Norský úřad pro ochranu osobních údajů udělil pokutu divizi Microsoftu Xandr ve výši přibližně 8,5 milionu eur za nakládání s osobními údaji uživatelů Grindru, včetně citlivých informací o sexuální orientaci. Pokuta Xandr za data Grindr je pozoruhodná tím, že cílí na společnost nacházející se dále v reklamním řetězci, nikoli pouze na aplikaci, která data původně shromáždila.

Shrnutí rozhodnutí, které máme k dispozici, je stručné, proto se tento příspěvek drží toho, co je potvrzeno, a vysvětluje širší souvislosti pro čtenáře.

Za co norský regulátor udělil Xandru pokutu

Podle zpráv se pokuta ve výši přibližně 8,5 milionu eur týká toho, jak Xandr, reklamní společnost vlastněná Microsoftem, nakládal s osobními údaji uživatelů Grindru. Tyto údaje zahrnovaly citlivé informace o sexuální orientaci.

Není to poprvé, co se praktiky Grindru v oblasti dat dostaly do hledáčku Norska. Norský úřad pro ochranu osobních údajů již dříve udělil pokutu samotnému Grindru ve výši 65 milionů norských korun (přibližně 5,5 milionu eur) za porušení článku 9 GDPR, který omezuje zpracování zvláštních kategorií osobních údajů. Tato pokuta byla později potvrzena odvolacím soudem Borgarting. Nový krok proti Xandru rozšiřuje zaměření z aplikace na společnost, která s daty nakládala následně.

Jak se citlivá data z aplikací dostávají na reklamní platformy

Většina bezplatných aplikací vydělává peníze prostřednictvím reklamy. Aby mohla zobrazovat relevantní reklamy, může aplikace předávat informace o uživateli, jako je identifikátor zařízení, přibližná poloha nebo údaje z profilu, reklamním partnerům. Mezi tyto partnery mohou patřit reklamní burzy a platformy, které přiřazují reklamy publiku, často v řádu milisekund od otevření aplikace.

Problém nastává, když jsou dotčené informace citlivé. Podle GDPR patří údaje odhalující sexuální orientaci do chráněné kategorie. Samotná skutečnost, že je někdo uživatelem určitých aplikací, může odhalovat něco citlivého. Jakmile se tento signál dostane do ad-tech pipeline, může být zkopírován, zkombinován s dalšími identifikátory a předán mezi několika společnostmi, což uživatelům ztěžuje zjistit, kde skončil, nebo jeho použití odvolat.

To je důvod, proč se regulátoři zabývají celým řetězcem. Společnost, která takové údaje přijímá nebo zpracovává, na sebe bere vlastní právní odpovědnost, i když je sama původně neshromáždila.

Co vymáhání GDPR znamená pro uživatele

Pokuta je signálem, že evropští regulátoři jsou ochotni stíhat společnosti napříč reklamním ekosystémem, včetně těch, které vlastní velké technologické skupiny. Pro uživatele z toho vyplývá několik praktických závěrů.

  • Zvláštní kategorie údajů mají přísnější pravidla. Informace o sexuální orientaci, zdraví, náboženství a podobných tématech obecně nelze zpracovávat bez platného právního základu podle GDPR.
  • Vymáhání může být pomalé. Dřívější případ Grindr prošel pokutou, odvoláním a soudním rozhodnutím. Regulační opatření neodčiní expozici, která již nastala.
  • Pokuty nejsou totéž co náprava. Sankce trestá společnost, ale jednotlivci stále musí sami řídit svou expozici do budoucna.

Společnosti této velikosti také uchovávají velké objemy dat v jiných souvislostech a bezpečnostní incidenty jinde v ekosystému připomínají, že centrálně uchovávaná data jsou terčem. Například jsme informovali o teenage hackerce, která údajně získala přístup na úrovni správce k interní analytické službě Microsoftu Titan, a o tvrzeních, že databáze zaměstnanců byly ukradeny z infrastruktury Microsoft Azure. Jde o záležitosti oddělené od rozhodnutí ve věci Xandr, ale ilustrují, proč je důležité omezit to, co vůbec sdílíte.

Co to znamená pro vás

Nemůžete vidět, kteří reklamní partneři dostávají data z aplikace, proto je nejspolehlivějším přístupem omezit to, co aplikace může odesílat. Zde je místo, kde začít:

  • Zkontrolujte oprávnění aplikací. Zkontrolujte oprávnění k poloze, kontaktům, fotkám a sledování v telefonu. Odvolejte vše, co aplikace zjevně nepotřebuje.
  • Resetujte nebo zakažte své reklamní ID. Android i iOS umožňují smazat nebo resetovat reklamní identifikátor nebo omezit sledování reklam, což ztěžuje reklamním platformám propojovat aktivitu napříč aplikacemi.
  • Podívejte se na nastavení soukromí v aplikaci. Mnoho aplikací obsahuje přepínače pro personalizované reklamy nebo sdílení dat s partnery. Vypněte, co můžete.
  • Buďte vybíraví u citlivých údajů v profilu. Pokud aplikace žádá informace, které byste nechtěli sdílet, zvažte, že je ponecháte prázdné.
  • Smažte účty, které již nepoužíváte. Neaktivní účty mohou stále uchovávat data.

Kam se hodí VPN

VPN může skrýt vaši IP adresu a šifrovat provoz mezi vaším zařízením a serverem VPN, což je užitečné na veřejných Wi-Fi sítích a pro omezení toho, co vidí váš poskytovatel internetu. Nezabrání však aplikaci odesílat data, která jste jí poskytli, jako jsou údaje z profilu nebo reklamní ID, jejím partnerům. Berte VPN jako jednu dílčí vrstvu, nikoli jako řešení sdílení dat v aplikacích.

Klíčové poznatky

Pokuta Xandr za data Grindr ukazuje, že regulátoři se dívají za hranice aplikací, které shromažďují citlivé informace, na ad-tech společnosti, které je zpracovávají. Pro běžné uživatele jsou nejúčinnější kroky ve vašich rukou: prověřte oprávnění aplikací, resetujte nebo zakažte své reklamní ID, upravte nastavení soukromí v aplikacích a používejte VPN pouze pro to, v čem je dobrá. Věnujte tento týden deset minut projití aplikací ve svém telefonu, počínaje těmi, které uchovávají nejvíce osobních informací.