Francouzský úřad pro ochranu osobních údajů CNIL udělil maloobchodníkovi FNAC pokutu 7 milionů eur za sledování uživatelů aplikace bez platného souhlasu. Regulátor také nařídil společnosti změnit její mechanismy získávání souhlasu do jednoho měsíce. Rozhodnutí CNIL o pokutě pro FNAC za sledování v aplikaci je užitečnou připomínkou, že to, co se děje uvnitř mobilní aplikace, podléhá stejným pravidlům ochrany soukromí jako to, co se děje na webové stránce, a že „souhlas“ musí něco skutečně znamenat.

Tento příspěvek shrnuje, co bylo reportováno, co příkaz vyžaduje a co můžete udělat na vlastním telefonu. Zabývá se také tím, kde má VPN své místo a kde ne.

Co CNIL zjistil, že FNAC dělá špatně

Podle reportáže Cybernews dospěl CNIL k závěru, že FNAC sledoval uživatele své aplikace, aniž by získal platný souhlas. To je jádro sankce: sledování, k němuž došlo, aniž by uživatel s ním řádně souhlasil.

Reportáž, která je nám k dispozici, neuvádí všechny technické podrobnosti sledování, takže nebudeme spekulovat o tom, které sledovací nástroje nebo typy dat byly zapojeny. To, co nám hlavní zjištění říká, je princip, o který jde. Podle evropských pravidel ochrany soukromí sledování, které není striktně nezbytné, obecně vyžaduje jasnou a informovanou volbu ze strany sledované osoby. Pokud aplikace začne shromažďovat nebo sdílet data dříve, než je tato volba učiněna, nebo pokud volba není skutečně svobodná, mohou regulátoři považovat souhlas za neplatný.

Výše pokuty, 7 milionů eur, také signalizuje, že regulátoři považují sledování v aplikacích za závažnou oblast compliance, a nikoli za drobnou technikálii.

Co musí FNAC změnit do jednoho měsíce

Kromě finanční sankce dal CNIL společnosti FNAC jeden měsíc na opravu jejích mechanismů získávání souhlasu. V praxi je mechanismus získávání souhlasu sled výzev a nastavení, které aplikace zobrazí při prvním otevření, a způsob, jakým zaznamenává a respektuje vaše odpovědi.

Pro společnost v této situaci zákonný mechanismus získávání souhlasu obvykle znamená:

  • Ptát se před zahájením nepodstatného sledování, ne až po něm.
  • Prezentovat volbu jasně, aby uživatelé rozuměli, s čím souhlasí.
  • Umožnit odmítnutí stejně snadno jako přijetí.
  • Respektovat rozhodnutí, které uživatel učiní, včetně případů, kdy řekne ne.

Jde o obecná očekávání podle evropských pravidel ochrany soukromí, nikoli o citaci přesného příkazu CNIL, takže je berte jako kontext. Jednoměsíční lhůta je konkrétní detail z reportáže a ukazuje, že regulátoři chtějí rychlou nápravu, nikoli vleklou opravu.

Francouzští regulátoři a úniky dat byli v médiích už dříve. Naše pokrytí úniku u francouzského poskytovatele e-mailu, který odhalil 40 milionů záznamů, ukazuje jinou stránku stejného problému: jak selhání při nakládání s daty, ať už prostřednictvím sledování nebo slabého zabezpečení, dopadají na běžné uživatele.

Jak omezit sledování v aplikacích na iPhonu a Androidu

Podobné rozhodnutí vytváří tlak na společnosti, ale nemusíte čekat, až jej splní. Vestavěné ovládací prvky vašeho telefonu jsou nejpřímějším způsobem, jak omezit sledování v aplikacích. Názvy nabídek se mezi verzemi a výrobci mění, proto hledejte nejbližší odpovídající možnost.

