Калифорнийският закон за поверителност има проблем със спазването

Калифорнийският закон за защита на личните данни на потребителите (CCPA) трябваше да даде на жителите реален контрол върху личните им данни. Но мащабен одит на повече от 7 000 популярни уебсайта разказва съвсем различна история. Изследователите установиха това, което описаха като „индустриално несъответствие" с CCPA, като много големи технологични компании системно игнорират юридически признат сигнал за поверителност, вграден директно в браузърите.

Въпросният сигнал се нарича Global Privacy Control (GPC). Когато е активиран, той изпраща автоматична инструкция до всеки уебсайт, който посещавате, като им казва да не проследяват и да не продават личните ви данни. Съгласно CCPA, спазването на този сигнал не е по избор за компаниите, опериращи в Калифорния. Това е законово изискване. И въпреки това одитът установи, че в някои случаи проследяването е продължавало при 86% от посещенията дори когато сигналът GPC е бил активен.

Тази цифра заслужава малко размисъл. Потребителят може да направи всичко правилно — да активира юридически защитена настройка за поверителност — и въпреки това поведението му да бъде проследявано, а данните му потенциално продавани в огромното мнозинство от сесиите му в интернет.

Защо само правната защита не е достатъчна

Законите за поверителност като CCPA представляват реален напредък. Те установяват права, създават механизми за прилагане и прехвърлят тежестта върху компаниите да обосновават практиките си за работа с данни. Но този одит илюстрира пропаст, за която защитниците на поверителността отдавна предупреждават: един закон е толкова ефективен, колкото е ефективното му прилагане.

Когато несъответствието е толкова широко разпространено и толкова системно, това подсказва, че компаниите са преценили, че рискът от регулаторни санкции е по-нисък от стойността на данните, които събират. Това е структурен проблем, а не индивидуален. Никакво внимателно четене на банери за бисквитки или натискане на „отхвърли всичко" не може да поправи система, в която инфраструктурата за проследяване продължава да работи на заден план, независимо от всичко.

Това е важно и извън Калифорния. Макар CCPA да се прилага само за жители на Калифорния, уебсайтовете, които го нарушават, обслужват потребители навсякъде. Същите технологии за проследяване, рекламни мрежи и брокери на данни работят в глобален мащаб. Ако големи компании са готови да игнорират държавен закон с реална тежест, ситуацията в юрисдикции с по-слаба защита вероятно е още по-лоша.

Какво означава това за вас

Практическият извод от този одит е неудобен, но важен: не можете да разчитате само на правни рамки, за да защитите поверителността си при сърфиране в интернет. Корпоративното спазване е непоследователно в най-добрия случай и, според това изследване, пренебрежимо в най-лошия, когато става дума за зачитане на заявените от вас предпочитания.

Това не означава, че законите за поверителност са безполезни. Регулаторният натиск, глобите и публичната отчетност действително движат нещата напред с течение на времето. Но междувременно реалното ви поведение при сърфиране вероятно се проследява в много по-голяма степен, отколкото би подсказал някой банер за съгласие или настройка за отказ.

Инструментите, осигуряващи по-надеждна защита, работят на техническо ниво, а не на политическо. Разширение за браузър, което блокира проследяващи скриптове на трети страни, не моли компания да спази предпочитанията ви. То просто не позволява на кода за проследяване да се зареди на първо място. По същия начин VPN криптира интернет връзката ви и маскира вашия IP адрес — един от основните идентификатори, използвани за изграждане на профили на поведението ви в различни уебсайтове. Нито един от двата подхода не зависи от корпоративна добронамереност или регулаторно прилагане.

Контролите за поверителност на ниво браузър също станаха по-усъвършенствани. Firefox и браузъри, изградени на принципи с приоритет на поверителността, блокират по подразбиране много проследяващи скриптове. Самият сигнал GPC е настройка на браузъра, която си струва да активирате — не защото компаниите го спазват надеждно (този одит ясно показва, че не го правят), а защото създава документирано доказателство за заявените от вас предпочитания, което може да има значение при правоприлагащи действия.

Практически стъпки за защита на поверителността ви сега

С оглед на това, което разкрива този одит, ето конкретни действия, осигуряващи реална защита, а не обещания, зависими от политики:

  • Активирайте Global Privacy Control в настройките на браузъра си. Може да не се спазва винаги, но добавя слой от правна позиция и се поддържа все по-широко от браузъри, ориентирани към поверителността.
  • Използвайте разширение за браузър, блокиращо проследяването, като uBlock Origin, или браузър с акцент върху поверителността, който блокира скриптове на трети страни по подразбиране. Те работят независимо от това дали даден сайт спазва предпочитанията ви за отказ.
  • Обмислете използването на VPN за общо сърфиране, особено в мрежи, които не контролирате. VPN не блокира директно проследяващите скриптове, но не позволява на вашия интернет доставчик и наблюдателите на мрежово ниво да изградят картина на дейността ви, и маскира IP адреса, който свързва сесиите ви в различни сайтове.
  • Периодично преглеждайте настройките за поверителност на браузъра си. Бисквитките на трети страни, защитата срещу идентификация по пръстов отпечатък и блокирането на проследяване често са деактивирани по подразбиране в масово използваните браузъри.
  • Бъдете скептични към банерите за съгласие с бисквитки. Изследванията последователно показват, че много сайтове продължават да проследяват, независимо от избраната опция.

CCPA беше значима стъпка към привличането на компаниите към отговорност за начина, по който обработват личните данни. Но този одит потвърждава това, което много изследователи на поверителността твърдят от години: правните права и техническата реалност са две съвсем различни неща. Разбирането на тази разлика и предприемането на стъпки за нейното преодоляване с наличните инструменти е най-надеждният път към реална защита на поверителността в момента.