In een verzameling grijze blokkendozen langs een doodlopend straatje op een bedrijventerrein ten zuiden van de Cypriotische hoofdstad Nicosia, zit het kantoor van Aylo Freesites, de Europese vestiging van de multinational achter populaire pornosites als Pornhub en Redtube. De naaste buren zijn een anoniem distributiecentrum, een vestiging van sanitairfabrikant Grohe en een kantoor van Unilever.
Eind vorig jaar deed de privacytoezichthouder van Cyprus een inval bij Aylo. De inval maakte onderdeel uit van een lopend onderzoek naar de manier waarop het bedrijf omgaat met de gevoelige gegevens van bezoekers van Pornhub, bevestigt de toezichthouder per e-mail. Het bedrijf zelf reageert niet op vragen van NRC.
Het onopvallende kantoor is een van de weinige fysieke bewijzen van de aanwezigheid van de porno-industrie op het eiland. Verder onttrekt die zich aan het oog. De inhoud van de pornosites staat bijna volledig los van de bedrijfsvoering. Die is amper te onderscheiden van andere techbedrijven: bezoekers trekken met gratis toegankelijke inhoud, vervolgens geld verdienen met advertenties en bezoekers verleiden verder te kijken op een betaalde site. Daarbij draait alles om de data van bezoekers en hun kijkgedrag. Op het mediterrane eiland aan de rand van de Europese Unie ligt de focus niet op het maken van video’s. Hier zijn vooral veel softwareontwikkelaars en specialisten in online marketing actief.
Gratis porno voor iedereen
De porno-industrie is blijvend veranderd door de opkomst van het internet. Waar producenten eerder flink verdienden aan de verkoop van videobanden en dvd’s werden hun seksvideo’s plotseling – veelal zonder toestemming – gratis gedeeld op sites als Pornhub. Op pornosites kon iedereen zijn amateurvideo’s uploaden, waarbij piraterij van professionele video’s nauwelijks werd tegengegaan. De productiebedrijven kwamen daardoor in financiële problemen.
De conglomeraten achter de gratis sites kochten de producenten op en verwierven zo een machtspositie. Aan bezoekersdata kunnen ze precies zien aan wat voor video’s behoefte is. Die laten ze maken door hun eigen studio’s. Van de films wordt vervolgens een gratis variant weggegeven, een soort trailer, terwijl de volledige versie voor liefhebbers te vinden is achter een betaalmuur.
De functie waarbij iedereen iets kan uploaden, bleek ook een zwakte. Het maakt de verspreiding van zogenoemde wraakporno mogelijk. Zo diende een Canadese vrouw een klacht in tegen Pornhub omdat haar ex-vriend een seksvideo van haar had geüpload zonder haar toestemming. Het platform controleerde destijds niet wie iets plaatste en of dat wel met toestemming gebeurde van de mensen die in beeld waren.
Die procedures zijn volgens het bedrijf inmiddels aangescherpt. Wie een pornovideo wil uploaden, moet zich bij Pornhub nu identificeren. Daardoor weten de pornogiganten veel over hun bezoekers en over de makers van video’s, terwijl over de bedrijven zelf nog altijd weinig bekend is.
Uit de informatie die wel beschikbaar is, wordt duidelijk dat Europa een knooppunt is voor de pornowereld – al is het maar op papier. Concurrent WebGroup CZ, dat XVideos uitbaat, zit in Tsjechië. En naast Aylo heeft ook Wisebits, de eigenaar van Xhamster en Stripchat, zich gevestigd op Cyprus. Stuk voor stuk zijn het grote online platformen met miljoenen video’s en honderden miljoenen bezoekers per maand.
De populariteit van Cyprus als vestigingsplek blijkt onder meer uit documenten van zes financiële dienstverleners en een bedrijvenregister uit Cyprus die in handen zijn gekomen van het Duitse onderzoeksplatform Paper Trail Media en internationaal journalistenconsortium ICIJ, waarbij ook NRC is aangesloten. Onder de noemer ‘Cyprus Confidential’ werkten ruim tweehonderd journalisten uit 55 landen samen om de 3,6 miljoen gelekte documenten te onderzoeken en verifiëren.
