Френският орган за защита на данните, CNIL, глоби търговеца FNAC с 7 милиона евро за проследяване на потребители на приложението без валидно съгласие. Регулаторът също така нареди на компанията да промени своите потоци за съгласие в рамките на един месец. Решението на CNIL за глобата на FNAC относно проследяването в приложение е полезно напомняне, че това, което се случва в мобилно приложение, е предмет на същите правила за поверителност като това, което се случва на уебсайт, и че „съгласието“ трябва да означава нещо реално.

Тази публикация обхваща какво е било съобщено, какво изисква заповедта и какво можете да направите на собствения си телефон. Тя също така разглежда къде се вписва VPN и къде не.

Какво установи CNIL, че FNAC е направила грешно

Според репортажа на Cybernews, CNIL е заключил, че FNAC е проследявал потребителите на своето приложение, без да получи валидно съгласие. Това е ядрото на санкцията: проследяване, което се е случило, без потребителят да е дал надлежно съгласието си за него.

Наличният при нас репортаж не излага всеки технически детайл на проследяването, така че няма да гадаем кои тракери или типове данни са били involved. Това, което основната констатация ни казва, е принципът, който е заложен на карта. Съгласно европейските правила за поверителност, проследяването, което не е строго необходимо, обикновено изисква ясен, информиран избор от проследяваното лице. Ако дадено приложение започне да събира или споделя данни преди този избор да бъде направен, или ако изборът не е наистина свободен, регулаторите могат да третират съгласието като невалидно.

Размерът на глобата, 7 милиона евро, също така сигнализира, че регулаторите виждат проследяването в приложения като сериозна област на съответствие, а не като дребна техническа подробност.

Какво трябва да промени FNAC в рамките на един месец

Освен финансовата санкция, CNIL даде на FNAC един месец да поправи своите потоци за съгласие. На практика потокът за съгласие е последователността от подкани и настройки, които едно приложение показва, когато го отворите за първи път, и начинът, по който то записва и зачита вашите отговори.

За компания в това положение законният поток за съгласие обикновено означава:

  • Питане преди започването на несъществено проследяване, а не след това.
  • Представяне на избора ясно, така че потребителите да разбират с какво се съгласяват.
  • Правене на отказа толкова лесен, колкото е приемането.
  • Зачитане на решението, което потребителят вземе, включително когато каже „не“.

Това са общи очаквания съгласно европейските правила за поверителност, а не цитат от точната заповед на CNIL, така че ги третирайте като контекст. Едномесечният срок е конкретният детайл от репортажа и показва, че регулаторите искат бърза корекция, а не проточено поправяне.

Френските регулатори и изтичанията на данни са били в новините и преди. Нашето отразяване на изтичане от френски доставчик на имейл услуги, което expose 40 милиона записа показва друга страна на същия проблем: как провалите при обработката на данни, било то чрез проследяване или лоша сигурност, се стоварват върху обикновените потребители.

Как да ограничите проследяването в приложения на iPhone и Android

Подобно решение оказва натиск върху компаниите, но не е нужно да чакате те да се съобразят. Вградените контроли на вашия телефон са най-прекият начин да ограничите проследяването в приложения. Имената на менютата се променят между версиите и производителите, така че търсете най-близкото съответствие.

На iPhone:

  • Отворете Settings, след това Privacy & Security, след това Tracking.
  • Изключете „Allow Apps to Request to Track“, за да блокирате подканата изцяло, или прегледайте на кои приложения вече сте разрешили.
  • Проверете разрешенията за Location Services и Photos, докато сте там.

На Android:

  • Отворете Settings и потърсете Privacy, след това Ads (формулировката варира според устройството).
  • Изтрийте или нулирайте вашия рекламен идентификатор и се откажете от персонализация на рекламите, където това се предлага.
  • Прегледайте мениджъра за разрешения за местоположение, контакти и друг чувствителен достъп и премахнете всичко, което дадено приложение не се нуждае.

Също така прегледайте подканите за съгласие в отделните приложения. Много от тях предлагат екран с предпочитания, където можете да откажете несъществено проследяване, и обикновено можете да промените избора си по-късно.

Какво може и какво не може да направи един VPN срещу проследяването в приложения

VPN често се описват като универсално решение срещу проследяването, което не е точно. VPN криптира връзката ви и скрива вашия IP адрес от сайтовете и услугите, към които се свързвате. Това може да ограничи проследяването, което разчита на вашия IP адрес или на местоположение, изведено от него, и защитава трафика ви в ненадеждни мрежи, като например публичен Wi-Fi.

Това, което VPN не може да направи, е да спре дадено приложение да събира данни, след като сте влезли в профила си или сте му предоставили разрешения. Ако дадено приложение записва какво натискате, кои екрани разглеждате или свързва активността с вашия профил или идентификатори на устройството, това се случва вътре в приложението. VPN не го вижда и не може да го блокира. Типът проследяване, който е от значение в случаите на съгласие, обикновено е от този вид — в самото приложение.

Така че VPN е един ограничен слой, а не заместител на настройките за разрешения и информираните избори. Същата логика се прилага и към други изтичания на данни: нашият доклад за неправилно конфигуриран bucket в 302.ai, който expose 17,6 млн. файла е случай, в който никакъв VPN от страна на потребителя не би могъл да промени резултата.

Какво означава това за вас

Ако използвате приложението на FNAC, може да видите промени в неговите подкани за съгласие, докато компанията работи, за да спази едномесечния срок на CNIL. Прочетете ги, вместо да натискате „напред“, и изберете опциите, които отговарят на предпочитанията ви.

В по-широк план, решението показва, че европейските регулатори ще санкционират съгласие, което не е валидно, и че имате права върху това как приложенията ви проследяват. Тези права са по-лесни за упражняване, когато знаете къде се намират контролите на вашия телефон.

Основни изводи

Делото с глобата на CNIL за FNAC относно проследяване в приложение е ясен пример за това как регулаторите търсят отговорност от голям търговец за начина, по който приложението му обработва съгласието. Ето какво можете да направите сега:

  • Прегледайте настройките за проследяване и разрешения на вашето iPhone или Android устройство тази седмица.
  • Откажете несъществено проследяване в подканите за съгласие в приложенията и преразгледайте минали избори.
  • Изтрийте приложения, които вече не използвате, тъй като неизползваните приложения все още могат да имат разрешения.
  • Третирайте VPN като един ограничен слой защита, полезен за мрежова поверителност, но не и решение за проследяване в приложения.

За повече контекст относно това как френските инциденти с данни засягат поверителността на потребителите, прочетете нашето отразяване на изтичането от френски доставчик на имейл услуги и следете как се развиват промените в съгласието на FNAC.