen als een reputatiebedreiging de voorwaarden scheppen voor een uiteindelijke externe onthulling. Facebook's eigen interne critici, de bekendste Frances Haugen, die drie jaar later naar buiten zou treden met de "Facebook Files", werden pas gehoord toen ze naar buiten gingen. De kosten van het negeren van hen liepen tegen 2023 op tot tientallen miljarden dollars aan boetes, schikkingen en herstructurering van bedrijfsmodellen. Een volwassen marketingfunctie behandelt interne ethische zorgen als de goedkoopste vorm van kwaliteitscontrole waarover zij beschikt. De Cambridge Analytica-casus is degene die laat zien wat het alternatief kost.

De synthese

Er zijn twee legitieme interpretaties van de Cambridge Analytica-affaire, en de gebruikelijke fout van marketingcommentaar is er een kiezen en de andere negeren.

De eerste lezing is de burgerrechtenlezing. In deze visie was Cambridge Analytica geen aberratie maar een openbaring. Het maakte een infrastructuur van surveillance-kapitalisme zichtbaar die altijd al had bestaan en die altijd zou worden misbruikt. Het schandaal is belangrijk omdat het de illusie verbrak dat de overeenkomst in het hart van door advertenties gefinancierde sociale media ooit consensueel kon zijn. Van Shoshana Zuboff tot Carole Cadwalladr tot de privacycommissarissen van de EU, dit is de interpretatie die het merendeel van de daaropvolgende regelgeving heeft aangedreven. De zwakte ervan is dat het kan afglijden naar een monolithisch verhaal waarin alle targeting manipulatie is, alle toestemming afgedwongen is en de enige ethische reactie afschaffing is. Die lezing laat geen ruimte voor marketeers die hun werk goed willen doen, en onderschat de economische waarde die op toestemming gebaseerde targeting kan leveren wanneer het goed wordt uitgevoerd.

De tweede lezing is de rotte-appellezing. In deze visie was Facebook's Graph API een legitiem ontwikkelaarstool, schond Kogan zijn contract, pleegde Cambridge Analytica gewone bedrijfsfraude en vervolgde het rechtssysteem de fraude. Niets hiervan vereist een filosofische afrekening met digitale marketing. De platforms hebben hun API's aangescherpt, de toezichthouders hebben de overtreders beboet en de industrie is doorgegaan. De zwakte ervan is dat het een systemisch falen behandelt als een crimineel incident. Het negeert de strategische beslissingen binnen Facebook die de oogst mogelijk maakten, de marketingorthodoxie die zulke data onweerstaanbaar maakte en het vacuum aan beroepsethiek dat ervoor zorgde dat geen van de 20.000 marketeers die wisten hoe lookalike audiences werkten vier jaar lang iets zei.

De De synthese weigert de keuze. Cambridge Analytica was zowel een systemisch infrastructuurfalen als een specifiek bedrijfsdelict. Het was zowel een redelijk gevolg van hoe performance marketing een decennium lang was onderwezen als een reeks identificeerbare beslissingen door benoemde personen die anders hadden kunnen handelen. De productieve oplossing is niet het afschaffen van gedragsmarketing, noch het tot zondebok maken van Alexander Nix. Het is erop staan dat het marketingvak een ethische infrastructuur ontwikkelt die minstens even geavanceerd is als zijn targetinginfrastructuur. Dat betekent consent management behandeld als een ontwerpprobleem, niet als een juridisch probleem. Het betekent privacy impact assessments in de briefingfase, niet in de post-campagnefase. Het betekent weigeren te doen alsof toezichthouders de enigen zijn wier taak het is op te merken wanneer een instrument wordt misbruikt. De autonomietest, de proportionaliteitstest en de legacytest zijn geen regulatorische nalevingsoefeningen. Ze zijn de basisgrammatica die een volwassen beroepsgroep gebruikt om over zijn eigen werk te praten. Het Cambridge Analytica-schandaal is de casus die demonstreert wat er gebeurt wanneer die grammatica ontbreekt.

Bronnen

• Wylie, C. (2019) Mindfck: Inside Cambridge Analytica''s Plot to Break the World*. Profile Books.
• UK Information Commissioner''s Office (November 2018) Investigation into the use of data analytics in political campaigns: report to Parliament.
• US Federal Trade Commission (July 2019) Stipulated Order for Civil Penalty, Monetary Judgment, and Injunctive Relief: United States of America v. Facebook, Inc., Case 1:19-cv-02184 (DDC).
• US Securities and Exchange Commission (July 2019) In the Matter of Facebook, Inc., Administrative Proceeding File No. 3-19290.
• Cadwalladr, C. and Graham-Harrison, E. (17 March 2018) "Revealed: 50 million Facebook profiles harvested for Cambridge Analytica in major data breach", The Observer.
• Rosenberg, M., Confessore, N., and Cadwalladr, C. (17 March 2018) "How Trump Consultants Exploited the Facebook Data of Millions", The New York Times.
• Zuboff, S. (2019) The Age of Surveillance Capitalism. PublicAffairs / Profile.
• Amer, K. and Noujaim, J. (dirs.) (2019) The Great Hack. Netflix Originals documentary.
• Zuckerberg, M. (10-11 April 2018) Testimony before US Senate Commerce and Judiciary Committees and US House Energy and Commerce Committee.
• UK Parliament, Digital, Culture, Media and Sport Committee (February 2019) Disinformation and "fake news": Final Report, HC 1791.
• Meta Platforms, Inc. Q1 2018 Earnings Call transcript (25 April 2018).
• Meta Platforms, Inc. (annual) Form 10-K filings 2018-2023, on privacy remediation spending and FTC settlement reserves.
• Channel 4 News (19-20 March 2018) Undercover investigation into Cambridge Analytica, broadcast on ITN / Channel 4.
• Sumpter, D. (2018) Outnumbered: Exploring the Algorithms that Control Our Lives. Bloomsbury Sigma.
• European Parliament (22 May 2018) Transcript of Mark Zuckerberg hearing before the Conference of Presidents.
• Regulation (EU) 2016/679 (General Data Protection Regulation), entered into force 25 May 2018.