Doordat deze grote spelers zich gevestigd hebben op Cyprus, zijn er ook talloze toeleverende bedrijven, zoals voor de marketing, financiële dienstverlening en advertenties, waaronder het grote marketingbedrijf CrakRevenue.
Het voordeel van Cyprus
Voor de bedrijven volstaat het om in één EU-lidstaat geregistreerd te staan om vervolgens in de hele EU te mogen opereren. De EU-lidstaat waarin een bedrijf formeel is gevestigd, is onder privacywet AVG in de regel ook verantwoordelijk voor het toezicht.
Naast lage belastingen bieden kleinere jurisdicties zo nog een voordeel voor bedrijven: minder capaciteit voor het handhaven van wetten. Op het kantoor van de privacytoezichthouder in Cyprus werken naast de commissaris slechts 22 medewerkers. Ter vergelijking: in Ierland, het eiland dat favoriet is bij de meer alledaagse techreuzen zoals Meta en Google, werken 260 mensen bij de datatoezichthouder. Bij de Nederlandse Autoriteit Persoonsgegevens zijn het er 293.
De pornoplatformen vormen een industrie die op zichzelf staat. Deels doordat ze gedwongen in een parallelle wereld opereren. Reguliere adverteerders, investeerders en financiële dienstverleners mijden hen uit angst voor reputatieschade. Maar het is ook een zelfverkozen isolement. Toen ambtenaren van de Europese Commissie wilden weten hoeveel bezoekers de sites maandelijks krijgen, hadden ze soms al moeite om het adres van de bedrijven te achterhalen. Interviewverzoeken, ook die van NRC, worden afgewezen of genegeerd.
Lees ook
Pornoplatforms dagen de Europese Commissie voor de rechter. Het argument: we zijn groot, maar niet zó groot
De bedrijven zijn opvallend genoeg vaak ook onbereikbaar voor de mensen van wie je zou verwachten dat het allemaal om hen draait: de sekswerkers. Ook zij hebben grote moeite om met de platformen in contact te komen, zegt Yigit Aydin, van de European Sexworkers Alliance (ESWA).
En dat terwijl sekswerkers in hoge mate afhankelijk zijn van online inkomsten, legt Aydin uit. „De platforms zijn in essentie online werkplaatsen. Ze hebben een verantwoordelijkheid om hun gebruikers, maar ook de makers van de inhoud te beschermen.” Daar hoort bijvoorbeeld bij dat mensen bezwaar kunnen maken tegen beslissingen van die platformen, als inhoud opeens wordt verwijderd. Of als het algoritme discrimineert. „Maar dat lukt niet als je niet weet hoe het werkt.”
Het is een van de redenen dat de ESWA zich aansloot bij een oproep van een aantal organisaties voor digitale mensenrechten aan de Europese Commissie om de grote online pornoplatformen op dezelfde manier te behandelen als andere invloedrijke online platformen zoals X, Google, Apple en TikTok. Een van de wettelijke vereisten aan dit soort bedrijven is dat ze transparant zijn over hun omgang met data van gebruikers, de manier waarop adverteerders gebruikers volgen en de werking van hun algoritme, dat bijvoorbeeld inhoudelijke aanbevelingen doet.
Meer handhaving
Aan die uitzonderingspositie, waarbij de pornosector zich aan toezicht weet te onttrekken, lijkt geleidelijk een einde te komen. Dat is het gevolg van twee Europese wetten: privacywet AVG uit 2018 en de Wet inzake digitale diensten (DSA), die vorig jaar in werking is getreden.
Een belangrijke les van de AVG was dat toezicht door lidstaten niet altijd goed werkt, zeker niet als bedrijven zich formeel in kleine landen zoals Cyprus vestigen. Daarom heeft de Europese Commissie het toezicht op de grootste spelers onder de DSA naar zich toe getrokken en kunnen er forse boetes uitgedeeld worden. En dankzij de campagne waarbij ESWA zich had aangesloten, vallen ook de pornobedrijven in die categorie.
Ook in Cyprus begint de toezichthouder inmiddels strenger te handhaven, zij het schoorvoetend en pas na forse druk van ngo’s. Dat begon in Italië, waar onderzoekers begin 2022 ontdekten dat Pornhub gevoelige profielen samenstelt met de seksuele voorkeuren van zijn bezoekers op basis van kijkgedrag. Op basis daarvan worden vervolgens video’s aanbevolen.