Na iPhonu:

  • Otevřete Nastavení, poté Soukromí a zabezpečení, poté Sledování.
  • Vypněte „Povolit aplikacím žádat o sledování“, čímž výzvu zcela zablokujete, nebo zkontrolujte, kterým aplikacím jste již povolení udělili.
  • Zkontrolujte také oprávnění pro Lokalizační služby a Fotky, dokud jste tam.

Na Androidu:

  • Otevřete Nastavení a hledejte Soukromí, poté Reklamy (znění se liší podle zařízení).
  • Smažte nebo resetujte své reklamní ID a odhlaste se z personalizace reklam, kde je to nabízeno.
  • Zkontrolujte správce oprávnění pro polohu, kontakty a další citlivý přístup a odeberte vše, co aplikace nepotřebuje.

Zkontrolujte také výzvy k souhlasu uvnitř jednotlivých aplikací. Mnohé nabízejí obrazovku předvoleb, kde můžete odmítnout nepodstatné sledování, a svou volbu obvykle můžete později změnit.

Co VPN dokáže a co nedokáže proti sledování v aplikacích

VPN jsou často popisovány jako všelék na sledování, což není přesné. VPN šifruje vaše připojení a skrývá vaši IP adresu před weby a službami, ke kterým se připojujete. To může omezit sledování, které se opírá o vaši IP adresu nebo z ní odvozenou polohu, a chrání váš provoz na nedůvěryhodných sítích, jako je veřejná Wi-Fi.

Co VPN nedokáže, je zabránit aplikaci ve shromažďování dat, jakmile jste přihlášeni nebo jste jí udělili oprávnění. Pokud aplikace zaznamenává, na co klepete, které obrazovky prohlížíte, nebo propojuje aktivitu s vaším účtem či identifikátory zařízení, děje se to uvnitř aplikace. VPN to nevidí a nemůže to zablokovat. Typ sledování, o který jde v případech souhlasu, je obvykle tohoto typu uvnitř aplikace.

VPN je tedy jedna omezená vrstva, nikoli náhrada za nastavení oprávnění a informované volby. Stejná logika platí pro další úniky dat: naše zpráva o chybně nakonfigurovaném bucketu u 302.ai, který odhalil 17,6 milionu souborů, je případem, kdy žádná VPN na straně uživatele nemohla výsledek změnit.

Co to pro vás znamená

Pokud používáte aplikaci FNAC, můžete zaznamenat změny v jejích výzvách k souhlasu, jak se společnost snaží splnit jednoměsíční lhůtu CNIL. Čtěte je, místo abyste na ně jen klepali, a vyberte možnosti, které odpovídají vašim preferencím.

Obecněji řečeno, rozhodnutí ukazuje, že evropští regulátoři budou penalizovat souhlas, který není platný, a že máte práva ohledně toho, jak vás aplikace sledují. Tato práva se snáze uplatňují, když víte, kde se nacházejí ovládací prvky vašeho telefonu.

Klíčové poznatky

Případ pokuty CNIL pro FNAC za sledování v aplikaci je jasným příkladem toho, jak regulátoři volají k odpovědnosti velkého maloobchodníka za to, jak jeho aplikace nakládá se souhlasem. Zde je to, co můžete udělat nyní:

  • Tento týden zkontrolujte nastavení sledování a oprávnění na svém zařízení iPhone nebo Android.
  • Odmítněte nepodstatné sledování ve výzvách k souhlasu v aplikacích a znovu se vraťte k dřívějším volbám.
  • Smažte aplikace, které už nepoužíváte, protože nepoužívané aplikace mohou stále mít oprávnění.
  • Berte VPN jako jednu omezenou vrstvu ochrany, užitečnou pro soukromí v síti, ale ne jako řešení sledování uvnitř aplikací.

Další kontext o tom, jak francouzské incidenty s daty ovlivňují soukromí uživatelů, najdete v našem pokrytí úniku u francouzského poskytovatele e-mailu a sledujte, jak se vyvíjejí změny v souhlasu u FNAC.