Норвежкият орган за защита на данните глоби подразделението на Microsoft Xandr с приблизително 8,5 млн. евро заради начина, по който е обработвало личните данни на потребители на Grindr, включително чувствителна информация за сексуалната ориентация. Глобата за данни на Xandr и Grindr е забележителна, защото е насочена към компания, намираща се по-нататък по веригата за реклама, а не само към приложението, което първоначално е събрало данните.

Обобщението, с което разполагаме за решението, е кратко, затова тази публикация се придържа към потвърденото и обяснява по-широкия контекст за читателите.

За какво норвежкият регулатор глоби Xandr

Според репортажа санкцията от приблизително 8,5 млн. евро е свързана с начина, по който Xandr, рекламен бизнес, собственост на Microsoft, е обработвал лични данни, принадлежащи на потребители на Grindr. Тези данни са включвали чувствителна информация за сексуалната ориентация.

Това не е първият път, в който практиките на Grindr относно данните привличат вниманието на Норвегия. Органът за защита на данните в страната преди това глоби самата Grindr с 65 милиона норвежки крони (около 5,5 млн. евро) за нарушение на член 9 от GDPR, който ограничава обработването на специални категории лични данни. Тази глоба по-късно беше потвърдена от Апелативния съд в Borgarting. Новото действие срещу Xandr разширява фокуса от приложението към компания, която е обработвала данните по-надолу по веригата.

Как чувствителните данни от приложенията достигат до рекламните платформи

Повечето безплатни приложения печелят чрез реклама. За да показват подходящи реклами, приложението може да предава информация за потребителя, като идентификатор на устройството, приблизително местоположение или данни от профила, на рекламни партньори. Тези партньори могат да включват рекламни борси и платформи, които свързват реклами с аудитории, често в рамките на милисекунди след отварянето на приложението.

Проблемът възниква, когато въпросната информация е чувствителна. Съгласно GDPR данните, разкриващи сексуална ориентация, принадлежат към защитена категория. Самото това, че си потребител на определени приложения, може да разкрие нещо чувствително. След като този сигнал влезе в рекламната технологична верига, той може да бъде копиран, комбиниран с други идентификатори и предаван между няколко компании, което затруднява потребителите да знаят къде е попаднал или да го оттеглят.

Ето защо регулаторите разглеждат цялата верига. Компания, която получава или обработва такива данни, поема свои собствени правни отговорности, дори ако не тя първоначално ги е събрала.

Какво означава прилагането на GDPR за потребителите

Глобата е сигнал, че европейските регулатори са готови да преследват компании в цялата рекламна екосистема, включително тези, собственост на големи технологични групи. За потребителите има няколко практични извода.

  • Данните от специални категории подлежат на по-строги правила. Информацията за сексуална ориентация, здраве, религия и подобни теми по принцип не може да се обработва без валидно правно основание съгласно GDPR.
  • Прилагането може да бъде бавно. По-ранният случай с Grindr премина през глоба, обжалване и съдебно решение. Регулаторните действия не отменят вече настъпилото излагане.
  • Глобите не са същото като средства за защита. Санкцията наказва компания, но хората все още трябва да управляват собственото си излагане занапред.

Компании с такъв размер също съхраняват големи обеми данни в други контексти, а инцидентите със сигурността другаде в екосистемата са напомняне, че централно съхраняваните данни са мишена. Например ние писахме за тийнейджър ловец на бъгове, който според съобщенията е получил достъп на администраторско ниво до вътрешната аналитична услуга на Microsoft Titan, както и за твърдения, че бази данни на служители са били откраднати от инфраструктурата на Microsoft Azure. Това са отделни въпроси от решението за Xandr, но те илюстрират защо ограничаването на това, което споделяте още в началото, има значение.

Какво означава това за вас

Не можете да видите кои рекламни партньори получават данни от дадено приложение, затова най-надеждният подход е да намалите това, което приложението може да изпраща. Ето откъде да започнете:

  • Прегледайте разрешенията на приложенията. Проверете разрешенията за местоположение, контакти, снимки и проследяване на телефона си. Оттеглете всичко, което дадено приложение очевидно не се нуждае.
  • Нулирайте или деактивирайте рекламния си идентификатор. Както Android, така и iOS ви позволяват да изтриете или нулирате рекламния си идентификатор или да ограничите проследяването за реклами, което затруднява рекламните платформи да свързват активност между приложения.
  • Прегледайте настройките за поверителност в приложението. Много приложения включват превключватели за персонализирани реклами или споделяне на данни с партньори. Изключете каквото можете.
  • Бъдете избирателни с чувствителните данни в профила. Ако дадено приложение иска информация, която не бихте искали да бъде споделяна, обмислете да я оставите празна.
  • Изтрийте акаунти, които вече не използвате. Неактивните акаунти все още могат да съдържат данни.

Къде се вписва VPN

VPN може да прикрие IP адреса ви и да шифрова трафика между устройството ви и VPN сървъра, което е полезно в обществени Wi-Fi мрежи и за ограничаване на това, което интернет доставчикът ви вижда. Но той не спира приложението да изпраща данните, които сте му дали, като данни от профила или рекламен идентификатор, на своите партньори. Възприемайте VPN като един частичен слой, а не като решение за споделянето на данни в приложенията.

Основни изводи

Глобата за данни на Xandr и Grindr показва, че регулаторите гледат отвъд приложенията, които събират чувствителна информация, към рекламните технологични компании, които я обработват. За ежедневните потребители най-ефективните стъпки са под ваш контрол: одитирайте разрешенията на приложенията, нулирайте или деактивирайте рекламния си идентификатор, коригирайте настройките за поверителност в приложенията и използвайте VPN само за това, което той прави добре. Отделете десет минути тази седмица, за да прегледате приложенията на телефона си, като започнете с тези, които съдържат най-много лична информация.