Na het onderzoek dienden activisten onder de naam #StopDataPorn een aanklacht in, waarbij ze vooral meer transparantie eisten. De Italiaanse toezichthouder verwees de zaak door naar Cyprus, omdat het bedrijf daar geregistreerd staat, zegt Alessandro Polidoro. Hij is als advocaat en activist voor digitale mensenrechten al jaren betrokken bij onderzoek naar de werkwijze van Pornhub en de daaruit voortvloeiende aanklachten tegen het bedrijf.
Biometrische gegevens
Aanvankelijk leek de zaak op Cyprus in een bureaula te zijn beland. Twee nieuwe aanklachten (een in Italië en een in Cyprus) en flink wat publiciteit verder is dat veranderd. Behalve naar de verwerking van persoonlijke data kijkt de toezichthouder naar het gebruik van biometrische gegevens voor leeftijdsverificatie, zoals gezichtsherkenning, bevestigt Andreas Hadjigeorgiou, die voor de databeschermingsautoriteit werkt. Meer details wil de toezichthouder niet geven zolang het onderzoek niet is afgerond.
In steeds meer landen moeten bedrijven voorkomen dat minderjarigen de pornosites bezoeken. Daarom controleren platformen de leeftijd van bezoekers. In sommige regio’s gebruikt Aylo daarvoor software, geleverd door het Britse bedrijf Yoti, die op basis van een selfie inschat of een bezoeker oud genoeg is. Ook hebben de sites steeds zwaardere verplichtingen om te verifiëren of de mensen op de beelden uit vrije wil hebben deelgenomen en op de hoogte zijn van publicatie. Daarvoor gebruikt Pornhub een uitgebreidere versie van het Yoti-systeem.
Lees ook
Het ‘hoofdpijndossier’ van de porno-industrie: controleren hoe oud je bezoekers zijn
De selfiemethode is een prima alternatief voor controleren aan de hand van een identiteitsbewijs, vindt Robin Tombs, de topman van Yoti. Hij vergelijkt het met fysieke winkels. „Als je daar als kind naar binnen loopt en probeert om alcohol te kopen, dan zal de medewerker je leeftijd inschatten. Denken ze dat je onder de 25 bent, dan zullen ze je vragen om bewijs dat je niet minderjarig bent.” Niks nieuws dus, vindt hij. „Alleen doen we de inschatting nu met machines die het nog veel nauwkeuriger kunnen.”
Bij twijfel kan Yoti gebruikers vragen hun identiteitsbewijs te scannen. De pornosite krijgt alleen de gegevens terug die strikt noodzakelijk zijn, stelt Yoti. Een vinkje voor ‘oud genoeg’ zonder precieze leeftijd, of wel een leeftijd maar geen precieze geboortedatum. Dat zou het systeem privacyvriendelijk maken.
Advocaat Polidoro hoopt dat het onderzoek van de toezichthouder op Cyprus relevante jurisprudentie oplevert over de omgang met gevoelige persoonsinformatie. „Iemands seksuele voorkeur is uiterst gevoelige informatie. Net zoals iemands religie dat is. Zo zou het ook behandeld moeten worden”, betoogt hij.
Een tweede aspect is de werking van het algoritme dat bepaalt welke suggesties mensen voorgeschoteld krijgen. Zo’n algoritme moet transparant en bevraagbaar zijn, zegt Polidoro. „Dit geldt bijvoorbeeld ook voor datingapps. Een algoritme beslist welke mensen jij waarschijnlijk leuk vindt en met wie je zou willen daten. Dit beïnvloedt je kansen op het vinden van een partner en je seksuele ontwikkeling. De toezichthouders moeten duidelijk maken hoe ze hiernaar kijken en welke bescherming geldt voor deze dataverwerking.”
Voor de duidelijkheid, zegt Polidoro telefonisch: „Wij zijn niet tegen porno. Maar we zijn wel tegen Big Porn.” Hij doelt met die uitdrukking op grote pornotechbedrijven. „Zij verpesten het feestje voor iedereen.”
